1. 本ポリシーの適用範囲
本ポリシーは、当社が運営する Web サービス Arpass（https://arpass.io）、および同サービスの Android アプリ（パッケージ名 io.arpass.twa）に適用されます。これらを総称して以下「本サービス」といいます。
2. 個人情報取扱事業者
| 事業者 | Technoblest 株式会社 |
|---|---|
| 所在地 | 日本国内（詳細は会社公式サイトをご参照ください） |
| 連絡窓口 | privacy@arpass.io |
3. 取得する情報の種類
(a) 当社が直接取得する情報
| 情報 | 具体例 | 取得方法 |
|---|---|---|
| ドライブ ID | 32文字の base64url 文字列（利用者のローカルで生成された ECDSA 公開鍵から導出） | 本サービス利用時に自動送信 |
| 暗号化された ドライブのデータ | パスワード等を含む JSON を AES-256-GCM で暗号化したバイナリ | 利用者のブラウザがアップロード（中身は当社復号不能） |
| クレジット残高 | 書き込み可能回数 | 当社サーバ（Cloudflare KV）で保管 |
| メールアドレス | 例：user@example.com | 有償プラン購入時に Stripe から取得 |
| 支払関連情報 | Stripe Customer ID、決済ステータス、領収書 URL など（カード番号は当社に渡りません） | Stripe からのコールバック |
| アクセスログ | IP アドレス、User-Agent、リクエスト時刻 | Cloudflare により標準的に記録 |
(b) 利用者の端末内のみに保存される情報
以下の情報は利用者のブラウザの localStorage 内のみに保存され、当社サーバへは送信されません：
- マスターパスワード（メモリ上のみ。ロック解除中以外は保持されません）
- Passkey の credential ID（WebAuthn 規格に基づく）
- 暗号化用の salt、iterations 等の鍵導出パラメータ
- ECDSA 秘密鍵（リクエスト署名用）
4. 利用目的
取得した情報は以下の目的でのみ利用します：
- 本サービスの提供（ドライブのデータの保存・読み出しの仲介）
- クレジット残高の管理および書き込み課金の精算
- 有償プランの決済処理および領収書の発行
- 不正利用・不正書き込みの検知（Cloudflare による標準的な防御）
- サービス改善のための統計集計（個人を特定しない形で）
- 重要なサービス変更通知（メールアドレスをご登録いただいている場合）
5. ゼロ知識アーキテクチャの保証
本サービスは設計上、当社が利用者のパスワード本体・URL・メモ・ユーザー名等を復号できない構造になっています。具体的には：
- 暗号化と復号はすべて利用者のブラウザ内で実行されます
- マスターパスワードは PBKDF2-SHA256（60万回反復）で鍵導出され、当社サーバへは送信されません
- ドライブは マスターパスワード（P）・Passkey PRF（K）・Recovery Secret（R）の 3 つの要素のうち任意の 2 つで復号可能な 2-of-3 方式で保護されます。ランダムなドライブ鍵 K\_vault を AES-256-GCM で 3 通り（P+K, P+R, K+R）にラップして envelope に同梱します
- 当社が保存・転送するのは 暗号文と 3 つのラップのみです。各要素の生情報はサーバに渡りません
- 3 つの要素のうち2 つ以上を失った場合、当社を含む誰も復号することはできません（仕様上の不可逆な制約）
- 1 つだけ失った場合は残る 2 つで復旧可能です：機種変更・Passkey 紛失 → P+R で復旧／パスワード忘却 → K+R で復旧／Recovery 紛失 → 既存端末で「再発行」して新 Recovery を発行
- 主要な脅威は R + P の同時漏洩です。同じ場所（同じ紙、同じパスワードマネージャ）に保管しないようご注意ください。Passkey は端末内 Secure Enclave に保管され、生体認証なしには使えないため、K の漏洩は通常起こりません
- ドライブの envelope は固定サイズ（~110 KiB）にパディングされ、エントリ数が外形から推測できない設計です
- Arweave 上のドライブを識別するタグは Recovery Secret から決定論的に導出した匿名値であり、第三者が「Arpass 利用者一覧」を一括取得することはできません
このため、当社は利用者から「パスワードを教えてほしい」「ドライブの内容を確認してほしい」と依頼された場合でも、技術的にお応えすることができません。
6. 第三者への提供および委託
当社は以下の事業者にサービス運営の一部を委託しています：
| 委託先 | 委託する処理 | 提供される情報 |
|---|---|---|
| Cloudflare, Inc.（米国） | Web ホスティング、DDoS 対策、Edge 配信、認証ゲート（一部） | IP アドレス、リクエスト内容、暗号化された ドライブのデータ |
| Stripe, Inc.（米国） | クレジットカード決済処理 | メールアドレス、決済金額、カード情報（Stripe へ直接送信され当社は受領しません） |
| Arweave Network | 暗号化された ドライブのデータの永続保存 | 暗号化された ドライブのデータ、ドライブ ID（タグとして公開検索可能） |
| Google LLC（米国） ／ Apple Inc.（米国） | Passkey の保管・認証（端末標準機能） | WebAuthn 規格に基づく credential のみ。当社は credential ID 文字列のみを保管 |
これら以外の第三者へ個人情報を提供することはありません。ただし、法令に基づく開示請求があった場合、または利用者の同意を得た場合を除きます。
7. Arweave への保存とデータの永続性について
これに伴い、以下の点にご留意ください：
- 利用者が「ドライブのデータの削除」を当社にご請求された場合、暗号化された ドライブのデータそのものを Arweave 上から削除することは技術的に不可能です
- ただし、保存されているのは AES-256-GCM で暗号化された不可読データであり、復号鍵（マスターパスワード）を破棄することにより事実上の削除と同等の効果が得られます
- ドライブ ID およびそれに紐づく暗号化データの存在自体は、Arweave の公開検索機能を通じて第三者にも観測可能です（ただし中身は復号できません）
- 当社サーバ上の付随情報（クレジット残高、メールアドレス等）は、利用者のご請求に基づき削除可能です
8. Cookie および localStorage の使用
本サービスでは以下の目的で Cookie および localStorage を使用します：
- Cloudflare Access のセッション管理（必須）
- ドライブ Identity（公開鍵・秘密鍵ペア）の保管（必須）
- 暗号化メタデータ（salt、Passkey credential ID 等）の保管（必須）
本サービスは現時点で広告や行動追跡を目的とした Cookie を一切使用していません。Google Analytics 等のトラッキングツールも導入していません。
9. データ保管期間
| データ種別 | 保管場所 | 保管期間 |
|---|---|---|
| 暗号化された ドライブのデータ | Arweave | 恒久（削除不可） |
| クレジット残高、ドライブ公開鍵 | Cloudflare KV | 利用者がサービス利用を停止しサポートに削除請求するまで |
| メールアドレス、決済記録 | Cloudflare KV、Stripe | 会計法に基づき 7 年（決済記録のみ）／その他はサポート請求により削除可 |
| アクセスログ | Cloudflare | 標準保管期間（およそ 30 日） |
10. 利用者の権利
利用者は、個人情報の保護に関する法律（APPI）および GDPR（該当する場合）に基づき、以下の権利を有します：
- 当社が保有する利用者の個人情報の開示請求
- 誤った情報の訂正請求
- 利用停止または削除請求（ただし Arweave 上のデータについては第7項参照）
- 第三者提供の停止請求
- 同意の撤回
これらの請求は privacy@arpass.io までご連絡ください。本人確認の上、合理的な期間内に対応いたします。
11. 児童の個人情報
本サービスは 13 歳未満の児童を対象としていません。13 歳未満の方が本サービスを利用しないようご注意ください。13 歳未満の児童に関する情報を当社が誤って取得していたことが判明した場合、速やかに削除いたします。
12. セキュリティ
当社は、利用者の情報を不正なアクセス、紛失、破壊、改ざん、漏洩から守るため、合理的な技術的・組織的安全管理措置を講じます。具体的には：
- すべての通信は TLS（HTTPS）により暗号化
- ドライブのデータは利用者ブラウザ内で AES-256-GCM により暗号化（ゼロ知識）
- マスターパスワードは PBKDF2-SHA256（60万回反復）で鍵導出
- API リクエストは ECDSA P-256 署名により認証
- サーバ側にマスターパスワードや復号可能な情報を一切保持しない
13. 本ポリシーの変更
本ポリシーを改定する場合、変更内容を本ページに掲示するとともに、登録メールアドレスをお持ちの利用者には電子メールでお知らせします。重要な変更については 30 日以上の周知期間を設けます。
14. 準拠法・管轄裁判所
本ポリシーの解釈および適用は日本法に準拠します。本サービスに関連して紛争が生じた場合、東京地方裁判所を第一審の専属的合意管轄裁判所とします。
15. お問い合わせ
本ポリシーに関するご質問・ご請求は、以下の窓口までお寄せください：
Technoblest 株式会社 個人情報保護担当
E-mail: privacy@arpass.io
Privacy Policy (English)
Last updated: April 23, 2026
1. Scope
This policy applies to the Arpass web service at https://arpass.io and the Arpass Android application (package name io.arpass.twa), collectively the "Service."
2. Data Controller
Technoblest, Inc. (Japan) is the data controller. Contact: privacy@arpass.io.
3. Information We Collect
From you directly:
- Vault ID — a 32-character public-key-derived identifier
- Encrypted vault payload — AES-256-GCM ciphertext we cannot decrypt
- Credit balance — write quota stored in Cloudflare KV
- Email address — only when you purchase a paid plan via Stripe
- Payment metadata from Stripe (no card number reaches us)
- Standard access logs — IP, User-Agent, request times via Cloudflare
Stored only on your device (never sent to our servers): master password (in memory only), Passkey credential ID, KDF salt, your ECDSA private key.
4. Purposes
Service operation, credit accounting, payment processing, abuse prevention, anonymized analytics, and important service notifications.
5. Zero-Knowledge Guarantee
All encryption and decryption happens in your browser. Your vault is protected by a 2-of-3 scheme: any two of your Master password (P), Passkey PRF (K), and Recovery Secret (R) can unlock it. We store only ciphertext plus three wrapped copies of a random vault key. If you lose TWO of the three factors, no one — including Technoblest — can decrypt your vault. Losing only one (e.g. a device change that takes your Passkey with it) is survivable using the remaining two.
6. Third-Party Processors
- Cloudflare, Inc. (US) — hosting, DDoS protection, edge delivery
- Stripe, Inc. (US) — payment processing
- Arweave Network — permanent encrypted storage
- Google / Apple — Passkey authenticators (handled by your device's OS)
We do not sell your information to anyone, and we do not share it except as required by law or with your explicit consent.
7. Arweave Permanence
Arweave is a decentralized blockchain. Data written to it cannot be deleted. We provide this as the core value proposition: your passwords survive even if Technoblest does not. As a consequence, we cannot delete the encrypted ciphertext from Arweave on request. However, the data is unreadable without your decryption key, and discarding your master password produces the practical equivalent of deletion.
8. Cookies / Local Storage
We use first-party Cookies and localStorage for session management and key storage only. We do NOT use advertising or analytics trackers.
9. Retention
Encrypted vault data: permanent (Arweave). Account metadata: until you request deletion. Payment records: 7 years (Japanese accounting law). Access logs: ~30 days (Cloudflare default).
10. Your Rights
Under Japanese APPI and (where applicable) GDPR, you may request access, correction, deletion (subject to Arweave permanence per Section 7), restriction of processing, and consent withdrawal. Email privacy@arpass.io.
11. Children
The Service is not directed to children under 13. We do not knowingly collect information from children under 13.
12. Security
TLS in transit; AES-256-GCM at rest; PBKDF2 (600,000 iterations) for master-password-derived keys; ECDSA P-256 for API request signing; no decryption-capable secrets on our servers.
13. Changes
Material changes will be posted on this page and emailed to registered users with at least 30 days' notice.
14. Governing Law
This policy is governed by the laws of Japan. The Tokyo District Court has exclusive jurisdiction over disputes arising from the Service.
15. Contact
Technoblest, Inc. — Privacy Office — privacy@arpass.io