LEGAL
ZTPipe プライバシーポリシー
最終更新: 2026年10月31日
Packet Pilot合同会社（以下「当社」）は、署名・暗号化した業務メールのためのDesktop App「ZTPipe」と、Webサイト https://ztpipe.app、ポータル（portal.ztpipe.app）（以下あわせて「本サービス」）を提供します。本ポリシーは、本サービスが扱う情報とその扱いを定めます。EUの一般データ保護規則（GDPR）が適用される場合は、その規則の下での扱いも定めます。
1. 設計の原則: メールは利用者の端末から出ません
ZTPipeは、利用者の端末から利用者のメールサービス（Google、Microsoft、またはIMAP/SMTPのサーバー）へ直接つながります。メールの中身（件名・本文・添付・宛先）、暗号の鍵、連絡先は、利用者の端末の中だけで扱い、保存します。当社のサーバーへは送りません。当社がメールを読む手段はありません。
2. 端末の中だけで扱う情報
ZTPipeは、次の情報を、端末のSecure Enclave（macOS）またはTPM（Windows）で守った鍵で暗号化して端末に保存します。
- メールの接続: OAuthのtoken（Google・Microsoft）、またはIMAP/SMTPのパスワード
- mailboxから取り込んだメッセージ・添付（確かめるまで隔離して保存）、下書き、フォルダー、Flag、既読
- 鍵と証明書、照合した相手（連絡先）、設定
- 送ったメッセージの記録と確認の結果
2台目の端末を追加するときは、2台が利用者自身のmailboxを通して暗号化したデータをやり取りします（§3）。期限付きメールは、アプリの説明のとおり端末から消します。
3. Googleのユーザーデータ
GmailまたはGoogle Workspaceのアカウントをつなぐと、ZTPipeはGmailのscope https://www.googleapis.com/auth/gmail.modify を求めます。ZTPipeは、利用者が使うメールの機能のためだけにこれを使います。
- 読む: 新しいメッセージを一覧し、ZTPipeのメッセージの元のデータ（MIME）を取り込み、端末で復号・確認します。ほかのメッセージは、ZTPipeのメッセージや配送不能の通知かを見分けるため構造だけを確かめ、中身は取り込みません。
- 送る: 利用者が作成したメッセージと招待を送ります。
- 端末の追加: 「ZTPipeControl」という隠しラベルを作り、端末を追加する間だけZTPipe自身の暗号化した一時的な制御メッセージを置き、終わったらごみ箱へ移します。
ほかのメッセージの既読・ラベルは変えず、削除もしません。
これらのscopeで得たGoogleのユーザーデータは、
- 利用者の端末の中だけで扱い・保存し、当社にも第三者にも渡しません。
- 広告に使わず、販売せず、汎用のAI・機械学習モデルの開発・改善・学習に使いません。
- 当社の人が読むことはありません。
ZTPipeによるGoogle Workspaceのscopeから受け取った情報の利用は、Limited Useの要件を含むGoogle User Data Policyに従います。
利用者は、Googleアカウント（https://myaccount.google.com/permissions）またはZTPipeの設定の「接続を外す」から、いつでもアクセスを取り消せます。
4. Microsoft 365・そのほかのメールサービス
Microsoft 365をつなぐと、ZTPipeはMicrosoft Graphの権限 User.Read（つないだmailboxを確かめる）・Mail.ReadWrite・Mail.Send・offline_access（ログインし直さずに接続を保つ）を求めます。これらを、読む・送る、端末の追加のために非表示のフォルダーに自分の制御メッセージを作る・消すことに使います。IMAP/SMTPも同じように使います。Googleと同じく、端末の中だけで扱い、当社へ送りません。
5. 当社が受け取る情報
5.1 ポータル（portal.ztpipe.app）
- アカウント: 登録する人のメールアドレスと氏名、会社の名前・住所・電話番号・国と法人番号、パスワードのhash、2要素認証（TOTP）の秘密の値
- 管理者が招待した利用者: メールアドレスと役割
- ライセンスのメモ: 管理者がライセンスごとに付ける任意のメモ（使う人の名前など、管理者が書いたもの）。アプリを使う人のメールアドレスは当社に届きません（§5.2）。
- セキュリティの記録: アカウントと管理の操作の記録（何を・いつ・どのアカウントが・結果）。IPアドレスは含みません。
- 不正の防止: 繰り返しの試みを制限するため、接続元のIPアドレスの一方向のhashだけを7日間保存し、アドレスそのものは保存しません。Webサーバーのlogは要求・結果・時刻を記録し、IPアドレスとブラウザの情報は記録せず、7日間保存します。
- 請求: プラン、ライセンスの数、契約期間、支払いの状態。決済はStripeが行い、当社はカード番号を持ちません。
5.2 ライセンスの確認
有効化・更新のとき、アプリは、契約ID、シリアルNo（当社はhashだけを保存）、利用者のメールアドレスとシリアルNoから端末で計算した照合の値（アプリはメールアドレスそのものを送りません）、端末の署名鍵から作った端末の識別子、OS、アプリの版を送ります。要求のlogは要求・結果・時刻を記録し、IPアドレスは記録しません。繰り返しの失敗を制限するためだけにIPアドレスの一方向のhashを保存します。どちらも7日間保存します。
5.3 送信時のネットワーク確認
この機能を使うと、アプリが当社の確認用のサーバーへ通信します（サーバーの証明書の確かめ、名前解決の比較、接続の確かめ）。ライセンス・アカウント・メッセージの情報は付けません。名前解決の比較で当社のDNSに問い合わせた名前は記録しません。log（IPアドレスと時刻を含む）は7日間、ライセンスのlogと別に保存し、突き合わせません。
5.4 当社が送るメール
アドレスの確認、招待、パスワードの再設定、2要素認証の再登録のメールを、no-reply@ztpipe.appからAmazon SESで送ります。
5.5 任意のProof（PP-TSA）
メッセージにProofを付けることを選んだときだけ、メッセージと添付のhashと要求の情報を、当社の時刻証明サービス（PP-TSA）へ送ります。中身は端末から出ません。
5.6 問い合わせ
問い合わせの内容と、そのときの連絡先
5.7 アプリの更新の確認
アプリは、起動した後と、その後1日に1回ほど、当社のサーバーから新しい版の情報を取得します。新しい版のインストーラーは、利用者が「更新する」を押したときだけ取得します。ライセンス・アカウント・端末・メッセージの情報は付けず、アプリの版とOSも送りません。Webサーバーのlogは要求・結果・時刻を記録し、IPアドレスは記録しません。ほかのlogと別に7日間保存します。
6. アプリがほかに通信する先
メールサービスのほか、「ASNのデータを更新」を押したときだけiptoasn.com（公開のデータファイルの取得。利用者の情報は送りません）、Proofを使うときPP-TSA、送信時のネットワーク確認で名前解決を比べるDNSに当社以外（Cloudflare・Google・利用者が指定したもの）を設定で選んだときそのDNSのサービス（送信先のサーバーの名前を問い合わせます）へ通信します。
7. Cookie
解析・広告のcookie、tracker、第三者のscriptは使いません。フォントも当社のサーバーから配ります。
| 場所 | 名前 | 目的 | 期間 |
|---|---|---|---|
| ztpipe.app | ztpipe_lang | 言語のセレクトボックスで選んだ言語を覚える（選んだときだけ） | 1年 |
| portal.ztpipe.app | __Host-ztpipe-portal | ログインを保つ（必要なもの） | 8時間 |
| portal.ztpipe.app | __Host-ztpipe-csrf | 操作をクロスサイトリクエストフォージェリから守る（必要なもの） | 8時間 |
| portal.ztpipe.app | __Host-ztpipe-download | 求めたアプリのダウンロードを許す（必要なもの） | 30分 |
| ztpipe.app・portal.ztpipe.app（ブラウザの保存領域） | ztpipe.cookie_notice | Cookieのお知らせを閉じたことを覚える。ブラウザに残り、当社へは送りません | 消すまで |
| portal.ztpipe.app（ブラウザの保存領域） | ztpipe.theme・ztpipe.locale | 選んだ明るさ・暗さの表示と言語を覚える。ブラウザに残り、当社へは送りません | 消すまで |
支払いのときは、ポータルにStripeの支払いフォームを表示します。Stripeは、支払いと不正の防止に必要なcookieを、Stripeのプライバシーポリシーのもとで使うことがあります。
8. 利用目的と法的根拠
| 情報 | 目的 | 法的根拠（GDPR） |
|---|---|---|
| アカウント・請求 | 本サービスの提供、認証、契約の管理、請求、税の法令への対応 | 契約、法的義務 |
| ライセンスの確認のデータ | ライセンスと端末の数の確認 | 契約 |
| logとIPアドレスのhash | 本サービスの運用、不正の防止、障害の調査 | 正当な利益（7日まで） |
| セキュリティの記録 | アカウントの保護、不正の調査 | 正当な利益 |
| ネットワーク確認のlog | ネットワーク確認の提供 | 正当な利益（7日まで） |
| 問い合わせ | 回答 | 契約または正当な利益 |
9. 第三者への提供と委託先
個人データを販売せず、同意・法令・下の委託先のほかは第三者へ提供しません。
| 委託先 | 目的 | 所在 |
|---|---|---|
| Amazon Web Services | hosting（東京リージョン）とメールの配信（Amazon SES） | 日本 |
| Stripe | カード決済 | 米国ほか |
10. 国外への移転
個人データは日本（AWS東京リージョン）で保存・処理します。EEAから日本への移転は欧州委員会の十分性認定によります。決済のデータは、EU-US Data Privacy Frameworkに参加している米国のStripeへ移転することがあります。
11. 保存期間
| 情報 | 期間 |
|---|---|
| アカウント | 契約の間と終了後30日 |
| ライセンスの記録 | 契約の間と終了後30日 |
| Webサーバーのlog、ライセンスの確認のlog、ネットワーク確認のlog、更新の確認のlog、不正の防止のためのIPアドレスのhash | 7日 |
| セキュリティの記録 | 契約の間と終了後30日 |
| 請求の記録 | 法令が定める期間 |
| 問い合わせ | 契約の間と終了後30日 |
12. 安全管理
通信と保存の暗号化、署名の鍵を鍵管理サービスに置くこと、ポータルの全アカウントの2要素認証、最小権限、監査log、顧客ごとの分離。アプリでは、秘密鍵を端末のSecure EnclaveまたはTPMで守り、データを暗号化して保存します。
13. 利用者の権利
当社が持つ個人データについて、開示・訂正・消去・利用停止・異議・データポータビリティを求め、同意に基づく扱いの同意を取り消せます（§16へ連絡）。GDPRが適用される場合は1か月以内に答えます。各国のデータ保護機関、または日本の個人情報保護委員会へ申し立てられます。端末の中だけのデータ（§2）は利用者が管理し、端末のZTPipeのデータを消せば消えます。
14. EU / EEA
ZTPipeは現在、日本の法人だけに提供しており、EU / EEAの事業者には提供していません。EU / EEAの事業者への提供を始めるときは、その前にGDPR第27条のEU域内代理人を指定し、名前・所在地・連絡先をこの頁に載せます。ご質問は§16の連絡先へご連絡ください。
15. 変更
変更はこの頁に載せ、重要な変更は登録したメールアドレスへ知らせます。
16. 連絡先
Packet Pilot合同会社 — product.support@packet-pilot.net