短く言うと： LoveClock は、ふたりの関係をふたりのものにしておきます。ひとりで使うかぎり、入力したものはすべて端末の中に残り、どこにも送られません。パートナーとのペアリングを選んだ場合も、共有するデータは iPhone を出る前にエンドツーエンドで暗号化され、私たちのサーバーが保存するのは読めない状態のデータだけです。アカウントも、解析も、広告も、トラッキングも、位置情報へのアクセスもありません。
LoveClock をひとりで使う（初期状態）
LoveClock はペアリングなしでも完全に動きます。交際開始日、任意の結婚記念日、節目、再会カウントダウン、予定、ふたりの物語の思い出、テーマの設定は、Apple の端末内ストレージを使ってあなたの iPhone または iPad にローカル保存されます。ひとりで使っているあいだ、アプリは私たちのサーバーに接続せず、入力したものが端末を出ることもありません。
パートナーとのペアリング（任意）
短いコードか招待リンクで、ひとりのパートナーとペアリングできます。ペアリングは、私たちが共有内容を読めないように作られています。
- ペアリングコードがあなたたちの iPhone から出ることはありません。例外は任意の iCloud バックアップだけで、この場合はあなた個人の iCloud キーチェーンにも保管されます。Apple がそれをエンドツーエンドで暗号化するので、私たちにも読めません。暗号鍵はあなたの端末上でコードから導出され、私たちのサーバーが目にするのは、ルームのアドレスとして使う一方向のフィンガープリントだけです。
- 同期するもの（日付、節目、再会、予定）はすべて、アップロードの前に端末で暗号化されます。サーバーが保存するのはその暗号文だけで、復号する手立てはありません。
- アカウントはありません。端末は、端末ごとのランダムな秘密情報で認証します。名前、メールアドレス、電話番号を聞くことはありません。
ペアリングしたときにサーバーが保存するもの
ペアリングしたとき（そのときにかぎり）、私たちのサーバーは次の種類のデータを保持します。
- ルームの記録：ハッシュ化したルームアドレス、ハッシュ化した端末の資格情報、バージョンカウンター。読める内容はありません。
- 暗号化されたレコード：上に書いたエンドツーエンド暗号化データで、最後の更新から最長400日保存されます。作成されたまま誰も参加しなかったルームは、15分後に削除されます。
- プッシュトークン：端末の Apple プッシュ通知トークン。同期の更新とつつきを届けるためだけに使い、最長90日保存されます。サーバー側で暗号化されていない唯一のデータです。通知を配信するために、Apple が読める形で必要とするからです。
- 暗号化されたスナップ写真（転送中）：送るスナップは、アップロードの前に使い捨ての鍵で端末上で暗号化されます。鍵そのものはエンドツーエンド暗号化されたレコードの中しか通らないので、私たちのサーバー上の写真データは読めません。データは1日ほどで自動的に削除され、使い捨ての鍵はスナップが消えるときにあなたたちの端末上で破棄されるので、残った暗号文は永久に意味を持ちません。どちらも大事です。私たちの側では読めない状態で短時間だけ保存し、あなたたちの側では鍵を消す、という組み合わせです。
- 暗号化されたボイスメモ（転送中）：ボイスメモはスナップとまったく同じ仕組みです。端末上で専用の使い捨て鍵で暗号化され、通り道では私たちに読めず、こちら側からは1日ほどで削除され、あなたたちの側で鍵が消された時点で永久に意味を失います。音声が元に戻るのは iPhone のメモリの中だけで、意図的にキープしないかぎり端末のストレージに書き込まれることはありません。
ペアリングを解除すると端末はルームから外れ、残りは上記の保持期間で自動的に消えていきます。
通知とつつき
記念日や節目のリマインダーは、サーバーを介さず iOS が端末上でスケジュールします。ペアリング中は、同期の更新がサイレントプッシュとして届き、パートナーからのつつきは決まった内容の汎用バナーを表示します。つつきに添えられる任意のメモも、ほかと同じくエンドツーエンドで暗号化され、保存されるのではなくパートナーの画面に一時的に表示されます。スナップの写真も同じで、パートナーが開いてから20分ほど表示されたあとに消去されます。ただし、本人が意図的にキープした場合は残ります。あなたが送ったスナップを相手がキープすると、あなたに通知されます。キープされたスナップは相手の iPhone に残り、そこから別の場所に保存することもできます。例外はひとつ、私たちに報告するためにキープした場合です。この保存は通知されません。何かを報告したことが、報告された相手に伝わってしまわないようにするためです。私たちはスナップを見ることができませんし、端末がスクリーンショットを撮るのを防ぐこともできません。消えることは技術的な不可能性ではなく、ふたりのあいだの約束です。
ボイスメモも同じルールに従いますが、はっきり書いておきたい違いがひとつあります。20分が始まるのは、パートナーが再生したときで、届いたときではありません。画面に置かれているだけのボイスメモは相手に何も伝えないので、聞く機会がないうちに時計を進めるのは不公平です。一度も再生されなかったボイスメモは、送信の1日後に自動で消去されます。ボイスメモが勝手に再生されることはありません。通知からも、届いた瞬間にもです。スナップが見えないのと同じように、私たちがそれを聞くこともできません。
同期されないもの
共有は選べます。非公開にした再会や予定は、ペアリング中でもあなたの iPhone に留まります。テーマとアニメーションの設定、ピン留めしたウィジェットの選択、購入のレシートは端末を出ません。ペアリング中は、暗号化されたはい／いいえのフラグがひとつだけ、あなたのプレミアム状態をパートナーに伝えます。ひとつのサブスクリプションでふたりとも使えるようにするためで、それ以外は何も明かしません。
端末をなくしたら
私たちはペアリングコードも暗号鍵も持っていないので、サーバー上のデータを私たちが復元することはできません。任意の iCloud バックアップを有効にしていれば、同じ iCloud アカウントでサインインした新しい端末や再インストールした端末が、あなた個人の iCloud キーチェーンからペアリングの復元を提案できます。これはあなたの端末と Apple のあいだだけで完結する経路です。バックアップがない場合、2台とも失うと、暗号化されたデータは読まれないまま期限切れになります。これは意図した取引です。私たちがふたりの関係を読めないでいられるのは、この性質のおかげです。
キープした写真、ボイスメモ、メモについても同じです。これらはあなたの iPhone にあり、私たちのサーバーには一切届きません。希望すればiCloud バックアップをオンにできます（ペアリングと中身の両方をまとめて扱う、ひとつのスイッチです）。オンにすると、日付、思い出、予定、キープしたものがあなた自身の iCloud Drive にコピーされます。ファイルはすべて端末で先に暗号化され、鍵はあなたの iCloud キーチェーンにだけ保存されるので、バックアップは私たちにも Apple にも読めません。パートナーが送ってきたもののうち、あなたがキープしなかったものはバックアップされません。一時的なもののままです。バックアップをオフにすると、それも削除されます。
サービス提供者
同期サーバーは Cloudflare（Workers、KV、Durable Objects）で動いていて、上に書いた暗号文とプッシュトークンを私たちに代わって保存しています。通知は Apple Push Notification サービスを通じて配信されます。どちらも、私たちから読める形の関係データを受け取ることはありません。
アカウントは不要です
ペアリングを含むすべての機能を、アカウントの作成もサインインもメールアドレスの提供もなしに使えます。ログインの壁はありません。
解析、広告、第三者トラッキングはありません
LoveClock には広告も、解析やテレメトリの SDK も、第三者のトラッキングフレームワークも入っていません。あなたのプロファイルを作ることはなく、広告主やデータブローカーにデータを渡すこともありません。
位置情報の追跡はありません
LoveClock があなたの位置情報を要求したり使ったりすることはありません。再会カウントダウンはタイムゾーンを考慮しますが、それはあなたが選んだ日付とタイムゾーンから端末上で計算しています。あなたやパートナーがどこにいるかを追跡することはありません。
お子さまについて
LoveClock は一般の利用者に向けたアプリで、お子さまを含め、誰からも個人情報を意図的に収集することはありません。
このポリシーの変更
このポリシーを変更した場合は、このページを更新し、上の日付を書き換えます。更新後もアプリを使い続けた場合は、改定後のポリシーに同意したものとみなされます。
お問い合わせ
プライバシーについてのご質問はこちらまで： pawels.apps@gmail.com.