クライアント用文書（日本語正文）。Community Nodeの個別文書とは異なります。
Client document — authoritative Japanese text. Separate from each Community Node's policies.

kukuri プライバシーポリシー

最終更新日: 2026-09-19

施行日: 2026-09-19

Legal bundle version: 8
正文言語: 日本語

本ポリシーは kukuri デスクトップアプリ自体に適用されます。各 Community Node が個別に提示するプライバシーポリシーとは別のものです。日本語版を正文とし、アプリ内の英語版・簡体字中国語版は参考訳です。参考訳と日本語版に差異がある場合は日本語版を優先します。

1. 管理主体・問い合わせ先

2. 基本方針

kukuri は P2P を基盤とするアプリです。アカウントを識別する秘密鍵、設定、同意記録など端末内だけで扱う情報がある一方、プロフィール、公開フォロー関係、投稿、リアクション、添付等は、利用者が選択した公開範囲または audience に応じて P2P 参加者へ複製されます。Community Node の検索・索引等を利用する場合は、対象データや query が選択した Node に送信されることがあります。

データが特定の中央 server に一律集約されないことは、すべてのデータが端末内だけに留まることを意味しません。

3. 端末内に保存する情報

これらのうち秘密鍵、アプリ同意記録、18歳以上の自己申告、成人向け表示設定等は network へ複製しません。一方、投稿等の local copy は元の共有範囲で P2P 複製されたデータの一部です。local 保存と network 非送信を一律に同じ意味では扱いません。

18歳以上である旨の確認は自己申告として端末内だけに記録します。kukuri は生年月日や公的身分証を収集せず、公的な年齢確認を行いません。新しい端末または restore 後には再度の申告を求めます。

4. P2P で共有・複製される情報

5. 接続時に扱われる情報

公開鍵、endpoint ID、IP address、address hint、接続先・時刻・経路等の接続情報が、Mainline DHT、接続相手、選択した Community Node、iroh relay、通信経路事業者から観測される場合があります。

通信経路の優先度は Direct P2P -> Relay Supported P2P -> Relay Fallback です。Community Node や relay が接続補助に関与しても実データが必ず relay を通るわけではありません。Direct P2P と Relay Supported P2P が成立せず、Relay Fallback になった場合は、暗号化された実データ traffic が relay を経由します。

6. Community Node で扱われる情報

利用者が Node を保存して当該 Node の規約へ同意すると、認証、consent、bootstrap heartbeat、topic rendezvous、検索・発見、indexing request、成人向け表現の推定の照会、信頼評価の照会、ブロック・ミュートの提供、通報、tester feedback 等の有効な機能に応じて、公開鍵、proof、endpoint 情報、topic key、検索 query、対象識別子、署名、任意入力内容が送信されます。

成人向け表現の推定の照会では、推定の採用を選んだ Node へ、タイムライン・スレッド・通知等に表示した投稿の ID と添付ファイルの識別子（blob hash）を送ります。本文、閲覧履歴の集約、social graph は送りません。応答の推定は表示とメディア取得の判定のために端末のメモリ上で使い、保存しません。採用は Node ごとに設定画面で切り替えられ、採用しない Node へは照会しません。

信頼評価の照会では、折りたたみの判断に採用する順位へ選んだ Node へ、タイムライン・スレッド・プロフィール・ブックマークに表示した投稿の作成者、引用・repost の元投稿の作成者、および表示した live／game 一覧の主催者の公開鍵を送ります。投稿本文、閲覧履歴の集約、自分のブロック・ミュートの一覧は送りません。応答は折りたたみの判定のために端末のメモリ上で使い、評価の期限（既定 600 秒）を過ぎたら照会し直します。作り直せない場合は破棄し、折りたたみをやめます。採用順位を選ばなければ照会を行わず、選ばなかった Node へは送りません。

ブロック・ミュートの提供では、その Node が公開する任意の同意文書へ個別に同意した場合だけ、相手の公開鍵、操作の種別と状態、操作時刻、利用者の署名を送ります。投稿本文と閲覧履歴は送りません。既定では提供せず、設定画面でいつでも取り消せます。取り消すと、その Node に保存された記録の削除を要求します。

Community Node 運営者と kukuri 運営者が同一とは限りません。Node ごとの処理、外部送信、保持期間、問い合わせ先は、その Node の manifest から開けるプライバシーポリシー、外部送信表示、保持文書を確認してください。現行配布物の https://api.kukuri.app は初期候補であり、固定接続先ではありません。

7. リンクプレビュー、自動更新確認と外部送信

同意後、公開投稿の本文が表示可能な状態で画面内に入ると、先頭の絶対 HTTP(S) URL 1件について概要を表示するため、リンク先と、そのページが OGP 画像として指定した配信先へアクセスする場合があります。相手方と通信経路事業者から、IP address、HTTP／TLS request metadata、URL の path／query、固定 User-Agent、preview 閲覧の発生が観測され得ます。cookie、Authorization、Referer、公開鍵、account／topic／channel／post ID、他の投稿本文は送りません。private channel／DM、成人向け表示または信頼評価で折りたたまれた内容、未確定投稿は自動取得しません。取得結果は端末の process memory にだけ上限付きで一時保持し、再起動後へ残しません。

Direct／NSIS・Linux版のアプリは、同意後の起動時と30分ごと、および利用者の手動操作時にGitHub Releasesへ自動更新確認を行います。更新確認ではIP addressとHTTP／TLS request metadataがGitHubや経路事業者から観測されます。Microsoft Store版の更新はMicrosoft Store／Windowsへ委譲し、kukuri内からGitHub Releasesや別のStore update APIへ更新確認を送りません。送信先、目的、項目、保持主体の一覧はdocs/legal/external-transmission-notice.mdに記載します。

8. 診断レポート

利用者が任意で生成する診断レポートには、アプリ版、platform／user agent、接続・delivery／discovery 状態、active path、peer／topic 件数、通知・更新状態、Node URL／session／retry／error が含まれ得ます。

既定のレポートには秘密鍵、認証 token、private channel capability secret、invite／share token、DM 本文、local database path を含めません。コピーまたは書き出しだけでは自動送信されず、利用者が GitHub その他へ添付した場合にその送信先へ渡ります。

9. 保存期間

10. 削除・訂正の限界

local data の削除や投稿撤回は、対応する client／Node が認識する範囲で将来の表示、同期、検索、取得等を停止させるものです。P2P の性質上、相手端末や第三者 Node が既に取得した copy／cache、DHT／relay／経路事業者の log を遠隔から完全に回収・消去することは保証できません。

11. 行動分析を行わない現行方針

現行の kukuri アプリは、既定で行動分析、広告 tracking、自動 crash report 送信を行いません。将来これらを導入する場合は、送信開始前に本ポリシーと外部送信表示を改訂し、必要な再確認・再同意を求めます。

12. 同意と変更

初回起動時は network 接続を開始する前に、利用規約と本ポリシーへの同意を確認します。重要な変更では文書版を上げ、network を再開する前に再表示・再同意を求めます。問い合わせは ops@kukuri.app で受け付けます。

13. 変更履歴