プライバシーポリシー

簡単な答え

Maude はコーディングエージェントをあなた自身のサーバーで動かすため、コード、会話、エージェントのログイン情報はそこに留まり、SSH の認証情報はあなたのスマホに留まります。リレーはあなたのセッションを読むことができません。セッションはエンドツーエンドで暗号化されています。私たちが受け取るのは、任意の利用状況の分析とクラッシュレポート（設定 → プライバシー）、サブスクリプションの状態、プッシュトークン、短い通知テキストです。

このポリシーでは、Maude がどのような個人データを取り扱い、それがどこに送られ、あなたがそれについて何ができるかを説明します。対象は、iPhone、iPad、Android 向けの Maude アプリ、maude.pilotdev.fr の Web サイト、Maude のリレー、そして Maude デーモンが確認する更新チャンネルです。

Maude は、フランスを拠点とする Pilot Dev（Lucas Bastien）が提供しています。ここに記載する処理について、Pilot Dev がデータ管理者（controller）です。連絡先は pilotdevelopper@gmail.com です。

要約

会話、コード、ファイル、エージェントのログイン情報は、あなた自身のサーバーに留まります。Maude はそこに小さなプログラム（デーモン）をインストールし、セッションはそこで実行・保存されます。私たちはそれらを受け取りません。
SSH のパスワードと鍵は、あなたのスマホのシステムキーチェーンに留まります。私たちに送信されることはありません。
リレーはあなたのセッションを読むことができません。スマホが私たちのリレーを経由してサーバーに接続する場合、通信はあなたのデバイスだけが持つ鍵でエンドツーエンド暗号化されます。
一部のデータは私たちまたは私たちの委託先に届きます：利用状況の分析とクラッシュレポート（オフにできます）、サブスクリプションの状態、プッシュ通知のトークン、短い通知テキスト、そしてリレーがメッセージを転送するために必要な記録です。
私たちはデータを販売せず、広告を表示せず、ほかのアプリや Web サイトをまたいであなたを追跡しません。Web サイトは Cookie を設定せず、分析も行いません。

私たちに決して届かないもの

Maude は、重要なものがあなたの管理するハードウェアに留まるように作られています。

セッションとトランスクリプト。デーモンは各セッションの履歴をサーバー上の ~/.maude/sessions に保存します。アプリは、セッションをすばやく表示できるよう、スマホにキャッシュのコピーを保持します。どちらのコピーも私たちには送信されません。
エージェントの認証情報と API キー。Claude Code、Codex、OpenCode、Grok Build、Antigravity にサインインしたり、API キーを貼り付けたりした場合、ログインはサーバー上で行われます。アプリで入力したキーは、サーバー上の ~/.maude/secrets.json（そのユーザーだけが読み取り可能）に保存されます。
SSH の認証情報。ホスト名、ユーザー名、パスワード、秘密鍵、鍵のパスフレーズは、スマホのキーチェーン（iOS）または暗号化ストレージ（Android）に保存されます。
添付したファイルと写真。SSH または暗号化されたリレーを経由して、スマホからサーバーに送られます。

サーバーに置かれたものは、あなたが選んだエージェントによって、そのエージェントの提供元に送信されることがあります。その部分はあなたと提供元との間のことです。下記のAI エージェントとその他のサービスをご覧ください。

私たちが処理するデータ

データ	保存場所	目的	法的根拠	保存期間
利用イベント：あなたが通過する画面と手順（オンボーディング、ペイウォール、サーバーの追加、接続結果と失敗の分類、デーモンのインストール結果、通知の許可）、およびアプリのバージョン、デバイスのモデル、OS のバージョン、言語、IP アドレスから推定したおおよその位置情報。ランダムな分析用 ID に紐づけられます。	PostHog、EU クラウド（フランクフルト）	セットアップがどこで失敗しているか、どの機能が使われているかを把握するため	正当な利益（アプリの改善）。オプトアウトできます。	最長 12 か月
セッションリプレイ：アプリ使用中のインターフェースの録画。会話の内容、コード、ファイルの内容、ターミナルの出力、入力したメッセージ、認証情報、ホスト名、ユーザー名は、スマホから何かが送信される前にマスクされます。	PostHog、EU クラウド	わかりにくい画面を直すため、人々が実際にアプリをどう操作しているかを確認するため	正当な利益。オプトアウトできます。	最長 30 日
クラッシュとエラーのレポート：エラーの種類とメッセージ、スタックトレース、アプリのバージョン、デバイスと OS。	PostHog、EU クラウド	バグを見つけて修正するため	正当な利益。オプトアウトできます。	最長 12 か月
サブスクリプションのデータ：匿名の購入 ID、購入した製品、トライアルと更新の日付、ストアの国と通貨。分析用 ID に紐づけられます。	RevenueCat（米国）、Apple または Google	サブスクリプションを販売・確認し、購入を復元するため	契約	顧客である間、その後は税法および会計法が求める期間
リレーの ID：ランダムなアカウント ID、デバイスごとに 1 件の記録（「Maude iOS」のような汎用名、プラットフォーム、公開鍵、ハッシュ化したアクセストークン、作成日時と最終確認日時）。	私たちのリレーサーバー	あなたのデバイスがサーバーや互いに接続できるようにするため	契約	設定 → リレーとデバイスでデバイスを削除するまで
リレーのサーバー記録：各サーバーに付けた表示名、ハッシュ化したアクセストークン、作成日時と最終確認日時、そしてあなたの各デバイス向けに封印されたサーバーのデータ鍵（私たちは開封できません）。	私たちのリレーサーバー	暗号化された通信を正しいサーバーに転送するため	契約	そのサーバーのリレーをオフにするか、サーバーを削除するまで
キューに入ったメッセージ：サーバーがオフラインの間に送られた暗号化メッセージ。	私たちのリレーサーバー	サーバーが再接続したときに配信するため	契約	配信時に削除、または最長 24 時間後に削除
プッシュトークン：Firebase Cloud Messaging があなたのデバイスに発行するトークン。	私たちのリレーサーバー、Google	通知を送るため	契約	通知をオフにする、デバイスを削除する、またはトークンが失効するまで
通知テキスト：それぞれ最大 80 文字のタイトルと本文、およびランダムなセッション ID とサーバー ID。	私たちのリレー、Google（FCM）、iOS では Apple（APNs）を経由します。リレーは保持しません。	エージェントが承認を必要としているとき、質問しているとき、作業を終えたとき、失敗したときに知らせるため	契約	私たちは保存しません
デーモンからの更新確認：ビルド番号、OS、CPU アーキテクチャ、C ライブラリ、CPU の機能フラグ、ランタイムのバージョン、デーモンが対象とするエージェントのバージョン、過去 30 日間にそのサーバーを使用した最も古い Maude アプリのバージョン。サーバーの IP アドレスは私たちのサーバーから見えます。	私たちのサーバー（リクエストログ）	デーモンが導入すべき検証済みのエージェントのバージョンとデーモンの更新を伝えるため	正当な利益（インストールの動作と安全の維持）。オフにできます。	リクエストログ：最長 30 日
Web リクエスト：Web サイトを訪問したとき、またはアプリが「新機能」のフィードを取得したときの IP アドレス、日時、リクエストしたページ、ブラウザのユーザーエージェント。	私たちのサーバー（リクエストログ）	サイトを提供し、安全に保つため	正当な利益	最長 30 日
あなたから私たちに送られたメール。	私たちのメールボックス（Google）	返信するため	正当な利益。購入に関するものは契約	対応に必要な期間、その後最長 3 年

分析、クラッシュレポート、セッションリプレイ

アプリのリリースビルドは、利用イベント、クラッシュレポート、セッションリプレイを、私たちが EU クラウド（フランクフルトのサーバー）で利用している分析サービス PostHog に送信します。私たちはこれを使って、人々がどこでつまずいているかを把握します。主にサーバーの接続で、問題の大半はそこで起きています。

対象となるもの：

識別子。PostHog はあなたのインストールにランダムな ID を割り当てます。私たちはそこにあなたの名前やメールアドレスを紐づけません。購入が完了したかどうかを判断できるよう、同じ ID を RevenueCat に渡します。
イベント。「オンボーディングのページを表示」、「サーバーを追加」、「タイムアウト」や「認証」といった失敗の分類付きの「接続に失敗」、ビルド番号とエラーコード付きの「デーモンをインストール」、「リレーに登録」、アプリを開いた・バックグラウンドに移った、などです。
エラーレポートには、エラーメッセージとスタックトレースが含まれます。メッセージはアプリのコードが生成するものですが、まれにパスやホスト名が含まれることがあります。
セッションリプレイは、操作の流れがどう感じられたかを確認できるよう、アプリの画面を記録します。会話の内容、コード、差分、ファイル、ターミナルの出力、エージェントへの入力、認証情報、ホスト名、ユーザー名を表示するアプリのすべての部分は、録画が送信される前にスマホ上でマスクされます。ボタン、メニュー、見出しは表示されたままです。

オフにする方法：設定 → プライバシー → 利用状況の分析を共有を開きます。オフの間、アプリは PostHog にイベント、クラッシュレポート、リプレイを一切送信しません。

リレー

relay.maude.pilotdev.fr のリレーは、SSH が実用的でない場合（たとえばモバイルデータ通信時やファイアウォールの内側）にアプリがサーバーに到達できるようにし、サーバーがあなたに通知できるようにするものです。デフォルトでオンになっています。設定 → リレーとデバイスですべてのサーバーについて、またはサーバーのページでそのサーバーについてオフにできます。オフの場合、アプリは SSH で直接サーバーと通信し、プッシュ通知は届きません。

暗号化の仕組み：サーバーを接続すると、スマホはそのサーバー用のランダムな 256 ビットの鍵を生成し、キーチェーンに保管します。あなたのデバイスとそのサーバーの間のすべてのメッセージは、デバイスを出る前にその鍵で暗号化されます（AES-256-GCM）。ほかのリンク済みデバイスにアクセスを与えるため、スマホは各デバイスの公開鍵を使って、デバイスごとに鍵を個別に暗号化（「封印」）します。リレーはそれらの封印されたコピーを保存しますが、開封できる鍵は保持していません。

リレーから見えるもの：あなたのどのデバイスがどのサーバーといつ通信しているか、メッセージの大きさ、各デバイスとサーバーがオンラインかどうか、サーバーに付けた表示名、そしてプッシュ通知のテキスト（次のセクション）。IP アドレスも見えますが、これは乱用的なリクエストの頻度を制限するために、メモリ上でのみ使用します。リレー自身のログには ID、イベントの種類、エラーコードが記録され、メッセージの内容、トークン、IP アドレスは記録されません。ホスティング事業者のネットワーク機器が、別途 IP アドレスを記録することがあります。

リレーからデータを削除する：設定 → リレーとデバイスでデバイスを削除すると、そのデバイスの記録、アクセストークン、封印された鍵、プッシュトークンが削除されます。アプリでサーバーを削除するか、そのサーバーのリレーをオフにすると、サーバーの記録、封印された鍵、キューに入ったメッセージが削除されます。アカウントの記録を含め、すべてを一度に削除するには、メールでご連絡ください。

プッシュ通知

通知を許可すると、スマホは Firebase Cloud Messaging（Google のサービス。iPhone では Apple のプッシュサービスにメッセージを引き渡します）からトークンを受け取ります。アプリはそのトークンをリレーに登録します。エージェントがあなたを必要とすると、サーバー上のデーモンがリレーに短い通知を送り、リレーはそれを Google に渡して、アプリをまだ表示していないあなたのすべてのデバイスに配信します。

通知テキストは短くしていますが、送信中はリレー、Google、Apple が読むことができます。次のものが含まれることがあります。

セッションのタイトル（名前は変更できます）
エージェントが何をしようとしているかの 1 行の要約。コマンドの 1 行目やファイル名など（「Allow Run npm test?」「Allow Edit src/app.ts?」）
エージェントがあなたに尋ねている質問の冒頭
エラーメッセージの冒頭

各部分は 80 文字で切り詰められます。リレーは通知テキストを保存しません。設定 → 通知で、通知の種類ごとに、またはすべてをミュートできます。セッションのタイトルやコマンドに機密性がある場合は、不要なカテゴリーをミュートしてください。

サーバー上のデーモン

エージェントを動かすため、Maude は接続する各サーバーに Maude デーモンというプログラムを、ログインしたユーザーの ~/.maude にインストールします。デーモンは、そのサーバー上にのみ次のものを保存します。

セッションの履歴（~/.maude/sessions）とデーモン自身のログ（daemon.log）
アプリで入力した API キー（secrets.json）、リレーの接続情報（relay.json）、通知とセキュリティの設定
デーモンがインストールするエージェントのプログラム（~/.maude/engines）と、デーモンが動作する JavaScript ランタイム
過去 30 日間に接続した Maude アプリのバージョン（バージョン番号のみ）

デーモンがそれらの内容を私たちに送ることはありません。デーモン自身が行うネットワークリクエストは次のとおりです。

6 時間ごとの更新確認（maude.pilotdev.fr 宛て）。上の表に記載した技術的な情報を送信し、あなたやあなたのセッションに関する情報は含みません。応答によって、どの検証済みのエージェントのバージョンを使うか、新しいデーモンがあるかがデーモンに伝えられます。すべてのダウンロードは、使用前に公開された SHA-256 ハッシュと照合されます。確認を止めるにはデーモンの環境で MAUDE_CHANNEL=off を、デーモンの自己更新だけを止めるには MAUDE_SELF_UPDATE=off を設定してください。
ベンダーからのダウンロード：エージェントやそのランタイムをインストール・更新するときに、Anthropic（downloads.claude.ai）、GitHub（Codex、Bun ランタイム）、npm レジストリ、Google Cloud Storage（Grok Build、Antigravity）、および各ベンダーのインストールスクリプトから取得します。どのダウンロードでもそうであるように、これらのベンダーにはサーバーの IP アドレスが見えます。
リレー（有効な場合）。暗号化された WebSocket で接続します。

デーモンを削除するには、サーバーで ~/.maude/bin/maude uninstall-service を実行し、~/.maude を削除してください。アプリでセッションを削除すると、サーバー上のその履歴も削除されます。

AI エージェントとその他のサービス

Maude は、あなたが選んだエージェントを起動・制御します：Claude Code（Anthropic）、Codex（OpenAI）、OpenCode（多くのモデルプロバイダーを利用可能）、Grok Build（xAI）、Antigravity（Google）。これらはあなたのサーバー上で、あなた自身のアカウントで動作します。プロンプトを送ると、エージェントはそのプロンプトと、読み込んだコードやファイルを処理のために提供元に送信します。提供元は、そのデータの管理者として、自身の規約とプライバシーポリシーに基づいてデータを取り扱います。私たちはそのやり取りに関与しておらず、内容を見ることはできません。

機密性の高いコードでエージェントを使う前に、提供元のポリシーを確認してください：Anthropic、OpenAI、xAI、Google、そして OpenCode で設定するプロバイダーのポリシー。

エージェントやサーバーが通信するそのほかのものにも同じことが当てはまります。たとえば、アプリからコードをプッシュしたりプルリクエストを作成したりするときの GitHub です（Maude はあなたの認証情報を使って、サーバー上で git と GitHub の gh ツールを実行します）。

Web サイト

maude.pilotdev.fr は Cookie を設定せず、分析やトラッキングのスクリプトを使わず、フォントは私たち自身のサーバーから読み込みます。App Store と Google Play へのリンクには、クリック元のページを示すタグが付いており、Apple と Google はページごとのインストール数を集計して私たちに伝えることができます。私たちのサーバーは通常のリクエストログを保持します（表を参照）。

サブスクリプションと支払い

購入は Apple の App Store または Google Play を通じて行われます。私たちがあなたのカード情報、氏名、請求先住所を目にすることはありません。私たちが利用しているサブスクリプションサービスの RevenueCat は、ストアからレシートを受け取り、サブスクリプションが有効かどうかをアプリに伝えます。RevenueCat は匿名の ID を使用し、ストアが伝えない限り、あなたが誰かを知りません。Apple と Google は、それぞれのプライバシーポリシーに基づいて支払いを処理します。

あなたのスマホ上

アプリはデバイス上に次のものを保存します：サーバーの一覧と設定、最近のセッションのキャッシュ、未送信の下書き、環境設定、そしてキーチェーンまたは暗号化ストレージ内の SSH の認証情報、リレーの鍵、いくつかのランダムな ID。アプリをアンインストールすると、そのほとんどが削除されます。iOS では、キーチェーンの項目が再インストール後も残ることがあります。

アプリがカメラへのアクセスを求めるのは、セットアップコードを読み取るときか添付する写真を撮るときだけで、写真へのアクセスを求めるのは添付する写真を選ぶときだけです。画像はあなたのサーバーに送られ、私たちには送られません。アプリは位置情報、連絡先、広告識別子を使用しません。

データの共有先

私たちは個人データを販売せず、広告のために共有することもありません。次の委託先が私たちに代わってデータを処理します。

委託先	用途	所在地
PostHog Inc.	分析、クラッシュレポート、セッションリプレイ	EU（フランクフルト）
RevenueCat Inc.	サブスクリプションの管理	米国
Google LLC（Firebase Cloud Messaging）、Google Play	プッシュ通知の配信、Android での購入	米国および世界各地
Apple Inc.（APNs、App Store）	iOS でのプッシュ通知の配信、iOS での購入	米国および世界各地
Hetzner Online GmbH	Web サイト、リレー、更新チャンネルのホスティング	EU（ドイツ / フィンランド）

また、法律で求められる場合や、ユーザーやサービスを乱用から守るために、データを開示することがあります。

国外への移転

上記の委託先の一部は米国にあります。個人データが欧州経済領域の外に移転される場合、その移転は、委託先が認証を受けている場合は EU-米国データプライバシーフレームワークに、そうでない場合は欧州委員会の標準契約条項に基づいて行われます。

セキュリティ

あなたのデバイスとサーバーの間のリレーの通信は、エンドツーエンドで暗号化されています。リレーが保存するのはアクセストークンのハッシュだけで、トークンそのものは保存しません。スマホ上の認証情報は、プラットフォームのセキュアストレージに保管されます。秘密情報を含むデーモンのファイルは、サーバーのユーザーだけが読み取れます。デーモンがインストールするダウンロードは、SHA-256 ハッシュと照合されます。とはいえ、完全に安全なシステムはありません。スマホのロックが解除されリンクされている状態では、それを手にした人は誰でも Maude を通じてあなたのサーバーにアクセスできるので、画面ロックを設定しておいてください。

あなたの権利

EU、英国、または同様の法律がある地域にお住まいの場合、あなたには、私たちが保有するあなたの個人データにアクセスする権利、それを訂正する権利、消去する権利、その利用を制限する権利または異議を唱える権利（分析への異議はいつでも可能）、そしてそれをポータブルな形式で受け取る権利があります。私たちが正当な利益に依拠している場合、あなたは異議を唱えることができ、私たちにやむを得ない正当な根拠がない限り、その処理を停止します。カリフォルニア州の居住者には、知る権利と削除する権利という同等の権利があり、私たちはカリフォルニア州法の定義における個人情報の販売や共有を行っていません。

これらのいくつかは、アプリで自分で行えます：分析をオフにする、リレーからデバイスを削除する、リレーをオフにする、サーバーやセッションを削除する。それ以外については、pilotdevelopper@gmail.com までメールでご連絡ください。あなたが教えてくれない限り、私たちはあなたの名前やメールアドレスを知らないため、デバイスをリンクした日時やサブスクリプションの注文 ID など、記録の特定に役立つ情報をお尋ねすることがあります。1 か月以内に回答します。

データ保護機関に苦情を申し立てることもできます。フランスでは CNIL です。お住まいの地域の機関に連絡することもできます。

子ども

Maude はソフトウェア開発者向けのツールであり、子どもを対象としたものではありません。16 歳未満の方（お住まいの地域のデジタル同意年齢がそれより高い場合はその年齢未満の方）は使用しないでください。子どもが私たちに個人データを提供したと思われる場合は、メールでご連絡いただければ削除します。

このポリシーの変更

Maude によるデータの取り扱いが変わる場合、私たちはこのページを更新し、冒頭の日付を変更します。変更があなたのデータの利用方法に重大な影響を与える場合は、それが発効する前にアプリでもお知らせします。以前のバージョンはご要望に応じて提供します。

お問い合わせ

Pilot Dev（Lucas Bastien）、フランス。メール：pilotdevelopper@gmail.com。あわせて利用規約もご覧ください。