プライバシー

保存するもの

• 暗号化されたファイル内容（ciphertext）。削除されるまで保存します。
• 最小限のメタデータ：推測できないID、ファイルサイズ、当社には読めない暗号化されたファイル名ラベル、選択した有効期限と消去設定、（設定した場合は）一方向のパスワード検証子、ダウンロード回数。
• 不正防止のためのアップロード者のIPアドレスのソルト付きハッシュ — 生のIPは保存しません。

決して保存しないもの

• あなたの復号鍵（リンクの fragment 内にのみ存在します）。
• 復元可能な形式のパスワード。
• エンドツーエンド暗号化されたファイルの平文内容。
• ログに含まれるファイル内容。

削除

ファイルはダウンロード時（消去モード）または有効期限のいずれか早い方で削除されます。ファイルが消去されると、メタデータの行も削除されます。

Beam（端末間）

Beam を使うと、ファイルは当社のストレージには一切触れません。2台の端末は可能なかぎり直接つながり、当社は両者を引き合わせるために必要な、短時間で自動的に失効するシグナリング情報だけを中継します — 短命の公開鍵と接続情報で、数分以内に削除されます。直接の経路がない場合も、暗号化されたストリームは中身を読めないリレーを通過するだけです。当社はファイルもファイル名も、転送を復元したり読んだりできるものは一切保存しません。

クリップボード（端末間）

クリップボードのテキストや画像が当社のサーバーにアップロードされたり、当社のサーバーを経由したりすることはありません。当社のサーバーが扱うのは、ブラウザー同士を見つけるための一時的なプレゼンス情報と WebRTC 接続情報だけで、これらの記録は自動的に失効します。転送は直接のピアツーピア接続だけを使用し、ブラウザー内でエンドツーエンド暗号化され、現在のタブの一時履歴にだけ残ります。

Rooms（リアルタイム共同編集）

Rooms では、文書内容とルーム鍵が DocuChan に保存されることはありません。サーバーは参加者のプレゼンス、ルームのロック・承認状態、WebRTC の SDP/ICE シグナリングを一時的に保存します。これらには IP アドレスなどの接続情報が含まれ、自動的に失効します。表示名、カーソル、コメント、ホスト状態はセッション用メタデータであり、法的な本人確認ではありません。文書の変更やコメントはアプリケーション層で暗号化された WebRTC で送信されます。ブラウザーは公開 STUN による直接経路を優先し、直接接続できない場合は DocuChan の TURN が暗号化済みパケットを中継することがあります。STUN/TURN は接続メタデータと暗号化トラフィック量を確認できますが、文書内容やルーム鍵は読めません。直接接続した参加者同士では互いのネットワークアドレスが見えます。ブラウザーは作業コピーを IndexedDB に、フラグメント鍵とホスト権限を含む再開用情報をサイトストレージに保存します。「削除」または「すべて消去」で削除できます。承認された参加者は受信した内容を保持・エクスポートできます。

広告なし・データ販売なし

広告は表示せず、データも販売しません。本サービスは、あなたのファイルについて技術的に可能な限り何も知らないよう設計されています。 唯一のアクセス解析は、自社サーバーでセルフホストしているクッキーレスの Umami だけです。訪問数と利用ステップを数えるのみで、ファイル名やリンク ID には一切触れません。