Privacy notice · SaQura CertWatch Agent
Datenschutzhinweis · 製品プライバシー通知（エージェント）
As of / Stand: 2026-10-28 · Version 2.0 · applies to / gilt für CertWatch Agent from / ab 1.3.0

English: sections 1 to 5 · Deutsch: Abschnitte 1 bis 5 · 日本語：第1項から第5項
The privacy notice of the CertWatch server (PRIVACY.txt) and Section 9 of the
License Agreement (EULA) apply in addition.

============================================================
ENGLISH
============================================================

============================================================
1. WHAT THE AGENT DOES
============================================================
The CertWatch Agent runs on your target server. It receives renewal jobs
from your own CertWatch server (your "Instance"), generates the key and the
signing request for a new certificate, deploys the certificate into the web
server and checks whether it is being served. It is active only if you
install it and register it with your Instance.

============================================================
2. WHERE THE AGENT SENDS DATA
============================================================
2.1 Your Instance only
    The agent connects exclusively to the Instance you entered at
    registration, outbound over HTTPS, and only through a proxy if you set
    one explicitly. It does not connect to KyotoTech, to the certificate
    authority or to DNS providers; your Instance handles those connections.
    It transmits:
      · at registration: the one-time registration code, the public key of
        the agent, a name (by default the computer name) and the operating
        system type (Windows, Linux, macOS),
      · during operation: signed status queries, and for each job the job
        and target number, the signing request (with the names to be
        certified), the result and fixed error codes.
    The private key of the certificate is never transmitted.

2.2 Your web server
    After deployment the agent checks the certificate served by connecting to
    the address and port of the target configured by you. Only the
    certificate served there is compared.

In each connection the remote side sees the IP address of the target server.

============================================================
3. WHAT THE AGENT STORES ON THE TARGET SERVER
============================================================
  · Agent state (address of your Instance, agent number, expected server
    certificate fingerprints, the agent's own key): in a protected store,
    on Windows encrypted with the Windows Data Protection API (DPAPI) under
    ProgramData\SaQura\CertWatch-Agent\state, on Linux and macOS under
    /var/lib/certwatch-agent with access only for the agent's user.
  · Configuration (targets, optional proxy): agent.json under
    ProgramData\SaQura\CertWatch-Agent (Windows) or /etc/certwatch-agent
    (Linux, macOS).
  · Private key of a new certificate: in the protected store until
    deployment, then only in the location of the web server you configured.
  · Temporary backups of the previous certificate, key and configuration
    files for restoration during deployment (nginx). They stay in the same
    folder on the target server, are readable only by the agent's account
    and are deleted after a rollback or when the next deployment for the
    same target begins. On IIS the previous certificate remains in the
    Windows certificate store. The agent's journal contains no private key.
  · Log: the agent writes short operating messages to the error output,
    which your service manager (for example systemd) records; retention
    then follows your system settings. When it runs as a Windows service,
    it writes the same messages to the file agent.log next to agent.json.
    This file is limited to 5 MB. When it is full, it is renamed to
    agent.log.1 and the older copy is deleted. Besides steps, numbers and
    codes, the messages can name details of your own setup: the server
    address, agent and target IDs, file paths, IIS site and certificate
    store names, certificate serial numbers and short excerpts of the web
    server's configuration test output. The agent writes no keys, one-time
    codes or signatures to the log.

============================================================
4. PERSONAL DATA AND RESPONSIBILITY
============================================================
Personal data may arise through the computer name and through names in
certificates. You are the controller for this data. KyotoTech receives no
data from the agent and has no access to it.

============================================================
5. CONTACT
============================================================
KyotoTech LLC (合同会社KyotoTech) · Kyō-machi 2-237-202, Fushimi-ku,
Kyoto 612-8083, Japan · support@kyototech.co.jp
This notice describes the agent version it accompanies.

============================================================
DEUTSCH
============================================================

============================================================
1. WAS DER AGENT TUT
============================================================
Der CertWatch Agent läuft auf Ihrem Zielserver. Er erhält Verlängerungs-
aufträge von Ihrem eigenen CertWatch-Server (Ihrer „Instanz“), erzeugt
Schlüssel und Signaturanfrage für ein neues Zertifikat, spielt das
Zertifikat in den Webserver ein und prüft, ob es ausgeliefert wird. Er ist
nur aktiv, wenn Sie ihn installieren und bei Ihrer Instanz anmelden.

============================================================
2. WOHIN DER AGENT DATEN SENDET
============================================================
2.1 Nur an Ihre Instanz
    Der Agent verbindet sich ausschließlich mit der Instanz, die Sie bei der
    Anmeldung angegeben haben, ausgehend über HTTPS, und nur dann über einen
    Proxy, wenn Sie ihn ausdrücklich einstellen. Er verbindet sich nicht mit
    KyotoTech, nicht mit der Zertifizierungsstelle und nicht mit DNS-
    Anbietern; diese Verbindungen übernimmt Ihre Instanz.
    Er überträgt:
      · bei der Anmeldung: den Einmal-Anmeldecode, den öffentlichen Schlüssel
        des Agenten, einen Namen (ab Werk der Rechnername) und die Art des
        Betriebssystems (Windows, Linux, macOS),
      · im Betrieb: signierte Statusabfragen und je Auftrag die Auftrags-
        und Zielnummer, die Signaturanfrage (mit den zu bestätigenden
        Namen), das Ergebnis und feste Fehlercodes.
    Der private Schlüssel des Zertifikats wird nie übertragen.

2.2 Ihr Webserver
    Nach der Einspielung prüft der Agent das ausgelieferte Zertifikat über
    eine Verbindung zu Adresse und Port des Ziels, die Sie eingestellt haben.
    Verglichen wird nur das dort ausgelieferte Zertifikat.

Bei jeder Verbindung sieht die Gegenstelle die IP-Adresse des Zielservers.

============================================================
3. WAS DER AGENT AUF DEM ZIELSERVER SPEICHERT
============================================================
  · Zustand des Agenten (Adresse Ihrer Instanz, Agentnummer, erwartete
    Fingerabdrücke des Serverzertifikats, eigener Schlüssel des Agenten): in
    einer geschützten Ablage, unter Windows verschlüsselt mit der Windows-
    Datenschutzschnittstelle (DPAPI) unter
    ProgramData\SaQura\CertWatch-Agent\state, unter Linux und macOS in
    /var/lib/certwatch-agent mit Zugriff nur für den Benutzer des Agenten.
  · Einstellungen (Ziele, optionaler Proxy): agent.json unter
    ProgramData\SaQura\CertWatch-Agent (Windows) oder /etc/certwatch-agent
    (Linux, macOS).
  · Privater Schlüssel eines neuen Zertifikats: bis zur Einspielung in der
    geschützten Ablage, danach nur am Ablageort des Webservers, den Sie
    eingestellt haben.
  · Vorübergehende Sicherungen der bisherigen Zertifikats-, Schlüssel- und
    Konfigurationsdateien für die Wiederherstellung bei der Einspielung
    (nginx). Sie liegen im selben Ordner auf dem Zielserver, sind nur für das
    Konto des Agenten lesbar und werden nach einer Rückabwicklung oder beim
    Beginn der nächsten Einspielung für dasselbe Ziel gelöscht. Unter IIS
    bleibt das bisherige Zertifikat im Windows-Zertifikatspeicher. Das
    Journal des Agenten enthält keinen privaten Schlüssel.
  · Protokoll: Der Agent schreibt feste Meldungen mit Nummern, Schritten und
    Codes in die Fehlerausgabe, die Ihre Dienstverwaltung (etwa systemd oder
    der Windows-Dienst) aufzeichnet. Er schreibt keine Schlüssel, Einmal-
    codes oder Signaturen ins Protokoll. Die Aufbewahrung richtet sich nach
    Ihren Systemeinstellungen.

============================================================
4. PERSONENBEZOGENE DATEN UND VERANTWORTUNG
============================================================
Personenbezug kann durch den Rechnernamen und durch Namen in Zertifikaten
entstehen. Für diese Daten sind Sie der Verantwortliche. KyotoTech erhält vom
Agenten keine Daten und hat keinen Zugriff darauf.

============================================================
5. KONTAKT
============================================================
KyotoTech LLC (合同会社KyotoTech) · Kyō-machi 2-237-202, Fushimi-ku,
Kyoto 612-8083, Japan · support@kyototech.co.jp
Dieser Hinweis beschreibt die Agentversion, der er beiliegt.

============================================================
日本語
============================================================

============================================================
1. エージェントの機能
============================================================
CertWatch Agentは、お客様の対象サーバー上で動作します。お客様ご自身の
CertWatchサーバー（以下「インスタンス」）から更新ジョブを受け取り、新しい
証明書の鍵と署名要求を生成し、証明書をWebサーバーに配置し、その証明書が
配信されているかを確認します。お客様がインストールし、インスタンスに登録した
場合にのみ動作します。

============================================================
2. エージェントのデータ送信先
============================================================
2.1 お客様のインスタンスのみ
    エージェントは、登録時に指定されたインスタンスにのみ、HTTPSによる外向き
    接続で接続します。プロキシは、お客様が明示的に設定した場合にのみ使用
    します。KyotoTech、認証局およびDNS事業者には接続しません。これらの接続は
    インスタンスが行います。
    送信する内容：
      · 登録時：ワンタイム登録コード、エージェントの公開鍵、名前（初期設定は
        コンピューター名）およびOSの種類（Windows、Linux、macOS）
      · 運用中：署名付きの状態照会、ならびにジョブごとのジョブ番号および
        対象番号、署名要求（証明対象の名前を含む）、結果および固定の
        エラーコード
    証明書の秘密鍵は送信しません。

2.2 お客様のWebサーバー
    配置後、エージェントはお客様が設定した対象のアドレスおよびポートに接続し、
    配信されている証明書を確認します。比較するのは配信されている証明書のみ
    です。

いずれの接続でも、接続先には対象サーバーのIPアドレスが見えます。

============================================================
3. エージェントが対象サーバーに保存するデータ
============================================================
  · エージェントの状態（インスタンスのアドレス、エージェント番号、想定される
    サーバー証明書のフィンガープリント、エージェント自身の鍵）：保護された
    保存領域に保存します。Windowsでは Windows データ保護API（DPAPI）で
    暗号化して ProgramData\SaQura\CertWatch-Agent\state に、LinuxおよびmacOSでは
    /var/lib/certwatch-agent にエージェントの実行ユーザーのみがアクセス
    できる形で保存します。
  · 設定（対象、任意のプロキシ）：agent.json を
    ProgramData\SaQura\CertWatch-Agent（Windows）または
    /etc/certwatch-agent（Linux、macOS）に保存します。
  · 新しい証明書の秘密鍵：配置までは保護された保存領域に、配置後はお客様が
    設定したWebサーバーの保存場所にのみ置かれます。
  · 配置時の復元用に、従前の証明書、鍵および設定ファイルの一時的な
    バックアップを作成します（nginx）。バックアップは対象サーバー上の同じ
    フォルダーに置かれ、エージェントのアカウントのみが読み取ることができ、
    ロールバック後または同じ対象への次回の配置開始時に削除されます。IISでは
    従前の証明書がWindows証明書ストアに残ります。エージェントのジャーナルには
    秘密鍵は含まれません。
  · ログ：エージェントは番号、手順およびコードからなる定型メッセージを
    エラー出力に書き込み、お客様のサービス管理（systemdまたはWindows
    サービスなど）がこれを記録します。鍵、ワンタイムコードおよび署名は
    ログに書き込みません。保存期間はお客様のシステム設定によります。

============================================================
4. 個人データと責任
============================================================
コンピューター名および証明書内の名前により、個人データが生じる場合があります。
これらのデータについては、お客様が個人情報取扱事業者（管理者）となります。
KyotoTechはエージェントからデータを受け取らず、アクセスすることもありません。

============================================================
5. お問い合わせ
============================================================
KyotoTech LLC (合同会社KyotoTech) · Kyō-machi 2-237-202, Fushimi-ku,
Kyoto 612-8083, Japan · support@kyototech.co.jp
本通知は、同梱されているエージェントのバージョンの動作を説明するものです。
