Loading...
ベースシミュレーターはブラウザ上で100%動作します。患者の写真は当社のサーバーに届きません。フォトリアルパスは異なります — このページでは全てのサブプロセッサーと全ての課題を明示します。
MediaPipeランドマーク検出（468ポイント）とONNX推論は、WebAssemblyとWebGLを使用してブラウザ内で完全に動作します。標準シミュレーション中はFaceifyのサーバーへ画像データは送信されません。写真がデバイスを離れるのは、オプションのAIフォトリアルプレビューをオンにした場合またはシミュレーションをアカウントに保存した場合のみです。
lib/simulation/face-mesh.ts · lib/simulation/depth-v2/depth-v2-inference.ts · lib/simulation/ai-suggestions/ethnicity-ml.ts
ユーザーがフォトリアルプレビューを有効にしてAI写真同意を提供すると、患者の写真（base64 data URL）が/api/simulation/diffusion-previewを経由して、米国拠点のGPUクラウドプロバイダーReplicateに送信されます。
米国ユーザーはAPIルートレベルでブロックされます（HTTP 451）。英国・オーストラリアを含む非米国ユーザーは、明示的な同意後にこの第三者送信にさらされます。
app/api/simulation/diffusion-preview/route.ts:277 — x-vercel-ip-country === "US" → HTTP 451
アーキテクチャの事実 — ブラウザネイティブ推論、ベースパスでのサーバーPHIゼロ — が最も強いコンプライアンス資産です。Diffusionパスは、まだ完全に満たされていない義務を生み出します。
The base simulator produces zero data egress by design: MediaPipe landmark detection and ONNX inference run in the browser; no patient photos reach Faceify servers on the standard path. Faceify is not a covered entity. BAA available on Enterprise plan upon request.
Lawful basis: consent (Article 6(1)(a)) for AI photo features; contract (Article 6(1)(b)) for account and billing. Article 17 deletion right is exercisable via /api/account/delete or Settings. For the base simulator, image data does not transit EU borders (stays on device). The diffusion path transmits to Replicate (US); transfer mechanism for EU users is under review.
Same data-residency position as EU GDPR for the base simulator. Supervisory authority: ICO (not EDPB). Any third-party transfers require IDTA (International Data Transfer Agreement), not SCCs. Replicate DPA under IDTA has not yet been executed. This is an open gap for the diffusion path.
Base simulator: image data does not leave the device; PDPA cross-border transfer obligations are not triggered. Consent collected in-app before any simulation preview runs.
Base simulator: image data does not leave the device; PIPA cross-border transfer obligations are not triggered. Consent collected in-app before any simulation preview runs.
Base simulator: image data does not leave the device; APP 8 cross-border disclosure obligations are not triggered. The diffusion path requires an explicit APP 8 disclosure before non-US (including AU) users can use it. That disclosure is being added to the AI photo consent modal. Until it lands, the diffusion path is non-compliant for AU users.
リアルタイムモード: カメラフィードはデバイス上に保持
リアルタイムモードが有効な場合、Banuba SDKはブラウザのWASMランタイム内でカメラフィードを完全に処理します。画像フレームや顔のランドマークはFaceify Labsまたは第三者に送信されません。BanubaライセンストークンはローカルでBanubaで検証されます。SDKは外部サーバーに接続しません。
Replicate：患者写真の送信（Diffusionパスのみ）
フォトリアルプレビューを有効にした非米国ユーザーの場合、患者の写真（base64）がReplicateに送信されます。米国ユーザーはブロックされます。現在ReplicateとのBAAまたはDPAはありません。
当社の代わりにデータを受信する全ベンダー。最終レビュー：2026-05-26
| ベンダー | 受信するデータ | PHI / 患者写真? | BAA / DPA状態 | スコープ |
|---|---|---|---|---|
| Vercel | All HTTP traffic; Vercel Blob stores patient before/after simulation images when saved | Yes — Vercel Blob receives actual patient facial images (on explicit save only) | DPA available; no BAA signed | All paths (hosting); patient images on save (base sim + diffusion) |
| Neon (PostgreSQL) | User PII (email, name, userId); simulation metadata (procedure slug, params); PHI audit log entries; AI photo consent timestamps; Vercel Blob image URLs | No raw photo bytes. Stores image URLs and userId + procedure + consent timestamps. | DPA available; no BAA signed | Base sim + diffusion; billing; auth |
| Vercel Blob | Patient before/after simulation images (base64-sourced, re-encoded) when a signed-in user saves a simulation | Yes — full facial image. Stored at a non-guessable UUID path but with public access. | Part of Vercel DPA; no BAA signed | Base sim on save; diffusion output on save |
| Upstash Redis | IP addresses + rate-limit counters; hashed user IDs as rate-limit keys | No image data. No PHI. | No DPA confirmed from source code | All paths (rate limiting) |
| Resend | Patient email address; surgeon email address; patient name; surgeon name; procedure label; share URL (encodes simulation params only — no photos) | Email addresses. Template explicitly excludes photos. | DPA available; no BAA | Consultation sharing; transactional email |
| Polar | Patient email; payment metadata; subscription status | Email address. No images. | DPA available; no BAA. Polar is Merchant of Record. | Billing only |
| Sentry | Stack traces; error messages; request URLs (tokens redacted by beforeSend filter). Extra context stripped of image/file keys. Session replay active at 1% sample rate with maskAllText + blockAllMedia. | No confirmed PHI. One P2 gap: error message string content is not scrubbed for embedded fragments (low probability). | DPA available; no BAA | All paths (error monitoring) |
| PostHog | Funnel events: procedure name, landmark count (integer), preset ID, deal ID, error code. Page views. Session replay if enabled in project dashboard. | No image bytes in event payloads. Session replay gap: canvas is not explicitly blocked in posthog.init options (P0 fix in progress). | DPA available; no BAA. EU primary region. | All paths (analytics) |
| Replicate | Patient photo (base64 data URL) for photoreal/diffusion preview generation. US users are geo-blocked (HTTP 451). Non-US users only, after explicit AI photo consent. | YES — full patient facial photo transmitted. Replicate is a US-based company. UK/AU transmission triggers UK GDPR Chapter V and AU Privacy Act APP 8 international transfer obligations. No BAA, no DPA confirmed. | No BAA. No DPA confirmed from source. Transfer mechanism for UK/AU not yet executed. | Diffusion/photoreal path only. Non-US only. |
手術プレビューが実行される前に、アプリ内で同意が取得されます。同意ゲートはルートレベルで適用されます。
同意記録はFaceifyではなくクリニックが所有します。Faceifyは同意記録を保存しません。
Diffusionパス：AI写真への明示的同意
フォトリアルプレビューでは、Replicateを名指しで記載し、米国への送信を説明する追加の同意モーダルが表示されます。ベースシミュレーターへのアクセスに影響なく拒否できる権利を含めるよう更新中です。
セキュリティに関する質問、BAA・DPAの要請、脆弱性開示、調達アンケート：
partners@faceifylabs.comフォトリアルDiffusionパスのデータ保護影響評価（DPIA）はリクエストに応じて提供されます。5営業日以内に返答します。
日付は創作しません。2026-05-26時点の内部ロードマップを反映しています。
ISO 27001
Under review (last reviewed 2026-05-26)
SOC 2 Type II
Not yet pursued. Trigger: first $50k+ ACV contract per internal decision criteria.
Multi-region data residency
Under evaluation for UK and AU private hospital requirements.
PHI-tier audit log
Planned Q2 2026 per CTO report. Will cover photos, annotations, and consultation messages.
Replicate DPA / BAA (UK IDTA + AU APP 8)
Required before diffusion path is compliant for UK/AU users. Under active procurement.
We use analytics cookies to improve your experience. Privacy Policy
Faceify Labs is an educational visual planning tool designed to facilitate patient-surgeon communication. It is not regulated as a medical device under the U.S. FDA, the Thai FDA, the Korean MFDS, ANVISA (Brazil), or the PMDA (Japan). All previews are visualisations of the requested change — not predictions of surgical outcome, clinical diagnoses, or treatment recommendations. Read our full clinical posture →