Loading...
ベースシミュレーターはブラウザ上で100%動作します。患者の写真は当社のサーバーに届きません。フォトリアルパスは異なります。このページでは全てのサブプロセッサーと全ての課題を明示します。
顔面ランドマーク検出（468ポイント）とAIモデル推論は、ブラウザ内で完全に動作します。標準シミュレーション中はFaceifyのサーバーへ画像データは送信されません。写真がデバイスを離れるのは、オプションのAIフォトリアルプレビューをオンにした場合またはシミュレーションをアカウントに保存した場合のみです。
lib/simulation/face-mesh.ts · lib/simulation/depth-v2/depth-v2-inference.ts · lib/simulation/ai-suggestions/ethnicity-ml.ts
ユーザーがフォトリアルプレビューを有効にしてAI写真同意を提供すると、患者の写真（base64 data URL）が/api/simulation/diffusion-previewを経由して、米国拠点のGPUクラウドプロバイダーReplicateに送信されます。
米国ユーザーはAPIルートレベルでブロックされます（HTTP 451）。英国・オーストラリアを含む非米国ユーザーは、明示的な同意後にこの第三者送信にさらされます。
app/api/simulation/diffusion-preview/route.ts:277: x-vercel-ip-country === "US" → HTTP 451
アーキテクチャの事実（ブラウザネイティブ推論、ベースパスでのサーバーPHIゼロ）が最も強いコンプライアンス資産です。Diffusionパスは、まだ完全に満たされていない義務を生み出します。
The base simulator produces zero data egress by design: MediaPipe landmark detection and ONNX inference run in the browser; no patient photos reach Faceify servers on the standard path. Faceify is not a covered entity. BAA available on Enterprise plan upon request.
Lawful basis: consent (Article 6(1)(a)) for AI photo features; contract (Article 6(1)(b)) for account and billing. Article 17 deletion right is exercisable via /api/account/delete or Settings. For the base simulator, image data does not transit EU borders (stays on device). The diffusion path transmits to Replicate (US); transfer mechanism for EU users is under review.
Same data-residency position as EU GDPR for the base simulator. Supervisory authority: ICO (not EDPB). Any third-party transfers require IDTA (International Data Transfer Agreement), not SCCs. Replicate DPA under IDTA has not yet been executed. This is an open gap for the diffusion path.
Base simulator: image data does not leave the device; PDPA cross-border transfer obligations are not triggered. Consent collected in-app before any simulation preview runs.
Base simulator: image data does not leave the device; PIPA cross-border transfer obligations are not triggered. Consent collected in-app before any simulation preview runs.
Base simulator: image data does not leave the device; APP 8 cross-border disclosure obligations are not triggered. The diffusion path requires an explicit APP 8 disclosure before non-US (including AU) users can use it. That disclosure is being added to the AI photo consent modal. Until it lands, the diffusion path is non-compliant for AU users.
リアルタイムモード: カメラフィードはデバイス上に保持
リアルタイムモードが有効な場合、Banuba SDKはブラウザのWASMランタイム内でカメラフィードを完全に処理します。画像フレームや顔のランドマークはFaceify Labsまたは第三者に送信されません。BanubaライセンストークンはローカルでBanubaで検証されます。SDKは外部サーバーに接続しません。
Replicate：患者写真の送信（Diffusionパスのみ）
フォトリアルプレビューを有効にした非米国ユーザーの場合、患者の写真（base64）がReplicateに送信されます。米国ユーザーはブロックされます。現在ReplicateとのBAAまたはDPAはありません。
当社の代わりにデータを受信する全ベンダー。最終レビュー：2026-05-26
| ベンダー | 受信するデータ | PHI / 患者写真? | BAA / DPA状態 | スコープ |
|---|---|---|---|---|
| Vercel | All HTTP traffic; Vercel Blob stores patient before/after simulation images when saved | Yes, Vercel Blob receives actual patient facial images (on explicit save only) | DPA available; no BAA signed | All paths (hosting); patient images on save (base sim + diffusion) |
| Neon (PostgreSQL) | User PII (email, name, userId); simulation metadata (procedure slug, params); PHI audit log entries; AI photo consent timestamps; Vercel Blob image URLs | No raw photo bytes. Stores image URLs and userId + procedure + consent timestamps. | DPA available; no BAA signed | Base sim + diffusion; billing; auth |
| Vercel Blob | Patient before/after simulation images (base64-sourced, re-encoded) when a signed-in user saves a simulation | Yes, full facial image. Stored at a non-guessable UUID path but with public access. | Part of Vercel DPA; no BAA signed | Base sim on save; diffusion output on save |
| Upstash Redis | IP addresses + rate-limit counters; hashed user IDs as rate-limit keys | No image data. No PHI. | No DPA confirmed from source code | All paths (rate limiting) |
| Resend | Patient email address; surgeon email address; patient name; surgeon name; procedure label; share URL (encodes simulation params only, no photos) | Email addresses. Template explicitly excludes photos. | DPA available; no BAA | Consultation sharing; transactional email |
| Razorpay | 請求先の連絡先情報、決済メタデータ、注文と決済の状況 | 請求情報。画像は含みません。 | 販売者であるFaceify Labsの決済処理業者です。BAAの締結は確認されていません。 | Billing only |
| Sentry | Stack traces; error messages; request URLs (tokens redacted by beforeSend filter). Extra context stripped of image/file keys. Session replay active for 100% of sessions that end in an error, plus a random 1% baseline sample of all other sessions, both with maskAllText + blockAllMedia. | No confirmed PHI. One P2 gap: error message string content is not scrubbed for embedded fragments (low probability). | DPA available; no BAA | All paths (error monitoring) |
| PostHog | Funnel events: procedure name, landmark count (integer), preset ID, deal ID, error code. Page views. Session replay if enabled in project dashboard. | No image bytes in event payloads. Session replay gap: canvas is not explicitly blocked in posthog.init options (P0 fix in progress). | DPA available; no BAA. EU primary region. | All paths (analytics) |
| Replicate | Patient photo (base64 data URL) for photoreal/diffusion preview generation. US users are geo-blocked (HTTP 451). Non-US users only, after explicit AI photo consent. | YES, full patient facial photo transmitted. Replicate is a US-based company. UK/AU transmission triggers UK GDPR Chapter V and AU Privacy Act APP 8 international transfer obligations. No BAA, no DPA confirmed. | No BAA. No DPA confirmed from source. Transfer mechanism for UK/AU not yet executed. | Diffusion/photoreal path only. Non-US only. |
手術プレビューが実行される前に、アプリ内で同意が取得されます。同意ゲートはルートレベルで適用されます。
同意記録はFaceifyではなくクリニックが所有します。Faceifyは同意記録を保存しません。
Diffusionパス：AI写真への明示的同意
フォトリアルプレビューでは、Replicateを名指しで記載し、米国への送信を説明する追加の同意モーダルが表示されます。ベースシミュレーターへのアクセスに影響なく拒否できる権利を含めるよう更新中です。
セキュリティに関する質問、BAA・DPAの要請、脆弱性開示、調達アンケート：
partners@faceifylabs.comフォトリアルDiffusionパスのデータ保護影響評価（DPIA）はリクエストに応じて提供されます。5営業日以内に返答します。
日付は創作しません。2026-05-26時点の内部ロードマップを反映しています。
ISO 27001
Under review (last reviewed 2026-05-26)
SOC 2 Type II
Not yet pursued. Trigger: first $50k+ ACV contract per internal decision criteria.
Multi-region data residency
Under evaluation for UK and AU private hospital requirements.
PHI-tier audit log
Planned Q2 2026 per CTO report. Will cover photos, annotations, and consultation messages.
Replicate DPA / BAA (UK IDTA + AU APP 8)
Required before diffusion path is compliant for UK/AU users. Under active procurement.
We use analytics cookies to improve your experience. Privacy Policy
Faceify Labs is an educational visual planning tool designed to facilitate patient-surgeon communication. It is not regulated as a medical device under the U.S. FDA, the Thai FDA, the Korean MFDS, ANVISA (Brazil), or the PMDA (Japan). All previews are visualisations of the requested change, not predictions of surgical outcome, clinical diagnoses, or treatment recommendations. Read our full clinical posture →