プライバシーポリシー

0. ひとことで言うと

あなたのメッセージ本文は端末上で暗号化され、送った相手だけが読めます。私たちには読めませんし、サーバーを借りている Google にも読めません。

私たちに見えるのは、会話があったという事実です。どのアカウントが参加していて、いつ活動していたか。これを取り除くのは中身を暗号化するより難しく、まだ終わっていません。このポリシーは、その線が今どこにあるのかを正確に述べます。

1. エンドツーエンドで暗号化されるもの

端末上で暗号化され、私たちにも Google にも読めません:

• メッセージの本文。
• 添付したファイル・写真・音声・動画の中身。
• リンクプレビュー。
• 音声通話とビデオ通話。2 台の端末間で WebRTC が必須とする DTLS-SRTP を使います。

1 対 1 とグループのメッセージの多くは、さらにラチェットを使います。メッセージごとに鍵が違うため、端末が侵害されても過去のメッセージまでは読まれません。相手のクライアントが新しい鍵素材を公開していない会話では、単一の長期鍵に戻り、その性質はありません。メッセージの下の表示が、そのメッセージが実際にどちらを通ったかを教えます。

この線を越えるものはひとつだけで、それもあなたが求めたときに限ります。Wikipedia で名前を調べるときに送るのはその名前ひとつで、元のメッセージではありません。誰が受け取るかは第 6 節に書いてあります。この通信はあなたが押したそのときにだけ起き、それ以外では起きないので、止めるべきものもありません。要約・翻訳・文字起こしも同じくこの線を越えるものですが、本リリースでは無効で、アプリのどこにもそれを有効にする操作はありません。

2. 暗号化されないもの、私たちに見えるもの

暗号化が守るのは中身であって、会話があったという事実ではありません。次のものは私たちのサーバー上に平文で置かれます:

• それぞれの会話に誰がいるか、いつ作られ、最後にいつ動いたか。
• すべてのメッセージのタイムスタンプと、未読の件数。
• 添付ファイルの名前・種類・サイズ。バイト列は暗号化されますが、その説明は暗号化されず、暗号文の長さは元の長さの上限を示します。
• あなたの友だちと友だちリクエスト。
• 通話のシグナリング。通話があったこと、相手、時刻。音声や映像は含みません。

入力中の表示と既読は、あなたがオンにしない限りオフで、オフの間は何も記録されません。

もうここにないもの: あなたのメールアドレスと名前です。2026 年 9 月以降、アカウントの記録にはアカウント識別子しかなく、それ以降はどこにも保管すべきアドレスがありません。登録時にあなたについて尋ねることは何もありません。アカウントとは 24 語の復元フレーズであり、Firebase Authentication が確認する資格情報はそこから導出されます。そこに保管されるのは、メールを受け取れないドメインの下のランダムなラベルだけです。

別の話として: このアプリは Google Firebase 上で動くため、あなたの端末がそこへ行う接続の IP アドレスと時刻を Google は見られます。これはホスティングの性質であってアプリの性質ではなく、暗号化で消すことはできません。

3. 相手があなたを見つける方法

検索することはできません。ディレクトリはなく、メールアドレス・電話番号・名前のいずれでも探せませんし、サーバーはそれを試みる問い合わせをすべて拒否します。

誰かに連絡を取るには、招待リンクをアプリの外から、あなたが普段使っている手段で送ります。リンクは 1 回だけ有効で、24 時間で期限切れになり、取り消せます。相手をどう呼ぶかはあなた自身が付けた呼び名で、あなたのものです。相手が自己紹介した場合、その名前は暗号化されてあなたに届いています。

4. 収集するもの

• アカウント情報：アカウント識別子と、あなたの復元フレーズから導出された資格情報。Firebase Authentication に保管されます。メールアドレスも電話番号も名前もありません——登録時にどれも尋ねません。
• メッセージと添付ファイルの暗号文、および第 2 節のメタデータ。

以上がすべてです。利用状況の分析もクラッシュレポートもありません。以前は画面表示を Firebase Analytics に、クラッシュを Firebase Crashlytics に送っており、いずれもアカウント識別子を伴っていたため匿名ではありませんでした。どちらも、送信していたライブラリごと削除しました。エラーは開発中に開発者自身のマシンに出力されるだけで、ほかのどこにも行きません。

5. 保管場所

Google Firebase 上（Firestore、Storage、Authentication）で、どの文書を誰が読み書きできるかを決めるセキュリティルールのもとに置かれます。

あなたの端末では、キャッシュされたメッセージ・設定・アプリロックの PIN が、端末ごとの鍵で暗号化されます。その鍵は通常のアプリ領域ではなく、プラットフォームの鍵保管庫（iOS の Keychain、Android の Keystore）にあります。

メッセージを復号する秘密鍵が端末を離れることはありません。例外は、あなた自身が書き留めることを選んだリカバリーフレーズだけです。私たちはそれを保持しておらず、代わりに復元することもできません。失えば、その端末宛てに送られたメッセージは二度と読めません。私たちを含め、誰にも読めません。

バージョン 1.2.0 以前は、サインインのたびに、フレーズのコピーを Android 自身のバックアップである Google Block Store にも保存していました。スマートフォンに画面ロックが設定されていた場合、そのコピーはエンドツーエンドで暗号化されてあなたの Google アカウントに同期されていました。バージョン 1.2.1 以降、アプリはこれを行わず、起動するたびにそのコピーを削除します。

6. ほかに情報を受け取る先

あなたの個人情報を販売・交換・貸与することはありません。情報が届く先は:

• Google Firebase — 上記のとおり、当社のホスティング事業者。
• Cloudflare Realtime——あなたの端末と相手の端末が直接接続できない場合に、通話の音声と映像を中継します。
• ウィキメディア財団 — 名前をタップして Wikipedia で調べたとき、その名前ひとつ。
• Google Cloud Speech-to-Text — 文字起こしを求めたとき、そのボイスメッセージ 1 件の音声。
• Google Cloud Translation — 翻訳を求めたとき、そのメッセージ 1 件の本文。
• Cloudflare Workers AI — 要約や会話への質問を求めたとき、その会話の直近 50 件までのメッセージ。

後ろの 3 つは、本リリースでは無効です。文字起こし・翻訳・要約を有効にする操作はアプリのどこにもないので、この 3 つのサービスには何も届きません。削除せずに残してあるのは、コードがまだあり、これらの機能を戻す予定だからです。戻すときは、この開示と初回前の確認をともなって戻します。そのとき送られるものは、あなたの結果を作るためであって、何かを学習させるためではありません。文字起こしも翻訳も当社のサーバーには保存しません。

この検索にスイッチはありません。切るべき常駐のものが何もないからです。タップしたその一回だけ動き、それ以外では動きません。Wikipedia が受け取るのはその名前とあなたの IP アドレスだけで、検索窓に自分で入力した場合と同じです。アカウントもメッセージも会話も送りません。返ってきたものは表示するだけで保存せず、会話にも何も書き込みません。

Cloudflare Realtimeにもオン・オフの切り替えはありません。ほとんどの通話ではこれは不要です。直接接続できる2台の端末——同じネットワーク上のほとんどの通話——はこれを使わずに接続され、何も中継されません。直接接続できない場合（多くは双方が異なるモバイルネットワークにいるとき）、すでに暗号化されている通話は、接続できないままにするのではなく中継されます。Cloudflareが見るのは両者のIPアドレス、通話の時刻、およそのデータ量であり、音声と映像は第2節で説明したものと同じDTLS-SRTP暗号化のままなので、中継によって復号されることはありません。

法律が要求する場合、保持しているものを開示することがあります。保持しているものは第 2 節の一覧です。メッセージの中身は提出できません。読めないからです。

7. プッシュ通知

通知は Firebase Cloud Messaging が配信します。端末トークンは、あなただけが読めるアカウントの非公開領域に保管されます。

通知にメッセージ本文は含まれません。端末が手元でメッセージを復号し、表示内容を組み立てます。Google が運ぶのは封筒であって、中身ではありません。

8. あなたにできること

• プロフィール画面からアカウントを削除する。通話記録など、会話の共同の一部である内容は相手側に残ります。それは相手の記録でもあるからです。
• プロフィール画面からデータを書き出す。
• チャットごとにメッセージの有効期限を設定する: 1 時間、24 時間、7 日、30 日。
• 入力中の表示と既読をオンまたはオフにする。どちらも初期状態はオフです。
• PIN または生体認証でアプリをロックする。
• 配った招待リンクを取り消す。

手作業での削除をご希望であれば、ご連絡ください。

9. 保存期間

アカウントが存在する間、データを保持します。アカウントを削除すればデータも削除されますが、上記の共同保有の内容は除きます。チャットごとの有効期限は、あなたが設定した期間でメッセージを削除します。

10. 知っておくべき限界

ご自身で気づくより、こちらからお伝えしたいことです。

• 鍵は最初に見たときに信頼されます。もし誰かが、あなたたちが一度もメッセージを交わす前に鍵をすり替えていたら、その会話は別人宛てに暗号化され、しかも見た目はまったく普通です。その後に鍵が変わった場合はアプリが警告し、別経路で照合できる安全番号も表示しますが、照合を強制する仕組みはありません。
• 同時に使えるのは 1 台だけです。復元フレーズは履歴を開く鍵を復元するので、新しい端末でサインインしても受け取り済みの内容は失われません。前方秘匿性のある会話は、それを作った端末から決して出ない 2 つ目の鍵を使います。届くのは最後にサインインした端末で、その間にもう一方へ封じられたものは移せません。
• 暗号化が存在する前に送られたメッセージはそのままです。遡って変換したものはありません。
• このアプリは第三者による独立したセキュリティ監査を受けたことがありません。

11. 子どもについて

Chatterbox は 13 歳未満のお子さま向けではなく、その情報を意図的に収集することはありません。お子さまが個人情報を提供したと思われる場合はご連絡ください。削除します。

12. 変更について

このポリシーは更新することがあります。重要な変更はアプリ内でお知らせし、上部の日付が最後に変更した日です。

13. お問い合わせ

このポリシーに関するお問い合わせ: [email protected]

14. 新しいバージョンの確認

Google Playは、このアプリがあなたのAndroid端末に届く経路ではありません。代わりにchatterbox.fansからダウンロードされます。輪の外にあるストアはあなたに代わって更新を確認することができないため、このアプリ自身が、あなたが求めたときに確認できるようになっています。

「今すぐ確認」をタップすると、現在のバージョンを尋ねる1回だけのリクエストがchatterbox.fansに送られます。このリクエストにはあなたのIPアドレスだけが含まれ、それ以外は何も含まれません——アカウントも、端末識別子も、メッセージも含まれません。返ってくるのはバージョン番号だけで、あなたの端末上で実行中のバージョンと比較されます。何も自動でダウンロードされることはなく、この確認について会話に書き込まれることもありません。

これにはスイッチがありません。オフにするべきものが何もないからです。タップしたときにだけ実行され、それ以外では実行されません。

アップデートをインストールすると、Google Playからの更新と同じように、同じ署名鍵を使ってその場でアプリが置き換えられます。