プライバシーポリシー

適用範囲

本ポリシーは、macOS 版 Apertura アプリ、Windows 版 Apertura アプリ、api.notch-os.com と updates.notch-os.com のバックエンドサービス、任意の Ember アカウントゲートウェイ api.cabinhub.com.cn、およびこのウェブサイトを対象とします。お客様ご自身が Apertura に接続するサードパーティのサービス（たとえば Guardian 盗難対策機能のために設定する Webhook エンドポイント）や、下記のとおり当社が代わりに呼び出す天気・AI プロバイダーは対象外です。

Apertura は、できるだけ多くをお客様の端末内に留めるように作られています。以下では、データが端末の外に出るすべての経路を、省略するカテゴリーなく、平易な言葉で説明します。

ライセンス認証

ライセンスを認証するとき（または無料セッションを開始するとき）、アプリは api.notch-os.com へ次の内容を含むリクエストを送ります。

• 入力したライセンスキー（有料ティアのみ。無料セッションでは実際のキーではなく、生成されたプレースホルダーを使います）。
• デバイスフィンガープリント：SHA-256 による一方向ハッシュです。Mac では、Mac の IOPlatformUUID、アプリのバンドル識別子、Mac のモデル識別子から計算します。Windows では、OS の MachineGuid と、DPAPI で保護された保存領域に置かれるインストールごとの 32 バイト鍵から計算するため、ファイルを別のマシンにコピーしても同一性はコピーされません。送信されるのはこのハッシュだけで、その元になった値は送られません。
• デバイスラベル：Mac ではコンピュータ名（例：「Jordan's MacBook Pro」）、Windows では PC のホスト名です。
• アプリのバージョンと OS のバージョン文字列。
• Mac のみ：端末に Secure Enclave がある場合、有料セッションをその端末に暗号的に結び付けるための追加の公開鍵。対応する秘密鍵が Secure Enclave の外に出ることはありません。

以降のリレーへのリクエスト（チャット、デバイス一覧、認証解除）では、バックエンドが端末を識別できるようにデバイスフィンガープリントを繰り返し送りますが、認証が完了してセッショントークンが発行された後は、ライセンスキー自体を再び送ることはありません。

認証後に発行されるセッショントークンは、平文のファイルではなく、macOS の Keychain（Mac）または Windows 標準の暗号化された資格情報ストレージ（Windows）に保存されます。

ライセンス認証の一環として、お名前、メールアドレス、電話番号、請求先住所を収集することはありません。決済代行事業者を通じてご購入いただく場合、お支払い情報はその事業者（サードパーティのコンポーネントを参照）が直接取り扱い、当社が受け取るのは、どの製品ティアを購入されたかを識別するために必要な情報だけです。

AI 機能とリレー

Apertura の AI 機能（チャット、画面の読み取り、クリップボードマクロ、添付ファイル）は 2 通りの方法のどちらかで動作し、どちらが有効かは設定で確認できます。

オンデバイス

macOS では「プライベートなオンデバイス AI」が MLX を使ってモデルをローカルで実行します。これがオンのとき、プロンプトはお使いの端末内だけで処理され、会話に関する情報はどこにも送信されません — 添付画像も同様で、そのバイト列は Mac に留まり、ローカルで抽出したテキストとしてのみ扱われます。モデルファイルは artifacts.apertura.app から、各ファイルのサイズと SHA-256 を列挙した署名済みマニフェストに照らして一度だけダウンロードされます。このダウンロードにお客様のコンテンツは含まれません。Windows には現在ローカルモデルがないため、Windows の AI はリレー経由で動作します。

リレー経由

リレー経由の AI を選択している場合（有料ティアの既定であり、無料ティアでも利用できます）、会話は api.notch-os.com の当社バックエンドへ送られ、バックエンドが応答を生成するためにモデルへ転送します。バックエンドは複数の上流プロバイダーへ振り分け、どのプロバイダーが応答するかは変わることがあるため、このページでは特定の 1 社がお客様のプロンプトを見ると約束はしません。固定されていて検証できるのは経路です。お使いの端末は api.notch-os.com とだけ通信し、そのバックエンドがモデルプロバイダーと通信します。

リレー経由の AI を使用するときに含まれるもの：

• 現在の会話で表示されているメッセージ（モデルが文脈を把握できるよう、新しいやり取りのたびに送信されます）。
• お客様が明示的に添付したコンテンツ：クリップボードのテキスト（AI クリップボードマクロを実行したときのみで、自動では行いません）、「画面を読む」系の機能で取得した画面上のテキスト（抽出したテキストのみで、スクリーンショット画像ではありません）、または添付したファイルや画像から端末上で抽出したテキスト。ファイルのバイト列やスクリーンショットはアップロードされず、端末上でそこから抽出したテキストだけが送られます。唯一の例外は次に説明する画像の経路です。

リレー経由の AI のコンテンツについて、当社のバックエンドが行わないこと：プロンプトやモデルの応答をデータベースやログファイルに書き込むことはありません。記録されるのは、課金と不正利用の防止に必要なメタデータ（デバイスフィンガープリント、トークン数、モデル名、プランのティア）だけで、usage_log テーブルに保存されます。保持と削除を参照してください。

これとは別に、ウェブを検索したり URL を取得したりする AI エージェントツールを使う場合、そのリクエストはお客様の端末から検索プロバイダーまたは取得を依頼したサイトへ直接送られます。当社のリレーを経由することはなく、そのプロバイダー自身のプライバシー慣行に従います。

添付画像の視覚的な分析は、取り消し可能な別個の同意です。オンにしている間は、モデルが画像を見られるよう縮小したコピーがリレーへ送られます。オフのとき、または「プライベートなオンデバイス AI」がオンのときは、端末上で画像から抽出したテキストだけが送られます。アプリは送信前に、どちらの経路が実行されるかを表示します。

天気

天気モジュールの動作はプラットフォームごとに異なります。

• macOS：位置情報の許可を与えた場合、Apertura は Mac の位置情報サービス（市区町村レベルで、継続的な精密追跡ではありません）を使い、座標をもとにサードパーティの気象データプロバイダーである Open-Meteo から直接天気を取得します。位置情報の許可を拒否した場合、または許可していない場合は、サードパーティの IP ジオロケーション検索により IP アドレスから位置を推定します。天気の結果は端末にキャッシュされ、約 15 分ごとに更新されます。
• Windows：都市名を入力すると、座標を解決するために Open-Meteo のジオコーディングサービスへ送られ、その座標で予報を取得します。天気パネルには「現在地を使う」もあります。これは Windows に内蔵の位置情報サービスへ一度だけ位置情報を問い合わせ（Google など鍵が必要な位置情報プロバイダーは使いません）、ネットワーク呼び出しの前に座標を小数 2 桁へ丸め、生の位置情報はメモリ内だけに保持します。Windows の位置情報をオフにしている場合は位置を特定せず、代わりに ipapi.co へ都市単位の推定を依頼し、おおよその情報として表示します（Mac と同じフォールバックです）。選択した場所は PC にローカル保存されます。

いずれの場合も、天気のリクエストは端末から Open-Meteo（および、Mac で位置情報を拒否した場合は IP ジオロケーションサービス）へ直接送られます。Apertura のバックエンドを経由することはなく、デバイス識別子やライセンス情報が付与されることもありません。

ソフトウェアアップデート

Apertura は自動的にアップデートを確認します。

• macOS ではオープンソースのアップデーター Sparkle を使い、約 1 時間ごとに updates.notch-os.com を確認します。アップデートパッケージは暗号署名され、インストール前に検証されます。
• Windows では同じアップデートサーバーに対して electron-updater ライブラリを使います。アップデートは自動でダウンロードされますが、署名の検証に合格しない限りインストールされず、アプリがバージョンを黙ってダウングレードすることもありません。

アップデートの確認では、適切なパッケージを提示できるよう、アプリのバージョン、OS、アーキテクチャが当社のサーバーに伝わります。これは自動更新するデスクトップアプリとして標準的な動作であり、ライセンスやデバイスフィンガープリントとは結び付けられません。どちらのライブラリも、HTTP クライアントとして通常送られるメタデータ（User-Agent 文字列を含む）を送ります。当社はそのライブラリの動作を上書きしていません。

Windows では、インストール前に固定された証明書フィンガープリントに対して更新が検証されます。署名証明書なしで出荷されたビルドにはこの許可リストの項目がないため、そのアップデーターは署名のないダウンロードを受け入れるのではなく、すべての候補を拒否します。

クラッシュレポートと分析

Apertura は、macOS 版にも Windows 版にも、クラッシュレポート SDK（Sentry や Crashlytics など）や、分析・利用状況トラッキング SDK（Mixpanel、Amplitude、PostHog、Firebase、Google Analytics など）を一切含みません。また notch-os.com も分析スクリプトを読み込みません。お客様がお知らせくださらない限り、お使いのマシンでアプリがクラッシュしたことを当社が知ることはなく、セッション記録、ファネル追跡、機能利用のビーコンもありません。

Stats モジュール（システムの CPU、メモリ、GPU、温度、ディスク、バッテリー、ネットワーク情報）は、お客様ご自身が閲覧するために、実行も履歴の保存もすべて端末内で行います。当社に送信されることはありません。任意のリモートフリート監視機能でご自身の他のマシンを確認する場合、その接続は端末同士の間で直接行われます（たとえばご自身の Tailscale ネットワークや SSH 設定を経由します）。当社のサーバーに触れることはありません。

ローカルネットワーク機能の 1 つは、Stats パネルにお客様へ表示する目的だけで、端末のパブリック IP アドレスをサードパーティのサービス（ipify.org）で定期的に確認します。この値が Apertura のサーバーに送信されることはありません。

ダウンロードのウェイトリスト

ダウンロードページの「通知を受け取る」フォームは任意で、第三者のトラッカーは使いません。入力したアドレスは api.notch-os.com にのみ送られ、当社はアドレス、選んだプラットフォーム、そしてお送りした確認リンクを開いた時刻を保存します（そのクリックまでは何も計上されません）。確認用と解除用のトークンは一方向ハッシュとしてのみ保持し、IP アドレスは送信頻度の制限のために一時的に使います。当社が送るメールにはすべて解除リンクが付いており、それを開くとリストから外れます。未確認の登録は、リンクの有効期限から 30 日後に削除されます。

端末内に留まるもの

次の機能は、通常の動作ではデータを端末内にのみ保存し、Apertura のサーバーへ送信することはありません。

• クリップボード履歴：ローカルに保存されます。AI リクエストに含まれるのは、その履歴に対して AI アクションを明示的に実行したときだけです（AI 機能とリレーを参照）。自動的に、またはバックグラウンドで読み取られることはありません。
• メモ：ローカルに保存されます。AI チャットは、見つけた内容を保存するようお客様がタップしたときにメモを書き込めますが、既存のメモを読み取ってどこかへ自動的に送信することはありません。
• スクリーンショット：オペレーティングシステム自身のスクリーンショット機能を使ってローカルに撮影・保存されます。Apertura がどこかへアップロードすることはありません。
• カメラプレビュー（ノッチのカメラユーティリティ用）：ローカルでのみ表示され、AI 処理は行われず、映像がネットワークへ送信されることもありません。

このローカルのコンテンツが端末の外へ出る唯一の経路なので、次の 2 つの限定的な例外を明記します。

• スクリーンショット、メモのエクスポート、その他のファイルを AI チャットのメッセージに手動で添付した場合、Apertura がそのファイルから抽出したテキストは、他の添付ファイルと同様に AI リレーへ送られます（AI 機能とリレーを参照）。これはお客様がファイルを添付することを選んだときにのみ起こります。
• 任意の Guardian 盗難対策機能は、お客様ご自身が設定した Webhook アドレス（たとえばご自身の ntfy.sh、IFTTT、Zapier のエンドポイント）へ、通知（タイトル、メッセージ、タイムスタンプ、写真を撮影したかどうかの有無フラグ）を送信できます。写真自体は端末内に留まり、通知に含まれることはありません。Guardian は、有効にし、かつ Webhook アドレスを設定した場合にのみ、何かを送信します。

保持と削除

アプリ内にセルフサービスの「データを削除」ボタンはありません。削除のご要望はお問い合わせページからお願いします。同ページに現在確認済みの経路を記載しています。AI のプロンプトと応答は保存されないため、ご要望の対象は利用メタデータ、デバイス／ライセンスの記録、および保持期間内に残っている生成画像です。

サードパーティのコンポーネント

Apertura は、動作のために少数のサードパーティのサービスとオープンソースのコンポーネントを使用しています。

• Open-Meteo — 天気とジオコーディングのデータ（天気を参照）。
• ipapi.co — IP に基づく位置の推定。精密な位置情報が利用できない場合の macOS のフォールバックとしてのみ使用します。
• ipify.org — Stats パネルにお客様ご自身のパブリック IP アドレスを表示するために、ローカルで使用します。
• Sparkle（macOS）と electron-updater（Windows） — オープンソースのアップデート確認ライブラリ。
• open.er-api.com — コンバーターのライブレートの背後にある、鍵不要の為替フィード。端末を離れるのはフィードのリクエストだけで、最後に取得できた値は 6 時間キャッシュされます。
• lrclib.net — 同期歌詞。アーティスト、トラック、アルバム、再生時間のみを送信し、歌詞を要求したときだけ送ります。
• Lemon Squeezy — 決済処理とライセンス API。購入はそこで処理されます。アプリは当社バックエンド経由で Lemon Squeezy のライセンス API に対してキーを検証し、カード情報を見ることはありません。
• Ember アカウントゲートウェイ（api.cabinhub.com.cn）— Ember アカウントにサインインして AI 会話を同期することを選んだ場合のみ。「端末内のみに保持」とされた会話は決してそこへ送られません。
• リレーの背後にある 1 つ以上の AI モデルプロバイダー — AI 機能とリレーを参照してください。

これらのサードパーティはそれぞれ、上記の該当セクションで説明したデータのみを処理し、それ以外については各社自身のプライバシーポリシーに従います。

セキュリティ

ライセンスのセッショントークンは、平文のテキストファイルではなく、お使いのオペレーティングシステムの安全な資格情報ストレージ（macOS の Keychain、Windows では DPAPI に支えられた Electron の safeStorage）に保存されます。端末が対応している場合、Mac の有料セッションはさらに端末の Secure Enclave に結び付けられます。バックエンドの管理アクセスは、定数時間で比較される単一の共有オペレーター用ベアラーシークレットで、繰り返し失敗すると IP 単位でロックアウトされます。このシークレットが設定されていない場合、すべての管理ルートは 503 を返すため、設定不備のデプロイは開いた状態ではなく閉じた状態になります。これは共有のオペレーター資格情報であり、個人ごとの管理者アカウントではなく、当社側で誰が何をしたかの監査証跡があるとも主張しません。完全に安全なシステムはなく、絶対的な安全性を保証することはできません。

お子様について

Apertura は汎用のデスクトップ生産性ツールであり、お子様を対象としておらず、お子様からのデータを意図して収集することはありません。上述のとおり、ライセンスの有効化では氏名、メールアドレス、電話番号、請求先住所を収集しないため、現在の製品に年齢確認のフローはありません。

本ポリシーの変更

発効日はこのページの冒頭に記載しています。重要な変更はリリース台帳で告知します。これは製品の変更が記録されるのと同じ場所で、このページの日付も同じ変更の中で更新されます。ほとんどのユーザーのメールアドレスを保持していないため、ポリシー変更をメールでお知らせすることはありません。

お問い合わせ

プライバシーに関するご質問と削除のご要望はお問い合わせページからお願いします。同ページは意図的に正確に保っており、確認・対応済みの窓口だけを記載し、存在しない受信箱を公開することはありません。