DocCipher · モバイルアプリケーション
プライバシーポリシー
DocCipherは、端末上の暗号化保管庫に文書を保存します。DocCipherアカウントも、BB16 Studioの文書サーバーもありません。
データ管理者
データ管理者は、DocCipherの発行者であるBB16 Studioです。データに関する質問や依頼は、bb16studio@gmail.comまでお送りください。このポリシーは、Google Playでの公開を予定しているAndroid版DocCipherを対象としています。アプリはまだGoogle Playで公開されていません。
文書とローカル暗号化
インポートした文書、そのプレビュー、OCRで認識したテキスト、フォルダー、タグ、保管庫データは、アプリのプライベート領域に留まります。保管庫は端末上で暗号化されます。BB16 Studioが文書、その内容、パスワード、リカバリー情報を受け取ることはありません。
文字認識（OCR）は、アプリに内蔵されたモデルを使って端末上で実行されます。この目的で画像やテキストがサーバーへ送信されることはありません。
ローカル通知と保管庫外のデータ
通知を有効にすると、DocCipherは暗号化保管庫の外にあるアプリのプライベート領域へ、日数、件数、選択した時刻、一般的な文面だけに限定した予定を保存します。この予定により、保管庫がロック中でもローカル通知を行えます。文書のタイトル、氏名、番号、カテゴリーは含まれません。ロック画面の通知には一般的なタイトルを使用します。このデータがプッシュ通知サービスから送信されることはありません。
文書サーバーも同期もありません
BB16 Studioは、文書をホスト、分析、同期、バックアップするサーバーを運用していません。このバージョンではWebDAVやNextcloudとの同期も、ほかのオンラインストレージも利用できません。文書が端末の外へ出るのは、自分でエクスポートを開始した場合だけです。
自分で選ぶエクスポートとバックアップ
文書または.dcvaultバックアップがアプリの外へ出るのは、自分で明示的にエクスポートを開始し、システムの選択画面または共有シートで保存先を選んだ場合だけです。.dcvaultバックアップは暗号化されたままです。平文でエクスポートした文書は暗号化されなくなり、その後は選択した保存先のセキュリティに委ねられます。
リカバリーキット（リカバリーフレーズとQRコード）がアプリの外へ出るのは、自分で印刷する、選択した場所へPDFとして保存する、またはフレーズをコピーした場合だけです。その後は、選択したプリンター、保存先、クリップボードの管理下に置かれます。
Androidの自動バックアップと新しい端末への自動転送は無効になっています。
購入用Android SDKは、購入に関連する仮名化識別子をGoogle Block Storeへ保存し、復元を容易にするよう求める場合があります。この経路は、上記で無効化されているアプリファイルのバックアップとは別のものであり、文書は含まれません。
生体認証によるロック解除
有効にすると、生体認証によるロック解除にはAndroidのシステム画面を使用します。DocCipherが受け取るのは、本人確認に成功したかどうかという結果だけです。指紋、顔画像、生体認証テンプレートにアクセスすることはなく、それらは端末の安全な領域に留まります。生体認証はPINコードの代わりにはならず、PINコードは引き続き必要です。
リリース時に提供予定のパニックコードとおとり保管庫
この二つの任意機能は、追加料金なしで買い切りPremiumの権利に含める予定です。ローカル実装を検証中であり、一般公開は必要なセキュリティレビューと端末試験の完了を条件とします。
パニックコードは、マスターパスワードで認証した後、専用PINを二回入力し、二段階の同意と取り消せない操作の確認を行って、自分の意思で有効にします。一部の保管庫またはすべての保管庫を選択できます。その後、有効化したパニックPINが完全に一致した場合にのみ、新たな確認画面を出さず、選択した保管庫のファイル、ローカル鍵、キャッシュ、サムネイルを論理的に削除します。ストレージの物理的な上書きは保証しません。エクスポート済みバックアップ、クラウド上のコピー、その他の外部バックアップは削除されません。
おとり保管庫は、専用のPIN、鍵、内容を持つ独立したローカル保管庫です。開いている間は、その内容だけが表示されます。偶然の覗き見から守るこの機能は公開情報として説明されています。観察者がその存在を知らないことや、端末の解析で識別できないことを保証するものではありません。
任意の購入
DocCipherとRevenueCatの通信は、プランの表示、購入、購入の復元、これらの任意手続きに関連するPremiumアクセスの確認に使用されます。何も購入せずにDocCipherを使用できます。支払いはGoogle Playが処理します。購入とPremiumアクセスの確認は、BB16 Studioのために、その指示に従って処理を行う委託先（GDPR上の処理者）であるRevenueCatに委ねられます。SDKが設定されると、アプリは前面に戻る際、RevenueCatへPremiumアクセスの状態を再確認する場合があります。文書、保管庫、PIN、パスワード、鍵がこの経路を通ることはありません。
プランを開く、購入する、復元する、または既知のPremium権利があると、Premiumへの関心を示すローカルな印も残ります。以後の起動時には、プランを開かなくても、この印によりSDKが設定され、アクセスが再確認される場合があります。読み取れない印は、権利の復元を可能にするため、存在するものとして扱われます。この初期化は、プロセスで初めてロックを解除した時点から始まる場合がありますが、起動のたびにリクエストが行われることも、ネットワークから応答があることも保証しません。
これらのやり取りのたびに、RevenueCatは次の情報を受け取ります：
- アプリが初めてRevenueCatへ接続した際に、RevenueCat SDKが作成するランダムなユーザー識別子。
- 各リクエストに添付される技術情報：プラットフォームとAndroidのバージョン、端末のモデルとブランド、端末で使用する言語、Google Playアカウントの国、アプリケーションID、アプリのバージョン、SDKのバージョン。
- 接続元のIPアドレス。接続先のすべてのサーバーが受け取り、そこからおおよその国を推定できる場合があります。
購入または復元を行うと、RevenueCatはさらに、Google Playの購入トークン（領収情報）、購入した製品、価格と通貨、取引日を受け取ります。これらから、Premiumアクセスの状態（有効または期限切れ）を判定します。
この識別子に氏名やメールアドレスは含まれませんが、匿名ではありません。Googleアカウントにひも付いたGoogle Playでの購入に関連付けられ、購入を復元すると、ほかのインストール環境の識別子と関連付けられる場合があります。これは仮名化データです。アカウントは作成されず、端末識別子（広告識別子、Android ID）の自動収集は無効化され、SDKの診断機能も無効化されています。
Playストアでのあらゆる購入と同様に、Google PlayはGoogleアカウント、製品、支払い情報を受け取ります。Googleは独立したデータ管理者として、自社のプライバシーポリシーに従ってこれらのデータを処理します。Google Playは管理画面で、注文番号、製品、価格、購入国など、販売管理に必要な注文情報をBB16 Studioへ提供します。BB16 Studioが銀行口座やカードの情報を見ることはありません。
目的と法的根拠
RevenueCatとのデータ通信は、購入とPremiumの権利を管理するために使用されます：
- 何も購入していない場合を含め、アプリがRevenueCatへ接続するたびにPremiumアクセスを確認すること。この処理は、アプリ利用契約の履行に必要です（GDPR第6条第1項b号）。
- 購入または復元を処理すること。この処理は、購入契約の履行に必要です（GDPR第6条第1項b号）。
購入データは、RevenueCatでの売上およびサブスクリプションの統計にも使用されます。広告、広告プロファイリング、広告トラッキングには使用されません。お問い合わせをいただいた場合、当社は回答するためにメッセージとメールアドレスを使用します。これは、回答を行う当社の正当な利益、またはお客様が権利を行使する際の当社の法的義務に基づきます。
欧州連合域外への移転
RevenueCat, Inc.は米国に所在し、上記の購入データは米国で処理されます。この移転は、RevenueCatのデータ処理契約に組み込まれた欧州委員会の標準契約条項により規律されます。写しはbb16studio@gmail.comへ請求できます。
保存期間
購入データは、購入の管理と復元に必要な間RevenueCatによって保存され、依頼があれば削除されます（「削除とあなたの権利」を参照）。購入したことがなくてもアプリがRevenueCatへ接続した場合、RevenueCatはBB16 Studioのために、上記の識別子と技術情報のみに限定された仮名化レコードを、その接続に必要な間保存し、依頼があれば削除します（「削除とあなたの権利」を参照）。Google Playは独自のポリシーに従って注文データを保存します。文書はアプリ内で削除するまで端末に残ります。パニックコードによる消去では、選択した保管庫とそのローカルデータを論理的に削除します。外部バックアップは、それぞれの保存先で自分で削除するまで残ります。
DocCipherが行わないこと
- DocCipherのユーザーアカウントはなく、メールアドレスの入力も求めません。
- 広告、広告識別子、データ販売は一切ありません。
- RevenueCatは、売上統計への利用を含め、上記の購入データを処理します。文書の使用状況を追跡したり、クラッシュを報告したりするためのソフトウェア開発キットは追加されていません。また、ML Kitライブラリの診断コンポーネントは削除されています。
- アプリ間またはサイト間の追跡は一切ありません。
Androidのクラッシュレポート
端末の設定で、使用状況と診断データをGoogleと共有することに同意している場合、AndroidはクラッシュとパフォーマンスのレポートをGoogleへ送信することがあります。Google Playは、集計統計と技術レポートとして、端末モデル、Androidのバージョン、エラーのスタックトレースをBB16 Studioの管理画面（Android Vitals）で提供します。この仕組みはDocCipherではなく、システムに属します。これらのレポートに文書、氏名、メールアドレスは含まれず、端末の設定で無効にできます。
Google Playでのレビュー
DocCipherは、文書の保護またはバックアップに成功した後、Google Play In-App Reviewの公式APIを呼び出す場合があります。起動時、処理中、失敗後、パニックコード画面やおとり保管庫画面から要求することはありません。要求の間隔は少なくとも90日です。画面を表示するかどうかはGoogle Playが決定します。DocCipherは評価点、コメント、スコアを受け取らず、カードが表示されたかどうかも把握しません。この経路を文書、保管庫、PIN、入力したテキストが通ることはありません。
Androidの権限
Google Play向けに準備されたAndroidビルドのマニフェストには、正確に七つの項目が宣言されています：
android.permission.INTERNET— 購入のためだけに使用。com.android.vending.BILLING— Google Playの請求処理。android.permission.USE_BIOMETRIC— システムの生体認証画面を表示するためのもの。生体認証データへのアクセスは許可しません。android.permission.USE_FINGERPRINT（Android 9以前に限定）— これらのバージョンで同じ役割を果たします。android.permission.RECEIVE_BOOT_COMPLETED— 再起動後にローカル通知を再設定するためのもの。android.permission.POST_NOTIFICATIONS— 必要な場合にシステムの許可を得て、ローカル通知を表示するためのもの。- アプリケーション内部の署名権限。端末の機能へのアクセスを許可するものではありません。
カメラ、位置情報、連絡先、マイク、広範なストレージへの権限は要求しません。ファイルはシステムの選択画面を通じて取得します。
削除とあなたの権利
アプリ内で文書を削除できます。Premiumのパニックオプションを自分の意思で有効にしている場合、専用PINにより、選択したローカル保管庫またはすべてのローカル保管庫を論理的に消去できます。この操作はアプリ内では取り消せませんが、物理的な消去を保証せず、外部バックアップも削除しません。Androidの設定でDocCipherのローカルデータをすべて消去するか、アプリをアンインストールすることもできます。エクスポートしたコピーは、その保存先で自分で削除するまで残ります。BB16 Studioは、保管庫を遠隔で抽出、復号、復元できません。
BB16 StudioのためにRevenueCatが処理するデータについて、アクセス、訂正、消去、処理の制限、データポータビリティを請求でき、当社の正当な利益に基づく処理には異議を申し立てることができます。bb16studio@gmail.comへご連絡ください。購入済みの場合は、Google Playの注文番号をお知らせください。番号は「GPA.」で始まり、Google Playが送信した領収メールに記載されています。購入したことがなくてもアプリがRevenueCatへ接続した場合は、おおよその日付と端末モデルをお知らせください。アプリは身元情報を求めないため、これらの情報とRevenueCat固有の識別子で、注文番号がなくてもレコードを特定できます。文書、パスワード、鍵、リカバリーフレーズは決して添付しないでください。GDPRにより、当社には回答まで一か月の期間が認められています。
このデータを削除しても購入は取り消されません。Google Playが購入を保持しており、後で復元すると、上記のデータがRevenueCatへ再送信されて購入が見つかります。サブスクリプションの管理と解約はGoogle Playで行います。
権利が尊重されていないと考える場合は、データ保護機関へ申し立てることができます。フランスではCNILです。
変更
アプリのデータフロー、第三者サービス、権限が変更された場合、このページを更新します。