プライバシーポリシー

Walilockはゼロ知識型のパスワードマネージャーです。これはマーケティング上の表現ではなく、本ポリシー全体を形づくるアーキテクチャ上の制約です。お客様の保管庫は、お客様ご自身のデバイス上で、そのハードウェアの外に出ることのないマスターパスワードから導出された鍵を用いて暗号化されます。当社が保存するのは、内容を読み取ることのできない暗号文のみです。その結果、当社はお客様のパスワード、セキュアメモ、添付ファイルを文字どおり読み取ることができず、また、それらを復号する鍵を保有していないため、他のいかなる者にもそれらを引き渡すことができません。

本ポリシーは、当社が実際に収集する限られた情報の内容、その情報が必要な理由、当社が技術的に見ることのできない情報、およびお客様のデータに関してお客様が有する権利を、平易な言葉で説明するものです。本ポリシーは、Walilockのアプリ、Walilockのウェブサイト、およびWalilockの同期リレーに適用されます。これらはいずれも、Richdale Ventures LLC（以下「Walilock」または「当社」といいます）が運営しています。

当社が収集する情報とその理由

当社はデータの最小化を実践しており、本サービスの運営、料金の請求、およびセキュリティの維持に必要な最小限の情報のみを収集します。具体的には次のとおりです。

• アカウントのメールアドレス。お客様のアカウントの識別、ログイン、トランザクションメッセージ（領収書、セキュリティアラート、同期デバイスに関する通知）の送信、およびお客様のアカウントへのアクセスの回復（保管庫へのアクセスの回復ではありません）に使用します。当社は、お客様のメールアドレスを広告目的で使用しません。
• OPAQUEによる認証データ。Walilockは、非対称パスワード認証鍵交換（aPAKE）であるOPAQUEプロトコルを用いてお客様を認証します。これは実際には、お客様のサインインパスワードが、ハッシュの形であっても、当社のサーバーに送信されることは一切ないことを意味します。登録時に、お客様のデバイスはOPAQUEの「エンベロープ」を計算します。サーバーはこれを保存しますが、これを用いてお客様のパスワードを復元することはできません。ログイン時には、お客様のデバイスとサーバーが暗号学的なやり取りを行い、パスワードを一切明かすことなく、お客様がパスワードを知っていることを証明します。仮に当社のデータベースが盗まれたとしても、そこには解読の対象となるパスワード（および利用可能なパスワードハッシュ）は存在しません。
• 暗号化された保管庫データ。同期を利用する場合、お客様のデバイスは保管庫を認証付き暗号文（XChaCha20-Poly1305）としてアップロードします。当社にとってこれは、復号鍵が付随していない、ランダムに見えるバイト列からなる、内容を読み取ることのできないデータの塊にすぎません。当社はこれを保存し、お客様のデバイス間で転送しますが、開くことはできません。
• Stripeが取り扱う請求情報。有料プランの決済は、当社の決済代行事業者であるStripeによって処理されます。カード番号はStripeに直接入力され、当社がお客様の完全なカード情報を受け取ったり保存したりすることはありません。当社が保持するのは、会計およびサポートに必要な情報、すなわちお客様のプラン、サブスクリプションの状態、請求先の国、ならびにStripeの顧客IDおよび取引IDのみです。
• 最小限の運用ログ。本サービスの信頼性と安全性を維持するため、当社は限られた技術的メタデータ（タイムスタンプ、概略的なリクエスト情報、接続時のIPアドレス、エラー診断情報、レート制限に関するシグナル）を処理します。これらは不正利用の検知および問題のデバッグに使用され、短期間保持され（後述の保持期間をご参照ください）、お客様のプロファイリングに使用されることも、販売されることも一切ありません。
• 第三者による広告トラッキングは行いません。当社は、広告SDKの組み込み、データブローカーへのお客様のデータの販売、およびクロスサイトの行動ターゲティング広告ネットワークの運用を行いません。当社には「監視」型のビジネスモデルはありません。お客様は顧客であり、商品ではありません。

当社が見ることのできない情報

暗号化と鍵の導出はすべてお客様のデバイス上で行われるため、以下の情報には数学的に当社の手が届きません。これこそが本製品の核心です。

このトレードオフは現実のものであり、当社はお客様にそれを理解していただきたいと考えています。当社はお客様の保管庫を復号できないため、お客様がマスターパスワードを忘れた場合、当社が保管庫を復元することはできません。同期を有効にする際は、エマージェンシーキットを保存してください。エマージェンシーキットは、デバイスの紛失またはデータ消去の後にアクセスを回復するためのものですが、忘れたパスワードの代わりになるものではありません。仕組みの詳細は、当社のセキュリティページでご確認いただけます。

Cookieとローカルストレージ

当社のウェブサイトはCookieを一切設定しません。お客様のログイン状態の維持、チェックアウトの完了、いくつかの設定の記憶のために、少数のブラウザストレージ項目を使用します。広告CookieやクロスサイトトラッキングCookieは使用しません。Walilockアプリは、暗号化された保管庫と設定をローカルに保持するためにデバイスストレージを使用します。詳細な内訳とお客様の選択肢については、Cookieポリシーをご覧ください。

当社が集計するもの

当社は、ウェブサイトや機能が正しく動作しているかを確認するため、いくつかの出来事が発生した回数を集計しています。集計するのは人ではなく操作です。いずれの集計も1日ごとの合計であり、お客様、お客様のデバイス、またはお客様のアカウントを特定できる情報は一切含まれません。

• 本サービスにおいて。当社のサーバーは、共有リンクが作成されたとき、共有リンクが開かれたとき、購入手続きが開始されたとき、および購入手続きが完了したときに、1日ごとの合計に1を加算します。購入手続きの合計にはプランが記録され、開始された購入手続きについては、共有アイテムから始まったか、共有ダイアログから始まったかも記録されます。この情報がお客様のアカウントとともに保存されることはなく、当社の決済代行事業者に送信されることもありません。
• Walilockアプリにおいて。アプリが共有リンクの下にファミリープランの案内を表示したとき、およびお客様がそれを選択または閉じたとき、アプリはお客様のプランの種類とどの案内であったかという情報とともに、1日ごとの合計に1を加えます。「Walilockをどこで知りましたか？」にお答えいただいた場合は、その回答の合計に1を加えます。これらの集計はお客様のアカウントと結び付けられずに送信され、当社は送信元のネットワークアドレスを保存しません。これらの集計の送信は、設定 → 環境設定 → 匿名の利用回数を送信でオフにできます。
• 当社の公開ウェブサイトのページ：ホーム、料金、ダウンロード、セキュリティ、エンタープライズ、ドキュメント、サポート、お問い合わせ、なりすましURLチェッカー、および当社の法的ページ（いずれもすべての言語版を含みます）と、日本語版のみのパスワード危険度診断です。なりすましURLチェッカーでは訪問のみを集計し、チェックしたURLがお客様のブラウザの外に出ることはありません。当社は、本ウェブサイトをホスティングしている会社のVercel Web Analyticsを使用して訪問数を集計します。何かが送信される前に、お客様のブラウザはページのアドレスをそのパスとutm_キャンペーンタグだけに絞り込みます。#以降の部分も、その他のパラメーターも含まれません。Vercelは、そのアドレスとともに、日時、お客様の参照元のウェブサイト、おおよその位置（国、地域、市区町村）、ならびにお客様のデバイスの種類、オペレーティングシステムおよびブラウザを記録します。VercelはCookieを設定しません。訪問者を1日に1回だけ数えるために、お客様のリクエストから作成したコードを使用し、24時間後にそのコードを破棄します。
• 3種類のクリック：ダウンロードボタン（どのプラットフォームか、および共有アイテムから訪れたかどうか）、料金ページのプランボタン（どのプランか）、そしてパスワード危険度診断での開始、完了、登録ボタン、シェアボタン（LINEかXか）です。診断の回答と結果はお客様のブラウザの中で算出され、送信されることはありません。
• 共有アイテムからの訪問。共有アイテムのページにある「Walilockを入手」のリンクとQRコードは、walilock.com/get（またはそのフランス語版・日本語版）に移動するため、そこへの訪問は共有からの訪問として集計されます。どの共有か、誰が送信したか、誰が開いたかは、一切記録されません。

共有アイテムのページそのもの、および個人的な情報や秘密の情報を含みうるアドレスのページ（新規登録、ログイン、パスワードのリセット、購入手続きの確認、お客様のアカウント）では、ウェブサイトのアクセス解析は一切実行されません。

これらの集計は、いずれもお客様のWalilockアカウントに紐づけられることはなく、広告に使用されることも、販売されることもありません。

ブラウザ拡張機能

Walilockのブラウザ拡張機能は、Walilockのうちお客様のブラウザ内で動作する唯一の部分であり、意図的に最も機能を限定した部分としています。拡張機能には、アカウントもサーバーもなく、それ自体のネットワークアクセスもありません。送信先が存在しないため、当社にも、他の誰にも、何も送信することができません。

拡張機能はお客様の保管庫を保持しません。拡張機能が担うのはパスキーです。サイトがパスキーの作成または使用を求めると、拡張機能は、お客様ご自身のコンピューター上のローカルチャネルを通じて、その要求をWalilockデスクトップアプリに引き渡します。お客様の保管庫は、お客様のデバイス上でデスクトップアプリによって開かれて復号され、その1件の要求に対する応答のみが返されます。また、拡張機能は、お客様がすでにログイン情報を保存しているもののまだパスキーがないサイトで、パスキーを提案します。拡張機能がそれをどのように把握しているかは次のセクションで説明します。これは、拡張機能が求められるのを待たずに行う唯一の動作だからです。拡張機能がデスクトップアプリを必要とするのは、まさにこの理由によるものです。デスクトップアプリがなければ、拡張機能が読み取るものは何もありません。

保存済みパスワードの入力。お客様がブラウザのツールバーにあるWalilockボタンをクリックすると、拡張機能は、表示中のサイトについてお客様が保存しているログイン情報を表示し、お客様が選択したものを入力します。ウェブページがこの操作を開始することはできません。サイトが拡張機能に対してパスワードを要求したり、保存内容の一覧を要求したり、入力を実行させたりする手段はありません。この操作を開始できるのは、お客様によるツールバーボタンのクリックだけであり、それ以外の場合、拡張機能は要求を拒否します。どのログイン情報が一致するかは、お客様のコンピューター上のデスクトップアプリが、サイトのドメインに基づいて判断します。パスワード自体は、お客様が選択した時点でアプリによって保管庫から読み出され、フォームに直接渡され、他のどこにも保持されません。パスワードがブラウザのストレージに書き込まれることはなく、お客様がクリックしたメニューを描画する拡張機能の部分に保持されることもありません。

フィッシングチェック。お客様があるサイトのログイン情報を保存している場合、拡張機能は、そのアドレスそのものが、フィッシングとして報告されたアドレスを集めたWalilockのリストに掲載されているかどうかをデスクトップアプリに問い合わせ、入力の前にお客様に警告します。拡張機能は警告するのみで、ブロックはしません。また、汎用的なサイトスキャナーでもありません。この確認は、お客様がこれから使用しようとしている認証情報を保護するためだけに存在するため、ログイン情報を保存していないサイトが確認されることは一切ありません。

このリストはダウンロードして使用するものであり、照会されることは一切ありません。この違いこそが要点です。お客様のコンピューターは、署名付きのリストのコピーを取得し、アドレスをローカルで照合します。お客様がどのサイトを閲覧しているかが当社に伝わることはありません。照会も、サイトごとのリクエストもなく、仮に当社が望んだとしても記録できるものは何もありません。リストは拡張機能ではなくデスクトップアプリが取得するため、拡張機能はいかなる種類のネットワークアクセスも持ちません。お客様のコンピューターがまだリストをダウンロードしていない場合、拡張機能は、サイトに問題がないかのように示すのではなく、その旨を表示します。警告がないことは安全の証明ではなく、そのように提示されることもありません。

ブラウザのストレージには、次の2つの情報が保持されます。いずれも秘密情報ではありません。

• セッションハンドル：現在ロック解除されているデスクトップのセッションを指す、短時間のみ有効な参照情報です。これにより、要求のたびにロック解除を求められることがなくなります。ブラウザを閉じると消去され、ディスクに書き込まれることはありません。
• プロンプトの設定：お客様があるサイトについてパスキーの保存の提案を閉じた場合、拡張機能がその旨をお客様のデバイス上に記憶します。これにより、プロンプトは訪問のたびに再表示されるのではなく、30日間非表示のままとなります。

パスワード、パスキー、保管庫の内容がブラウザのストレージに置かれることは一切ありません。

拡張機能は、すべてのウェブサイト上で動作する権限を求めます。これは広範な権限であるため、なぜそれが必要なのかを率直に説明します。どのウェブサイトもブラウザにパスキーを要求することができ、どのサイトがそうするかを事前に知る方法はありません。拡張機能は、その要求が発生した時点でその場に存在していなければ応答できず、また、お客様がパスワードを入力しようと決めたどのページにも存在している必要があります。対象を固定のリストに限定するには、お客様がどのサイトにアカウントをお持ちかを当社が知る必要がありますが、それこそが本ポリシーのその他の部分が防ごうとしていることです。拡張機能は、お客様が閲覧するページの内容を読み取りません。ただし、ページのアドレスは認識しており、お客様がご自身で気付くのを待つのではなく、率直にお伝えしておくべき用途が1つあります。お客様が開く各サイトについて、拡張機能は、お客様ご自身のコンピューター上で、同じローカルチャネルを通じて、そのサイトについて保存済みのログイン情報またはパスキーがすでにあるかどうかをWalilockデスクトップアプリに問い合わせます。これは、役立つ場面でその設定を提案できるようにするためです。この問い合わせに使用されるのはサイトのドメインのみであり、ページの完全なアドレス、ページの内容、およびお客様がそのページで行う操作は使用されません。提案を閉じると、拡張機能はそのサイトについて30日間問い合わせを停止します。これは、アプリへの問い合わせも停止することを意味します。これらに関する情報がお客様のコンピューターの外に出ることは一切ありません。拡張機能はネットワークアクセスを持たず、上記の2つの項目以外は何も保持せず、何も送信しません。

お客様のデータの共有

当社はお客様の個人データを販売しておらず、今後も販売することはありません。当社がデータを共有するのは、審査を経た少数の委託先（サブプロセッサー）のみです。これらの委託先は、契約により、データを保護し、当社に代わって本サービスを提供する目的のみにデータを使用する義務を負っています：

• Stripe：決済処理およびサブスクリプションの請求。お客様が入力した請求情報を受け取ります。当社がお客様の完全なカード番号を見ることはありません。
• ホスティングおよび同期リレーのインフラストラクチャ：当社のクラウドホスティング事業者が、お客様の暗号化された保管庫データを保存・転送するサーバーを運用しています。同事業者が取り扱うのは暗号文のみであり、鍵は一切保持していません。
• Vercel：本ウェブサイトをホスティングし、「当社が集計するもの」に記載のとおり、公開ページへの訪問数を集計します。
• トランザクションメールの配信事業者：アカウントおよびセキュリティに関するメール（領収書、ログインおよびデバイスに関するアラート、お客様のアカウントのパスワードリセット用リンク）を配信します。お客様が求めていないマーケティングには使用されません。

当社は、法的に強制される場合（例えば、有効な裁判所命令がある場合）にも、情報を開示することがあります。そのような要求を受けた場合、当社は実際に保有している情報のみを提供します。また、お客様の保管庫は当社が保有していない鍵で暗号化されているため、誰から要求されても、当社はお客様の復号された機密情報を提出することはできません。法律で認められる場合、当社は、お客様のアカウントに関係する要求についてお客様に通知します。最後に、当社が合併または買収に関与した場合、データの移転はすべて、引き続き本ポリシー、または同等の保護を定めた後継のポリシーに従うものとします。

データの保持と削除

当社は、必要な期間に限り個人データを保持します。

• アカウントデータ（メールアドレス、プラン、OPAQUEの記録）：お客様のアカウントが有効である間、保持します。
• 暗号化された保管庫データ：お客様が同期を利用している間保持し、アカウントの削除後に削除します。
• 運用ログ：セキュリティおよびデバッグのために短期間（通常は最長90日間）保持し、その後ローテーションにより削除します。
• 請求記録：税法および会計法で求められるとおりに保持します（数年間に及ぶ場合があります）。その大部分はStripeが保持します。

お客様は、いつでもアカウントを削除できます。現在、アカウントの削除は、当社サポートチームへのご連絡により承っています。連絡先はsupport@walilock.comです（アプリ内でお客様ご自身がアカウントを削除できる機能は、ロードマップに含まれています）。削除にあたり、当社はお客様のアカウント記録と暗号化された保管庫データを稼働中のシステムから削除し、委託先にもそれに応じて指示します。暗号化されたバックアップに残存するコピーは、当社の標準的なバックアップローテーションの周期に従って消去されます。

お客様の権利

お住まいの地域に応じて（EU/英国のGDPRやカリフォルニア州のCCPA/CPRAに基づくものを含みます）、お客様はご自身の個人データに関する権利を有します。当社は、お客様の所在地にかかわらず、すべてのユーザーに対してこれらの権利を尊重します。

• アクセス：当社が保有するお客様の個人データの写しを請求できます。
• 訂正：メールアドレスなど、不正確または不完全な情報の修正を当社に求めることができます。
• 削除：お客様のアカウントおよび関連データの消去を請求できます。
• ポータビリティ：お客様のデータを移行可能な形式で受け取ることができます。保管庫は、アプリからいつでも直接エクスポートすることもできます。
• 異議および制限：特定の処理に対して異議を申し立てること、または当社にその制限を求めることができます。
• 差別的取扱いの禁止：当社は、お客様がこれらの権利を行使したことを理由として、お客様に不利益を与えることは決してありません。

これらの権利を行使するには、privacy@walilock.comまでメールでご連絡ください。当社は、適用法で求められる期間内（通常は30日以内）に回答します。当社は、クロスコンテキスト行動広告のために個人情報を販売または「共有」することはないため、その点についてオプトアウトの対象となるものはありません。

お客様のデータの保護

セキュリティこそが本製品そのものであるため、保護は後付けではなく、最初から組み込まれています。

• エンドツーエンド暗号化：保管庫のアイテムは、お客様のデバイスから送信される前に、XChaCha20-Poly1305を用いてローカルで暗号化されます。
• OPAQUE認証：お客様のサインインパスワードは送信も保存もされないため、サーバー側での認証情報の窃取を防ぎます。
• 暗号化された通信：すべての通信は、アプリケーション層のエンドツーエンド暗号化に加えて、TLS 1.3によって保護されます。
• デバイスに結び付けられた鍵：保管庫の鍵は、利用可能な場合はOSのキーチェーンまたはセキュアエレメントに保持され、平文のままディスクに書き込まれることはありません。

暗号仕様および当社の脅威モデルを含む技術的な詳細は、セキュリティページに掲載しています。

国際的なデータ移転

当社はグローバルに事業を展開しており、当社のインフラストラクチャおよび委託先は、米国を含む、お客様の居住国以外の国でデータを処理する場合があります。当社は、個人データを国境を越えて移転する場合、標準契約条項などの適切な保護措置に依拠します。実際には、お客様のデータのうち機密性の高い部分、すなわち保管庫は、暗号文としてのみ送信されるため、サーバーがどの法域に所在していても、読み取ることのできない状態に保たれます。

子どものプライバシー

Walilockは子どもを対象としていません。当社は、16歳未満（適用される最低年齢が13歳である場合は13歳未満）の方から、それと知りながら個人データを収集することはありません。お子様がアカウントを作成したと思われる場合は、privacy@walilock.comまでご連絡ください。当社は当該アカウントを削除します。

本ポリシーの変更

当社は、製品や法令の変化に応じて、本プライバシーポリシーを更新することがあります。重要な変更を行う場合、当社は上記の「最終更新日」を更新し、適切な場合には、メールまたはアプリ内でお客様に通知します。更新後もWalilockを引き続き利用された場合、お客様は改定後のポリシーに同意したものとみなされます。本ポリシーは、当社の利用規約とあわせて適用されます。

お問い合わせ

お客様のプライバシーに関するご質問、ご要望、ご懸念はありますか。当社はすべてのメッセージに目を通しています。