Herkos プライバシーポリシー

最終更新: 2026年11月11日。正規URL: https://herkos.app/privacy

翻訳について。 これは便宜上の翻訳です。相違がある場合は英語版が優先します。

Herkos Mail、Herkos Calendar、Herkos Notes、Herkos Drive、Herkos Local Relay は Nostr ネットワーク向けの自由でオープンソースのアプリであり、Herkos プロジェクト（以下「私たち」）が公開しています。Herkos Calendar、Herkos Notes、Herkos Drive、Herkos Local Relay はまだ開発中です。この文書は、アプリと私たちのウェブサイトがどのようなデータを扱い、それがどこへ行き、誰が見られるのかを説明します。流し読みではなく読まれることを想定して書きました。ここに驚くような点があれば privacy@herkos.email までお知らせください。

データ保護に関する基本情報

第一層を数行で示します。この文書の残りの部分が第二層です。

• 管理者 — アプリがあなたの端末に保存するもの、およびリレーとサーバーに送るものについては、あなたと、あなたが使う各リレー・各サーバーの運営者です。Herkos はそのいずれも受け取りません。私たちのウェブサイトと、あなたが私たちに書き送る内容については、Herkos プロジェクト（privacy@herkos.email）です。
• 利用目的 — アプリ：あなたのメール、予定、ノート、ファイルを保存し、送信し、受信するため。私たちのウェブサイト：ページを配信するため、およびあなたから連絡があった場合に返答するため。
• 法的根拠 — アプリは私たちの側では何も処理しません。私たちのウェブサイト：ウェブサイトを配信し安全に保つという私たちの正当な利益。あなたへの返答：あなたの依頼。
• 受領者 — 各アプリが使うリレー、Blossom サーバー、ブリッジ、その他のサービス。それぞれに何が見えるかとともに、以下で一つひとつ挙げています。私たちのウェブサイトについては Cloudflare。既定のサーバーの一部は欧州連合の外にあります（後述の Herkos Drive を参照）。私たちは誰にも何も販売しません。
• 権利 — アクセス、訂正、消去、異議、取扱いの制限、データポータビリティ。端末上にあるものは、アプリで確認、変更、削除できます。リレーやサーバー上にあるものは、その運営者に求めてください。あなたのデータ保護機関に苦情を申し立てることもできます（スペインでは AEPD）。
• 追加情報 — 以下で、端末に残るもの、端末から出ていくものとその送り先を、アプリごとに説明し、あなたの選択肢も示します。

短い版

• Herkos にはアカウントの仕組みも、自前のサーバーも、解析もありません。 あなたのメッセージ、予定、ノート、連絡先、鍵、利用状況を私たちが受け取ることはありません。
• あなたの Nostr 公開鍵がネットワーク上の身元です。Nostr に公開するもの （プロフィール、リレー一覧、ラベル）はすべてそれに結び付き、利用中のリレーから 見えます。
• Nostr 利用者どうしのメールはエンドツーエンドで暗号化されます（NIP-17）。 従来のメールアドレスとの送受信はブリッジを経由し、ブリッジは内容を読めます。
• 一部の任意機能は第三者にデータを送ります（プッシュ通知、予約送信）。 あなたが有効にするまでは無効で、本文書はその一つひとつを挙げています。
• カレンダーの予定は端末上で暗号化されます。リレーに見えるのは、あなたに予定があること、 そのおおよその大きさ、変更された時刻であり、内容は見えません。公開の予定、予定あり一覧、 共有リンクは、一つひとつあなたの選択によって公開されます。ゲストがどこで受け取るかを 調べるとき、Calendar が尋ねるのはあなたのリレーだけで、第三者のインデックスには決して尋ねません。
• ノートは、あなた自身の鍵宛てに端末上で暗号化されます。リレーはノートを読めませんが、 ノートがいくつあり、それぞれをいつ編集するかは見えます。検索は端末上で行われ、 探している言葉が端末の外に出ることはありません。共有したノートは、あなたが選んだアカウント だけに封印されて届きます。リレーには、誰が送ったかも、何が書かれているかも見えません。
• Herkos Drive のファイルは、Blossom サーバーに送られる前に、ブロックごとに端末上で暗号化されます。 ファイル名とフォルダーは暗号化されてリレーに送られます。リレーとサーバーに見えるのは、 ファイルとフォルダーがいくつあり、おおよそどのくらいの大きさで、いつ変更されたかであり、 名前や中身は見えません。共有リンクは # の後ろに自身の鍵を含んでいます。パスワードと同じように扱ってください。
• Herkos Local Relay は、あなたのイベントを端末上に暗号化して保存し、Herkos には何も 送りません。待ち受けるのは端末内（127.0.0.1）だけです。ローカルネットワークをオンにした場合は 例外ですが、そのときも一覧にある鍵に対してだけです。通信するのは、あなたのリレーと、あなたが書き送る相手の受信箱リレー だけで、非公開のイベントが端末の外に出ることはありません。コピーはあなたが選んだフォルダーにだけ 書き出され、クラウドには決して送られません。Tor をオンにすると（Windows と Linux）、Tor ネットワーク経由でも届きます。この場合もリストにある鍵だけです。
• 私たちのウェブサイト（herkos.app とそのサブドメイン）は Cloudflare が配信しており、 ほかのウェブホストと同様に、Cloudflare にはあなたの IP アドレスが見えます。これらのサイトは クッキーを使わず、解析も行いません。

端末に残るデータ

• 秘密鍵（nsec） は、それでサインインした場合、OS の安全な保存領域に保存されます （Android キーストア、iOS/macOS のキーチェーン、Windows 資格情報マネージャー、 Linux の libsecret、ウェブ版では暗号化されたローカルストレージ）。リモート署名アプリ （NIP-46 の「bunker」）でサインインした場合、鍵が端末に届くことはありません。

ブラウザーにはそのような安全な保存領域がありません。 鍵はサイトのローカルストレージに置かれ、署名のたびに JavaScript を通ります。そのため、すべてのページにアクセスできる拡張機能、XSS の欠陥、改ざんされた配信によって読み取られるおそれがあります。インストール済みのアプリと違い、ウェブページは訪問のたびに新しいコードを配信します。ウェブ版では、リモート署名アプリを使うか、失っても困らない識別子を使ってください。 - メールボックス：復号されたメール、添付ファイル、ラベル、フォルダー、連絡先は、 オフラインでも動作するようローカルデータベースにキャッシュされます。このデータ ベースは OS が提供する以上の暗号化はされていません。アプリロック（PIN や生体認証） は利便性のための障壁であって、保存時の暗号化ではありません。Android ではアプリは クラウドバックアップおよび端末間バックアップの対象外です。 - アプリロックの PIN：ソルト付きで伸長したハッシュ（PBKDF2）として保存され、 平文で保存されることはありません。Herkos Calendar と Herkos Notes にはそれぞれ独自の PIN があり、同じ方法で保存されます。 - カレンダー（Herkos Calendar）：あなたが読める予定、一覧、閲覧鍵、リマインダーは端末に キャッシュされ、OS の安全な保存領域に保管された鍵でレコードごとに暗号化されます。 ブラウザーではカレンダーはメモリー上にのみ保持され、毎回リレーから取得し直します。 リマインダーは端末自身が鳴らします。Calendar はプッシュサーバーを使いません。リマインダーで タイトルを隠すことを選んだ場合、表示されるのは「予定」と開始時刻だけです。Calendar の鍵は Herkos Mail の鍵とは別に保管されます（Calendar の節の「あなたのアカウント」を参照）。 - ノート（Herkos Notes）：ノート、その履歴、ノートブック、検索インデックスは端末にキャッシュされ、OS の安全な保存領域に保管された鍵でレコードごとに暗号化されます。 ブラウザーでも同じように、そのサイト用のブラウザーの保存領域（IndexedDB）に保存されますが、鍵もブラウザー内にあるため、他の人も使うコンピューターではあまり保護になりません。 ブラウザーがそのサイトのデータを何も保存しない場合（プライベートウィンドウ、サイトのデータのブロック）は、メモリー上にのみ保持され、接続がないと書き込めません。 ロックしたノートには専用のパスワードが付きます。 それがなければ、私たちを含め誰もそのノートを開けません。 ノートのバックアップは、あなたが保存した場所にだけ書き出されるファイルで、専用のパスワードで暗号化されます。 自動コピーは、オフにしない限り毎日作られる、端末のフォルダー（ドキュメント内の Herkos Notes/backups）にあるファイルで、あなたのアカウントの鍵で暗号化されます。 最新の 7 件が保管され、どこにも送られません（ブラウザーでは作られません）。 ほかのアカウントがあなたと共有したノートは、あなたが保存するか破棄するまで、「受け取ったノート」で待機します。端末上にあり、ほかと同じように暗号化されています。 - あなたのファイル（Herkos Drive）：ファイルとフォルダーの一覧は、その鍵とともに端末にキャッシュされ、OS の安全な保存領域に保管された鍵でレコードごとに暗号化されます。 まだ送信していないものや、アップロード待ちのブロックも、暗号化して保管されます。 サムネイルはメモリー上にだけ保持されます。 ダウンロードしたファイルや開いたファイルは、ほかのファイルと同じく、あなたが選んだ場所に平文で書き出されます。 Drive のバックアップ（.hbk、または専用のパスワードを持つインデックスのバックアップ）は、あなたが保存した場所にだけ書き出されるファイルです。 Android では、システムのファイル選択画面と「共有」に Drive のファイルが表示されるのは Drive のロックが解除されている間だけで、そこからアプリが受け取るものはその場で復号され、ディスクに書き込まれることはありません。 - あなたのリレー（Herkos Local Relay）：そのイベント、ペアリングしたアプリ、その設定、コピーの保存先。詳しくは後述の専用の節を参照してください。

これらはすべて 設定 → その他 → アプリをリセット から、またはアカウントを削除する ことで消去できます。

端末から出ていくデータと、その送り先

この表は Herkos Mail についてのものです。Herkos Calendar、Herkos Notes、Herkos Drive、Herkos Local Relay には、後述のそれぞれ独自の節があります。

プライベートリレー。 アカウントにプライベートリレーのリスト（kind 10013、NIP-37。Herkos Notes と Calendar も同じものを使います）がある場合、Mail は下書き、暗号化された設定、ラベル、予約送信をそのリストのリレーに保存し、書き込みリレーには保存しません。以前そこに残したものは引き続き読み込み、削除するときはそこからも削除します。リストがない場合は書き込みリレーに送られます。Mail がリストを公開するのは、あなたが求めたとき（設定 → ホスティング → プライベートリレー）だけで、あなたの鍵で暗号化されます。リレーに見えるのは、あなたの公開鍵、リストがあること、変更された時刻で、中のリレーは見えません。他のアプリが書いたリストはそのまま使い、上書きすることはありません。

自動転送（設定 → 自動転送。オンにするまではオフ）。新しいメッセージのコピーが、あなたが選んだ一つのアドレスに送られます。Nostr アカウントへは、ほかのメッセージと同じくエンドツーエンドで暗号化されます。従来のメールアドレスへは、アカウントのメインアドレスのブリッジを経由し、ブリッジはその内容をすべて見ることができます（上の ブリッジ を参照）。転送はこの端末が、Mail の実行中または次の同期時に行います。この設定は端末に残り、公開されることはありません。

Android スマートフォンの署名アプリ（NIP-55、Amber など）。鍵はそのアプリの中にとどまり、Mail はスマートフォン上で直接そのアプリとやり取りします。間にリレーやネットワークは入りません。端末に保存されるのは、あなたの公開鍵とどのアプリが署名するかだけです。Mail が依頼するのは、Mail があなたのアカウントで署名する kind への署名と、暗号化・復号（NIP-44）だけで、使い捨ての鍵を使うメッセージの封筒は依頼しません。戻ってきた署名済みイベントは、使う前にすべて確認します。

Herkos Local Relay。 同じ端末に Herkos Local Relay がある場合、Mail は一度だけ接続を提案します。接続 をタップし、Herkos Local Relay で Mail を承認するまで、何も送られません。Mail は独自の鍵でペアリングし、接続のたびに同じリレーであることを確認します。リレーがあなたのイベントをあなたのものとして保管できるよう、あなたの鍵で一度だけ署名します。その後、この端末に保存されているメールをそこにコピーし、以後は Mail が送るあなたのアカウントのすべてのイベントと受け取るすべての封筒を、署名されたとおり、暗号化されたままコピーします。そしてリレーに、それらを端末内に保管し、プライベートなものはあなたの鍵にだけ渡すよう求めます。あなたがほかの人に送る封筒はコピーされません。Mail がそこから読み込むことはありません。あくまでコピーです。このために端末の外へ出るものはありません。

Herkos 自身はこれらを一切受け取りません。クラッシュレポートもテレメトリーも ありません。

Herkos Calendar: リレーに見えるもの

Calendar が通信するのは Nostr リレーです。 あなたのアカウントのリレー（NIP-65 の一覧と受信箱の一覧）、設定 → リレー にあるリレー（変更可能）、そして誰かを招待したり招待に返事をしたりするときはその人の受信箱リレーです。 あなたが自分で調べるもの（下記）を除き、ほかとは通信しません。公開のリレーインデックスとも通信しません。 それぞれが何のためにあるかは、下の「あなたのアカウント」で説明します。 Herkos のサーバーも、プッシュサーバーも、テレメトリーもありません。 どのリレーにも、あなたの IP アドレスと各接続の時刻が見えます。

NIP-42 認証を求めるリレーはあなたの公開鍵を知ります。Calendar がそうした要求に応じるのは、 あなた自身のリレー上のあなた自身の予定についてと、あなた自身の受信箱を読むときだけです。 Nostr での削除は要求です。リレーは、暗号化されたままのコピーを保持し続けることがあります。

予定の中身では隠せないものもあります。すべての招待はあなたの IP アドレスから送り出され、 各ゲストは自分の IP アドレスからあなたのリレーへ予定を取りに行きます。複数のゲストの受信箱を 預かるリレーには、それらの招待が同じアドレスから来たことが分かります。それを隠せるのは Tor か VPN だけです。

あなたのアカウント

Calendar はアカウントを作りません。すでに持っている Nostr の身元で、次のいずれかの方法でサインインします。

• Android スマートフォンの署名アプリで（NIP-55、Amber など）：鍵はそのアプリに留まり、Calendar はスマートフォン上でそのアプリと直接通信します。間にリレーやネットワークは入りません。 端末が保持するのは、あなたの公開鍵と、どのアプリが署名するかだけです。 Calendar がそのアプリに求めるものはbunker（下記）と同じで、招待の封筒は決して求めません。署名されて戻ってくるイベントは、使う前にすべて確認します。
• 鍵で（nsec、またはパスワードで保護された ncryptsec を端末上で開きます）：OS の安全な保存領域に、Calendar 独自の名前で保存されます。 Herkos Mail は自分のアカウントを別に保管しており、Calendar がそれを読んだり、変更したり、削除したりすることは決してありません。一方のアプリからサインアウトしても、もう一方からはサインアウトされません。
• bunker:// リンクで：鍵は署名アプリに留まります。 Calendar はリンクに書かれたリレーを通じて署名アプリと通信し、求めるのはあなたの公開鍵、暗号化と復号（NIP-44）、Calendar 自身の kind のイベントへの署名だけです。招待の封筒は使い捨ての鍵を使うので、署名アプリを通ることはありません。 端末が保持するのは接続だけです（そのために作った鍵、署名アプリの公開鍵、そのリレー）。 それらのリレーには、あなたの IP アドレス、接続の鍵、署名が求められた時刻が見えます。要求は暗号化されています。
• Nostr Connect で（QR コード）：bunker と同様ですが、接続は 設定 → リレー にあるリレーを通ります。 Calendar は、独自のリレーもほかの誰かのリレーも追加しません。

あなたのリレー。 サインインすると、Calendar は 設定 → リレー にあるリレーで、あなたの一覧（NIP-65、kind 10002、および受信箱の一覧、kind 10050）を探します。これはあなたを特定しない別の接続で行われ、認証を求めるリレーには、あなたの鍵ではなく使い捨ての鍵で応じます。 その後は次のとおりです。

• あなたの予定、一覧、暗号化された設定は、NIP-65 の書き込みリレーに公開されます。その一覧がない場合は 設定 にあるリレーに公開され、アカウントのページがそのことを知らせます。
• 招待と返事は、あなたの読み込みリレーと受信箱リレーから読み取ります。Calendar が NIP-42 認証に応じるのは、あなた自身のリレーで、あなたのものについてだけです。
• サインインした状態でアプリを開いても、何かが必要になるまでどこにも接続しません。
• 設定 → リレー に、この端末で動いているリレー（アドレスが ws://127.0.0.1 または ws://localhost のもの。Citrine アプリなど）がある場合、同期のたびに、あなた自身の予定、一覧、削除のコピーも、署名されたときのまま、暗号化されたままの状態でそのリレーに残します。 そのために端末の外へ出るものは何もありません。また、あるイベントがほかのリレーにある限り、ゲストに探す場所として伝えられるのがこのリレーになることは決してありません。 そのリレーを読む端末上のほかのアプリには、どのリレーにも見えるものが見えます。

ゲストのリレー（2026年10月21日に決定）。誰かを招待するには、その人がどこで受け取るかをアプリが知る必要があります。 Calendar はその人の一覧（10002 と 10050）を 設定 → リレー にあるリレーだけで探し、第三者の公開インデックス（purplepag.es など）では決して探しません。そのサービスには、あなたの問い合わせ元のアドレスと、誰について尋ねたか、つまり誰を招待するかが見えてしまうからです。 ゲストは一人ずつ、ランダムな順序で、使い捨ての鍵を使ったそれぞれ別の接続で探すので、それらのリレーには誰が誰と一緒に招待されているかは分かりません。 それらのリレーに見えるのは、あなたの IP アドレスと、探した各人の公開鍵です。 ある人の一覧がそれらのリレーにない場合、アプリは送信前にその人を「受信箱が見つからない」と表示し、招待はその人に届きません。 その人を見つけるには、その人が一覧を公開しているリレーを 設定 → リレー に追加してください。

端末間で同期されるものは、常にあなた宛てに暗号化され、あなたの書き込みリレーに置かれます。カレンダー一覧（その予定の鍵を含む）、リマインダー設定（d=calendar-alarms）、フォローしているカレンダー（d=calendar-subscriptions）、そして無視した招待や、カレンダーから外したほかの人の予定（kind 30078、d=calendar-declined。どの予定かといつかだけで、タイトルは決して含みません）です。 リレーに見えるのは、それらが存在することと変更された時刻であり、内容は見えません。 端末が鳴らすリマインダーは、サインイン中のアカウントのものだけで、以前のアカウントのものは決して鳴らしません。

鍵のコピー。 Calendar はコピーの保存を勧めます。カレンダー一覧とその予定の鍵を含むファイルで、そのために選んだパスワードで暗号化されます（NIP-49 の暗号方式）。 保存した場所にだけ書き出され、リレーにもサーバーにも送られません。ファイル名には日付が入り、アカウントは決して入りません。 コピーを促すお知らせのために端末が覚えているのは、二つの日付だけです。最後にコピーした日と、最後に「今はしない」を選んだ日です。

サインアウトすると、まず失われるものを示し、コピーの保存を勧めます。 その後、この端末からあなたの鍵（またはbunker の接続）と保存されたカレンダーを削除します。 公開済みのものは、暗号化されたままリレーに残ります。 署名アプリで与えた許可は、そのアプリの側であなたが取り消してください。

あなたの選択で公開されるもの

これらはあなたが有効にするまでは無効で、有効にする前に、それぞれが何を明かすのかをアプリが示します。

• 公開の予定（kind 31922/31923）：タイトル、時刻、場所、説明など、その中身はすべて公開され、あなたの公開鍵に結び付き、公開されたままになります。公開の予定を非公開に戻すことはできません。
• 予定あり一覧（kind 31926）：選んだカレンダーについて、今月と翌 2 か月のうち予定がある時間帯を、30 分（または 15 分）単位に丸めたもの。何を、どこで、誰と、は決して含みません。 オフにすると、リレーに削除を要求します。
• 共有リンク（herkos.app/e/…）：リンクそのものが鍵です。リンクを持つ人は、あなたが取り消すまでその予定を読むことができ、リンクの最初の部分にはあなたの公開鍵が表れます。鍵は # の後ろにあります。これはブラウザーがサーバーに決して送らないアドレスの部分なので、Cloudflare にも私たちにも見えません。ページはリンクに書かれたリレーに問い合わせます。そのうちどれかがよく知られたリレーでない場合は、どのサーバーかを訪問者に伝え、接続する前に確認します。 そのサーバーには訪問者の IP アドレスが見えるからです。取り消すと、予定は新しい鍵で暗号化し直されます。すでに読んだ人の手元には、読んだ内容が残ります。
• 書き出し（.ics）：タイトルと時刻が入ったプレーンテキストのファイルです。暗号化されていないので、ほかの私的な文書と同じように保管してください。
• 自動コピー（.ics、.ics に書き出す のページ）：Calendar を開いた日に 1 日 1 回、すべてのカレンダーを、あなたが選んだフォルダーに書き出し、最新の 7 つを残します。書き出しと同じく暗号化されていないので、そのフォルダーを読めるもの（ほかのアプリや、そのフォルダーを同期するクラウドのフォルダー）は、あなたのタイトルと時刻を読むことができます。Calendar がそこで書き込み、削除するのは自分のファイル（herkos-calendar-auto-…ics）だけで、フォルダーはこの端末でだけ記憶します。
• 不具合の報告（ベータ版）：アプリは、あなたがコピーして自分で送るためのテキストを用意するだけです。含まれるのはアプリのバージョン、プラットフォーム、言語、タイムゾーン、リマインダーを鳴らせるかどうかで、あなたの予定、鍵、アカウントは決して含みません。

Herkos Calendar は、ほかのアプリが書いた、あなたの公開の予定への公開の返信（出欠の返事 RSVP、 kind 31925、および取り下げ、kind 84）を読みます。どちらも自分では書きません。

あなたが自分で調べるもの

次の接続は、あなたが求めたときにだけ行われます。

• アドレスでフォローするカレンダー（.ics または webcal）：端末はそのアドレスのサーバーへ直接、https だけで、数時間ごとに取りに行きます。 Cookie も、私たちの仲介もありません。 そのサーバーにはあなたの IP アドレスと取得した時刻が見え、アドレスを知っている人は誰でもカレンダーを読めます。 アドレスの一覧は、あなた宛てに暗号化して端末とあなたのリレーに保存されます（kind 30078、d=calendar-subscriptions）。
• フォローする Nostr の公開カレンダー（naddr… リンク）：数時間ごとに、あなたのリレーとリンクに記されたリレーにだけ取りに行きます。 それらのリレーには、あなたの IP アドレスとどのカレンダーを読んでいるかが見えます。 同じ暗号化された一覧に入ります。
• 祝日：アプリに含まれています。 フォローしてもどのサーバーにも何も求めません。
• 「空いているか確認」（エディターで押したとき）：アプリは各招待者の公開の予定ありリスト（kind 31926）を、その人が公開しているリレーに、名乗らずに求めます。 それらのリレーには、あなたの IP アドレスと誰について尋ねたかが見えます。
• 予定のファイル：Blossom サーバーに暗号化して置かれています。 開くと、アプリはそのサーバーからダウンロードします。 サーバーにはあなたの IP アドレスとファイルの識別子が見えますが、中身は見えません。

Herkos Notes：リレーに見えるもの

Notes が通信するのは Nostr リレーだけで、ほかとは通信しません。 Herkos のサーバーも、プッシュサーバーも、テレメトリーもありません。 どのリレーにも、あなたの IP アドレスと各接続の時刻が見えます。

どのリレーか。 アカウントに非公開のリレー一覧（kind 10013、NIP-37 が記述している一覧）がある場合、Notes はそこにあるリレーをそのまま使い、その一覧を決して上書きしません。 その一覧は、Notes の設定にあるリレーと、あなたが公開しているリレー（あなたの NIP-65 の一覧）で探します。 ない場合は、Notes の設定にあるリレーを使います。既定では relay.formstr.app、nos.lol、relay.primal.net で、最大 8 つ、すべて変更できます。 設定には、ワンタップで追加できる既知のリレーの一覧もあります。追加しない限り、そのどれにも接続しません。 リレーが ws://（暗号化されない接続）でもよいのは、端末上か自宅のネットワーク上（localhost、プライベートアドレス、.local の名前）にある場合だけです。 ノートは暗号化されたまま運ばれますが、そのネットワーク上の誰にでも、リレーに見えるもの（下の表）が見えます。 Notes は、あなたが頼まない限り、独自のリレー一覧を公開しません（リレー → 非公開リレーリストとして保存）。 頼んだ場合は、これらのリレーをあなたの 10013 としてあなたの鍵で暗号化し、一覧を探すのと同じリレーに公開して、Notes で変更した内容に合わせて最新の状態に保ちます。 リレーに見えるのは、あなたの公開鍵、一覧が存在すること、それが変わる時刻であり、中にあるリレーは見えません。 ほかのアプリが書いた一覧は決して上書きせず、Notes はそれをそのまま使います。 これらのリレーのうちこの端末で動いているもの（アドレスが ws://127.0.0.1 または ws://localhost のもの。Citrine アプリなど）があれば、Notes はそこにもあなたのノート、ノートブック、削除のコピーを、署名されたときのまま、暗号化されたままの状態で残します。そのために端末の外へ出るものは何もありません。Notes がそのリレーから読み込むことはなく、そのリレーにしかないノートはアップロード済みとは見なされません。そのリレーを読む端末上のほかのアプリには、どのリレーにも見えるものが見えます。

Herkos Local Relay。 同じ端末に Herkos Local Relay がある場合、Notes は一度だけ接続を提案します。接続 をタップして Herkos Local Relay で Notes を承認するまで、何も送られません。Notes はこのペアリングのために作った専用の鍵でペアリングし、接続のたびに同じリレーであることを確かめます。そのため、そのポートで待ち受ける別のプログラムは何も受け取りません。それ以降、ノート、チェックポイント、ノートブック、削除、非公開リレーのリスト、共有したノートの封印を、署名されたときのまま暗号化された状態でそこにコピーし、削除以外はすべて非公開として保管するよう求めます。リレーはそれをあなたの鍵にだけ渡し、ほかの誰にも渡しません。リレーがあなたのものとして保管できるように、Notes は接続時に一度だけあなたの鍵で署名します。このために端末の外へ出るものはありません。Notes はそこから読み込むことはありません。あくまでコピーであり、そこにしかないノートはアップロード済みとは見なされません。応答しなくなった場合、Notes はほかのリレーで続け、後で足りない分だけを送ります。Notes の 設定 で接続を解除するか、Herkos Local Relay で Notes の許可を取り消せます。

隠せないもの。 ノートの d と k、チェックポイントの a は読める状態でなければなりません。リレーがノートを新しいバージョンに置き換え、その履歴を見つけるために必要だからです。 そのため、リレーはノートがいくつあるかを数え、それぞれをいつ編集するかとその頻度を見ることができます。 Notes はそれを見えなくするのではなく、粗くします。チェックポイントは、ノートごとに編集 1 時間あたり最大 1 つ、変更のあったノートを閉じたときに 1 つ、競合を解決したときに双方 1 つずつ保存し、保存のたびに 1 つ作ることは決してありません。そのため、あなたの書くリズムが分単位で公開されることはありません。

ノートが決して期限切れにならない理由。 NIP-37 の下書きには expiration タグを付けることができ（その例では 90 日）、それに従うリレーはその日にイベントを削除します。 ノートブックにとってそれは、誰も削除を求めていないノートを失うことを意味するので、Notes はこのタグを決して書きません。 その裏返しとして、ノートは削除するまで暗号化されたままリレーに残ります。そして Nostr での削除は要求です。リレーがコピーを保持し続けることもあります。

ノートの共有。 Notes はコピーを、相手のアカウントが読むと示しているリレー（その NIP-17 のリレー、kind 10050、なければその NIP-65 の一覧の読み込みリレー。これはあなたのリレーで探します）と、あなた自身のリレーに、最大 8 つまで送ります。 送られるのはノートに書かれていること（タイトル、本文、タグ）で、ノートブック、ピン留めなどの印、ゴミ箱は送られません。あとで変更した内容も送られません。 相手のアカウントは自分のコピーを持ち続けます。Notes はそれを取り戻せず、あなたのノートを削除してもそのコピーは削除されません。 受け取るときは、Notes は k=30023 の付いたあなたの鍵宛ての gift wrap をあなたのリレーに求め、端末上で開きます。 破棄しても、消えるのは端末からだけです。gift wrap は誰も保管しない鍵で署名されているので、どちらもリレーに削除を求めることはできず、リレーに残ります。ただし、あなた以外の誰にも読めません。

検索はローカルです。 すべて暗号化されているので、どのリレーもあなたの代わりに検索することはできません。 Notes はノートをダウンロードして復号し、端末上でインデックスを作ります。探している言葉がどこかへ送られることはありません。

NIP-42 認証を求めるリレーはあなたの公開鍵を知ります。Notes はあなたのアカウントでそれに応じます。 Notes は、ほかのアプリがあなたの鍵で書いた下書き（kind 31234 と、より古い 30024）もあなたのリレーに求め、読み取り専用で表示します。その際に何も公開しません。 リモート署名アプリ（bunker または Nostr Connect）でサインインしている場合、そのリレーがあなたの暗号化された署名要求を運びます。Notes がリモート署名アプリに署名を求めるのは、上記の kind だけです（共有するノートの封印、kind 13 も含みます。その gift wrap は端末上で、一度だけ使う鍵で署名されます）。Android スマートフォンの署名アプリ（NIP-55、Amber など）を使う場合、Notes はスマートフォン上で直接そのアプリとやり取りし、間にリレーは入りません。求めるものは同じで、戻ってきた署名済みイベントはすべて使う前に確認します。

Herkos Drive：リレーとサーバーに見えるもの

Drive は、ファイルの中身を Blossom サーバーに、ファイルとフォルダーの一覧（インデックス）を Nostr リレーに保存します。どちらも端末上で暗号化されます。 Herkos のサーバーも、プッシュサーバーも、テレメトリーもありません。 どのリレーとサーバーにも、あなたの IP アドレスと各接続の時刻が見えます。 既定では、インデックスは 5 つのリレーに、ファイルは 5 つの Blossom サーバーに送られ、そのいずれも Herkos は運営していません。設定 → ファイルホスティング でサーバーを変更でき、自分のサーバーを追加することもできます。 それぞれの運営者と所在地は、私たちの知る限り次のとおりです（2026年11月5日に確認）。

国はサーバーの IP アドレスから判断したもので、誤っている可能性があります。また、Cloudflare の背後にあるサーバーは所在地を示しません。重要なのは各運営者がデータをどこに保管すると述べているかですが、ほとんどの運営者は述べていません。 各運営者は独立しており、それぞれ独自の規約を持っています。Herkos はそのいずれとも契約を結んでいません。 5 つのファイルサーバーのうち少なくとも 2 つは欧州連合の外にあります。そこに保存されるものは端末上で暗号化されていて、サーバーには読めませんが、あなたの IP アドレスと各アップロードの時刻はサーバーに届きます。

2 つの鍵。 あなたのアカウントが署名するのは 1 つだけです。それがロケーターで、あなた自身の鍵宛てに暗号化されたイベントであり、あなたの端末が Drive を見つけるために使います。 それ以外はすべて、Drive のためにランダムに作られたボリュームキーで署名されます。ボリュームキーはアカウントから導出されないので、インデックスからは誰のものかが分かりません。 Drive がロケーターを読むのは端末ごとに 1 回だけで、起動のたびではありません。リレーに、あなたのアカウントとボリュームが一緒に要求されるのを見られないようにするためです。 フォルダーを共有した相手もボリュームキーを受け取ります。ボリュームキーはいつでも変更できます（設定 → ボリュームキー）。ほかの端末は自動的に追従し、古い鍵で署名されたものは受け付けられなくなります。

隠せないもの。 各イベントはどのフォルダーに入っているかを示すので、リレーはファイルとフォルダーがいくつあるかを数え、ツリーの形（どのフォルダーにいくつのものが入っているか）と、それぞれがいつ変更されたかを見ることができます。 それぞれの名前や中身は分かりません。

Blossom サーバーが受け取るのはファイルのブロックで、それぞれ自分のリビジョンの鍵で暗号化され、64 KiB の倍数にパディングされています。そのため、サーバーには各ファイルのおおよその大きさは見えますが、それが何で、何という名前かは見えません。 アップロードにはそれぞれ署名が付きます。自分のサーバーではボリュームキーで、それ以外のサーバーでは、そのサーバーとそのファイルのためだけに作られた鍵で署名されます。この鍵は誰も特定せず、2 つのサーバーで同じになることはありません。 ファイルを削除すると、そのブロックを持つサーバーに削除を求めます。リレーと同じく、サーバーがコピーを保持し続けることもあります。

リンク（herkos.app/f/…）。 ファイルやフォルダーへのリンクは、# の後ろに、それを開く鍵を含んでいます。リンクそのものが鍵です。 # の後ろの部分は私たちのサーバーにも Cloudflare にも届かず、ページはそれを読み取るとすぐにアドレスバーから取り除きます。 ただし、それより前に、ブラウザーがアドレス全体を履歴に保存している可能性があります。履歴を同期するブラウザーなら、その提供者のサーバーにも保存されます。私たちの側でそれを防ぐ手段はありません。 機密性のあるものには、リンクにパスワードを付けてください（そうすればリンクはパスワードなしでは何も開かず、パスワードは別経路で伝えます）。あるいは、その人のアカウントと共有してください。その場合リンクはまったく必要ありません。 ページはリンクに書かれたリレーとサーバーを読みます。ページが知らないものには、あなたが承認してから接続します。そこにはあなたの IP アドレスが見えるからです。 リンクには有効期限を付けられます。その日になるとリンクは開けなくなり、フォルダーには新しい鍵が付くので、あとから追加したものは古い鍵では開けません。すでに開いた人の手元には、ダウンロードしたものが残ります。 もっと早くアクセスを断つには、リンクを削除してください。そうするとフォルダーにはすぐに新しい鍵が付きます。

アカウントとの共有。 Drive は、そのアカウントがどこで読むか（その NIP-17 のリレー、kind 10050、または NIP-65 の一覧の読み込みリレー）を、あなたのリレーと Drive のリレーで、1 人ずつ探します。公開のインデックスで探すことは決してありません。 一人ひとりに専用のリンクが渡るので、1 人を外してもほかの人には影響せず、ほかに誰が受け取ったかは誰にも分かりません。

NIP-42 認証を求めるリレーが知るのはボリュームキーで、あなたのアカウントでは決してありません。Drive はボリュームキーでそれに応じます。 Android スマートフォンの署名アプリ（NIP-55、Amber など）でサインインしている場合、Drive がそのアプリに求めるのは、ロケーター、古いロケーターを無効にする要求、アカウントと共有するものの封印への署名と、あなた自身の鍵宛ての暗号化と復号だけです。

Herkos Local Relay：保存するものと通信する相手

Herkos Local Relay は、あなた自身の端末で動く Nostr リレーで、Herkos のアプリやほかの Nostr クライアントのためのものです。 背後に私たちのサーバーはなく、私たちに何も送りません。

要点（詳細はこの後に続きます）：

• あなたのデータを扱うのは： あなたです。Herkos はこのリレーから何も受け取りません。イベントも、 鍵も、IP アドレスも、統計もです。アカウントも私たちのサーバーもありません。
• 保存するもの： あなたの端末上に暗号化して、あなたのアプリが書き込むものと、あなたのリレーから 取り込むもの、ペアリングしたアプリ、リレーの設定です。
• 通信する相手： あなたのリレーと、あなたが書き送る相手の受信箱リレー。それ以外とは通信しません。Tor をオンにした場合は、Tor ネットワークとも通信します。
• 保存期間： あなたが削除するか、アプリをアンインストールするか、あなたが選んだルールで整理される までです。整理は既定でオフで、あなた自身のイベントは決して削除しません。
• バックアップ： あなたが選んだ場所にだけ、クラウドには決して置かず、あなただけが知るパスワードで 暗号化します。
• あなたの権利： アプリからすべてを確認、変更、削除できます。すでにほかのリレーへ公開したものは それぞれのリレーが保持しているので、その運営者にお問い合わせください。
• 年齢： 16 歳未満の方を対象としていません。

端末上に保存するもの。 あなたのアプリが書き込むイベントと、あなたのリレーから取り込むイベントを、OS の安全な保存領域に保管された鍵で暗号化したデータベースに保存します。 その隣には、ペアリングしたアプリとそれぞれに許可されていること、リレーの設定（settings.json：ポート、容量制限、整理、セッションログをオンにしているかどうか、ペアリングしていないアプリの接続を許すかどうか、ローカルネットワークをオンにしているかどうかとそのポート）、ローカルネットワークをオンにした場合は、許可された鍵の一覧とあなたが付けた名前、そしてリレーの証明書とその鍵（暗号化されたデータベースの中）、バックアップの設定（backups.json：頻度、フォルダー、バックアップの暗号化先となる公開鍵とそのソルト、最後のバックアップを作った時刻）があります。 これらはどれも秘密ではなく、バックアップのパスワードは決して保存されません。 Windows と Linux では、動作中、アプリのフォルダーにある relay.json が待ち受けポートを示し、Herkos のアプリがリレーを見つけられるようにします。 アプリをアンインストールするとデータベースは削除され、その鍵は役に立たなくなります。

誰が接続できるか。 127.0.0.1 で待ち受けます（ポートは変更しない限り 4873）。ローカルネットワークがオフの間は（最初はオフです）、端末の外からは何も届きません。 端末上のアプリならどれでもそのアドレスに届くので、アプリやウェブページが書き込むには、まずペアリング、つまり画面上でのあなたの承認が必要です。ペアリングされていないウェブページは拒否されます。 アプリの許可を取り消すと、そのアプリはすぐに切断されます。 非公開のイベント（下書き、非公開の一覧、リマインダー、あなたが受け取る封印された封筒）は、それが属する鍵を持っていることを NIP-42 で証明した相手にだけ渡されます。

ローカルネットワークをオンにすると、ネットワーク上の端末に向けて 2 つ目のポート（変更しない限り 4874）を開きます。 使えるのは wss:// だけで、リレー自身の証明書を使い、一覧にある鍵が NIP-42 で認証した後にだけ接続できます。 一覧にある鍵は、あなたの公開イベントと、その鍵宛ての非公開のイベントを読むことができ、書き込めるのはその鍵自身が署名したイベントだけです。一覧から外すと切断されます。 同じネットワーク上の人には、その端末でそのポートが開いていることと、どれだけの通信が流れているかは見えますが、その中身は見えません。

Tor をオンにすると（Windows と Linux。Android は後日）、relay は Tor の onion サービスになり、変わらない .onion アドレスを持ちます。アプリはこのコンピューターの tor プログラム（またはアプリに同梱のもの）を起動し、それが Tor ネットワークに接続します。そのアドレスの鍵は暗号化されたデータベースの中に保管され、端末内のその tor にだけ渡されます。tor 自身のフォルダーには、ネットワークのディレクトリのコピーと cookie があるだけで、その鍵は決して置かれません。Tor をオンにしているかどうかは settings.json に保存されます。Tor 経由でも、ローカルネットワークと同じ規則が適用されます。NIP-42 で認証した、リストにある鍵だけです。あなたのアドレスに接続する相手にはあなたの IP アドレスは見えず、あなたにも相手のものは見えません。アドレスだけでは何も開きません。広まってしまった場合は、新しいアドレス で変更できます。Herkos は何も受け取りません。

ある人がどこで受け取るかを調べるときは、あなたのリレーに尋ねます。 あなたの非公開のイベント（下書き、非公開の一覧、リマインダー）が端末の外に出ることはありません。 自分のアドレスを告知することはなく（誰の NIP-65 の一覧にも載りません）、NIP-11 の文書はあなたが誰かを示さず、解析もテレメトリーもクラッシュレポートもありません。 Android では、通知とその 停止 ボタンを伴うサービスとして動作します。接続がないまま 10 分たつとスリープし、Herkos のアプリが端末上で直接起こします。プッシュサーバーは使いません。

セッションログは既定でオフです。 オンにすると、メモリー上にだけ最新の 500 行が保持され、リレーが停止すると消去されます。記録されるのは、接続、NIP-42 認証、受け入れたイベントと拒否したイベント、求められた kind で、kind と id の先頭で記録され、内容は決して記録されません。

バックアップ。 ストア全体の暗号化されたバックアップは、あなたが選んだ場所、つまり端末上のフォルダーか外部ディスクにだけ書き出されます。 クラウドクライアントのフォルダー（OneDrive、Google Drive、Dropbox、iCloud、Nextcloud、Herkos Drive など）は拒否されます。 バックアップはあなた自身のパスワードで暗号化されます（scrypt と XChaCha20-Poly1305）。定期的なバックアップは、そのパスワードから得られる公開鍵宛てに暗号化されるので、パスワードなしで作成できます。 最新の 7 つが保管されます。 パスワードがなければ、私たちを含め誰もバックアップを開けず、パスワードをなくすとバックアップも失われます。 JSONL の書き出しは暗号化されません。非公開のイベントが平文で含まれるので、アプリは書き出す前にそのことを知らせます。

整理は既定でオフです。オフのままなら、リレーは空きがある限りほかの人のイベントを保持します。 古さ（30、90、180、365 日）または容量（256 MB から 5 GB まで）で整理でき、アプリはまずどれだけ削除されるかを示します。 削除されるのはほかの人のイベントだけです。あなたのイベント、あなた宛ての封筒、あなたのアプリが保護する kind、削除要求は決して削除しません。容量による整理は、過去 1 日以内のバックアップがある場合にだけ行われます。 ローカルネットワークまたは Tor がオンの間は、古さによる整理をオフにできません。ほかの人のイベントは、別の期間を選ばない限り 90 日後に削除されます。 有効期限（NIP-40）のあるイベントは、期限が切れると、誰が書いたものであってももう渡されません。 そして Nostr のどこでもそうであるように、削除は要求です。すでにほかのリレーへ渡ったものは、そこに残ることがあります。

私たちのウェブサイトと Cloudflare

herkos.app（herkos.app/e/ と herkos.app/f/ を含む）、app.herkos.app（Mail のウェブ版）、 calendar.herkos.app と notes.herkos.app（Calendar と Notes のウェブ版、公開後）、fdroid.herkos.app（私たちの F-Droid リポジトリ）は、Cloudflare（Cloudflare Pages と R2）が配信する静的ファイルです。ほかの ウェブホストと同様、Cloudflare はあなたの IP アドレス、ブラウザーのユーザーエージェント、 要求したアドレス（# より後の部分を除く）、時刻を受け取り、 Cloudflare 自身のプライバシーポリシーに基づいて それらをログに保存することがあります。

私たちはクッキーを使わず、解析も行いません。ページとウェブアプリ自体のファイルはこれらの ドメインからのみ配信され（その後、ウェブアプリは上記のリレーやサーバーに接続します）、 訪問者ごとのログを私たちが見ることはありません。Releases からのダウンロードは GitHub から 提供され、GitHub も自らのポリシーのもとで同種のデータを見ます。

設計上公開されるもの

Nostr は公開ネットワークです。次のものは、あなたが使うリレーに問い合わせた誰にでも 見え、あなたの公開鍵に結び付いています。

• プロフィール（名前、画像）と、リレーおよび Blossom サーバーの一覧
• メールを既読にする、スターを付ける、アーカイブする、フォルダーへ移動するときに Herkos Mail が公開する NIP-32 ラベルイベント——独自フォルダーの名前を含みます。 そのため、あなたにメールを送った人がその id を知っていれば、いつ読んだかが 分かります。これらは暗号化する予定ですが、それまでは承知しておいてください。
• Herkos Calendar では、あなたが公開したものだけ（上記参照）
• Herkos Notes では、内容は一切なく、上で説明したパターンだけ：ノートがいくつあるかと、 それらをいつ編集するか；
• Herkos Drive では、名前も中身もなく、上で説明したパターンだけ：ファイルとフォルダーがいくつあるか、 ツリーの形、それぞれがいつ変更されたか；
• Herkos Local Relay を通じては、ほかのリレーと同じく、あなたのアプリが公開する公開イベント だけ。

あなたの選択と権利

• 以上はすべて 設定 → ネットワークとサーバー（リレー、DM リレー、Blossom サーバー、ブリッジ）および 設定 → 通知 で管理できます。Herkos Calendar では、リレー、 予定あり一覧、すべての共有リンク（リンクで共有 → リンクを取り消す）をあなたが変更できます。 Herkos Notes では、リレー（Notes の設定、またはあなた自身の非公開のリレー一覧で）をあなたが 変更できます。
• Herkos Drive では、サーバー（設定 → ファイルホスティング）、ボリュームキー（設定 → ボリュームキー）、 そしてすべてのリンクと、ファイルやフォルダーを共有しているすべての人（共有）をあなたが変更できます。
• Herkos Local Relay では、ペアリングしたアプリとそれぞれに許可されていること、ポート、容量制限、 整理、セッションログ、ローカルネットワーク、Tor、鍵の一覧、コピーは、Herkos Local Relay 自身の画面にあります。
• Herkos Notes からサインアウトすると、その端末のノートは削除されますが、その前に、その端末に しかないものを送信し、失うことになるノートの数を知らせます。リレー上のノートは残り、再び サインインすると戻ってきます。
• 鍵の書き出し、アカウントの削除（リレーにデータの削除も要求します。NIP-62）、 アプリのリセットは、いつでも行えます。
• 私たちは個人データを保持していないため、開示・訂正・削除の請求に自ら応じることは できません。該当するリレー、ブリッジ、プッシュサーバー、ウェブホストの運営者へお申し出ください。 どこかを特定するお手伝いはします。
• Herkos は 16 歳未満の方を対象としていません。

変更

アプリの挙動が変わったときにこの文書を変更し、日付を冒頭に記録します。真実の出典は リポジトリ内の PRIVACY.md であり、公開ページはその写しです。

連絡先: privacy@herkos.email · https://herkos.app

他の言語

English · Español · Bahasa Indonesia · Català · Čeština · Deutsch · Français · Italiano · Magyar · Nederlands · Polski · Português (Portugal) · Português (Brasil) · Română · Slovenčina · Suomi · Svenska · Türkçe · 中文 · Ελληνικά · हिन्दी · 日本語 · 한국어 · Русский · Українська