プライバシーポリシー

iPhone のリアルタイム新着通知（有効化前の説明）

この機能はまだ一般公開されていません。有効化する前に、この説明を公開プライバシーポリシーに反映し、実際のサーバー所在地がアプリ内の同意画面と一致することを確認します。現在の配備計画では、日本の大阪を選択しています。サーバーのアドレスまたは所在地が変わる場合は、改めて同意を求めます。 iPhone の新着メール通知を有効にし、認証情報の保管に明示的に同意した場合に限り、IMAP メールアカウントのアプリパスワードと Outlook の更新トークン（refresh token）を Orvia の専用プッシュサーバーに送信します。これらは新着メールの確認と通知用の購読の維持にのみ使用します。この同意は、その後に追加する対応メールアカウントにも適用されます。認証情報はディスク上で暗号化しますが、メールの監視中はサーバーのメモリ内に平文が存在します。中国本土の利用者については、認証情報と通知に必要なメールのメタデータが、説明された中国本土外の地域へ転送されます。保管に同意しない場合、IMAP と Outlook は既存の iOS バックグラウンド更新を使用します。 サーバーは、新着未読メールの検出、送信者フィルターの適用、通知の作成に必要な受信トレイのメタデータを処理します。メールボックス全体を保管せず、本文や添付ファイルをアップロードしません。IMAP のログインにより、メールサービスから通常とは異なる地域からのログインについて警告が届く場合があります。送信者情報と、プレビューを有効にした場合に限り文字数を制限した件名を、Apple Push Notification service（APNs）経由で配信します。プレビューは初期設定で無効です。ミュートした送信者のアドレス、不透明な端末登録・アカウント識別子、APNs デバイストークン、未読数、メールサービスのメッセージ識別子、配信成功を識別する記録は、通知の運用、重複防止、障害時の代替通知にのみ使用します。 Gmail の OAuth トークンは端末に保持し、プッシュサーバーには送信しません。端末が既存の認証を使用して Gmail watch を登録します。Google Pub/Sub が Gmail アドレスと historyId をプッシュサーバーに送信し、サーバーは鍵付きハッシュで対応する端末を検索します。アドレスの平文と historyId はディスクに保存せず、ログにも記録しません。サーバーは APNs のサイレント通知で端末を起動し、端末が Gmail と直接同期してローカル通知を表示します。アプリを強制終了すると、この経路による Gmail の通知は届きません。ある端末の通知を無効にしても、別の端末の Gmail watch は停止しません。 アプリ内の通知を無効にした場合、システム設定で通知の許可を無効にした後にアプリへ戻った場合、またはメールアカウントを削除した場合、サーバー上の該当記録の即時完全削除を要求し、監視を停止します。オフラインまたは削除失敗の場合、端末は削除要求を保持して再試行します。Microsoft の購読解除は別途試みます。Microsoft が利用できない場合、リモートの購読は元の有効期限まで残ることがありますが、削除済みのローカル対応情報に対するコールバックから通知は生成しません。PUT による更新が 30 日間ない端末登録は削除します。配信記録は 7 日間保持し、認証情報とミュートした送信者の一覧は、該当する端末・アカウント登録が存在する間のみ保持します。データベースのバックアップは作成しません。 Apple App Attest は、登録前に正規のアプリインストールを確認するために使用します。検証鍵とカウンターは、その確認とリプレイ攻撃の防止にのみ使用し、広告には使用しません。この機能は、任意のクラウド AI、利用統計、広告とは独立しています。Google の Limited Use に関する保護を変更せず、Gmail データをモデル学習に使用することを許可するものではありません。次回の該当する CASA 年次再評価には、プッシュゲートウェイを評価範囲に含めます。

受信箱を Orvia のデータセットにしません

Orvia は、分析、広告、データ取引、Orvia 独自モデルの学習のためにメールボックスをサーバー側のアーカイブへ同期しません。メールは既定で Mac に残り、選択したメールプロバイダと直接通信します。購入、License 認証、アカウント復旧、任意のクラウド処理など、ユーザーが明示的に使う機能だけが、その機能に必要な最小限のデータを処理します。任意クラウド AI の限定処理と匿名化済み結果のキャッシュは下記で説明します。

Classic は Personal AI を任意で使える独立した買い切り版です

Orvia Mail Classic は公式サイトから独立配布される買い切り版で、Orvia が管理するクラウド AI やその契約を含みません。本文、添付、インデックス、ローカルルールの結果は既定で Mac に残り、メールはプロバイダへ直接接続します。Personal AI を有効にした場合（メールボックスは有効化した接続に合わせて対象となり、いつでも個別にオフにできます）に限り、要約・返信・文章作成に必要なタスク限定テキストが端末内のプライバシーゲートを通り、選択した Personal AI 接続へ送信されます。Classic の任意の Personal AI には、自分の OpenAI 互換 API キーまたはエンドポイントを使う方法と、自分の ChatGPT または Grok アカウントでサインインする方法があります。API 認証情報は macOS Keychain に保存され、アカウント接続は下記で説明する端末内ランタイムです。この経路は Orvia AI Proxy を使いません。Classic は決済、License 認証、更新確認にも必要なネットワークサービスを使用します。

Classic Personal AI 接続の認証情報の保存

Personal AI は Classic では任意です。API 設定は自分の OpenAI 互換 API キーまたはエンドポイントを使い、その認証情報は Orvia の同期可能な Keychain 項目に保存されます。ChatGPT または Grok のアカウント接続は、公式プロバイダランタイムを端末内で実行します。アカウント認証情報はプロバイダランタイムが Classic の App コンテナ内に保存して更新し、Orvia はこれらのトークンを読み取り、コピー、同期、記録、エクスポートしません。ChatGPT または Grok のアカウント接続を切断すると、その端末のローカルランタイムデータが削除されます。

ChatGPT / Grok アカウントのデータ管理

コンシューマー向け ChatGPT および Grok アカウントのデータ管理では、プロバイダがコンテンツを学習または保持することを許容する場合があります。公式 API がその状態を権威的に返せない限り、Orvia は不明として扱い、学習が無効であるとは主張しません。これらのアカウント接続は、同じメールボックス許可のもとで Gmail を含む接続済みのすべてのメールボックスに適用されます。これらを通じて送信されるメール（Gmail を含む）は、あなた自身の ChatGPT または Grok アカウントの規約に従います。Orvia はその転送を運営せず、プロバイダの学習や保持を管理しません。

App Store に「ユーザーに関連付けられたデータ」と表示される理由

このラベルは App Store 版のすべての任意データ経路をまとめたもので、独立配布の Classic には適用されません。購入履歴は Apple / RevenueCat の権利確認、メールアドレスとユーザー ID は任意のアカウント・権利復旧に使用します。「メールまたはテキストメッセージ」は Apple の統合カテゴリで、Orvia は SMS にアクセスしません。対応するクラウド AI をユーザーが有効にした場合の匿名化メールテキストを指します。製品操作記録は AI クォータと信頼性のためだけに使い、広告には使いません。

インストール単位の匿名データと、アカウントに関連付けられた仮名データを区別します

利用統計を有効にすると、Orvia はランダムなインストール ID、プラットフォームと配布チャネル、バージョンとビルド、粗いプランまたは権利、メールプロバイダ種別ごとの接続数だけを送信します。メールアドレスやドメイン、Provider アカウント ID、メール・連絡先・添付データ、OAuth 認証情報、取引または License ID、端末シリアル番号、元のエラーは送信しません。インストール ID 単体では個人を示しませんが、Orvia Account、App Store サブスクリプション、Classic 権利で認証した後は、不透明なアカウントまたは権利 ID と関連付けられるため、厳密な匿名ではなく仮名化データです。統計をオフにすると新規スナップショットを直ちに停止して削除を要求し、一時的な失敗は削除タスクを保持して再試行します。スナップショットの保持は最長 90 日です。

クラッシュと信頼性の記録にメール内容は含まれません

Release ビルドは、ランダムなインストール ID に関連付けた最小限の運用・クラッシュ診断を送信する場合があります。対象はプラットフォームと配布チャネル、App のバージョンとビルド、操作段階と結果、粗い所要時間と件数区分、許可済みのエラー分類、シンボリケーションに必要な消去済み例外フレームです。送信前に例外メッセージ、完全なパス、URL、認証情報、メールアドレスやドメイン、Provider アカウント ID、メール・連絡先・添付データ、取引または License ID、端末シリアル番号、診断許可リスト外の項目を削除します。診断は信頼性問題の検出・調査・修正確認だけに使い、広告や App 横断追跡には使いません。リモート診断はローカル記録やメールの主要機能を止めずに無効化できます。

どの機能が使われたかを記録します

「Orvia の改善に協力」がオンのとき、App は製品利用イベントも PostHog（EU リージョン）に送信し、同じランダムなインストール ID に基づく匿名のユーザープロフィールに関連付けます。イベントが記録するのは、使われた機能とフローの結果だけです（初回起動とアップデート、App の起動、オンボーディングの各ステップ、メール追加の開始と完了、メール送信、アップグレード画面の表示、購入や復元の結果など）。各イベントに含まれるのは、固定された選択肢の値、真偽値、おおまかな回数や時間の区分、プラットフォーム、配布チャネル、App のバージョンとビルド番号のみです。メールアドレスやドメイン、件名や本文、要約・翻訳などの AI 結果、連絡先、添付ファイルやファイル名、URL、検索語、プロバイダやメールの ID、認証情報、取引 ID やライセンスキー、自由入力のテキストは一切含みません。送信前にすべての項目を端末上で許可リストと照合し、IP による位置推定は無効にしています。このプロフィールは Orvia Account、購入、メールアドレスや氏名とは関連付けず、広告や App をまたぐトラッキングには使わず、Orvia の使われ方を理解し改善する目的にのみ使い、PostHog での保存期間は最長 365 日です。「Orvia の改善に協力」をオフにすると送信を直ちに停止し、未送信のイベントを破棄します。特定のインストールのイベント削除は hello@orviamail.com までご連絡ください。

各サービスが受け取るのは機能に必要なデータだけです

メールプロバイダは同期と送信、Apple と RevenueCat は App Store の購入と権利、Waffo Pancake は Classic の決済、トランザクションメール事業者はユーザーが求めたコードや通知の配信を担当します。対応するクラウド AI または Classic Personal AI を有効にした場合だけ、設定済みモデル提供者がプライバシーゲートを通過したタスク限定テキストを受け取ります。Orvia は広告ネットワーク、データブローカー、App 横断追跡 SDK を組み込みません。各第三者は各自の規約に基づき、サービス提供に必要なデータを処理します。

サイトで収集するもの

リリース通知登録時に収集するのは、入力されたメールアドレスだけです。正式リリース通知と重要な製品アップデートに使用します。削除希望は hello@orviamail.com へ連絡できます。

Orvia Mail がアクセスする Gmail データ

Gmail を接続すると、Orvia Mail はアカウントのメールアドレス、ラベルまたはフォルダ、メールヘッダー、スニペット、本文、ユーザーが開く添付、既読/未読、スター状態、メールクライアント機能に必要なメタデータにアクセスする場合があります。Gmail は他のメールボックスと同じルールで、通常のメールボックス上限の範囲で追加できます。Google やアカウントの要件が接続可否に影響する場合があります。

Gmail データの使い方

Orvia Mail は、Gmail の生データと、ローカル検索インデックスや分類状態などの派生データを、受信トレイ表示、本文表示、送信、状態同期、ローカル検索、メール整理といったユーザー向け機能のみに使用します。Gmail の集計または匿名化データセットは作成、転送、販売しません。

Gmail データの送信先

Orvia Mail は HTTPS/TLS で Google Gmail API と直接通信します。Gmail の OAuth Token を Orvia サーバーや AI プロバイダへ送信することはなく、メールの送受信も Orvia Mail の中継サーバーを経由しません。Gmail の内容は既定で Mac に残ります。クラウド AI は既定でオフです。全体のクラウド AI をオンにすると、Gmail も他の接続済みメールボックスと同様にその設定を引き継ぎます（該当メールボックスをオフにした場合を除く）。許可された Gmail メールボックスでは、下記の任意クラウド経路が Orvia AI Proxy を通じてタスクに必要な匿名化テキストだけを送信し、匿名化された結果を冪等な再試行のためにキャッシュします。

リモート画像は既定でブロック

リモート画像など送信者がホストするリソースは既定でブロックされます。ユーザーが明示的に読み込むと、リソース URL、要求時刻、IP アドレスやユーザーエージェントなどのネットワークまたは端末情報がリモートホストへ送信される場合があります。Orvia はそのホストの保持方針を管理できません。

ローカル保存と認証情報

メール本文、添付、設定、下書き、送信待ち、検索インデックス、分類設定は、現在の macOS ユーザーが利用できる App 専用ローカル領域に保存されます。メールの OAuth Token は macOS Keychain に保存し、完全な Gmail 内容と Token は運用ログ、分析、Proxy 記録に保存しません。

Gmail データを保持する期間

Gmail データと派生ローカルインデックスは、ユーザーが Orvia Mail から Gmail アカウントまたは App データを削除するまで Mac に保持されます。OAuth 認証情報はアカウント削除または Google でのアクセス取り消しまで保持されます。Orvia サーバーは完全な Gmail 本文を保持しません。重複課金の防止とクライアント再試行の冪等性のために保持する匿名化済み AI 結果キャッシュと再利用可能なレイアウトテンプレートに固定の削除日はなく、本人確認済みの削除依頼により購読の利用記録とともに 30 日以内に削除されます。本人確認後のサーバー側削除依頼は、法的またはセキュリティ上の保持義務を除き 30 日以内に完了します。

モデル学習に使用しない

Orvia Mail は Gmail データを販売せず、データブローカーに提供せず、広告、信用、融資判断に使用しません。また、生または派生 Gmail データを汎用 AI/ML モデルの開発、改善、学習に使用しません。Orvia AI Proxy は、モデルプロバイダが Gmail データをこうした学習に使うことを認めていません。タスク限定の匿名化テキストは、確認済みの AI データリージョンに対応するモデルプロバイダの規約に従って処理されます。ChatGPT や Grok アカウントを含む自分の Personal AI 接続を通じてメールを処理する場合、そのプロバイダの学習と保持はあなた自身のアカウント規約に従います。

クラウド機能は既定でオフです

クラウド AI は既定でオフで、Gmail を接続しただけではオンになりません。全体のクラウド AI をオンにすると、Gmail を含む接続済みのすべてのメールボックスがその設定を引き継ぎます。メールボックスごとにオフにでき、オフにしたメールボックスが自動で再びオンになることはありません。許可されたメールボックスでは、プライバシーゲートウェイが承認した場合に限り、依頼された処理に必要な最小限の匿名化テキストを送信し、OAuth トークンは含めません。Classic Personal AI は上記の別経路で、プロバイダへ直接接続します。

クラウド AI の処理場所

クラウド AI は、Orvia Mail で確認した AI データリージョン（中国本土、EU、インターナショナル、米国）に従ってルーティングされ、Gmail を含むすべてのメールボックスに適用されます。現在そのリージョンに設定されているプロバイダは Alibaba Cloud Model Studio（Qwen）で、リクエストがリージョンをまたいでフォールバックすることはありません。旅行や VPN でリージョンは変わりません。設定で移行でき、移行中は新しい AI リクエストが一時停止します。

音声スヌーズの音声データ

音声スヌーズ（時刻を話してリマインダーを設定する機能）は任意で、マイクをタップしたとき（Mac ではオプションキーのダブルプレスも可）にのみ録音を開始します。AI エンジンを使うには、先にグローバルのクラウド AI をオンにする必要があります。Mac のローカルエンジンは Apple の音声認識を使い、端末内処理を優先しますが、Apple の音声認識サービスにフォールバックする場合があります。この音声は Orvia を経由しません。AI エンジン（Mac と iPhone）では、録音（上限 2 MB、WAV または M4A）が Orvia AI Proxy を通じて、確認済みの AI データリージョンに対応するプロバイダ（現在は Alibaba Cloud Model Studio（Qwen））に送信され、まずテキストに書き起こされ、そのテキストから時刻が抽出されます。リクエストがリージョンをまたいでフォールバックすることはありません。Orvia は音声や書き起こしテキストを保存せず、ログにも記録しません。Proxy が保持するのは結果（時刻と信頼度）とリクエストの一方向ハッシュのみで、二重課金の防止と冪等な再試行に使われ、保持ルールは AI タスク結果キャッシュと同じです（固定の削除日はなく、確認済みの削除リクエストは 30 日以内に削除されます）。AI 音声リクエスト 1 回につき AI ポイントを 1 消費し、メール内容の読み取りや送信は行いません。

すべてのクラウド要求を事前に確認し、匿名化します

対象テキストが Mac を離れる前に、必ず Orvia のプライバシーゲートウェイを通過します。高リスクメールと安全に処理できない内容はブロックします。許可された要求から不要部分を除き、復元可能な機密フィールドをランダムなプレースホルダーへ置換します。対応表は現在の Mac セッション内だけに残り、モデル提供者が見るのはタスクに必要な匿名化テキストだけです。応答がプレースホルダー整合性または安全性チェックに失敗すると、Orvia は採用しません。

プライバシー匿名化の仕組みを見るインタラクティブ例を含む全体の流れです。

クォータと権利記録に完全なメール本文は含まれません

購読確認、クォータ制御、重複課金防止、サービス信頼性のため、Orvia は購入トランザクション識別子、要求機能、クレジット、状態、遅延、限定的なアカウントまたは License 認証記録、冪等な再試行に使う匿名化済みモデル結果キャッシュを保持する場合があります。メールボックスのパスワード、OAuth Token、完全な元メール本文は含まず、広告プロファイル作成には使いません。これらのキャッシュに固定の削除日はなく、保持の説明に従い本人確認済みの削除依頼で削除されます。

AI クレジットとアカウント共通ウォレット

AI クレジットは任意の機能です。有効な Apple Plus の各ソースは UTC の暦月ごとに 1,000 クレジットを付与し、アプリ内ストアに表示される場合は 500 / 1,200 / 3,000 クレジットの都度購入パックも購入できます。パックは自動更新されず、既定では失効しません。実際の商品、価格、通貨は購入画面の表示が優先します。クレジットはあなたの Orvia アカウントに紐づき、適用されるソースの範囲で Classic、Mac App Store 版、iPhone の間で共有されます。購入の復元やアカウント連携で使用済みの周期枠が補充されることはなく、周期クレジットは繰り越されません。ウォレットの記録は Orvia アカウント（サインインに使うメールアドレス）に紐づき、注文・配信・残高・利用の事実のみを含み、メール内容、パスワード、OAuth Token は含みません。購入の配信、クォータの執行、重複課金や返金の防止、サービス信頼性の維持にのみ使用し、保持は本ページの保持の説明に従います。返金は元の購入チャネルに従います（Apple 購入は Apple の手続き、ブラウザ決済は決済事業者の規約）。未使用クレジットは元の注文から回収され、ユーザーに債務は生じず、他の注文への相殺や将来の購入の減額もありません。Orvia アカウントを削除するとこのウォレットは利用できなくなり、削除後に届いた支払いは元の注文に紐づき、新しいアカウントには移りません。クレジット不足は AI 機能を一時停止させるだけで、メールの送受信には影響しません。

Google Limited Use への準拠

Google Workspace API から受け取った情報の使用は、Limited Use 要件を含む Google User Data Policy に従います。

データを人が見る場合

Orvia スタッフは、特定の内容を伴うサポートについてユーザーが明示的かつ記録可能な許可を与えた場合、セキュリティ上の不正利用調査、または法令遵守に必要な場合を除き、Gmail 内容を読みません。

オフにする方法と削除方法

設定でクラウド AI と仮名化された利用統計をオフにし、Settings -> Accounts でローカルアカウントデータを削除できます。Orvia で Gmail アカウントを削除すると、Google でそのリフレッシュトークンの取り消しを試行します。端末がオフラインの場合や取り消しに失敗した場合は、https://myaccount.google.com/permissions で Orvia のアクセスを削除できます。統計をオフにすると新規スナップショットを停止して削除を要求します。詳しい削除手順は data-deletion.html にあります。

フィードバックフォームで送信される内容

公式サイトのフィードバックフォームを送信すると、入力された返信先メールアドレス、お名前、種類、件名、本文、アップロードした画像を受け取ります。これらは hello@orviamail.com 宛てのメールとして届き、そのお問い合わせへの返信と対応にのみ使います。画像はメールの添付ファイルとしてのみ保管し、別途保存しません。アプリの「問題を報告」から開いた場合、アプリのバージョン、ビルド番号、OS バージョン、配布チャネル、言語が事前入力され、「Orvia の改善に協力」がオンのときはこのデバイスのランダムなインストール診断 ID も入力されます。これらは送信前にすべて表示され、チェックを外して送らないこともできます。診断 ID を含めると、その報告とインストールの診断記録を対応付けられるため、その記録は返信先メールアドレスと関連付けられます。スクリーンショットにはメール内容が含まれる場合があります。共有したくない情報はアップロード前に隠してください。フィードバック記録の削除は hello@orviamail.com までご連絡ください。

プライバシーに関する連絡

リリース通知メールの確認や削除、サーバー側の購読・クォータ・サポート・AI proxy 記録（冪等な再試行のために保持する匿名化済みタスク結果キャッシュと再利用可能なレイアウトテンプレートを含む）の削除依頼、プライバシーへの質問は hello@orviamail.com へご連絡ください。App Store サブスクリプションに関する依頼では、記録を特定するため Apple のサブスクリプション取引識別子を添えてください。