プライバシーポリシー

1. はじめに

ETOS LLM Studio は 「Local-first」 の設計方針を採用しています。ほとんどのコアデータはあなた自身の端末に保存され、主導権はあなたにあります。

私たちは開発者が管理するサーバー上に、あなたのチャット内容、音声録音、画像添付、API Key を既定で保存しません。ただし、アプリ自体は同期、統計、Daily Pulse、年間サマリーなどの機能を成立させるために、チャット履歴、設定、記憶、リクエストログなどを端末内に保存します。

2. 端末内保存とローカル処理

• チャットとセッション情報：チャット履歴、セッション設定、添付ファイル参照、Worldbook、記憶データ、Daily Pulse データ、フィードバック履歴、アプリ設定は端末内のアプリサンドボックスに保存されます。
• API プロバイダ設定と API Key：モデル一覧、ヘッダー上書き、プロキシ設定などを含むプロバイダ設定と API Key は、端末内の SQLite 設定データベースに保存されます。旧バージョンで Keychain に保存されていた場合は、移行時に統合して旧保存領域をクリーンアップします。
• ローカルのリクエスト／レスポンスログ：完全な HTTP リクエスト本文とレスポンス本文、および所要時間、状態、Token 使用量などの診断フィールドを端末内に保存できます。この機能には独立した全体スイッチがあり、既定ではチャット本文を非表示にします。明文メッセージの記録を明示的に有効にした場合のみテキストを保存し、画像、音声、ファイルの Base64 は常に非表示です。これらのログは自動送信されません。
• フィードバックチケットのキャッシュ：フィードバックアシスタントを使う場合、チケット番号、トークン、状態、更新日時、公開 URL を端末内に保存し、後から進捗を確認できるようにします。
• ローカル Linux：任意機能の内蔵 AArch64 RootFS、ワークスペース、タスクログ、診断は App サンドボックス内に保存されます。環境変数は暗号化対応の SQLite 設定データベースに保存され、選択した Linux プロセスの起動時だけ注入されます。モデルのプロンプトへ自動追加されることはありません。

3. AI リクエスト、音声、画像

• テキストチャット：あなたのメッセージは、あなた自身が設定した第三者 AI プロバイダ（OpenAI、Anthropic、Google、OpenAI 互換サービス、自前モデルなど）へ直接送信されます。私たちはその内容を開発者サーバーで中継・保存しません。
• 音声とオーディオ：マイク権限は、あなたが明示的に録音や音声入力を行った時だけ使用されます。音声は現在のモデルプロバイダ、またはあなたが選んだ音声 / 文字起こしサービスにのみ送られます。
• 画像とファイル：アプリが画像やファイルにアクセスするのは、あなたが明示的に選んだ時だけです。関連する添付は現在のモデルプロバイダ、またはあなたが手動で接続したローカルデバッグ端へ送られます。
• Browser Agent とローカル MCP：Browser Agent のリクエストは App 内の WebKit ビューで開いた Web サイトへ直接送信され、ローカル stdio MCP はローカル Linux 内で動作します。外部フォルダは選択と許可の後だけ Linux に公開され、ブラウザ Cookie が Linux にマウントされることはありません。

4. 同期、ローカルネットワーク、Apple のサービス

• iPhone / Apple Watch 同期：リアルタイム同期は WatchConnectivity を通じて行われ、開発者が管理するサーバーは経由しません。
• iCloud 同期：あなたが明示的に iCloud 同期を有効にした場合、選択されたデータは Apple の iCloud / CloudKit を通じて自分の端末間で同期されます。そこには API Key を含む可能性があるプロバイダ設定が含まれる場合があります。
• ローカルネットワークとデバッグ：ローカルネットワーク権限は、任意機能である LAN デバッグ / リモートファイルアクセスのためだけに使われます。あなたが自分のデスクトップデバッグツールを接続した場合、関連するアプリファイルやリクエスト通信が、あなた自身が管理するローカルエンドポイントに送られることがあります。

5. フィードバックアシスタント

フィードバック本文は送信操作を行ったときに送られます。起動時には、このインストール宛ての開発者からの非公開メッセージも確認します。

新しいフィードバックには、ランダムなインストール識別子が GitHub 上で公開されます。別の秘密の認証情報をアプリのサンドボックス内に保存し、バックアップや同期から除外します。ローカルデータを削除すると新しい識別情報になります。起動時のメッセージ確認にはこの認証情報を使用します。識別子はパフォーマンステレメトリに含まれません。任意で入力する連絡先など、開発者への回答は開発者のフィードバックサーバーにのみ送られ、GitHub や AI モデルには送られません。回答の送信または回答の拒否でメッセージは終了します。「後で」は次回起動まで保留します。記録は開発者が非公開の管理画面で確認・削除でき、削除まで保存されます。通常のフィードバック本文やコメントは引き続き公開されます。

• 入力内容：フィードバック種別、タイトル、詳細、再現手順、期待される動作、実際の動作、追加コンテキスト。
• 環境スナップショット：プラットフォーム、App バージョン、Build 番号、OS バージョン、デバイスモデル識別子、ロケール、タイムゾーン。
• 最小限の診断情報：タイムスタンプ、プロバイダ数、非一時セッション数、プラットフォーム情報、App バージョン情報。
• スパム対策：challenge、タイムスタンプ、署名、PoW 関連フィールドが含まれます。
• 状態更新：後からフィードバックセンターでチケット状態を更新する時は、端末内に保存されたチケット番号とトークンを使ってフィードバックサービスへ照会します。

送信前に、フィードバック文面には Bearer Token、API Key 文字列、いくつかの一般的な秘密情報形式を隠すための基本的なサニタイズが行われます。ただし、これは完全な情報漏えい防止機構ではありません。秘密鍵、身分証番号、住所、健康情報などの機微情報はフィードバック欄に記入しないでください。

6. パフォーマンステレメトリと診断

「ETOS LLM Studio のパフォーマンス改善に協力」は既定でオンで、設定 > 情報からオフにできます。ローカルのリクエストログとは独立しています。オフにすると収集を停止し、未送信のテレメトリを消去します。

• 送信するデータ：Apple MetricKit が提供する CPU、メモリ、起動、ハング、ディスク、ネットワークの集約指標と匿名の診断コールスタック、MXSignpost で記録する起動、データベース、リクエスト、ストリーミング処理、Markdown など固定段階の所要時間、アプリのバージョン、Build、配布チャネル、iOS バージョン、デバイスモデル区分、アーキテクチャ、レポート時刻。
• 送信しないデータ：チャット内容、リクエスト／レスポンス本文、API キー、認証情報、設定したサーバーアドレス、セッション ID、永続的なデバイス ID、広告 ID、その他のユーザー識別子。
• 送信時期と端末内保持：MetricKit はシステムのスケジュールでレポートを配信します。アプリは前回の起動で書き込まれたデータだけを送信し、サーバーから個別の確認を受けると対応するローカルファイルを直ちに削除します。未送信ファイルは最長 14 日、合計 20 MiB まで保持し、診断コールスタックを優先します。
• サーバーとアーカイブ：受信サービスは UTC 日付別に一時保存し、30 日および 2 GiB の上限を適用します。開発者は管理下の Mac に転送して長期的な性能分析に使用し、不要になった時点で手動削除できます。送信元 IP はメモリ内の短期限流に使われる場合がありますが、テレメトリファイルには保存せず、永続識別子にも使用しません。
• 確認と用途：アプリログ > パフォーマンステレメトリで実際の送信内容を確認できます。診断アドレスの解析には対応する Xcode Cloud ビルドの dSYM が必要です。データはバッテリー、発熱、ハング、起動、メモリ、ディスク、ネットワークの性能問題の特定にのみ使用し、広告、ユーザープロファイリング、チャットモデルの学習には使用しません。

7. 第三者サービス、分析、開発者サーバーとの境界

• 第三者 AI プロバイダ：あなたが明示的に送信したチャット、画像、音声リクエストを処理します。
• Apple のシステムサービス：WatchConnectivity や iCloud / CloudKit などは Apple 自身のポリシーに従います。
• 開発者運営のフィードバックサービス：フィードバックの管理、起動時の端末宛てメッセージ確認、非公開の回答の受信に使用されます。
• 開発者運営のパフォーマンステレメトリサービス：パフォーマンステレメトリがオンの間、第 6 節の非コンテンツデータを自動的に受信します。
• 自動送信されないもの：チャット内容、ローカル記憶、ローカルのリクエスト／レスポンスログ、年間サマリー用データ、API Key は開発者サーバーへ自動送信されません。
• 広告と汎用分析 SDK：第 6 節の MetricKit パフォーマンステレメトリを除き、第三者広告 SDK や汎用的な行動分析 SDK は統合されていません。
• Apple の分析共有：システム設定で開発者との分析共有を有効にした場合、Apple のルールに従って匿名クラッシュログや診断情報が収集されることがあります。

8. 免責事項

• 中立的なツール：本アプリは汎用 LLM クライアントです。一部のエンドポイントやフィードバックサービスのアドレスを初期表示することはありますが、商用モデルの認証情報を同梱してはいません。
• 生成内容の責任：AI が生成した内容は、あなた自身が設定した第三者サービスによって返されます。私たちはその正確性、合法性、適合性を保証できません。
• サービス選択：利用する API サービス、同期機能、フィードバックサービスは、それぞれのプライバシーポリシー、利用規約、費用、リスクを踏まえてご自身で判断してください。