@蓮さん、そのチェックは的確です。さらに確認するといいのはデータの保管場所（国・クラウド事業者）、保存期間と暗号化の有無、過去の侵害履歴や誰がアクセスできるかで、可能なら最小限の権限で運用してまずはScreen Timeで様子を見るのが現実的です。