プライバシーポリシー
概要
Mitmiは、会社も広告もなく、いかなる分析やトラッキングも行わない独立したプロジェクトです。このポリシーでは、アプリがどのデータをなぜ扱うのかを、わかりやすく正確に説明します。
1. サーバーに保存される情報
サーバーは次の情報を永続的に保存します（第8条に記載の第三者サービスで保管されます）：
- あなたの@ユーザー名。
- @ユーザー名が作成された日時。サーバーの管理画面で開発者だけが確認でき、ほかの利用者に表示されることはありません。
- その@ユーザー名に登録されたデバイスの識別子。ほかのユーザーがあなたを見つけて発信できるようにするためのものです。
- 各デバイスの名前（Androidが既定で付けた名前、またはあなたが手動で付けた名前）。どのデバイスを解除するかを決める際に見分けられるよう「設定 > デバイス」にのみ表示され、ほかの人に表示されることはありません。
- 各デバイスが最後にアクティブだった日時（「最終アクティブ」）。同じ目的で「設定 > デバイス」にのみ完全な形で表示され、誰かがあなたの@ユーザー名にデバイスを追加する際に置き換え候補として示されるデバイス一覧では日単位に丸めて表示されます。ほかのユーザーに表示されることはありません。
- 下記第4条に記載のデバイス確認コード（その確認を完了した各デバイス）。
- 第4条に記載の、確認済みの各デバイスが生成したセキュリティキーの公開部分。エクスポートしたプロフィールが確かにそのデバイスから作成され、別のデバイスにインポートできることを承認するために使われます。
- 悪用防止策として、同じデバイスから新しいプロフィールを作成できる頻度を制限するための短期間の記録。
これらのデータはすべて、第10条（「あなたの選択」）に記載のとおりデバイスを解除するまでサーバーに残ります。
なお、Mitmiは自分で決める表示名を一切求めず、保存もしません。あなたの@ユーザー名を連絡先に保存していない人に発信すると、相手の着信画面にはあなたの@ユーザー名だけが表示されます。
技術レポート：「設定」で「開発者に送信」を押し、レポートを確認して送信を確定した場合に限り、Mitmiのサーバーはあなたのデバイスに関する技術レポート（機種、Androidのバージョン、セキュリティ証明書またはカメラとオーディオデバイス、最近の技術ログ）を、あなたの@ユーザー名と、入力を選んだ場合に限りメールアドレスとともに受け取り、メールサービス（Resend）を通じて開発者にメールで転送します。サーバーはどちらも保存しません。レポートは問題の診断にのみ、メールアドレスは開発者がそれについて返信するためにのみ使用します。
2. サーバーのRAM（ランダムアクセスメモリ）に一時的に保存される情報
上記の永続的な保存とは別に、次の情報はデバイスが接続している間（フォアグラウンドまたはバックグラウンド）だけサーバーのRAMに存在します。サーバーの再起動、アプリのバックエンドの更新、または単にあなたのすべてのデバイスがオフラインになると、すべて消去され、次にデバイスが再接続したときに再び読み込まれます：
- あなたのアバター画像またはアバターの色（アプリがフォアグラウンドにあるときのみ有効）。
- 連絡先として保存した@ユーザー名の単純なリスト。お互いのアバターを表示するために必要です（アプリがフォアグラウンドにあるときのみ有効）。
- 2台のデバイスが通話をつなぐ過程での接続情報（アプリがフォアグラウンドにあるときのみ有効）。
- 誰かがグループを退出したという短いお知らせ。7日後に自動的に破棄されます（アプリがフォアグラウンドにあるときのみ有効）。
- ユーザーがオンライン、離席中、通話中のいずれであるか（アプリがフォアグラウンドにあるとき、または通知をオンにしてバックグラウンドにあるときのみ有効）。
- ブロックした@ユーザー名の単純なリスト。これによって実際にブロックが有効になり、相手からの通話があなたに届かないよう静かに防ぎます（アプリがフォアグラウンドにあるとき、または通知をオンにしてバックグラウンドにあるときのみ有効）。
- デバイスを追加するときの第5条に記載の情報。新しいデバイスが受け取るまで、またはコードが使われなかった場合は1分後にコードの期限が切れるまで保持されます。
3. デバイスに保存される情報
次の情報はデバイスの内部ストレージに保存され、以下で特に記載がない限りサーバーに送信されることはありません：
- 保存した各@ユーザー名の連絡先情報（名前、カテゴリ、お気に入りの状態）はすべてデバイスに残り、サーバーに送信されることはありません。ただし、第5条で説明するように「デバイスを追加」を使う場合は一時的に送信されます。
- 通話履歴はすべてデバイスに残り、サーバーに送信されることはありません。
- グループはすべてデバイスに残り、サーバーに送信されることはありません。ただし、第5条で説明するように「デバイスを追加」を使う場合は一時的に送信されます。
- ブロックした連絡先の情報はすべてデバイスに残り、サーバーに送信されることはありません。ただし、第2条で説明するように@ユーザー名自体はサーバーに送信されます。
- セキュリティPINはすべてデバイスに残り（保護された形式で保存）、サーバーに送信されることはありません。ただし、第5条で説明するように「デバイスを追加」を使う場合は、保護された（ハッシュ化された）形式が送信されます。
- 第4条に記載の、確認済みの各デバイスが生成したセキュリティキーの非公開部分はすべてデバイスに残り、サーバーに送信されることはありません。
- お気に入りに指定した連絡先はTVのホーム画面に表示されます。その名前、@ユーザー名、アバターは表示のためにデバイスのホーム画面ランチャー（同じデバイス上のシステムアプリ）に渡されます。Mitmiがそれらをほかの場所に送ることはありません。
4. デバイスの確認
改変された、または許可されていないアプリを使う誰かにあなたの@ユーザー名を乗っ取られないよう、各デバイスは最初の設定時に1回だけセキュリティ確認を行い、本物のMitmiアプリを実行している、改変されていない正規のデバイスであることを確認します。
この確認の一環として、サーバーは小さな情報、つまりデバイスのメーカーがそのデバイスに割り当てたコードを保存し、あとで（たとえばアプリの再インストール後に）同じ物理デバイスを再び認識できるようにします。このコードは保存前に暗号化されるため、復号に必要な特定のキーがなければ誰も読めません。サーバーはデバイスの機種名もあわせて保存し、第5条に記載の復元の場面で同じ物理デバイスを認識するために一緒に使用します。開発者は、不正利用を検出するためにサーバーの管理画面で機種名を確認することもあります。
一部のAndroid TVデバイス（Googleの認定の有無にかかわらず）は、このセキュリティ確認を完了できません。そうしたデバイスでも、第5条に記載の1つの例外を除き、Mitmiを通常どおり使えます。
5. プロフィールの追加、エクスポート、インポート
1つのプロフィールは、同時に最大2台のデバイスに登録できます。
デバイスを追加すると（「設定 > デバイス > デバイスを追加」）、1分間有効な短い英数字のコードが表示されます。両方のデバイスがオンラインのうちに新しいデバイスにそのコードを入力すると、プロフィール、連絡先、グループを引き継いで、すぐにあなたの@ユーザー名に追加されます。そのために、プロフィール、アバター、連絡先、グループ、およびPINの保護された（ハッシュ化された）形式がMitmiのサーバーに送信され、新しいデバイスが受け取るまでの間だけ一時メモリ（RAM）に保持されたあと削除されます。コードが使われなかった場合は、1分後に期限が切れた時点でデータが削除されます。サーバーがそれらを保存することはありません。すでに2台のデバイスが登録されていて3台目を追加したい場合、アプリはまず現在の2台のうちどちらを解除するかを選ばせ、空きを作ってからコードを表示します。
プロフィールをエクスポートすると（「設定 > デバイス > プロフィールをエクスポート」）、@ユーザー名と第3条に記載の情報を含み、あなたが決めたパスワードで保護された暗号化バックアップファイルが作成されます。このファイルは、アプリのキャッシュとデータを消去したあと、アプリを再インストールしたあと、またはデバイスを工場出荷時の状態にリセットしたあとでも、エクスポートしたのと同じ物理デバイスに@ユーザー名を復元するために常に使えます。なお、2台のデバイスが登録されている間は「プロフィールをエクスポート」ボタンを使えませんが、これはセキュリティ上の制限にすぎません。
同じファイルを別のデバイスにインポートすることもでき、2台のデバイスを同時にオンラインでペアリングできない場合に便利ですが、それは1回だけで、元のデバイスが第4条に記載のセキュリティ確認を完了していた場合に限ります。その確認を完了できないデバイスでもバックアップのエクスポートはできますが、使えるのは同じデバイスだけで、別のデバイスでは使えません。
いずれの場合も、@ユーザー名を復元するにはバックアップかペアリングコードが必要です。
6. アプリが求める権限
- カメラとマイク：自分の映像や音声をプレビューしているとき、または通話中にのみ使用します。通話中にミュートすると音声は送信されませんが、通話が終わるまでマイクはオンのままです（TVのマイクインジケーターが点灯したままになることがあります）。
- 通知、バックグラウンドサービス、起動時の開始：アプリがフォアグラウンドにないときも着信を知らせ、デバイスの電源を入れたあとやアプリの更新後に再び着信を待ち受けるために使用します。着信では全画面の通知を使うこともあります。
- ほかのアプリの上に重ねて表示（任意）：許可すると、通常の通知が確実に表示されるとは限らないTVプラットフォームで、アプリがバックグラウンドにあるときに画面上に小さな着信通知を表示できます。
- ホーム画面の列（お気に入り）：第3条に記載のとおり、お気に入りに指定した連絡先をTVのホーム画面に表示できるようにします。
これらの権限が、このポリシーに記載された範囲を超えてデータを収集するために使われることはありません。
7. 通話の音声と映像
通話はWebRTCを使い、エンドツーエンドで暗号化（SRTP/DTLS）されたうえでデバイス間で直接送信されます。Mitmiのサーバーは、2台のデバイスがお互いを見つけて最初の接続情報を交換するのを手助けするだけで、通話の音声や映像を見たり、保存したり、アクセスしたりすることはありません。通話が録音・録画されることはありません。
8. 第三者のサービス（ホスティング、メール、STUN、TURN）
Mitmiは第三者のサービスを利用しており、それぞれが何を見られるのかをお伝えするのが公正だと考えています：
- ホスティング：Mitmiのサーバーは第三者のホスティング事業者で運用されています。ほかのウェブホストと同様に、その事業者（および悪用を抑えるためにサーバー自体）は、接続するすべてのデバイスのIPアドレスを処理します。
- データベース：第1条に記載の永続的な情報は、第三者のデータベースサービスに保存されます。
- メール：第1条に記載の、開発者に送るかどうかを選べる技術レポートは、第三者のメールサービス（Resend）によって届けられます。このサービスがレポート、あなたの@ユーザー名、および追加した場合はメールアドレスを見るのは、届けるためだけです。
- STUNサーバー：自分の公開ネットワークアドレスを知るため、各デバイスは通話を準備するときに公開STUNサーバーに接続します。Mitmiは既定で、Turnix、ExpressTURN、Metered.caが運営するSTUNサーバーを使用します。STUNサーバーはデバイスの公開IPアドレスと接続が要求されたことは見られますが、あなたの@ユーザー名、音声、映像を見ることは決してありません。
- TURN中継サーバー：2台のデバイス間で直接接続できない場合、通話を成立させるには、第三者のTURNサーバーを通じて（暗号化されたまま）通話を中継する必要があります。Mitmiには既定で構成されたTURNサーバーはありません。「設定」で、対応している3つの事業者（ExpressTURN、Metered.ca、Turnix.io）のいずれかで自分のアカウントを作成するか、自分でホストしているTURNサーバーを指定する必要があります。構成した中継サーバーは、両方の参加者のIPアドレスと接続が行われていることは見られますが、実際の音声や映像の内容を復号したり見たりすることはできません。
これらのサービスのいずれも通話の音声や映像を復号したり見たりすることはできず、Mitmiがこれらを広告や分析に使うこともありません。
9. 子どものプライバシー
Mitmiは13歳未満の子どもを対象としておらず、その年齢未満の人から故意に情報を収集することはありません。
10. あなたの選択
このプライバシーポリシーに同意しない場合は、いつでも「設定 > デバイス」からデバイスを解除できます。解除すると、このデバイスのローカルデータが消去され、サーバーからも削除されます。最後のデバイスを解除すると、サーバーにはあなたの@ユーザー名以外は何も残らず、@ユーザー名は悪用やなりすましを防ぐため6か月間予約されたあと削除されます。その間は、アプリ内から解放することも、バックアップで復元することもできません。再びアプリを使う場合は、新しい@ユーザー名を作成する必要があります。
11. 本ポリシーの変更
本ポリシーは、アプリの変更に合わせて更新されることがあります。更新後もアプリを使い続けた場合、改訂されたポリシーに同意したものとみなされます。
12. お問い合わせ
本ポリシーに関するご質問は mitmi-app@outlook.com までお送りください。