mixi Developer Center (ミクシィ デベロッパーセンター)

本ページでは、mixi Connectガイドライン「5．データの取り扱い＞3. 取得したデータの利用、取り扱いについて」に記載されている事項について、その内容の理解を促進するための補足事項について示します。

APIを通じて取得した情報に関する制限

「5．データの取り扱い＞3. 取得したデータの利用、取り扱いについて」にて、以下の記載があります。
（1）あるmixiユーザーから別のmixiユーザーのデータをその2人の関係に関わらず、閲覧・利用できないようにしてください。

mixiに格納されているコンテンツは、それぞれ「公開範囲」と呼ばれる設定が付与されています。これは、ユーザーが対象コンテンツについて「誰に見て欲しいか」「誰に見られたくないか」の意思表示となり、mixiはこの設定内容に基づいてコンテンツの表示制御を行っています。もちろん、mixi Connectを使って開発されるアプリケーションにおいても、このコンテンツの公開範囲は守られるべきです。ユーザーがコンテンツに設定した公開範囲の遵守と同時に、開発者がmixi Connectを使って取得したコンテンツについて公開範囲を考慮せずともコンテンツの閲覧に関する保護ができるよう、本条項が策定されています。

本条項は、「APIアクセスの認可を行ったユーザー」とそれに紐づく「取得した情報」について、その取り扱いを制限することを意味しています。あるユーザーが認証を行うことで発行されるアクセストークン（※1）を外部サービスが取得し、それを使用してAPIアクセスを行った結果取得した情報は、別のユーザーがその外部サービスを利用した際に表示あるいはそれに相当する処理をしてはいけません。

例えば、ある外部サービスがあり、それをユーザーA、ユーザーBの2名がそれぞれ利用するケースを考えます。

1. ユーザーAが、外部サービスを起動する。
2. ユーザーAが認証を行い、外部サービスはアクセストークンを入手する。
3. 外部サービスは、取得したアクセストークンを使ってPeople APIによりユーザーAの友人一覧情報を取得する。

この際に、以下の2名の友人一覧情報が得られたと仮定します。

上記の情報は、「ユーザーAが認可した結果、外部サービスが取得できた情報」です。つまり、この情報はユーザーAに紐づく情報となります。

ここで言及しているガイドラインの条項は、この上記の情報を、別のユーザーが外部サービスを利用した際に一切利用してはいけないことを示しています。例えば、以下の外部サービスの挙動は、本条項にて禁止される行為となります。

1. 外部サービスが、上記の情報をデータベースに格納する。
2. ユーザーBが、外部サービスを起動する。
3. 外部サービスは、データベースに格納された(ユーザーAが取得した)上記の情報を表示する。

この場合、ユーザーBの情報は既にデータベース内に存在し、APIを利用しなくともそのユーザーの情報を外部サービスは利用できることになりますが、本条項によりこれが制限されるということになります。外部サービスは、ユーザーBの情報について、APIを利用して再度取得することが求められます。

本条項は、ユーザーが異なれば一律情報の共有を許可しない、ということを示しています。つまり、以下のことが言えます。

• 外部サービスを利用する複数のユーザーの関係性に関係なく、本条項は適用されます。
• 例） ユーザーAとユーザーBが友人であった場合においても、本条項は免除されない。
• APIにより取得したコンテンツの公開範囲に関わらず、本条項は適用されます。
• 例） ユーザーAにより取得されたコンテンツが「マイミクまで公開」だったとしても、ユーザーAの友人であるユーザーB向けに、外部サービスはユーザーAが取得したそのコンテンツを閲覧させてはならない。

さらに、APIから取得した情報を外部サービスの性能向上を目的として複数ユーザーで共有する、といったことも、本条項が免除される理由にはなりませんので、ご注意ください。

※1 外部サービスがAPIアクセスを行うためにmixiから発行される識別文字列のことです。この発行にはユーザーの認可が必要となります。