プライバシーポリシー

1. 管理者および EU 代理人

GDPR 第27条に基づく当社の代理人は DataRep です。EU/EEA 各国、英国およびスイスにおいて、datarequest@datarep.com（件名に「KyotoTech; SaQura」と明記）または www.datarep.com/data-request から連絡できます。

SaQura は組織の自社サーバーで運用できます（「セルフホスティング」）。この場合、そのサーバーを経由する通信については運用する組織が個人データの管理者です。本ポリシーは、KyotoTech が運営する標準サービス（「Hosted」、relay.saqura.de）について説明します。

2. 基本方針：データ最小化、ローカルファースト、エンドツーエンド暗号化

SaQura Messenger はローカルファーストのメッセンジャーです。メッセージ、連絡先、メディアは主にお客様の端末上にエンドツーエンドで暗号化されて保存されます。当社は、KyotoTech が通信内容を技術的に閲覧できないように本サービスを設計しています。

• エンドツーエンド暗号化（E2EE）：すべてのメッセージ、メディア、通話は、標準規格 MLS（RFC 9420）と量子安全なハイブリッド方式を組み合わせて暗号化されます。鍵は参加者の端末上で生成され、端末上にとどまります。
• ローカル暗号化（保存時）：ローカルのデータストアは AES-256-GCM で暗号化され、端末鍵は端末の Secure Enclave / キーチェーンに保管されます。
• アカウント不要・必須情報なし：利用にあたりメールアドレス、電話番号、登録は不要です。お客様の識別情報は、端末上で生成される鍵ペアです。

3. 処理するデータ

3.1 端末内（当社側ではありません）

識別情報（端末鍵）、メッセージ、チャット、連絡先、メディア、設定は、ローカルに暗号化して保存されます。当社はこれらにアクセスできません。

3.2 配信サーバー（リレー relay.saqura.de）

メッセージの配信のため、当社のリレーは技術的に必要なデータのみを処理します：

• 暗号化されたメッセージのエンベロープ：当社が判読できない不透明な形で保存され、配信後に削除されます（一時的なキュー）。当社はメッセージ内容を恒久的に保存せず、復号もできません。
• 暗号化された大容量メディア（256 KB を超える写真・動画・ファイル）：テキストメッセージとは異なり、大きな添付ファイルはメッセージ自体に含めて送ることができません。受信側の端末が数日後にオンラインになった場合でも受け取れるよう、エンドツーエンドで暗号化されたままリレー上に一時保存されます。その鍵は暗号化されたメッセージの中だけで受け渡され、当社のサーバーに届くことはありません。当社にとっては復号できないバイト列です。この一時保存は30日後に自動的に削除されます（セルフホストの組織は異なる期間を設定できます。実際に適用される期間は、アプリの「プロフィール → データとストレージ」で確認できます）。
• ルーティング／配信メタデータ：着信メッセージを正しい端末に配信・通知するための、仮名の端末フィンガープリント（公開鍵のハッシュ）とプッシュトークン。当社は平文のアドレス帳も、連絡先のソーシャルグラフも保持しません。
• 集計された利用カウンター（組織のみ）：課金対象の組織について、サーバーは月ごとのメッセージ数／バイト量／配信数（内容は含まない）を、容量管理およびライセンス管理のために集計します。

3.3 プッシュ通知

通知には Apple Push Notification service（APNs）を使用します。そのため、お客様の端末のプッシュトークンが Apple および当社のリレーに送信されます。プッシュ通知は内容を持たないウェイクアップ信号（サイレントプッシュ）であるか、復号可能な内容を含みません。アプリが実際のメッセージを暗号化された状態で取得し、表示するかどうかは端末上で判断します。

3.4 診断／クラッシュレポート（お客様の同意がある場合のみ）

エラー／診断ログは既定で端末内にとどまります。KyotoTech サポートへの送信は、お客様が明示的に実行した場合にのみ行われます。こうしたレポートは編集済み（技術的なイベントのみ。メッセージ内容、連絡先／表示名、位置座標は含みません）で、暗号化してサポートに送信されます（サポートのみが自身の秘密鍵で開封できます）。保存期間：最大90日、その後自動削除されます。

3.5 位置情報

位置情報は、お客様がチャットで「ライブ位置情報の共有」を自ら開始した場合にのみ処理されます。位置情報はお客様が選んだ受信者へエンドツーエンドで暗号化して送信され、自動的に、またはお客様が共有を終了した時点で終了します。

3.6 アプリ内課金（SaQura Pro）

任意の Pro 機能に対する支払いは Apple が処理します（App Store のアプリ内課金）。当社が Apple から受け取るのは、解錠を確認するための暗号的な購入証明（取引識別子）のみです。支払い情報（カード情報等）は受け取りません。

3.7 当社が行わないこと

• トラッキング、広告、第三者の広告／分析 SDK は一切ありません。
• 広告目的でのお客様データの販売・提供は行いません。
• メッセージ内容へのアクセスは行いません — E2EE により技術的に排除されています。
• アドレス帳のアップロードは行いません。

4. 法的根拠（GDPR 第6条）

• 契約の履行（第6条1項(b)）：メッセージの配信、中核機能の提供。
• 同意（第6条1項(a)）：診断レポートの送信、ライブ位置情報の共有、プッシュ通知。同意はいつでも将来に向けて撤回できます。
• 正当な利益（第6条1項(f)）：運用上の安全性、不正利用／スパム対策、サービスの安定性（データ最小化された仮名の形で）。

5. 受領者／処理者

• ホスティング：リレーサーバーは Hetzner Online GmbH（ドイツ）で運用されます（サーバー所在地：EU／ドイツ）。
• Apple：APNs（プッシュ）および App Store のアプリ内課金（Apple Inc. / Apple Distribution International）。
• 広告またはデータ仲介ネットワークへの提供は行いません。

必要な範囲でデータ処理契約（第28条）を締結しています。第三国への移転は、Apple のプッシュ／ストア基盤の範囲でのみ、適用される保護措置（標準契約条項）に基づいて行われます。

6. 保存期間

• リレー上のメッセージエンベロープ：一時的 — 配信後直ちに削除されます（組織の場合は設定可能な保持期間の後）。
• リレー上の暗号化された大容量メディア（256 KB 超）：アップロードから30日、その後自動的に削除されます（組織の場合は別途設定可能）。
• ローカルデータ：お客様が削除するまで。「識別情報とすべてのデータを削除」を実行すると暗号的消去が行われます（ローカル鍵が破棄され、暗号文は復元不能になります）。
• 診断レポート：最大90日。
• ルーティングメタデータ／プッシュトークン：お客様の端末が登録されている間、またはサインアウト／トークンが無効になるまで。

7. お客様の権利

お客様には、開示（第15条）、訂正（第16条）、消去（第17条）、制限（第18条）、データポータビリティ（第20条）、異議（第21条）の権利、および与えた同意を撤回する権利（第7条3項）があります。ローカルファースト／E2EE のアーキテクチャにより、ほとんどの個人データはお客様の端末上にのみ存在し、そこで直接閲覧・削除できます。サーバー側データに関するお問い合わせは、saqura@kyototech.jp または当社の EU 代理人（第1項）にご連絡ください。

また、監督機関に苦情を申し立てる権利（第77条）があります。お客様の常居所地、勤務地、または侵害が疑われる場所の EU/EEA 加盟国の監督機関に申し立てることができます。

8. 子ども

SaQura は16歳未満の子どもを対象としておらず、その年齢未満の子どもから故意にデータを収集しません。

9. 本ポリシーの変更

サービスまたは法状況の変更に応じて、本プライバシーポリシーを更新します。最新版はアプリ内および saqura.de/messenger/privacy でご確認いただけます。

10. 連絡先

プライバシーに関するお問い合わせ：saqura@kyototech.jp ・ 管理者：合同会社KyotoTech、〒612-8083 京都市伏見区京町2丁目237-202、日本。