Cheloop

Cheloop 外部への通信について

版: 1.1.0 ／ 作成日: 2026-10-13 ／ 改訂: 2026-11-12 ／ 施行日: 2026-11-11

1. この文書について

株式会社山愛（運営部門：マスマール。以下「提供者」といいます）は、「Cheloop（チェループ）」（以下「本製品」）を使うときに、端末から外部へ送られる情報を説明します。電気通信事業法の外部送信の規律が当てはまるかどうかにかかわらず、利用者が、外部へ送る情報・送り先・目的を確かめられるように公表するものです。この文書は、販売サイトに掲載するほか、アプリの点検の前の確認の画面（「通信」の節）からも読めます。アプリでは同梱した本文を表示するだけで、そのための通信はしません。

本製品は端末の中で動作し、提供者のサーバーへ検査の情報を送りません。利用状況の計測（analytics）と広告はしません。本製品から AI のサービスへ通信することもしません。利用者が AI との接続を入にしたときは、同じ Mac の中で AI が依頼を受け取り、報告を本製品の集め箱に入れます（4.1）。検査のために外部と通信するのは、第 2 章の OSV への照会と、2.1 の緊急度の情報（CISA KEV・EPSS）の取得と、第 3 章の公開 URL 検査の 3 つだけです。どれも、検査の前に接続先と送信内容を表示し、利用者が選んだ場合だけ行います（自動の見張りでは、見張りの同意をした場合。2 章・2.1 のとおり）。オフライン設定では、どれも行いません。ライセンスの確認は端末の中で行い、そのための通信はしません（2026-11-11 の商用版から提供）。ライセンスの文字列は、利用者がアプリに貼り付けて保存するもので、本製品がライセンスを取りに行くことはありません。

2. OSV への照会

利用者が検査の前に外部通信に同意した場合だけ、依存部品について OSV の API に照会します。最初は同意していない状態です。同意しない場合とオフライン設定の場合は送信せず、依存関係の脆弱性検査を「未実施」と表示します。

項目 内容
機能 依存関係の脆弱性情報の照会（OSV: Open Source Vulnerabilities）
送信先 api.osv.dev（Google が運営）
送信する情報 エコシステム（npm 等）、パッケージ名、パッケージのバージョン、照会結果に含まれた脆弱性 ID
一緒に伝わる情報 OSV-Scanner の標準の通信ヘッダー（User-Agent 等）、接続元の IP アドレス。Cookie・認証ヘッダーは送りません
送信の方法 POST /v1/querybatch（まとめての照会）と、照会結果の脆弱性 ID ごとの GET /v1/vulns/<ID>（詳細の取得）
本製品の目的 利用者の依存部品について、既知の脆弱性の情報を取得し、端末の中に検査結果を表示するため。提供者へ利用状況を送るためではありません
送信先の目的 指定されたパッケージ・バージョンや脆弱性 ID に対応する脆弱性情報を返すため。そのほかの記録の扱いは、OSV の運営者によります
送信先での保存 OSV に固有の保存期間・保存する国は、提供者は確認できていません。保存されない、または一定の期間で必ず削除される、とは説明しません
送信しない方法 検査の前に外部通信を選ばない、またはオフライン設定にする。これは以後の照会をしない方法です。すでに OSV に伝わった情報を消す方法ではありません

ソースコード、設定ファイルの中身、検出した秘密情報、端末の絶対パス・ファイル名・ユーザー名、ファイルのハッシュ値、lockfile の全文、アプリが扱う顧客・取引・売上などのデータは、この照会に付けて送りません。部品の名前と版の組み合わせから、使っている構成が相手に分かる場合があります。

自動の見張りに同意した場合は、利用者がその場にいないときにも、設定した頻度で同じ照会を行います。送る内容・送信先は上と同じです。見張りの同意はアプリの設定の画面でいつでも取り消せます。

2.1 あわせて受け取る緊急度の情報（CISA KEV・EPSS）

OSV への照会に同意した点検では、あわせて、次の 2 つの公開の一覧を受け取ります。依存関係の脆弱性の並び順と、「緊急」の印・悪用の見込みの表示に使います（検出事項の件数・危険度・分類は変えません）。

項目 内容
機能 悪用が確認された脆弱性の一覧（CISA KEV）と、悪用の見込みの推定値（EPSS）の取得
接続先 www.cisa.gov（米国の政府機関 CISA が運営。KEV カタログの JSON）、epss.empiricalsecurity.com（FIRST の EPSS のデータを配る Empirical Security が運営。EPSS の CSV）
送信する情報 部品・プロジェクトの情報は送りません。HTTPS の GET で、アプリに固定した URL の公開の一覧を丸ごと受け取るだけです。パッケージ名・バージョン・CVE の番号・プロジェクトの情報・ライセンスの番号・端末の識別子を、URL・ヘッダー・本文のどこにも入れません。接続に伴って伝わる情報は、次の行のとおりです
一緒に伝わる情報 接続元の IP アドレス、TLS・HTTP の標準の情報、User-Agent（Cheloop。版は入れません）、要求の時刻、KEV の前回の取得で相手が返した ETag（相手が配った値をそのまま返すだけ）。Cookie・認証ヘッダーは送りません
頻度 取得先ごとに、1 日に最大 4 回（成功した後はその日は取得しない）。日本時間の暦日で数え、失敗の後の取り直しを含みます
実施の条件 手動の点検は、OSV への照会に同意し、オフラインでないときだけ。自動の見張り（毎日の照会と、OSV に照会する設定の自動点検）は、見張りの同意（1.1.0 以上）があるときだけ。それより前の版の見張りの同意のままでは取得せず、アプリに同梱した KEV の控えだけを使います
本製品の目的 依存部品の既知の脆弱性のうち、悪用が確認されたもの・悪用の見込みが高いものから確かめられるよう、並び順と印を付けるため。提供者へ利用状況を送るためではありません
接続先の目的・記録 公開ファイルの配布。接続元の IP アドレスや要求の時刻などのアクセスの記録の扱いは、それぞれの運営者によります。保存期間・保存する国は、提供者は確認できていません
取得しない方法 点検の前に OSV への照会を選ばない、またはオフライン設定にする。自動の見張りでは、見張りの同意を取り消す。これは以後の取得をしない方法です。すでに相手に伝わった情報を消す方法ではありません
端末に残すもの 受け取った一覧を、本製品のデータ領域の threat-intel フォルダー（userData/threat-intel/）にキャッシュします。中身は公開の一覧と、取得の日時・状態・ETag などの取得の記録だけで、どのプロジェクトの情報も含みません。プロジェクトの削除では消えず、データフォルダーを削除すると消えます

取得の時刻から、本製品の利用者がいつ点検したかが相手に推測される場合があります（取得の回数は上の頻度までで、点検の回数までは伝わりません）。

取得できないときは、端末のキャッシュか、アプリに同梱した KEV の控え（CISA の KEV カタログの写し。CC0 1.0）を使います。EPSS は同梱しません（取得もキャッシュも無ければ、悪用の見込みは表示しません）。

出典: CISA Known Exploited Vulnerabilities Catalog（CC0 1.0）、EPSS（FIRST.org、データの提供 Empirical Security）。

「緊急」の印や EPSS の値は、どれから確かめるかを決めるための判断の補助です。KEV に載っていないこと、EPSS の値が低いこと、CVE の番号が無く照合できないことは、悪用の可能性が無いことを意味しません。

3. 公開 URL 検査と名前解決

公開 URL 検査は、利用者が URL を入力し、自分が管理する URL で検査の権限があると確認した場合だけ行います。オフライン設定では行いません。最大 5 件・同じホストだけを対象に、GET 要求と、同じホストの中での最大 3 回のリダイレクトを扱います。ループバック・プライベート・リンクローカル・予約アドレス・クラウドの metadata の宛先には接続しません。

通信 送り先で情報を扱う者 送信・伝達される情報 本製品の目的 送り先の目的・扱い
公開 URL への GET 利用者が指定したホストのサーバーの管理者（利用者自身や、その委託先など） 入力した URL のパス・クエリ、User-Agent（現在は Cheloop/1.1.0 (+https://cheloop.com)）、接続元の IP アドレス 検査の権限がある公開 URL の応答を取得して点検するため HTTP 要求への応答。アクセスログの保存などは、そのサーバーの運用によります
OSV・KEV・EPSS・公開 URL に接続する前の名前解決（DNS） OS に設定された DNS サーバーなどの運営者 api.osv.dev・www.cisa.gov・epss.empiricalsecurity.com、または入力した URL・リダイレクト先のホスト名と、名前解決に必要な通信の情報 接続先の IP アドレスを調べるため 名前解決への応答。記録の有無や保存期間は、DNS の提供者によります

公開 URL への通信に、Cookie・Authorization などの認証ヘッダーや、端末のソースコードを加えて送ることはしません。ただし、入力した URL のパスやクエリに秘密情報・個人情報が入っていれば、その部分は送られます。機密を含む URL や、認証用の URL は入力しないでください。フォームの送信やログインはしません。

HTTP の本文は 1MB まで読み取りますが、検査の記録としては保存しません。GET 要求だけでも、アクセスログやサーバーの上での副作用が生じる場合があります。

4. 利用者が AI やブラウザーを使う場合

本製品は、AI のサービスへ依頼文やソースコードを送りません。依頼文は、利用者がコピーして外部の AI に貼り付けて使います。利用者が AI との接続を入にしたときは、同じ Mac の中で AI が依頼を受け取り、報告を本製品の集め箱に入れます（4.1）。どちらの場合も、本製品から AI のサービスへは通信しません。利用者がコピーした依頼文を外部の AI に貼り付けると、そのサービスへ情報が送られます。依頼文には、伏せ字にした根拠、相対パス、行が含まれます。送る前に、内容と、送ってよい権限があるか、サービスの条件と設定を確かめてください。

AI の報告を本製品に貼り付けた場合と、AI との接続で AI が集め箱に入れた場合、返信の全体は保存しません。決められた結果の欄と、伏せ字の処理をした後の理由・挙動の変化の内容などを、端末の中に記録します。記録するのは、利用者が画面で確かめて確定したときだけです。本製品は、AI の報告の正しさを確かめません。

OSV の情報に含まれる参照リンクを利用者が選ぶと、OS の既定のブラウザーで外部のページを開きます。ただし、リンク先が内部・ローカルの宛先（localhost・ループバック・私設・リンクローカルのアドレス等）のときは開かず、「内部・ローカルの宛先のため開きません」と表示します（名前は解決せずに文字列で判定するため、公開の名前が内部のアドレスを指す場合は開きます）。ブラウザーのアクセス、Cookie などの送信、接続元の IP アドレスの伝わり方、名前解決は、そのブラウザーと閲覧先の扱いによります。本製品の公開 URL 検査と同じ接続先の制限や、Cookie を送らない条件は、かかりません。

利用者が無料体験の申込み・購入の案内を選ぶと、OS の既定のブラウザーで提供者の販売サイト（cheloop.com）の申込み・購入のページを開きます。利用者が更新を止める・支払を確かめるための案内を選ぶと、OS の既定のブラウザーで販売サイト（cheloop.com）のページを開き、そこから決済代行会社（Stripe）の顧客ページを開きます（2026-11-11 の商用版から提供）。これは、利用者の操作でブラウザーに受け渡すもので、本製品が通信するものではありません。本製品は、ブラウザーに渡すページの URL に、ライセンスの番号や、登録したアプリの情報を付けません。ブラウザーと販売サイト・Stripe の間の通信と、そのページでの情報の扱いは、ブラウザーの設定と、販売サイトの扱い（プライバシーポリシー 1.1・1.3）・Stripe の扱い（プライバシーポリシー 1.2）によります。

これらは、利用者自身が外部のサービスを操作するものです。利用者が選ぶ AI や参照リンク、ブラウザーで開くページの運営者・送信内容を、この文書の表で決めることはできません。

4.1 AI との接続（MCP）

アプリの設定の「AI とつなぐ」で、利用者が AI との接続を入にしたときだけ、同じ Mac の中で、利用者が登録した AI のコマンドラインツール（当初の対象は Claude Code と Codex）が、本製品から依頼を受け取り、報告を本製品の集め箱に入れ、再点検を始められます。最初は切です。同意の前は入にできません。切は、いつでも設定の画面でできます。

本製品から外部への通信は増えません。AI とのやりとりは、同じ Mac の中（本製品と、利用者が登録した AI のコマンドラインツールの間）で行います。

5. 販売サイトの計測（GA4）

販売サイトでは計測（GA4 等）をしていません。置くときは先に本文書を改訂します。Google アナリティクス 4（GA4）は、本製品（アプリ）には入っていません。

6. 提供者と問い合わせ先

送信の内容や送信先を変えるときは、本書、プライバシーポリシー、検査の前の説明をあわせて見直します。

附則