プライバシーポリシー
施行日：2026年7月7日
Elix（ドメイン：elix.cool、以下「本サービス」）は、自己主権型アイデンティティを基盤とする分散型のディスカッションコミュニティです。設計原則は、可能な限りデータを利用者の端末に保持し、端末外へ出るデータを最小限に抑え、利用者自身が署名し、検証可能かつ移行可能なものにすることです。本ポリシーでは、どのシステムでどのデータを処理するか、保存期間、および利用者の権利について説明します。
当サービスが行わないこと
- 分析、トラッキング、広告用のSDKを使用せず、第三者のトラッキングコードも組み込みません。
- 利用者単位のテレメトリを作成しません。運用指標は集計値のみで、個人に結び付けることはできません。
- 位置情報を収集・保存しません。
- IPアドレスを永続的な記録に書き込みません。
- マーケティング目的で個人データを第三者に販売、貸与、共有しません。
データの保存場所
利用者の端末
- アイデンティティ秘密鍵（Ed25519）：端末上で生成・保存され（ソフトウェア保管で、保管レベルは custody_class として表示）、クラウドバックアップから除外されます（Android は noBackupFilesDir、iOS はファイル保護機能を使用）。秘密鍵が端末外へ出ることはありません。
- ローカルデータベース、下書き、およびWallet内の検証可能なクレデンシャル（Verifiable Credentials、VC）。
Relay（メッセージ中継サービス）
Relayが保存するのは、利用者が公開を選択したものだけです。
- 公開DIDとhandle（アカウント識別名）。
- 署名して公開した投稿と操作記録。これは追記専用（append-only）で改ざん検知可能な署名ログです。
- モデレーション記録。
- 端末のプッシュ通知トークン（内容を含まない同期通知にのみ使用）。
Relayは、メールアドレス、法的氏名、電話番号、国民識別番号、位置情報を保存しません。IPアドレスも保持しません。
Issuer（本人確認サービス）
- 確認中のメールアドレスとワンタイムパスコード（OTP）は、数分間だけメモリに保持され、確認完了後に破棄されます。
- 同一人物による重複登録を防ぐため（Sybil攻撃への対策）、鍵付きで不可逆なハッシュコミットメントだけを保存します。これをメールアドレスやその他の身元データに戻すことはできません。
- パスポートのNFCチップデータと台湾のMobileMoica（モバイル自然人証明書）のデータは、確認中に一時的に処理されるだけで、保存されることはありません。
- 発行された検証可能なクレデンシャルは利用者の端末のWalletにだけ保存され、クレデンシャルの失効にも対応します。
AppView（閲覧用投影サービス）
AppViewは、Relayですでに公開されているコンテンツを閲覧・検索するための読み取り専用の投影です。追加の個人データは保持しません。
データが端末外へ出る場合
公開コンテンツを投稿するとき、本人確認を行うとき、またはプッシュ通知を有効にするときなど、利用者が選択した場合に限ります。秘密鍵と未公開の非公開データは端末外へ出ません。
保存期間
| データ | 保存場所 | 保存期間 |
|---|---|---|
| アイデンティティ秘密鍵（Ed25519） | 利用者の端末のみ | ローカルのアイデンティティを消去するか、アプリをアンインストールするまで |
| 公開DID、handle | Relay | アカウントの存続期間（公開記録） |
| 署名済みの公開投稿／操作 | Relay | 削除後は外部への提供を停止。基礎となる追記専用署名ログは保持（「利用者の権利」を参照） |
| モデレーション記録 | Relay | ガバナンスと異議申立てのために保持 |
| 端末のプッシュ通知トークン | Relay | 端末からログアウトするか、トークンが失効するまで |
| メールアドレスとOTP（確認中） | Issuer（メモリのみ） | 数分間。確認完了後に破棄 |
| 重複防止用ハッシュコミットメント | Issuer | 保持（不可逆で、個人データを復元できない） |
| パスポートNFC／MobileMoicaデータ | Issuer（一時処理） | 確認中のみ処理し、保存しない |
| 検証可能なクレデンシャル（VC） | 利用者の端末のWallet | 利用者が保管。失効可能 |
| IPアドレス | — | 保持しない |
| AppViewの投影コンテンツ | AppView | Relayの公開コンテンツに追随し、削除も伝播 |
利用者の権利
- アクセスと移行：公開コンテンツは署名付きの移行可能な形式です。いつでもアクセスでき、他の互換サービスへ持ち出すこともできます。
- 削除：
- アプリ内でローカルのアイデンティティを消去できます（設定 → この端末からログアウト）。これにより、この端末ではそのアイデンティティを使用できなくなります。
- 削除したコンテンツはAppViewなどの閲覧画面から取り除かれ、削除は下流にも伝播します。
- 正確な説明：Relay上の公開投稿は追記専用の署名ログの一部です。削除するとすべての公開画面でコンテンツの提供を停止しますが、記録の完全性と検証可能性を維持するため、基礎となる署名ログのエントリ自体は保持されます。
- アカウントとデータの完全な削除を希望する場合は、privacy@reviz.tw へご連絡ください。合理的な期間内に処理し、回答します。アカウントとデータの削除もご覧ください。
- クレデンシャルの失効：発行済みの検証可能なクレデンシャルは失効させることができます。
適用法令
本サービスは、台湾の個人データ保護法に基づいて個人データを処理します。データ主体は同法第3条に定める権利（照会、閲覧、複製、補充、訂正、処理・利用の停止、削除）を行使できます。EU／EEAの利用者にはGDPRが適用されます（法的根拠：契約の履行、および本人確認などにおける利用者の明示的な同意）。米国カリフォルニア州の利用者にはCCPA/CPRAが適用され、当サービスは個人情報を販売も共有もしません。これらの権利を行使するには、privacy@reviz.tw へご連絡ください。
子ども
本サービスは13歳未満の子どもを対象としていません。法定代理人の同意なく13歳未満の子どもの個人データを処理したことが判明した場合は、速やかに削除します。
本ポリシーの変更
本ポリシーを変更する場合、このページの施行日を更新します。重要な変更は本サービス内で目立つ形でお知らせします。本サービスを継続して利用することにより、更新後のポリシーを確認したものとみなされます。
お問い合わせ
プライバシーに関する質問・請求：privacy@reviz.tw