01
要点 Proなしでは、SecureEyesから私たちには何も送られません。作成するアカウントはなく、解析、クラッシュレポート、広告、あらゆる種類のトラッキングもありません。カメラ、そのパスワード、映像、スナップショット、動体検知の履歴は、ご自身のデバイスとご自身のネットワークにあります。私たちはそれらを受け取りません。求められても引き渡すことはできません。そもそも持っていないからです。このウェブサイトは別です。Google Analyticsで訪問を数えますが、それは同意した場合だけです（「このウェブサイト」を参照）。
SecureEyesが運用するサーバーは2つあります。どちらも任意で、どちらもProライセンスを持つSecureEyes Hubで使う場合にだけ使われます。1つはリレーで、自分では読めない暗号化された通信を運びます。オンにするまではオフです。もう1つはライセンスサーバーで、App Storeでの購入を署名付きライセンスに変えます。ライセンスサーバーは、Proの購入ごとに記録を1件保存します。その購入のAppleのトランザクション識別子と、その購入で有効にしたHubです。各Hubは、Hubが自分で作った識別子で記録されます。1つの購入で使えるHubを最大3台にするためです。Appleの「Appのプライバシー」ラベルでは、この記録をユーザに関連付けられた購入履歴とデバイスIDとして扱います。使われるのはアプリを動かすためだけで、トラッキングには一切使われません。どちらのサーバーも、あなたの名前、メールアドレス、Appleアカウント、カメラ、映像を持っていません。この文書の残りの部分は、これらの段落の詳しい説明です。
02
SecureEyesが保存するものと、その場所 すべてデバイス上の、アプリ専用のコンテナにあります。
カメラの一覧：名前、アドレス、ポート、ストリームのパス、検出で見つかったメーカーとモデル。アプリのストレージに保存されます。 カメラのユーザー名とパスワード。システムのキーチェーンと、このデバイスのアプリのストレージに保存されたストリームアドレスの中に保存されます。 動体検知イベント、スナップショット、録画したクリップ。ディスク上のアプリのストレージに保存されます。 アプリの設定と環境設定。UserDefaultsに保存されます。 デバイス名とキーペア。同期のときに、お使いのデバイス同士が互いを認識できるようにするためです。 購入したプラン。AppleのStoreKitから読み取ります。レシートはAppleのもので、私たちのものではありません。 動体検知の履歴は、意図的にデバイスのバックアップから除外しています。保管用の記録ではなく、短期間のローカルな証拠だからです。そのため新しいデバイスには復元されず、iCloudのストレージも使いません。
03
デバイスの外に出るもの、出ないもの ローカルネットワーク。アプリはRTSP、ONVIF、HTTPを使い、ご自身のネットワーク経由でカメラと直接通信します。映像、スナップショット、カメラの認証情報はカメラとデバイスの間だけを行き来し、ほかの場所には送られません。iOSでアプリが「ローカルネットワーク」へのアクセスを求めるのはこのためです。
iCloud（同期をオンにした場合のみ）。同期はデフォルトでオフです。オンにすると、カメラの一覧はご自身のiCloudアカウントを経由し、カメラのパスワードはAppleがエンドツーエンドで暗号化するiCloudキーチェーンを経由して送られます。この場合はAppleが処理者であり、Appleのプライバシーポリシーが適用されます。SecureEyesはあなたのiCloudアカウントにアクセスできず、その内容を受け取ることもありません。
デバイスからデバイスへ（転送コードを使う場合）。お使いのデバイスから別のデバイスに設定を移すと、設定はPINで保護された転送コードにまとめられ、受け取る側のデバイスがそれを読み取ります。データは2台のデバイスの間で直接やり取りされます。
Apple（何かを購入するとき）。購入はApp Storeを通じて行われます。Appleが支払いを処理し、何が購入されたかをアプリに伝えます。私たちが支払い情報を見ることはなく、購入から名前、メールアドレス、Appleアカウントの識別子を受け取ることもありません。
ご自身のSecureEyes Hub（お持ちの場合）。Hubは、あなたが所有して運用する、ご自宅にあるコンピュータです。アプリはご自身のネットワーク経由でHubと通信します。Hub上のカメラ、録画、イベントはHubにとどまります。
私たちが運用する2つのサーバー
ご自身のネットワークの外からHubに接続します。使われるのは外出先からカメラを見るときだけで、しかもオンにした後だけです。Proライセンスを持つSecureEyes Hubが必要です。Hubがなければ、接続する先がありません。
自宅 映像はHubからお使いのデバイスへ直接届き、リレーに届くことはありません。
外出先、「外出先から視聴」オン すべてのフレームはHubのキーで封印されます。リレーは、自分では読めない暗号文を転送します。
オンにするための接続のみ 「外出先から視聴」オフ、「どこからでもオンにできるようにする」オン：3つの要求だけを運ぶ暗号化された接続です。映像、静止画、カメラ、イベント、設定、プッシュメッセージは含まれません。
Hubの2つのスイッチの設定ごとに、リレーに何が届くかを示します。自宅では一切使われません。外出先では、リレーが自分ではキーを持たない、封印されたフレームを転送します。 オンになるとき 新しいHubでは「外出先から視聴」はオフになっていて、そのHubを使う人がご自身のネットワーク上でアプリからオンにするまでオフのままです。オフにするのも同じ方法です。Hubをリセットしてもオフになります。 オンの間は、Hubを使うすべてのデバイスで、アプリの上部の帯がそのことを知らせます。Hub自身のウェブページにも表示されます。 2つ目のスイッチ「どこからでもオンにできるようにする」も、新しいHubではオフで、ご自身のネットワークからしかオンにできません。これがオンの間は、自宅にいないときでもスマートフォンから「外出先から視聴」をオンにできます。Hubはその要求にだけ応答する暗号化された接続をリレーとの間に維持し、実際にオンにするまで、ほかには何もその接続を通りません。 このスイッチがオフの間は、「外出先から視聴」がオフであれば、Hubはリレーへの接続を維持しません。 通るもの 自宅では、映像はHubからお使いのデバイスへ直接届き、リレーに届くことはありません。 外出先では、すべてのフレームがHubのキーでエンドツーエンドに封印されます。このキーは、ペアリングのときにアプリがご自身のネットワーク上で取得したものです。リレーは自分ではキーを持たない暗号文を転送し、Hubは封印されずに届いたものをすべて拒否します。 「外出先から視聴」がオフで「どこからでもオンにできるようにする」がオンの間、リレーへの接続が運ぶのは、それぞれペアリング済みのデバイスから送られる3つの要求だけです。「外出先から視聴」がオンかどうかとオンにしてよいかどうかの確認、オンにする要求、そして「どこからでもオンにできるようにする」をオフにする要求です。ほかには何も通りません。映像、静止画、カメラの一覧、イベント、設定、プッシュメッセージのいずれも通りません。 Hubが接続すると、リレーはHubのライセンスが有効かどうかを確認します。ライセンスの内容は何も保存しません。 保存するもの 各Hubが登録に使った公開鍵。ほかのマシンがそのHubの識別子を乗っ取れないようにするためです。 要求のログ：日時、Hubの識別子、結果、かかった時間。 見えるもの 接続があること、どのネットワークアドレスからか、どのくらいの時間か、何バイトが通ったか。 Hubがいつオンラインか。それ以上は見えません。 運んだバイト数は、人ごとではなく合計で数えます。 見えないもの あなたの映像。 あなたのカメラの名前。 あなたの認証情報。 ライセンスサーバー license.secureeyes.appHubがProライセンスを持つ場合にだけ使われます。購入をAppleに確認し、そのHubに結び付いた署名付きライセンスを返します。
1回、Hubを有効にするとき 有効化 Hubのインストール識別子と公開鍵、Appleの署名付き購入証明
から ライセンスサーバー 購入をAppleに確認
から Hub そのHubに結び付いた署名付きライセンス
1日に1回程度 Hub インストール識別子、ソフトウェアのバージョン、Hub自身のキーで作った署名
から ライセンスサーバー ライセンスを更新
ライセンスサーバーが受け取るもの：Hubを有効にするときに1回、その後はHub自身から1日に1回程度。 受け取るもの Hubを有効にするとき：Hubが自分で生成したランダムなインストール識別子、Hubの公開鍵、Appleの署名付き購入証明。サーバーは購入をAppleに確認し、そのHubに結び付いた署名付きライセンスを返します。 その後は1日に1回程度、ライセンスを更新するためにHub自身から：インストール識別子、ソフトウェアのバージョン、Hub自身のキーで作った署名。 保存するもの 購入ごとに：Appleのトランザクション識別子、支払い済み期間の終了日、Appleから返金の報告があればその返金日。 その購入で有効にした各Hubについて：インストール識別子と公開鍵、有効にした日時と最後にチェックインした日時、ソフトウェアのバージョン。 アプリで購入から外したHubについて：インストール識別子、公開鍵、外した日時。そのHubが次にチェックインしたときに、外されたことを伝えるためです。 1つの購入で解放できるHubの数を制限するために：チェックインしなくなったHubをその購入で解放した日時。 どのHubがいつ要求したかを記録するログ。どこから要求したかは記録しません。 決して保存しないもの 名前。 カメラの詳細。 録画映像。 ネットワークアドレス。 インストール識別子 お使いのHubを識別するだけで、それ以外のものは識別しません。 購入のトランザクション識別子と一緒に記録されます。あなたが誰かを示すものとは一緒に記録されません。名前、メールアドレス、Appleアカウントのいずれもありません。 購入と一緒に記録されるため、Appleの「Appのプライバシー」ラベルでは、この識別子と購入記録を「ユーザに関連付けられたデータ」として記載しています。 Hubをリセットすると消去され、Hubはサーバーにもそれを破棄するよう求めます。 ブラウザを開くリンク。サポートのアドレス、このポリシー、メディアエンジンのソースコード提供の案内は、タップするとブラウザで開きます。そこから先は、ブラウザ自体の動作が適用されます。
04
SecureEyesが決して行わないこと これらは意図についての約束ではなく、コードに存在しないものです。
解析や利用状況の測定はありません。その種のSDKは組み込まれていません。 クラッシュレポートや診断レポートはありません。アプリに問題が起きても、自動的に送られるものはありません。バグ報告は、あなた自身が作成し、読み、送信するメールです。あらかじめ入力される再生カウンターは、送信前にメール本文で確認できます。 広告、広告識別子、トラッキングはありません。データブローカーや広告ネットワークと共有するものはなく、あなたに関する情報をほかのどこかのデータと組み合わせることもありません。 ユーザーアカウントはありません。登録するものはなく、なくす心配のあるSecureEyesのパスワードもありません。 実行中のダウンロードはありません。同梱の書体はアプリに含まれているため、実行中にフォントを取得することはありません。 個人情報の販売も共有もありません（どちらの言葉もCCPAにおける意味です）。販売するものがありません。 05
このウェブサイト ここまでの内容は、すべてアプリとHubについてです。このウェブサイト（secureeyes.app）は別で、2つの方法で訪問を測定しています。
Google Analytics（同意した場合のみ）。初めて訪問したときに、訪問を数えてよいかをバナーでおたずねします。「同意する」を選ぶまでは、Googleには何も送られず、解析用のCookieも設定されません。同意すると、Google Analyticsは名前が_gaで始まるCookieを設定し、次の内容を記録します。閲覧したページ、このサイトに来る前のページ、ブラウザとデバイスの種類、GoogleがIPアドレスから推定するおおよその位置、使用したHubのダウンロードリンクやインストールコマンド、そしてヘルプセンターの記事での「このページは役に立ちましたか？」への回答です。私たちはこれを、どのページが読まれているかを知るために使い、訪問を広告に使わないようGoogleに指示しています。Googleは、policies.google.com/privacyにある独自のプライバシーポリシーに基づいてこれを処理します。回答を変更するには、どのページでも下部にある「アクセス解析の設定」を選んでください。拒否すると_gaのCookieが削除されます。あなたの回答は、このサイト用のブラウザのストレージに保存されます。 Cloudflare Web Analytics。このサイトはCloudflareを通じて配信されています。Cloudflareは、Cookieを使わず、あなたを特定することもなく、ページビューを数えます。 アプリやHubから、どちらのサービスにも何も届きません。前述のとおり、アプリには解析機能がありません。
また、ブラウザはこのサイトについて2つの選択を保存します。選んだ言語と、アクセス解析のバナーへの回答です。どちらもブラウザ内にとどまり、私たちを含め誰にも送信されません。
06
アプリが求めるアクセス許可とその理由 ローカルネットワーク（iOSとiPadOS）：ご自身のネットワーク上のカメラを見つけて接続するため。この許可によってネットワークの外に出るものはありません。 カメラ：お使いの別のデバイスに表示されたセットアップコードを読み取るため。写真やビデオは記録しません。 「写真」（追加のみ）：保存を選んだスナップショットやクリップを保存するため。ライブラリは読み取りません。 Face IDまたはTouch ID：アプリのロックを解除するため。生体情報はAppleの管理のもとでデバイスにとどまり、アプリには「はい」か「いいえ」だけが伝えられます。 通知：ご自身のカメラやHubが検知した動きを知らせるため。ローカル通知のみで、プッシュサーバーはありません。 それぞれ必要になった時点で許可を求めます。任意の許可がなくてもアプリは動作します。
07
保存と削除 アプリが保存するものはすべてデバイス上にあるため、すべてをご自身で管理できます。カメラを削除すると、そのカメラと保存されたパスワードが削除されます。イベントとクリップを消去すると、ディスクから削除されます。アプリを削除するとアプリのコンテナが削除され、それとともにすべてのイベント、スナップショット、クリップ、設定も削除されます。iCloudキーチェーンにあるカメラのパスワードは、Appleが「設定」で管理しています。私たちのものではなく、あなたのキーチェーン項目だからです。
私たちは、そのどれのコピーも持っていません。私たちが持っているのは、前述のProライセンス記録だけです。Hubをリセットすると、そのHubは記録から外れます。記録全体の削除を希望する場合は、support@secureeyes.appにメールしてください。その場合、記録にあるすべてのHubはライセンスがなくなります。同じ購入を使って、アプリからHubにもう一度ライセンスを付けることができます。
08
子ども SecureEyesは子どもを対象としたものではなく、前述のProライセンス記録を除き、年齢にかかわらず誰からも何も収集しません。
09
あなたの権利 GDPR、英国GDPR、CCPAおよび同様の法律のもとで、あなたには個人データへのアクセス、訂正、削除、データポータビリティの権利と、その処理に異議を唱える権利があります。SecureEyesでは、これらの権利は仕組みそのものによって満たされています。あなたの個人データは私たちに一切届かないため、私たちはあなたの個人データの管理者でも処理者でもありません。あなたのデータはすでにあなたの手元、つまりあなたのデバイス上にあり、私たちに頼まなくても、そのすべてを読み、変更し、書き出し、破棄できます。
私たちがあなたに関する何かを保有していると思われる場合は、下記のアドレスまでご連絡ください。見つかったものを正確にお伝えします。何も見つからないと考えています。
10
セキュリティ カメラのパスワードはシステムのキーチェーンに保存され、デバイス上のアプリ専用のストレージに保存されたストリームアドレスにも含まれています。「カメラのパスワード」の同期をオンにした場合のiCloudキーチェーンを除き、どちらもデバイスの外に出ることはありません。iCloudに書き込まれるストリームアドレスからは、パスワードが取り除かれます。リモート視聴はご自身のHubまでエンドツーエンドで封印され、封印されていないリレー接続は、セキュリティを下げて続けるのではなく拒否されます。ペアリングはご自身のネットワーク上で行われます。これにより、後のリモートセッションで同じHubと通信していることを確認できます。「アプリのロック」をオンにすると、Face ID、Touch ID、またはデバイスのパスコードでアプリが保護されます。
完璧なシステムはありません。そうでないかのようにほのめかすより、はっきりそうお伝えします。正確に言えるのは、私たちのインフラが侵害されても、お客様の映像、カメラの認証情報、カメラの一覧は一切漏れないということです。私たちのインフラはそのどれも保有していないからです。
11
変更 このポリシーが、あなたのデータの扱いに影響する形で変更される場合、変更内容は新しい発効日とともにここに掲載され、アプリのリリースノートでもお知らせします。表現を明確にするだけの変更は、日付のみで示します。