qub のプライバシー

発効日: 2026 年 5 月 1 日 バージョン: 1.0 — 初版公開

要約: あなたのコンテンツはお使いの端末で暗号化します。私たちはそれを読みませんし、平文を保存しませんし、データを販売しませんし、AI を訓練することもありません。メールとハンドルは、あなたが有効化した機能のためだけに使用されます。封印されたコンテンツは永久ストレージに永久に存在します — そこに置かれると、私たちですら削除できません。封印する前に §5 を注意深くお読みください。

運営者について

qub.social は VSPRY AUSTRALIA PTY LIMITED（ABN 41 631 026 330、Level 38, 71 Eagle Street, Brisbane QLD 4000, Australia）により運営されています。「qub」「当社」「私たち」「私たちの」とは、当該事業体を指し、本サービスを通じて処理される個人情報について、データコントローラー（GDPR / UK GDPR）、APP エンティティ（Privacy Act 1988 (Cth)）、および「事業者」（CCPA / CPRA）として行動します。

プライバシー連絡先: Mark Harper — support@qub.social に件名の接頭辞 [PRIVACY] を付してご連絡ください。

1. qub とは

qub は時間付きコミットメントおよび公開プラットフォームです。qub を書き、将来の公開日を選択すると、お使いのブラウザはパブリックタイムリリースサービスを使用してそれをロックし、その日付が到来するまで開けないようにします。封印されたコピーは、当社が運営していない分散型の永久保存層である永久ストレージに保存されます。公開日以降は、リンクを持つ誰もがコンテンツを復号して読むことができます。

プラットフォームは、当社が信頼チェーンに含まれないように作られています。ロックとアンロックはお使いの端末で行われます。qub が当社に届く時点で既に封印されたパッケージであり、開封に必要なリンクの小さな部分は設計上ブラウザに残ります — 当社の利用規約 §13.3 で開示されている暗号的前提条件、および下記 §2.3 に記載される狭い復旧チャネルのオプトインに従います。インターネットがマシン生成されるほど、封印されたメッセージを指して「これは正確にその瞬間に存在した」と証明できることはより重要になります — そしてその証明は、当社のサーバーがオフラインでも、当社が存続しなくなったとしても機能します。

本プライバシーポリシーは、私たちが収集するデータ、収集しないデータ、および永久パブリックストレージを使用することのプライバシーへの影響を説明します。

2. 当社が収集するデータ

2.1 封印するコンテンツ

qub をブラウザで封印すると、コンテンツはブラウザを離れる前に お使いの端末で 暗号化されます。当社のサーバーはブラウザの封印フローで平文コンテンツを受信しません。 暗号化されたペイロードは、当社が制御するサーバーではなく永久ストレージにアップロードされます。明示的な例外が 2 つあります。(1) Builder の /api/v1/seal API では、API クライアントがインメモリのサーバー側封印のために平文と呼び出し元が生成したラッパー鍵を意図的に送信します（当社はいずれの値も永続化もログ記録もしません）。(2) 本セクションで後述する復旧チャネルオプトインでは、qub ごとのラッパー鍵がすでに暗号化されたアップロードに付随するため、封印確認メールに動作する配信リンクを含めることができます。ブラウザフローがバイトに対して盲目である特性を必要とする API クライアントは、ローカルで封印して /api/v1/upload を使用できます。

公開日以降、コンテンツはストレージトランザクション ID（共有する qub リンクに埋め込まれています）を持つ誰もが公開復号可能になります。

2.2 端末識別子

初回使用時、qub はランダムな端末識別子を生成し、ブラウザのローカルストレージ（IndexedDB）に保存します。この識別子は、無料ティアの使用量クォータを追跡し、有料権利を端末にリンクするために使用されます。これはハードウェアフィンガープリンティングやクロスサイトトラッキングから導出されたものではありません。

ブラウザデータをクリアした場合、端末を切り替えた場合、またはプライベートブラウジングを使用した場合、端末識別子は失われる可能性があります。これは永続的な ID ではなく — 便宜的バインディングです。

2.3 メールアドレス

それを必要とする機能を使用する場合にのみメールアドレスを収集します。各使用は記載された目的に限定されます。マーケティングメールを送信せず、メールアドレスからプロファイルを構築しません。

機能	収集タイミング	当社が送信するもの	保持期間
有料ティアの購入	Stripe チェックアウト時	購入確認（Stripe 経由）	権利の存続期間に加え、オーストラリアの税務／会計法（現在 Income Tax Assessment Act 1997 §262A の下で 7 年）が要求する期間保持
マジックリンクサインイン	サインインリンクをリクエストするとき	単回使用のサインインリンク	当該記録が存在する間、ID 記録上に保持。§6.2 でのリクエストにより削除
ID 認証	署名鍵に対してメールを認証するとき	6 桁の認証コード	`/shomei` から失効するか §6.2 で削除をリクエストするまで認証記録上に保持
通知購読（notify-me）	qub の公開を購読するとき	公開日の単一通知	通知が配信されるまで保存し、その後削除
約定カウンターパーティ招待	カウンターパーティのメールアドレスに対して約定をステージするとき	単回使用の約定確認 / 共同署名リンク	ステージされた約定記録（カウンターパーティメールを含む）は、約定が封印、撤回、またはステージングから 7 日後 — のいずれか先に発生する — 時点で削除されます。30 日のストレージライフサイクルは、日次スイープが利用できない場合の削除の予備的手段にすぎません。約定が共同署名され封印されると、カウンターパーティメールは永久ストレージ本文の永久な一部となり、削除できません（§5 参照）。レート制限: アドレスあたり UTC 日あたり 10 招待
約定共同署名メールバインディング	カウンターパーティが約定招待をフォローしてメールを認証するとき	約定バインディング付きの単回使用サインインリンク	ステージされた約定にキー付けされた短期間（15 分）の認証マーカー。§2.3 マジックリンク行を超える追加のメール保持はなし

メールアドレスを共有するのは Stripe（購入用）と当社の取引メールプロバイダー（上記のその他のすべてのメール — 現在のプロバイダーは §8 参照）にのみです。どちらの当事者も、もう一方が収集したアドレスを受け取りません。

上記のすべてのメールは、特定のユーザーアクションに応じて送信される取引または当社の関係する通信です。 これらは Spam Act 2003 (Cth) の意味における商業電子メッセージではなく、米国 CAN-SPAM 法に基づく商業メッセージでもありません。私たちはマーケティングメールを送信しないため、購読解除すべきマーケティングリストもありません。各メールタイプはソースで無効化できます: マジックリンクはサインインをリクエストしないことで、通知購読は通知メールの購読解除リンクで、ライフサイクル／封印確認メールは封印時にオプトインしないことで。

初めてマジックリンクサインインを完了すると、qub は ID 記録に公開ハンドルも自動割り当てします。ハンドルはメールとは別の識別子です — 公開可視で逆引き可能ですが、リンクされたメールアドレスを公開しません。§2.12 を参照してください。

復旧 URL とライフサイクルメールオプトイン。 各封印された qub は、共有リンクの # 記号より後の部分（https://qub.social/c/<id>#<key>）に存在する qub ごとの鍵でロックされます。ブラウザはその部分をどのサーバーにも送信しません。そのためデフォルトで鍵を見ることはありません — つまり、リンクを失った場合に qub を復旧できません。

復旧チャネルにオプトインできます: 特定の qub に対して作成者ライフサイクルメールを有効にし、かつ提供するメールが認証済み ID と一致する場合、当社はアップロードと共に鍵を受け入れ、完全な配信リンクを ID の封印履歴記録に保存し、封印確認メールに含めるため、受信箱の URL が実際に qub を開きます。これはトレードオフです — end-to-end の純度と引き換えのバックアップチャネル — そしてオプトインした qub に限り、オプトインしたときにのみ作動します。オプトインなし（または認証できないメール）の場合、鍵はブラウザに残り、当社のサーバーに到達しません。

2.4 署名鍵

署名鍵を生成する場合、鍵ペアは完全にお使いの端末で作成・保存されます。公開鍵のみ が当社のサーバーに送信されます — qub に署名するとき、またはメール認証で ID を認証するときです。秘密鍵がブラウザを離れることは決してありません。公開鍵と認証記録は当社のメタデータストアに保存されます。

2.5 支払い情報

支払いは完全に Stripe により処理されます。当社はクレジットカード番号、有効期限、または CVC を受信または保存しません。Stripe は不正防止と支払い処理の目的で、チェックアウト中に氏名、請求先住所、端末情報などの追加情報を収集する場合があります。Stripe のプライバシーポリシーが支払い詳細の取り扱いを規定します: https://stripe.com/privacy

Stripe は、購入を完了する前に情報の収集（チェックアウトフォームに入力されたデータなど）を開始する場合があります。これは不正防止のための標準的な Stripe の動作であり、当社のポリシーではなく Stripe のプライバシーポリシーにより規定されます。

2.6 テレメトリ

qub は、プロダクトがどのように使用されているかを理解し、エラーを診断するために、最小限の匿名プロダクトテレメトリを収集します。テレメトリイベントには、「封印完了」、「ビューアーロード」、「復号成功」などのアクションとタイミングデータが含まれます。

テレメトリに含まれないもの:

端末識別子
IP アドレス — qub は、アプリケーション層でテレメトリイベントに対してクライアント IP アドレスをログに記録しません。インフラ提供者による一時的なリクエストメタデータログ（§2.9 参照）は彼らのプライバシーポリシーにより規定され、テレメトリと結合されません
コンテンツまたはコンテンツのプレビュー
個人を識別する情報

テレメトリイベントには個人を識別する情報や、当社が保持する他のデータと組み合わせて個人を識別する情報が含まれていないため、これらを GDPR Art. 4(1) および Recital 26 の「個人データ」の範囲外に該当する匿名情報として扱います（また、Privacy Act 1988 (Cth) および CCPA / CPRA に基づく同等の定義も同様）。データ保護体制 — GDPR Art. 21 に基づく異議の権利を含む — は匿名情報には適用されず、テレメトリに対する個別のオプトアウトは提供しません。

あなたに対する管轄権を持つ規制当局がこの分類について異なる見解を取る場合、上記の運営目的について GDPR Art. 6(1)(f) に基づく正当な利益を根拠としてテレメトリを個人データとして扱います。適用される合法的根拠は §4 と並んで存在し、分類選択により他の権利は影響を受けません。

テレメトリイベントはメモリにバッファされ、定期的にフラッシュされます。フラッシュが失敗した場合、イベントは破棄されます — テレメトリは再試行せず、ローカルストレージに永続化しません。テレメトリはプロダクト体験に干渉してはなりません。

qub 埋め込み iframe は同じ種類の匿名イベントを qub.social に発火します — 埋め込みがロードされたときの viewer_arrival、および閲覧者が埋め込みのフッター CTA をタップしたときの share_clicked。これらのイベントは上記のアプリ内テレメトリと同じ形状を持ちます: IP なし、端末識別子なし、コンテンツプレビューなし、サードパーティトラッカーは関与しません。

2.7 ボット検出

qub は、封印フローの自動化された不正使用を防止するために、プライバシー保護 CAPTCHA 代替を使用します。チャレンジはトラッキングのためにクッキーを使用せず、広告の目的で端末をフィンガープリントしません。アップストリーム提供者とそのプライバシーポリシーは §8 に記載されています。

2.8 不正報告

qub を報告すると、報告理由と提供する任意の説明テキストを収集します。報告と共に IP アドレスの一方向ハッシュを保存します — 平文の IP アドレスではありません。このハッシュは、報告の不正のレート制限にのみ使用されます。

2.9 サーバーログ

当社のインフラ提供者（Cloudflare）は、標準的なサービス運用の一環としてリクエストメタデータ（IP アドレス、リクエストパス、タイムスタンプ）をログに記録する場合があります。これらのログは Cloudflare のプライバシーポリシーに準拠し、彼らの保持期間（典型的には数日から数週間オーダーで短い）の対象です。Cloudflare のフルトラフィックログをエクスポートまたはアーカイブすることはなく、保持する他のデータでそれらを充実させることもありません。制裁および不正トリアージのために 永続化する 狭いネットワーク由来シグナルのセットは、§2.13 で別途記述されています。

2.10 埋め込み qub

パブリッシャーは、qub 埋め込みスニペットを使用してサードパーティページ（ブログ、Notion ページ、Substack 投稿など）に封印された qub を埋め込むことができます。埋め込みは、qub.social からセイムオリジンでロードされる iframe 内で描画されます。そのため、上記と同じ暗号化、同じ永久ストレージおよび drand フェッチ、同じ匿名テレメトリを使用します。ホストページは埋め込み iframe の DOM を読めず — ブラウザサンドボックスの分離がこれを強制します — そして埋め込みは新しい収集やサードパーティプロセッサを導入しません。

2.11 返信チェーンメタデータ

別の qub の公開ページから返信 qub を作成するとき、親 qub のストレージトランザクション ID は、新しい qub のストレージアップロードにパブリックタグ（Parent-Tx-Id）として添付されます。このタグにより、公開ページは、qub が制御するサーバーが逆インデックスを維持する必要なく「{parent} に返信」のバックリンクを描画できます。タグはパブリックなストレージプロパティであり、§3 および §5 が記述するのと同じ理由で永久です。親の qub_id（暗号化封筒がバインドする暗号識別子）は別のフィールドで、暗号化封筒の中に存在し、返信 qub 自体がアンロックされた後にのみ可視になります。

qub の返信 UI を使わずに返信 qub を作成できます — ただし、公開ページの「返信を封印 →」CTA を介して作成画面に到達すると、親参照が自動的に設定されます。返信コンテキストは、封印前に作成画面でワンタップでクリアできます。

2.11a 公開帰属（`Author` ストレージタグ）— オプトイン

qub を封印すると、アップロードにはあなたの署名鍵フィンガープリントを保持するオプションの Author ストレージタグが含まれます。リファレンス作成者アプリは、封印時の日付ピッカーステップで「公開帰属」を明示的に有効にした場合にのみ、このタグを添付します。 トグルをオフのままにすると、アップロードはフィンガープリントを省略し、Author タグは書き込まれず、qub は永久ストレージ上で無帰属となります。

公開帰属を有効にすると、フィンガープリントは閲覧者描画時にあなたの認証済み @handle（および §2.12 に基づく関連する公開プロフィールフィールド）に解決されます。帰属は qub ごとに決定されます — qub の一部を帰属し、他のものは帰属しない選択ができ、その選択は qub 自体と共に永久に記録されます。

封印された qub の平文 タイトル フィールド（日付ピッカーステップで設定できるオプションの 1 行ラベル、デフォルトは intent ラベル）は ID メタデータではありませんが、保存されたアーティファクト上では平文であり、公開前のビューアーカウントダウンで可視です。それに応じて扱ってください — 永久かつパブリックであることに納得できるタイトルを選んでください。

2.12 個人ハンドルと公開プロフィールページ

マジックリンクサインインを完了すると、qub は ID 記録に @adjective_noun_NNN 形式（例: @orange_fox_612）の個人ハンドルを自動割り当てします。ハンドルは、明示的に公開帰属を選択した qub（§2.11a）に表示されるデフォルトの公開バイラインで、生の暗号フィンガープリントを人間に優しいラベルに置き換えます。ハンドルは公開可視で、GET /api/v1/handle/{handle} を介して逆引き可能で、所有公開鍵フィンガープリントを返します（60 秒エッジキャッシュ）。逆引きは、その ID にリンクされたメールアドレスを返しません — ハンドルをフォローする閲覧者はあなたのメールを学びません。逆引きエンドポイントは認証なしで、エッジでレート制限されています。これは意図的（公開向けの ID 検証サーフェスです）ですが、ハンドルを知る当事者は誰でも基盤の公開鍵フィンガープリントを確認できることを意味します。

/shomei からいつでもハンドルをリネームできます。リネームリクエストは秘密鍵からの暗号署名（ML-DSA-65 ポスト量子署名スキームを使用）により認証され、30 日ごとに 1 回のリネームに制限されます。リネームは、標準的な予約ルールに従い、以前のハンドルを名前空間プールに解放します。

請求されたすべてのハンドルは /u/{handle}（および同じページに 302 リダイレクトする /@{handle}）に公開プロフィールページを持ちます。プロフィールは 純粋な検証済み ID カード です — 以下を表示します:

ハンドル。
自分で提供するオプションの表示名とオプションのプロフィール URL。両フィールドは設定するまで空白で、設定すると公開可視になります。設定はリプレイ保護付きの別の署名済みリクエストにより認証されます。表示名は NFC に正規化され、50 コードポイントに制限され、制御文字が除去されます。URL は http:// または https:// でなければならず、512 文字に制限されます。
記録にメール認証がある場合の「検証済みメール」ピル。メール アドレス自体は決して表示されません — 認証が存在することを確認するブールバッジのみ。
プロトコルレベルの ID アンカーとしての短い暗号フィンガープリント（qub:abcd…1234）。

プロフィールは意図的に ID カードです。作成した qub をリスト しません。公開帰属は qub ごとのオプトインです（§2.11a） — 明示的に帰属を選択した qub のみが永久ストレージ上であなたのフィンガープリントを保持し、プロフィールページはそれらを列挙しません。訪問者を特定の qub に導くには、qub の配信 URL（封印時に受信するリンク）を共有してください。

検索エンジンクローラーやソーシャルメディアの unfurler がプロフィールページを取得すると、qub はページタイトルと JSON-LD Person スキーマを含む小さなサーバーサイドレスポンスを描画します。ブラウザは、ビューアーの残りと同じ単一ページアプリシェルにフォールスルーします。ボット側のレスポンスは、ページ自体で既に公開されている情報以外を保持しません。

表示名やプロフィール URL をクリアすると、次回のプロフィール描画からそれらのフィールドが削除されます。公開帰属した qub は永久ストレージから削除できません — リクエストに基づき qub をブロックリストに追加し、これにより qub のビューアーから削除されますが、基盤の保存されたデータは §5 に記載のとおり残ります。

2.13 制裁および不正トリアージのためのネットワークシグナル

意味のある認証済みまたはアカウント影響アクション（サインイン、API キー作成と使用、封印、アカウント管理リクエスト）について、Cloudflare により当社のバックエンドに公開される一連の小さなネットワーク由来シグナルをキャプチャし永続化することがあります: リクエストの概算の国、ネットワーク運用者（ASN）、Cloudflare リクエスト識別子（CF-Ray）、およびリクエスト IP とユーザーエージェント文字列のソルト付き一方向ハッシュ。生の IP アドレスをユーザー記録または当社のアプリケーション側イベントログに 永続化しません。

これらのシグナルは、リスク管理、不正防止、および制限されたアクセスに関する照会に応答できるようにするために、当社の制裁および制限使用ポリシーの下で使用されます。IP 由来の国は概算であり、確定的な ID 証拠としては扱われません。

最新の値は迅速なトリアージのために ID 記録に保存されます。意味のあるアクションが観察されるたびに、append-only のイベント記録も当社の内部ログに書き込まれます。そして、決定を説明する必要が生じた場合の権威ある証拠層は、ユーザー記録ではなくそのイベントログです。私たちが正確にどのフィールドを保持し、どこに保存され、保持期間がどれくらいかを記述する内部ドキュメントは、当社のオープンソースリポジトリの docs/sanctions-geo-triage.md にあります。

3. 当社が収集しないデータ

封印前にコンテンツを読んだり、スキャンしたり、モデレーションすることはありません。暗号化はお使いの端末で行われます。§2.3 に記載される狭い復旧チャネルオプトインは、qub ごとのラッパー鍵が当社のサーバーに到達する唯一の経路であり、その場合でも平文コンテンツは到達しません。
広告トラッカー、アナリティクスピクセル、またはサードパーティのマーケティングスクリプトは使用しません。
データを第三者に販売、貸与、または交換することはありません。California Consumer Privacy Act (CCPA) に基づき、クロスコンテキストの行動広告のためにあなたの個人情報を「販売」または「共有」することはありません。
データを機械学習モデルの訓練に使用しません。
ユーザープロファイルや行動グラフを構築しません。

4. 処理の合法的根拠

データ保護法が個人データの処理について合法的根拠を必要とする場合、当社の根拠は以下のとおりです:

データ	合法的根拠	目的
暗号化コンテンツ（永久ストレージペイロード）	あなたの明示的アクション（qub の封印）	コアサービスの提供
端末識別子	正当な利益	無料ティアクォータと有料権利の管理
メールアドレス（Stripe 経由の購入）	契約上の必要性	購入の履行と権利復元の有効化
メールアドレス（マジックリンクサインイン）	契約上の必要性	認証と端末を ID にリンク
メールアドレス（ID 認証）	あなたの明示的アクション	あなたのリクエストでメールを署名鍵に対して認証
メールアドレス（通知購読）	あなたの明示的アクション	あなたのリクエストで単回の公開通知を送信
カウンターパーティメールアドレス（約定招待）	あなたの明示的アクション（そのアドレスに対する約定のステージング）	約定確認 / 共同署名リンクの配信
公開署名鍵	あなたの明示的アクション	qub 上の作成者検証の有効化
個人ハンドル（自動割り当て）	契約上の必要性	明示的に帰属を選択した qub（§2.11a）に安定した人間に優しい公開バイラインと、閲覧者向けのナビゲート可能な ID アンカーを提供
個人ハンドル（個別化）、プロフィール表示名、プロフィール URL	あなたの明示的アクション	公開プロフィールでの表示方法を選択
IP ハッシュ（不正報告）	正当な利益	報告の不正のレート制限とプラットフォームセキュリティ
ボット検出シグナル	正当な利益	自動化された不正の防止

テレメトリイベント（§2.6）は匿名であり、したがって GDPR Art. 4(1) の意味における個人データではありません — 合法的根拠は必要なく、この表には現れません。

5. 永久保存 — 重要な開示

これは本ポリシーの最も重要なセクションです。注意深くお読みください。

約定は両当事者のメールアドレスを永久に公開します。 約定が共同署名され封印されると、両当事者の氏名と各自が提供したメールアドレスが暗号化本文に書き込まれます。公開日以降、その本文は公開復号可能になり、アドレスは永久かつ公開になります。所有者がその公開に明示的に同意していないメールアドレスに対して約定をステージしないでください。 これは元に戻せません。

qub は封印されたコンテンツを永久かつ改ざん不能な公開ストレージに保存します。そのストレージは永久かつ不変であるよう設計されています。コンテンツが永久ストレージにアップロードされると、あなたによっても、当社によっても、誰によっても、削除、変更、または取り消しができません。

これが実際に意味することは:

公開日前: あなたのコンテンツは暗号化されていて読めません（利用規約 §13.3 で開示されている暗号的前提条件に従う）。
公開日以降: あなたのコンテンツは公開復号可能になります。ストレージトランザクション ID（qub リンクに含まれる）を持つ誰もが復号して読めます。
気が変わった場合: 永久ストレージに保存されたコンテンツを削除または変更することはできません。qub をブロックリストに追加して、qub のビューアーが表示を拒否するようにできますが、基盤データは永久ストレージに残り、他の手段でアクセス可能な場合があります。

ブロックリストモデルは、qub のプロダクトサーフェスからの実用的な削除を提供します。インターネットからの削除を提供しません。

公開日後に永久かつ公開で利用可能になることに納得できるコンテンツのみを封印してください。 ご自身や他者に関する個人情報を含むコンテンツを封印する前に注意深く考えてください。

約定（技術的詳細）。 約定本文は、署名された CBOR 本文の中に両当事者の氏名と連絡先詳細（メールアドレスを含む）を記録します。両当事者が共同署名し、封印された約定が永久ストレージにアップロードされると、それらの識別子は永久記録の一部となり、公開日以降は公開復号可能になります。本セクション冒頭の太字の警告を参照してください。

公開プロフィールページ。 /u/{handle} のプロフィールページは §2.12 に記載される検証済み ID カードです — ハンドル、オプションの表示名、オプションの URL、「検証済みメール」ピル、フィンガープリント短形式。作成した qub をリストしません。ハンドルをリネームすると、公開バインディングが即座に置き換えられます。以前のハンドルで公開帰属した qub は、引き続き同じ公開鍵フィンガープリントに帰属可能であり、それは認証チェーンを通じて新しいハンドルに解決されます。

5.1 コンテンツ内の第三者

封印された qub または約定に他人の個人情報を含める（例えば、その人物を指名する、約定カウンターパーティとしてメールアドレスを含める、または通信を引用する）場合、お住まいの管轄区域の法律の下でそうする合法的根拠を確保する責任があなたにあります。 当社は、サービス提供者としての立場で、あなたの指示に従ってその情報を処理するだけです。第三者と直接的な関係を持たず、適用されるプライバシー法が要求する通知をあなたが提供することに依拠します。この責任は、利用規約 §15（補償）およびユーザー生成コンテンツポリシーで強化されています。

6. あなたの権利と選択

6.1 アクセスとポータビリティ

封印された qub はパブリックな永久ストレージに保存されています。あなたの qub リンクのトランザクション ID を介して、すでにそれらに直接アクセスできます。当社へのデータアクセスリクエストは必要ありません。

6.2 削除と消去

永久ストレージは永久であるため、封印されたコンテンツを削除できません。qub を消去するよう依頼された場合、当社のユーザー生成コンテンツポリシー §6 の手続きに基づきリクエストをレビューします。許可された場合、qub を ブロックリスト に追加します — qub のビューアーとキャッシュがそれを提供しなくなります。永久ストレージ上の基盤データはそのまま残ります。これは当社のアーキテクチャが許可する最大限です。

直接保持するデータ（メールアドレス、端末識別子、権利記録、ID および認証記録、個人ハンドル、プロフィール表示名と URL）については、件名の接頭辞 [PRIVACY] を付けて support@qub.social にメールすることで削除をリクエストできます。これらのリクエストは法定タイムフレーム内 — 通常は 30 日以内、適用法（GDPR Art. 12(3); APP 12.4; CCPA §1798.130(a)(2)）が許可する、リクエストが複雑または多数である場合の延長付きで — に対応します。

6.3 訂正

当社が保持するあなたに関する情報（例えば、購入に関連付けられたメール）が誤っている場合、ご連絡ください。訂正します。

6.4 処理への異議

GDPR Art. 21(1) の下で、正当な利益に基づく当社の処理に異議を申し立てることができます。この基盤で実施される処理は §4 にリストされており、(a) 無料ティアクォータと有料権利をバックする端末識別子バインディング、(b) 不正報告に添付される一方向 IP ハッシュ、および (c) 封印フローのボット検出シグナルに限定されます。それぞれは、あなたに本サービスを提供するため、または他のユーザーのためにプラットフォームの完全性を保護するために必要です。実質的に完全な異議に対し、当社はメリットでそれを評価し、処理を停止するか、Art. 21(1) が許可する場合、あなたの利益を上回る正当な利益のある根拠を示すか、法的請求の確立、行使、または防御のために必要な処理に対する Art. 21(1) の除外に依拠します。異議を申し立てるには、件名の接頭辞 [PRIVACY] を付けて support@qub.social にメールしてください。

テレメトリ（§2.6）は個人データではないため、本権利の対象ではありません — §2.6 末尾の説明を参照してください。

7. クッキーとローカルストレージ

7.1 qub が設定するクッキー

qub はクッキーを設定しません — トラッキングのためにも、広告のためにも、セッション管理のためにも、その他の目的のためにも。当社のアプリケーションから Set-Cookie ヘッダーを出力しません。認証はメール受信箱に配信され、1 回消費される HMAC 署名されたマジックリンクトークンを使用します。テレメトリは匿名ビーコンを使用します。権利バインディングはブラウザのローカルストレージの端末識別子を使用します（§7.3）。これらのメカニズムはいずれもクッキーを必要としません。qub は自身のクッキーを設定しないため、クッキー同意バナーを表示しません。

7.2 サードパーティインフラが設定するクッキー

当社が依存する 2 つのインフラ提供者は、サービスの通常運用の一環としてブラウザのクッキーストアと相互作用する場合があります。これらのクッキーを制御せず、それらからトラッキング能力を得ません:

Cloudflare（当社の CDN とエッジランタイム、§8）は、ボット管理とレート制限の施行のために、qub.social ドメインに短命の厳密に必要なクッキー（例えば __cf_bm）を設定する場合があります。これらのクッキーは、クロスサイトトラッキングや行動広告には使用されません。Cloudflare のプライバシーポリシーと Turnstile 補遺がそれらを規定します。
Stripe は支払いチェックアウトフローを checkout.stripe.com からロードされる iframe 内で実行します。そこに設定されるクッキーは Stripe 自身のドメインに属し、Stripe のプライバシーポリシーにより規定され、qub からは読めません。それらはチェックアウトフローを訪問するときにのみ存在します。

サードパーティの広告またはアナリティクスクッキーは使用しません。qub.social のどこにも Google Analytics タグ、Meta ピクセル、広告 SDK はありません。

7.3 ローカルストレージ（IndexedDB）

qub はブラウザのローカルストレージ（IndexedDB）を以下を保存するために使用します:

端末識別子（権利バインディング用）。
下書きコンテンツ（お使いの端末にローカル保存、封印しない限り送信されない）。
リンクされた ID 記録と封印履歴インデックスのローカルキャッシュ。返ってきた端末がサーバー往復なしで描画できるように。
ビューアーが重複カウンター増分を抑制するために使用する tx_id ごとのマーカー（例えば「あなたはすでにこの qub を閲覧した」、「あなたはすでに反応した」）。
アプリケーション状態。

このデータはお使いの端末に残り、本ポリシーに記載される場合を除き当社に送信されません。端末識別子は、権利検証のために封印およびアップロードリクエストと共に送信されます。

8. サードパーティサービス

サービス	目的	共有されるデータ	プライバシーポリシー
永久ストレージネットワーク	封印されたコンテンツの永久保存	暗号化された qub ペイロードのみ	https://www.arweave.org/legal-policies
Cloudflare	ホスティング、CDN、ボット検出（Turnstile）、Workers	リクエストメタデータ、Turnstile シグナル	https://www.cloudflare.com/privacypolicy/ および Turnstile 補遺
Stripe	支払い処理	メール、支払い詳細（当社とは共有されない）	https://stripe.com/privacy
SendGrid (Twilio)	取引メールの配信	メールアドレス、メッセージ内容	https://www.twilio.com/legal/privacy
drand	パブリックタイムロックビーコン（ランダムネスネットワーク）	なし — パブリックビーコン署名のみフェッチ	パブリックネットワーク、個人データ収集なし — https://drand.love 参照

9. 児童および同意年齢

qub は 13 歳未満の児童を対象としていません。米国の Children's Online Privacy Protection Act（COPPA, 15 U.S.C. §6501 以下）に従い、13 歳未満の児童から個人情報を故意に収集することはありません。お住まいの管轄区域のローカル法がデジタル同意のためにより高い最低年齢を要求する場合（例えば、一部の EU 加盟国における GDPR の下では 16 歳）、qub を使用するためにはそのより高い年齢を満たす必要があります。

適用される最低年齢未満の児童から個人情報を収集したことが判明した場合、合理的な時間内にその情報を当社のシステムから削除します。永久ストレージに既にある封印されたコンテンツは削除できません。§5 のブロックリスト制限が適用されます。適用される最低年齢未満の児童が qub を使用していると考える場合、件名の接頭辞 [PRIVACY] を付けて support@qub.social にご連絡ください。適切なアクションを取ります。

10. データセキュリティ

qub を通じて封印されたコンテンツは、送信前にお使いの端末でタイムロック暗号化と追加の外側ラッパーで暗号化されるため、当社のサーバーは平文を保持しません（§2.1 および §2.3 に開示される狭い例外に従う）。運用インフラはメタデータのみを処理します — 権利記録、ブロックリストエントリ、テレメトリカウンター、不正報告、ID 記録、認証データ。

処理のリスクに適した技術的および組織的措置を適用します（GDPR Art. 32; APP 11.1）:

すべての接続でのトランスポートセキュリティ（TLS）。
当社のインフラプラットフォームが提供する、キー値ストアとオブジェクトストアでの保存時暗号化。
署名されたベアラートークンでゲートされた、管理エンドポイントへのロール制限された運用アクセス。
署名操作、権利発行、ブロックリスト変更の監査ロギング。
パブリックエンドポイントでのレート制限とボット検出（Cloudflare Turnstile）コントロール。
ビルドおよびランタイムツールチェーンの定期的依存関係監査とルーチンパッチ適用。

セキュアであることが保証されるシステムはありません。あなたの権利と自由にリスクをもたらす可能性が高い個人データ侵害を認識した場合、必要な場合は 72 時間以内に関連する監督当局に通知し（GDPR Art. 33; UK GDPR）、Privacy Act 1988 (Cth) Part IIIC の Notifiable Data Breaches スキームが適用される場合は実用可能な限り速やかに OAIC と影響を受ける個人に通知します。

セキュリティ上の懸念や脆弱性の報告については、https://qub.social/security のセキュリティポリシーを参照するか、件名の接頭辞 [SECURITY] を付けて support@qub.social にメールしてください。

11. 国際ユーザーと地域プライバシー権

11.1 国境を越えたデータ転送

qub はオーストラリアから運営されています。暗号化されたコンテンツはグローバルな永久公開ストレージネットワークに存在し、メタデータは Cloudflare、Stripe、Twilio / SendGrid（すべて米国）により処理されます。

オーストラリア、EEA / 英国以外の、十分性決定のない国（特に米国）に個人データを転送する場合、以下のメカニズムのいずれかに依拠します:

EU–US Data Privacy Framework（および UK Extension）。受信者が自己認証している場合;
欧州委員会の 2021 Standard Contractual Clauses、または英国 ICO の International Data Transfer Addendum。§8 に名前を付けられた各プロセッサとのデータ処理契約に組み込まれている場合; または
他のメカニズムが利用できない場合の GDPR Art. 49(1)(a) / APP 8.2(b) に基づくあなたの明示的同意。

あなたのデータにどのメカニズムが適用されるか調べるには、件名の接頭辞 [PRIVACY] を付けて support@qub.social にメールしてください。

11.2 ヨーロッパのユーザー（GDPR および UK GDPR）

EEA または英国にいる場合、個人データへのアクセス、訂正、削除、制限、ポート、および正当な利益に基づく処理に異議を申し立てる権利があります。これらの権利を行使するには、件名の接頭辞 [PRIVACY] を付けて support@qub.social にメールしてください。

永久ストレージ上の封印されたコンテンツについて、ストレージ層での削除は技術的に不可能です。これは GDPR Article 17(3) の認識された限界の中に入ります — 特に 17(3)(a)（表現と情報の自由）および 17(3)(e)（消去が技術的に実行不可能な場合）。データ主体からの実質的に完全な消去リクエストに対し、当社はユーザー生成コンテンツポリシー §6 に記載される手続きに基づきリクエストを評価し、許可された場合、qub のビューアーおよび埋め込み iframe から qub をブロックリスト化します。明らかに根拠のないまたは過剰なリクエスト、別の当事者の権利と矛盾するリクエスト（例えば、封印された約定のカウンターパーティ）、または法的保留により排除されているリクエストは、辞退または延期する場合があります。基盤の保存されたデータは他の手段でアクセス可能のまま残ります。

Article 27 代表者。 EEA 個人データの処理を評価しており、現在 GDPR Art. 27(2) 免除に依拠しています: 当社の処理は時折のもので、特別カテゴリーのデータを大規模に含まず、自然人の権利と自由にリスクをもたらす可能性は低いです。(a) 非時折ベースでいずれかの市場に有料プランを提供開始する、(b) ID 記録上の EEA / 英国ユーザーの比率が Art. 27(2) 免除を合理的に擁護できるレベルを超える、または (c) 管轄監督当局が要求する場合、EEA に Art. 27 代表者を、英国に別の UK GDPR Art. 27 代表者を任命します。それまでは Art. 27(2) 免除に依拠し、各重大なプロダクトまたは量の変更で再評価します。

懸念に適切に対処されていないと考える場合、常居住地のデータ保護当局に苦情を申し立てることができます — 例えば、英国ユーザーは英国 Information Commissioner's Office（ico.org.uk）、EEA ユーザーは加盟国の監督当局。

11.3 カリフォルニアユーザー（CCPA / CPRA）

カリフォルニア居住者である場合、CCPA / CPRA は個人情報に関する特定の権利を提供します。過去 12 か月間に、以下のカテゴリーの個人情報を収集しました:

識別子: メールアドレス（購入、サインイン、ID 認証、通知購読中に収集）; 端末識別子（ランダムに生成、ローカル保存）; 自動割り当てされた個人ハンドルおよび公開プロフィールで設定する個別化されたハンドル、表示名、またはプロフィール URL（§2.12）。
商業情報: 購入履歴と権利記録。
インターネットまたは他の電子ネットワークアクティビティ情報: インフラ提供者がログに記録するリクエストメタデータ（§2.9）、不正報告に添付される IP アドレスの一方向ハッシュ（§2.8）、およびサービス配信に必要なブラウザ提供のリクエストヘッダー。

§2.3 および §6 に記載される期間、個人情報を保持します。一般的に収集された目的に必要な期間を超えません。CPRA §1798.121 に基づく使用制限権をトリガーする目的で センシティブな個人情報 を収集または処理しません。

個人情報を販売または共有しません。 CCPA で許可される目的以外でセンシティブな個人情報を使用または開示しません。当社が収集する個人情報へのアクセス、削除、訂正、および情報をリクエストする権利、およびあなたに代わってリクエストを行う認可エージェントを指定する権利があります。CCPA 権利の行使に対して差別しません。

これらの権利を行使するには、件名の接頭辞 [PRIVACY] を付けて support@qub.social にメールしてください。リクエストは 検証可能 でなければなりません — 記録上のメールアドレスまたは端末識別子の所有を実証するよう求めます。認可エージェントを指定する場合、エージェントの権限を検証し、リクエストを直接確認するよう求める場合があります。

11.4 オーストラリアユーザー（Privacy Act 1988）

qub は Privacy Act 1988 (Cth) の下で Australian Privacy Principles (APPs) に拘束されます。件名の接頭辞 [PRIVACY] を付けて support@qub.social にメールすることで、APP 12 / APP 13 に基づき当社が保持するあなたに関する個人情報へのアクセスまたは訂正をリクエストできます。合理的な期間内（通常 30 日）にリクエストを承認します。マーケティングメールを送信しないため、APP 7 のダイレクトマーケティング権は発動しません（§2.3 参照）。

海外開示（APP 8.1）。 個人情報は、米国（Cloudflare、Stripe、Twilio / SendGrid）の受信者およびグローバルな永久ストレージゲートウェイネットワークに開示される場合があります。APP 8.2 の例外が適用されない場合、本サービスを使用することにより、それらの海外開示に同意し、海外受信者の行為または慣行に対する APP 8.1 の説明責任が、その範囲で変更されることを認識します。

苦情。 プライバシー苦情に対する当社の対応に満足できない場合、Office of the Australian Information Commissioner (OAIC) に oaic.gov.au で苦情を申し立てることができます。

12. 本ポリシーの変更

当社は本ポリシーを随時更新する場合があります。現在のバージョン番号と発効日はこのページの上部に表示されます。

あなたの権利を縮小する重大な変更 は、改訂されたポリシーを投稿し、アプリ内通知を提供してから 30 日後に発効します。その他の変更は改訂された発効日に発効します。

重大な改訂の概要は下記 §13 に維持されます。

13. 変更履歴

安定したセクションに挿入されたサブセクションは、文字接尾辞（例えば §2.11a）を保持するため、周辺セクションへの相互参照が改訂をまたいで有効のまま残ります。

バージョン	発効日	概要
1.0	2026 年 5 月 1 日	初版公開。