Cheloop プライバシーポリシー

版: 1.1.0 ／ 作成日: 2026-10-08 ／ 改訂: 2026-11-12 ／ 施行日: 2026-11-11

【この文書の読み方】本文書の記載は、本製品の実装と、実測した通信の内容に合わせています。実装を変えるときは、本文書も同時に直します。次の仕組みは、2026-11-11 の商用版（販売サイトで販売する版）から提供する仕組みです。該当する箇所には「（2026-11-11 の商用版から提供）」と付けています。(1) 1.1・1.2 の販売サイトでの購入・決済（Stripe）・返金と、ライセンスの提供、(2) 1.1 の登録できるアプリの本数の上限の判定、(3) 1.1 の更新前のお知らせのメール、(4) 7 章の重要な変更の登録メールアドレスへの通知、(5) 3 章の端末の中でのライセンスの確認と、3.4 の販売サイトのページをブラウザーで開く案内、(6) 2.5 の契約が終わった後の閲覧・書き出し・削除、(7) 1.1 の無料体験の申込み。このうち、アプリの中の仕組み（(2) の本数の上限の判定、(5) のライセンスの確認とブラウザーで開く操作、(6) の閲覧・書き出し・削除と、2.2 のライセンスの保存）は、現在のビルドに入っています。販売サイト（cheloop.com）の側の仕組み（(1)・(3)・(4)・(7) と、3.4 の販売サイトから決済代行会社の顧客ページへの移動）は、販売サイトで提供しています。

株式会社山愛（運営部門：マスマール。以下「提供者」といいます）は、デスクトップアプリ「Cheloop（チェループ）」（以下「本製品」）と、その販売における情報の取扱いを、次のとおり定めます。

1. 基本方針

• 本製品は利用者の端末内で動作します。アカウントの登録はありません。 アカウントのための氏名・メールアドレスの登録は求めません。ただし、「確認した人の名前」と理由の文を任意で入力できます。そのため、端末の中の記録やレポートに個人情報が含まれる場合があります。端末の中で処理・保存することと、提供者が情報を取得することは別です。
• 検査結果は利用者の端末内にだけ保存し、提供者のサーバーへは送信しません（提供者は、検査の結果やソースコードを受け取るサーバーを運用していません）。
• 利用状況の計測（analytics）、広告、コードの外部送信は行いません。本製品から AI のサービスへ通信することもしません。利用者が依頼文を外部の AI に貼り付けること、利用者が AI との接続を入にしたときに同じ Mac の中で AI が依頼を受け取り、報告を集め箱に入れること、外部のリンクをブラウザーで開くことは、3.4 で説明する別の操作です。

1.1 販売・問い合わせでの取扱い

本製品は、提供者の販売サイトで、決済代行会社（Stripe）の決済を使って販売します（2026-11-11 の商用版から提供）。購入、決済、更新の前のお知らせ、問い合わせの対応では、提供者が次の情報を扱います。これは、アプリの中の処理とは別のものです。

• 購入の手続で入力された情報（会社名（屋号）、担当者の氏名、メールアドレス）
• 事業のための購入であることの確認の結果
• 契約の情報（プラン、期間、更新日、支払・返金の状況）
• 問い合わせの内容と連絡先

利用目的は次のとおりです。

• 契約の締結と履行（ライセンスの提供（更新やプランの変更のたびに新しいライセンスを送ることを含みます）、更新、プランの変更、返金）
• 更新日の 30 日前までのお知らせ（2026-11-11 の商用版から提供）、その他の契約に関する連絡
• 問い合わせへの回答
• 法令に基づく対応

カードの番号などの決済の情報は、決済代行会社が扱います。決済代行会社での取扱いは、1.2 のとおりです。カード番号は、決済代行会社が受け取り、提供者は持ちません。住所と電話番号は、請求書払いを始めるまで、受け取りません。

購入・問い合わせの情報の保存期間は、次のとおりです。

• 購入・請求の記録: 記録の種類ごとに、法令が定める起算点から、法令が定める期間（原則 7 年間）保存します（会計・税務の記録として保存するため）
• 問い合わせの内容と連絡先: 対応の終了後 3 年間
• 解約した人の連絡用のメールアドレス: 契約の終了後 1 年で削除します。請求の記録に必要な分は、購入・請求の記録として、上の期間保存します
• 販売サイトの顧客の記録（会社名（屋号）、担当者の氏名、メールアドレス）: すべての契約が終わり、最後の契約期間の終わりから 1 年を過ぎたものを、1 日 1 回の処理で削除します。申込みを終えなかった場合（契約が 1 つも無い場合）は、記録を作ってから 30 日を過ぎたものを、同じ処理で削除します
• 販売サイトの契約の記録（プラン、状態、契約期間の終わり）、発行したライセンスの記録（ライセンスの文字列。有償のライセンスには会社名（屋号）が入ります）、更新前のお知らせを送った記録、決済代行会社からの通知を受けた記録: メールアドレスは入れていません。これらの記録を自動で削除する処理は、ありません

無料体験の申込みでは、販売サイトで、申し込む人のメールアドレスを受け取ります（2026-11-11 の商用版から提供）。

• 利用目的は、体験用のライセンスをそのメールアドレスへ送ることと、同じメールアドレスへの体験用のライセンスの再発行を防ぐことだけです。体験の終わりの前の案内や、宣伝のメールは送りません。
• 販売サイトには、このメールアドレスそのものは保存しません。同じメールアドレスへの再発行を防ぐために、メールアドレスから作った照合用の値（HMAC）だけを保存し、発行から 1 年で削除します（1.3）。体験の後に有料のプランを申し込んだ場合、購入の手続で入力されたメールアドレスは、上の購入の情報として扱います。
• 体験用のライセンスには、メールアドレスを入れません（2.2）。

登録できるアプリの本数の上限と、ライセンスの有効期限は、利用者の端末の中で判定します。（2026-11-11 の商用版から提供）登録したアプリの数や名前、利用状況を、提供者へ送りません。

販売サイトでは計測（GA4 等）をしていません。置くときは先に本文書を改訂します。Google アナリティクス 4（GA4）は、本製品（アプリ）には入っていません。

1.2 決済の処理の委託と、外国での取扱い

本節の決済の処理は、2026-11-11 の商用版から提供します。

• 提供者は、決済の処理（申込みの時と更新の時の支払、返金）を、決済代行会社の Stripe に委託します。提供者が Stripe に扱わせるのは、その処理に必要な範囲の購入者の情報（会社名（屋号）、担当者の氏名、メールアドレス、契約と支払の情報、申込みで同意した利用規約とプライバシーポリシーの版）の取扱いです。
• カード番号などの決済の情報は、購入者が Stripe の決済の画面に直接入力し、Stripe が受け取ります。提供者は、カード番号を受け取りません。
• Stripe が自らの目的で扱う情報: Stripe は、不正の防止、法令の遵守、サービスの改善などの目的では、自らの判断で個人データを扱います。その取扱いは、提供者が委託する取扱いとは別のもので、Stripe のプライバシーポリシー（https://stripe.com/jp/privacy ）によります。
• 委託は、提供者の業務の一部を任せるもので、本人の同意を得て行う第三者への提供とは別の扱いです（5 章）。提供者は、委託した情報が安全に扱われるよう、Stripe を監督します。
• 契約の相手と外国の名称: 提供者の契約の相手は、Stripe Japan, Inc.（日本の法人）です。個人データの処理については、Stripe Payments Europe, Limited（アイルランド）も契約の当事者になります。購入者の情報は、米国の Stripe, LLC に移され、米国で扱われます。Stripe の関連会社や再委託先がある、ほかの国・地域に移されることもあります。Stripe が国の名前を挙げているのは、米国とインドです。そのほかの国・地域は、Stripe が公表するところによります。Stripe が処理の必要に応じて関連会社や再委託先を使うため、提供者は、移される先の国・地域のすべてを、前もって特定できません。
• 外国にある事業者への提供の根拠: 外国にある事業者に個人データを預けるときは、委託であっても、個人情報保護法第28条（外国にある第三者への提供）が適用されます。この提供は、購入の申込みの際に、1.4 の情報を示したうえで得る本人の同意（同条第1項）に基づきます。購入者から求めがあれば、Stripe が講じている措置などの情報を提供します。
• 米国の個人情報の保護に関する制度: 米国には、個人情報の保護を全体として定める連邦の法律はありません。分野ごとの連邦の法律と、州の法律（カリフォルニア州の消費者プライバシー法（CCPA。CPRA による改正を含みます）など）で定められています。提供者は、個人情報保護委員会が公表している外国の制度の情報などで、この制度を把握します。同委員会による米国の制度の調査は、https://www.ppc.go.jp/enforcement/infoprovision/laws/offshore_report_america/ にあります。アイルランド、インドなど、ほかの国・地域の制度は、同委員会が公表している資料を見てください。
• Stripe が講じている措置: 提供者と Stripe の間の契約には、データの処理についての契約（DPA）と、データの移転についての付属書が組み込まれています。Stripe, LLC は、APEC の越境プライバシールール（CBPR）と、処理者向けの認証（PRP）を取得していると公表しています。Stripe は、カード情報の安全基準（PCI DSS）に準拠していると公表しています。Stripe での取扱いは、Stripe のプライバシーポリシーと、提供者と Stripe の間の契約の条件によります。

1.3 販売サイト（cheloop.com）での取扱い

販売サイト（cheloop.com）での情報の取扱いは、次のとおりです。購入・決済の情報は、1.1・1.2 のとおりです。

• アクセスの記録: 販売サイトは、Cloudflare の Cloudflare Workers で動かしています。販売サイトのページを開くと、Cloudflare が、ページの配信と安全の確保のために、アクセスの記録（IP アドレス、ブラウザーの種類（User-Agent）、開いたページの URL など）を受け取ります。
• Cookie・計測・広告: 販売サイトは Cookie を使いません。計測（GA4 等）と広告もしていません。置くときは先に本文書を改訂します。
• 無料体験の申込み: 受け取ったメールアドレスの利用目的は、1.1 のとおりです。販売サイトには、メールアドレスそのものは保存しません。同じメールアドレスへの再発行を防ぐために、メールアドレスから作った照合用の値（HMAC）を保存します。この値を含む体験の記録は、発行から 1 年を過ぎたものを、1 日 1 回の処理で削除します。
• 顧客ページのリンクの申込み: 支払の確認や更新の停止のために、決済代行会社（Stripe）の顧客ページへのリンクを申し込むと、入力されたメールアドレスを受け取ります。このメールアドレスは、1 回だけ使えるリンク（有効時間 30 分）をそのアドレスへ送るためだけに使います。リンクの記録は、有効時間が過ぎてから 1 日を過ぎたものを、1 日 1 回の処理で削除します。
• 申込みの回数の制限: 短い時間に繰り返される申込みを止めるため、メールアドレスと IP アドレスから作った照合用の値（HMAC）と、申込みの時刻を記録します。この記録は、記録してから 1 日を過ぎたものを、1 日 1 回の処理で削除します。
• 委託: 提供者は、販売サイトの配信、販売サイトの記録（購入の手続で入力された情報、体験・顧客ページのリンク・申込みの回数の記録）の保存、販売サイトから送るメール（ライセンス、更新前のお知らせ、顧客ページのリンクなど）の送信を、Cloudflare に委託します。委託するのは、その処理に必要な範囲の情報（アクセスの記録、購入の手続で入力された情報（会社名（屋号）、担当者の氏名、メールアドレス）、体験・顧客ページのリンクの申込みで受け取るメールアドレス、照合用の値）の取扱いです。
• 委託は、提供者の業務の一部を任せるもので、本人の同意を得て行う第三者への提供とは別の扱いです（5 章）。提供者は、委託した情報が安全に扱われるよう、Cloudflare を監督します。
• 契約の相手と外国の名称: 提供者の契約の相手と、データの処理についての契約（DPA）の当事者は、Cloudflare, Inc.（米国カリフォルニア州）です。販売サイトで扱う情報は、米国で扱われる場合があります。販売サイトの記録を保存するデータベース（Cloudflare D1）は、保存する場所を国の単位では指定できません。日本国内で保存されることは、保証されません。
• 外国にある事業者への提供の根拠: 外国にある事業者に個人データを預けるときは、委託であっても、個人情報保護法第28条（外国にある第三者への提供）が適用されます。この提供は、購入・無料体験の申込みの際に、1.4 の情報を示したうえで得る本人の同意（同条第1項）に基づきます。求めがあれば、Cloudflare が講じている措置などの情報を提供します。
• 米国の個人情報の保護に関する制度: 米国には、個人情報の保護を全体として定める連邦の法律はありません。分野ごとの連邦の法律と、州の法律（カリフォルニア州の消費者プライバシー法（CCPA。CPRA による改正を含みます）など）で定められています。提供者は、個人情報保護委員会が公表している外国の制度の情報などで、この制度を把握します。同委員会による米国の制度の調査は、https://www.ppc.go.jp/enforcement/infoprovision/laws/offshore_report_america/ にあります。
• Cloudflare が講じている措置: 提供者と Cloudflare の間の契約には、データの処理についての契約（DPA）が含まれています。Cloudflare, Inc. は、Global CBPR と Global PRP の認証を取得していると公表しています。Cloudflare での取扱いは、Cloudflare のプライバシーポリシーと、提供者と Cloudflare の間の契約の条件によります。
• 同意の記録: 購入の申込みでは、同意した利用規約とプライバシーポリシーの版と、事業のための購入であることの確認を、決済代行会社（Stripe）の申込みと契約の記録に付けて保存します（日時は、その記録が作られた日時です）。無料体験の申込みでは、同意したプライバシーポリシーの版を、体験の記録（照合用の値と発行の日時）と一緒に販売サイトに保存し、体験の記録と同じく、発行から 1 年を過ぎたものを削除します。

1.4 外国にある事業者での取扱いについての同意

購入の申込みと、無料体験の申込みでは、プライバシーポリシーへの同意を求めます。この同意は、次の外国にある事業者での取扱いについての同意（個人情報保護法第28条第1項）を含みます。同意が無い場合は、申込みを受け付けません。

• 提供先と外国の名称: 決済代行会社（Stripe。購入の申込みの場合）は、米国、アイルランド、インドと、そのほか Stripe が公表する国・地域です（1.2）。販売サイトの委託先（Cloudflare, Inc.）は、米国です（1.3）。
• その外国の個人情報の保護に関する制度: 米国の制度は、1.2・1.3 に書いたとおりです。個人情報保護委員会による米国の制度の調査は、https://www.ppc.go.jp/enforcement/infoprovision/laws/offshore_report_america/ にあります。ほかの国・地域の制度は、同委員会が公表している資料を見てください。Stripe が情報を移す先には、提供者が前もって特定できない国・地域があります（理由は 1.2 のとおりです）。
• 提供先が講じる措置: 1.2 の「Stripe が講じている措置」と、1.3 の「Cloudflare が講じている措置」のとおりです。
• 同意の前に示す場所: 申込みの画面の同意欄に、外国にある事業者で取り扱うことを書き、この節を案内しています。
• 同意の記録: 1.3 の「同意の記録」のとおりです。

2. 端末内に保存する情報

2.1 保存場所

OS が利用者ごとに用意するアプリのデータ領域（Electron の userData。macOS では通常 ~/Library/Application Support/ 配下の本製品のフォルダー）の store フォルダーに、SQLite のファイル asc.sqlite として保存します。

• フォルダーは所有者だけが読み書きできる権限（0700）、ファイルは所有者だけが読み書きできる権限（0600）にします（macOS 等の POSIX 系 OS の場合）。
• 同じ端末の他のプロセスや管理者権限からの完全な隔離は保証できません。端末自体の保護（ログインパスワード・ディスクの暗号化等）は利用者が行ってください。
• 利用者が AI との接続（3.4）を入にしている間だけ、同じデータフォルダーの mcp フォルダーに、接続のためのファイル（mcp/cheloop.sock）を作ります。フォルダーは 0700、ファイルは 0600 にします。この接続は、同じ利用者のほかのプログラムも使えます（検査の範囲と限界 3.7）。

2.2 保存する情報

AI への依頼文をコピーした日時（ai_queue_units）と、あなたが貼り付けて記録した AI の報告（ai_reports・ai_unit_claims。確認の依頼への報告は、確認済みの記録・確認項目への回答にも、AI の報告をあなたが記録したものとして入ります）は、この端末の中にだけ保存します。依頼文の本文と、貼り付けた文の全体は保存しません。AI の報告の集め箱（ai_report_inbox）も端末の中にだけ保存し、あなたが「記録の内容を確かめる」から「確定して記録する」で確定するまでは、記録（ai_reports・ai_unit_claims など）には使いません。依頼文はあなたがクリップボードにコピーして（または 2.6 の書き出し先のファイルに書き出して）使うもので、本製品が AI のサービスにソースコードや依頼文を送ることはありません。あなたが AI との接続を入にしたときは、同じ Mac の中で AI が依頼を受け取り、報告を集め箱に入れます（3.4）。本製品が読む AI の報告は、あなたが貼り付けたもの、2.6 の書き出し先の返信ファイルのうちあなたが確かめて取り込んだもの、AI との接続で AI が集め箱に入れたものだけです。どれも、あなたが「確定して記録する」で確定するまでは記録に使いません。

このほか、DB の構造の版を管理する schema_version を保存します。

AI との接続を入にしている間は、DB の外に、同じデータフォルダーの mcp フォルダーへ接続のためのファイル（mcp/cheloop.sock）を置きます。接続のためのファイルで、中身は残りません。接続を切にしたときと、本製品を終了したときに消します。本製品が異常終了したときは残ることがあり、次に本製品を起動したときに消します。

DB の外に、同じデータフォルダーの threat-intel フォルダー（userData/threat-intel/）へ、3.1 であわせて受け取った緊急度の情報（CISA KEV・EPSS）の公開の一覧のキャッシュ（kev.json・epss.csv.gz）と、取得の日時・状態・前回の ETag（meta.json）を保存します。公開の一覧と取得の記録だけで、どのプロジェクトの情報も含みません。

同じ userData のフォルダーには、アプリの基盤である Electron（Chromium）が既定で作成するファイル（キャッシュ・設定・ブラウザーのストレージ等）も置かれます。本製品はこれらに検査結果を保存しません。

前の点検で記録した AI の答えのうち「該当しない」に当たるものは、同じ条件のときだけ、次の点検の記録（check_answers）に書き写して引き継ぎます。このとき、対象を確認済みにした記録（finding_confirmations・check_events）も残ります。理由の欄には、決まった文「前回の点検の AI の報告（結論: 該当しない）を引き継いで記録」が入ります。

2.3 一時的に作成するもの

検査の間だけ、OS の一時フォルダー（macOS では TMPDIR が指す利用者ごとの一時領域）に次のフォルダーを作ります。

• フォルダーは所有者だけが読み書きできる権限（0700）、中のファイルは 0600 で作ります（macOS 等の POSIX 系 OS の場合）。
• 検査の終了時（取消・失敗を含む）とアプリの終了時に削除します。
• 強制終了などで残った場合は、次回の起動時に削除します。このとき、作成・更新から 15 分以内のフォルダーは実行中の検査のものである可能性があるため残し、次の機会に削除します。
• これらのフォルダーは外部へ送信しません。

2.4 保存しない情報

本節の「保存しない」は、検査結果の記録として保存しない、という意味です。2.3 の一時的な複製には、秘密情報やソースコードが平文のまま含まれる場合があります。AI の報告の理由・挙動の変化の内容は、2.2 に書いた範囲で保存します。伏せ字の処理があっても、任意で入力した文に個人情報や機密が残らないとは限りません。

• 検出した秘密情報の値（パスワード・API キー・トークン等）。根拠は伏せ字にしてから保存・表示します。秘密情報の検査（Gitleaks）で見つけた値は、その点検のほかの検査の結果の文（根拠・題名・エラーの理由等）からも伏せてから保存し、値そのものは保存しません。ほかの検査の結果の文から伏せるのは、値の位置を特定できたもの（一致の範囲が 1 行に収まり、値の部分を取り出せたもの）に限ります。値の位置を特定できなかった検出（一致が複数行にまたがるもの等）は、秘密情報の検査自身の結果の文を伏せるのにだけ使います。秘密情報の検査の結果が件数の上限（10,000 件）を超えた分は、検出事項にはしませんが、読み込む量の上限の範囲で値を取り出して伏せます。上限を超えて取り出せなかった値は伏せられないことがあり、その点検は一部未完了として記録します。見つけた値の量が多すぎて照合の上限を超えたときは、検出事項の説明・根拠の文を全て伏せ字にして保存し、その点検は一部未完了として記録します。以前の版で保存した根拠・題名・確認の材料の文・エラーと検査範囲の理由・AI の報告の文も、この版への更新の後の最初の起動のときに、今の汎用の伏せ字の処理（秘密らしき形を探して伏せる処理）だけを掛け直します（以前の点検で見つけた値を使った伏せ直しはしません。値を保存していないためです。あなたが入力した理由の文は掛け直しません）。
• ソースコードの全文。ただし、検出事項の根拠と確認の材料として、該当するコードの一部（一致した式・宣言の文など。秘密らしき値を伏せた後の、1 か所 200 文字まで）を保存します（2.2 の findings）。伏せ字の処理は、秘密らしき値のすべてを見つけられるとは限りません。
• 公開 URL 検査で取得した HTTP の本文、Cookie の値（Cookie は名前と属性だけを扱います）。
• 検査のために一時的に複製したファイル（2.3 のとおり、検査の終了時と次回起動時に削除します）。

2.5 保存期間と削除

• 検査履歴はこの端末の中にだけ保存し、30日を過ぎたものは自動で削除します（起動時・検査結果の保存時・起動中は 6 時間ごと）。（保存期間: 30 日。検査の終了日時、終了していない検査は開始日時から数えます。）日時を読み取れない記録は、自動では削除されずに残ります。アプリが動いていない間は削除の処理を行えないため、30 日を過ぎた瞬間に必ず削除されるという意味ではありません。
• 利用者はいつでも、プロジェクトごとに検査履歴を削除できます。検査履歴を削除しても、プロジェクトの登録（表示名・絶対パス）と「誤検知として非表示」の記録は残ります。確認済みの記録と確認済み・取り消しの操作の履歴も残ります（確認項目の質問への回答は、検査履歴とともに削除します）。
• 重要な変更のため再同意を求めている間も、検査履歴と結果の閲覧、レポートの書き出し、検査履歴とプロジェクトの削除はできます。
• 有償の契約が終わった後（更新を止めて期間が終わった場合や、解約した場合）も、同じく、検査履歴と結果の閲覧、レポートの書き出し、検査履歴とプロジェクトの削除はできます（2026-11-11 の商用版から提供）。ライセンスを保存していないとき、無料体験の期間が終わったとき、登録しているアプリが本数の上限を超えたときの上限の外のアプリも、同じです。
• プロジェクトを削除すると、そのプロジェクトの登録情報・検査履歴・「誤検知として非表示」の記録・確認済みの記録・確認済み・取り消しの操作の履歴をまとめて削除します。
• 「誤検知として非表示」の記録（suppressions）、確認済みの記録（finding_confirmations）、確認済み・取り消しの操作の履歴（check_events）は、30 日の自動削除の対象外です。プロジェクトを削除するまで保存し、プロジェクトを削除したときに削除されます。確認項目の質問への回答（check_answers）は検査履歴に付くため、検査履歴と同じく 30 日で自動削除され、検査履歴の削除でも削除されます。前の点検から引き継いだ答えは、新しい点検の記録として書き写すため、元の点検が削除された後も、引き継いだ点検の記録として残ります（その点検の検査履歴と同じく 30 日で自動削除されます）。修正指示の印（fix_queue_marks）も検査履歴に付き、同じく 30 日で自動削除され、検査履歴の削除・プロジェクトの削除でも削除されます。AI への依頼の単位の記録（ai_queue_units）、AI への依頼のまとめの記録（ai_bundles）と点検の設定（scan_runs の scan_options_json）も検査履歴に付き、同じく 30 日で自動削除されます。回ごとの要約（loop_rounds）は、30 日の自動削除の対象外です。数だけの記録なので、点検のループの記録を 30 日より長く見られるよう残します。1 プロジェクトにつき新しい 400 回分までを保存し、それより古いものから削除します。検査履歴の削除・プロジェクトの削除で削除されます。貼り付けて記録した AI の報告（ai_reports）は検査履歴に付き、30 日で自動削除されます。AI の報告の集め箱（ai_report_inbox）は、プロジェクトに付き、入れてから 30 日で自動削除されます。確定して記録したとき、集め箱を空にしたとき、集め箱から個別に外したとき、検査履歴の削除・プロジェクトの削除でも削除します。誤検知・あなたの作業待ちの記録（ai_unit_claims）は 30 日の自動削除の対象外で、1 プロジェクトにつき 2,000 件まで保存し、検査履歴の削除・プロジェクトの削除で削除されます。
• 「誤検知として非表示」の記録は、見直しの期限が過ぎた後も、「見直し済み（表示のままにする）」を押した後も、元に戻した後も削除せず、期限と元に戻した日時と一緒に残します。もう一度非表示にしたときは同じ記録を新しい理由・日時・期限で上書きし、過去の非表示の履歴は持ちません。この版より前に非表示にした項目は、期限なしとして扱います（見直しの期限は来ません。非表示の一覧から元に戻せます）。保存期間（プロジェクトを削除するまで）は変わりません。
• 確認した人の名前は任意の入力です。入力した名前は上記の回答・確認済みの記録に保存し、レポートに含まれます。個人の氏名を入力する場合は、共有前にレポートの内容を確認してください。
• 同意の記録（consent_records・consent_documents）は、同意した文書の種類・版・本文のハッシュ値・日時の証跡です。本製品のデータフォルダーを削除するまで、この端末の中に保存します。 アプリ本体のアンインストールだけでは消えません。期間の上限は設けていません。30 日の自動削除、検査履歴の削除、プロジェクトの削除の対象ではありません。本製品の中には、同意の記録だけを削除する機能はありません。提供者はこの記録を取得しないため、提供者の窓口から削除することもできません。
• app_meta と、DB の構造の版を管理する schema_version は、動作と構造の管理のための記録です。データフォルダーを削除するまで残ります。個別に削除する機能はありません。
• ライセンス（license）と、ライセンスの判定に使う最も新しい時刻（app_meta の license_clock_max）も、データフォルダーを削除するまで残ります。30 日の自動削除、検査履歴の削除、プロジェクトの削除の対象ではありません。ライセンスは、新しいライセンスを保存したときに置き換えます。ライセンスだけを削除する機能はありません。
• 削除の際は、削除したデータが DB の一時ファイル（WAL）に残らないよう反映処理を行います。OS のバックアップや、利用者が別に保存したファイルまでは扱いません。
• アンインストールだけでは、データ領域が残る場合があります。同意の記録を含む端末の中のデータをすべて消すときは、本製品を終了してから、2.1 の保存場所にある本製品のデータフォルダー全体を削除してください。この方法では、プロジェクトの登録や検査の記録もすべて消えます。削除した後は元に戻せません。書き出したレポート、クリップボード、OS のバックアップ、利用者が他のサービスに送った情報は、この操作では消えません。
• 緊急度の情報のキャッシュ（threat-intel フォルダー）は、新しい一覧を受け取ったときに置き換えます。30 日の自動削除、検査履歴の削除、プロジェクトの削除の対象ではありません（どのプロジェクトの情報も含まないため）。データフォルダーを削除すると消えます。使った情報の出どころ（scan_runs の threat_intel_json）と検出事項の欄は、検査履歴と一緒に削除されます。
• 自動の見張りの記録のうち、実行の記録（monitor_runs）は検査履歴と同じく 30 日で自動削除します。設定（monitor_settings）と直近の照会の結果（monitor_snapshots）はプロジェクトを削除するまで保存し、プロジェクトの削除で削除します。見張りへの同意の記録（monitor_consents）は、同意の記録と同じく本製品のデータフォルダーを削除するまで保存します。見張りへの同意を取り消しても、保存した記録は削除しません（すべての見張りがオフになります）。

2.6 エクスポートしたレポート

利用者が保存した JSON・Markdown・HTML のレポートと、保存した修正依頼（Markdown）は、利用者が指定した場所に保存され、本製品は管理しません（自動削除の対象外です）。コピーした修正依頼は OS のクリップボードに残ります。ファイル名・URL・パスにも機密が含まれ得ます。共有前に内容を確認してください。確認した人の名前を入力していれば、レポートに含まれます。

AI への依頼のまとめの書き出しのボタンを押したときだけ、書き出し先（既定は ~/Desktop/Cheloop/まとめ依頼/。設定でホームフォルダーの下の別のフォルダーを選べます）に、アプリごとのフォルダー（アプリの表示名から作った名前）と、その中の依頼文のファイル（依頼.md。書き込みの途中では同じフォルダーに一時ファイルを作り、依頼.md に付け替えます）、書き出し先の直下の案内のファイル（00_はじめに.md。アプリの表示名・件数・書き出し先のホームフォルダーからの場所を書き、検査の対象のフォルダーの場所は書きません）を作ります。自動では書き出しません。フォルダーは所有者だけが読み書きできる権限（0700）、ファイルは 0600 で作ります（macOS 等の POSIX 系 OS の場合）。依頼文の中身は、コピーで渡すのと同じ依頼文（伏せ字にした根拠・相対パス・行を含みます）で、本製品はそれを送りません。検査の対象のフォルダーには書き込みません。AI が同じフォルダーに書いた返信ファイル（返信.md）は、あなたが「この返信を使わない」を選んだときのほか、取り込んだ結果、入れられないブロックが無いときだけ、同じフォルダーの 取込済 に移します（ファイルは 0600 にします）。返信ファイルを取り込むと、中の返信ブロックを集め箱（2.2 の ai_report_inbox）に入れます（記録はしません）。記録するのは、集め箱から「記録の内容を確かめる」を押し、確認の画面で「確定して記録する」を押したときで、貼り付けて記録するときと同じ内容です（ai_reports・ai_unit_claims。確認の依頼への報告は、確認済みの記録・確認項目への回答にも、AI の報告をあなたが記録したものとして入ります）。返信ファイルの全文は、本製品のデータベースには保存しません。元の返信ファイルは、元の場所か 取込済 に残り、本製品は自動では消しません。これらのファイルとフォルダーは利用者のファイルとして扱い、本製品は自動では消しません（30 日の自動削除、検査履歴の削除、プロジェクトの削除、データフォルダーの削除でも消えません）。共有前に内容を確認してください。

3. 外部への送信

確認項目のアプリの判定・質問・確認依頼文の作成は端末の中だけで行い、外部へ送信しません。確認依頼文は本製品から送信しません（クリップボードへのコピーと、保存先を選んだ保存だけ）。コピーした後の扱いは利用者の判断です。

本製品の検査機能が外部と通信するのは、次の 3 つの場合だけです（3.1 の OSV への照会、3.1 であわせて受け取る緊急度の情報（CISA KEV・EPSS）の取得、3.2 の公開 URL 検査）。手動の点検では、どれも検査の開始前に接続先と送信内容を表示し、利用者が選択した場合にだけ行います（自動の見張りに同意した場合の 3.1 の照会と取得は、次の段落で説明します）。オフライン設定の場合はどれも行いません。これらに伴う名前解決（DNS）と、利用者の操作によるブラウザー・AI のサービスの利用は、3.3・3.4 で説明します。ライセンスの確認は端末の中で行い、そのための外部への通信はしません（2026-11-11 の商用版から提供）。ライセンスの確認のために、登録したアプリの情報・利用状況・端末の情報を提供者へ送ることもしません。

利用者が AI との接続（3.4）を入にしても、本製品から外部への通信は増えません。AI とのやりとりは、同じ Mac の中（本製品と、利用者が登録した AI のコマンドラインツールの間）で行います。AI が始めた再点検でも、前回の点検と同じ通信をします。前回の点検で 3.1 の照会を選んでいれば同じく照会し、あわせて緊急度の情報を受け取ります。選んでいないとき・オフライン設定のときは通信しません。3.2 の公開 URL 検査を含んだ点検は、AI から再点検を始められません。

自動の見張りに同意した場合は、3.1 の照会を、あなたがその場にいないときにも、設定した頻度（既定は毎日 9:00。週 1 回の自動点検で照会する設定のときは、その点検のときにも）で行います。送る内容は手動の点検の照会と同じです（3.1 の「送信する情報」だけで、パス・ファイル名・プロジェクトの表示名は送りません）。見張りの同意は、検査の前に毎回選ぶ照会の同意とは別に、設定の画面で 1 回もらい、いつでも取り消せます。見張りの照会と、OSV に照会する設定の自動点検では、見張りの同意（1.1.0 以上）があるときだけ、3.1 の緊急度の情報もあわせて受け取ります。

3.1 依存関係の脆弱性情報の照会（OSV）

• 実施の条件: 検査の前に利用者が外部通信に同意した場合と、自動の見張りに同意して見張りをオンにしたプロジェクト（あなたがその場にいないときを含みます）だけ。同意しない場合とオフライン設定の場合は送信せず、依存関係の脆弱性検査は「未実施」と表示します。
• 送信先: api.osv.dev（Google が運営する OSV の API）のみ。同梱の OSV-Scanner 2.6.0 の通信を捕捉して、他の接続先（deps.dev・各パッケージレジストリ等）が無いことを確認しています。
• 送信方法: POST /v1/querybatch（照会）と、照会結果に含まれた脆弱性 ID ごとの GET /v1/vulns/<ID>（詳細の取得）。
• 送信する情報: lockfile から読み取った次の情報だけです。
  • エコシステム（npm 等）
  • パッケージ名
  • バージョン
  • 照会結果に含まれる脆弱性 ID
• 送信しない情報: アプリが扱うデータ（データベースの中身、顧客・取引先の情報、売上など）、ソースコード、設定ファイルの中身、秘密情報（パスワード・API キー・.env の値）、絶対パス、ファイル名、ファイルのハッシュ値、lockfile の内容そのもの、パソコンのユーザー名。ユーザー名・ホームディレクトリ・private registry の URL や認証情報も送信しないことを実測で確認しています。
• 相手に伝わること: 接続元の IP アドレスと、「この部品の組み合わせを使っていること」です。OSV 側でこれらが記録されるかどうかは、OSV の運営者の扱いによります。
• 同意しない場合: 部品の脆弱性検査だけを行わず、結果に「未実施」と表示します。ほかの検査はすべてこのパソコンの中だけで行います。ただし、公開 URL 検査は、3.2 の条件で別に選んだ場合に外部と通信します。
• 通信には、OSV-Scanner の標準のヘッダー（User-Agent 等）が付きます。Cookie・認証ヘッダーは送りません。OSV 側で接続元の IP アドレス等が記録されるかどうかは OSV の運営者の取扱いによります。OSV に固有の保存期間・利用目的・保存する国は、提供者は確認できていません。
• プロキシ経由の接続には対応していません（接続できない場合、依存関係の脆弱性検査は「失敗」と表示します）。
• 接続の前に、api.osv.dev の IP アドレスを端末の名前解決（OS に設定された DNS サーバー等）で問い合わせます。このとき、問い合わせ先の DNS サーバーにホスト名 api.osv.dev が伝わります。
• あわせて受け取るもの（CISA KEV・EPSS）: あわせて、悪用が確認された脆弱性の一覧（CISA KEV・www.cisa.gov）と悪用の見込みの推定値（EPSS・epss.empiricalsecurity.com）を、それぞれ 1 日に最大 4 回（成功した後はその日は取得しない）丸ごと受け取ります。この 2 つには、部品やプロジェクトの情報は送りません（接続に伴い、IP アドレスなどが相手に伝わります）。
  • 実施の条件: 検査の前に OSV への照会に同意し、オフライン設定でない点検と、見張りの同意（1.1.0 以上）がある自動の見張り（照会と、OSV に照会する設定の自動点検）だけ。それより前の版の見張りの同意のままでは受け取らず、アプリに同梱した KEV の控えだけを使います。
  • 接続先: www.cisa.gov（米国の政府機関 CISA が運営。KEV カタログ）と epss.empiricalsecurity.com（FIRST の EPSS のデータを配る Empirical Security が運営）。URL はアプリに固定しています。
  • 送信する情報: 部品・プロジェクトの情報は送りません。パッケージ名・バージョン・CVE の番号・プロジェクトの情報・ライセンスの番号・端末の識別子を、URL・ヘッダー・本文に入れません。接続に伴って相手に伝わる情報は、次の行のとおりです（KEV の取得では、前回の取得で相手が返した ETag を送ります）。
  • 相手に伝わること: 接続元の IP アドレス、User-Agent（Cheloop）、要求の時刻、KEV の前回の取得で相手が返した ETag です。取得の時刻から、本製品の利用者がいつ点検したかが推測される場合があります。記録の扱いは、それぞれの運営者によります。接続の前の名前解決で、DNS サーバーにこの 2 つのホスト名が伝わります。
  • 取得できないとき: 端末のキャッシュ（2.2）か、アプリに同梱した KEV の控え（CC0 1.0）を使います。EPSS は同梱しません（取得もキャッシュも無ければ、悪用の見込みは表示しません）。
  • 出典: CISA Known Exploited Vulnerabilities Catalog（CC0 1.0）、EPSS（FIRST.org、データの提供 Empirical Security）。「緊急」の印や EPSS の値は判断の補助です。KEV に載っていないこと、EPSS の値が低いこと、照合できないことは、悪用の可能性が無いことを意味しません。

3.2 公開 URL 検査

• 実施の条件: 利用者が URL を入力し、「この URL は自分が管理しており、検査する権限があります」と確認した場合だけ。URL 検査を含まない版では行いません。
• 送信先: 利用者が入力した URL のホストだけ（最大 5 件・同じホスト。リダイレクトも同じホストの中だけ）。ループバック・プライベート・リンクローカル・予約アドレス・クラウドの metadata 先へは接続しません。
• 送信する情報:
  • 入力した URL への GET 要求（パス・クエリを含む）
  • User-Agent（Cheloop/1.1.0 (+https://cheloop.com)）
• 送信しない情報: Cookie、Authorization 等の認証情報、ソースコード、秘密情報、絶対パス、フォームの送信・ログイン。
• ただし、入力した URL のパスやクエリに秘密情報・個人情報を含めた場合、その部分は URL とともに送信されます。認証用の URL や機密を含む URL は入力しないでください。
• 各 URL を 1 回（同一ホスト内のリダイレクト最大 3 回を含む）だけ GET で取得し、本文は 1MB まで読み取りますが保存しません。GET のみでもアクセスログや副作用が生じ得ます。
• 接続の前に、入力した URL のホスト名（リダイレクト先を含む）の IP アドレスを端末の名前解決（OS に設定された DNS サーバー等）で問い合わせます。このとき、問い合わせ先の DNS サーバーにそのホスト名が伝わります。
• アクセス先のサーバーには、接続元の IP アドレスや User-Agent が記録される場合があります。

3.3 外部への通信の一覧

利用者が送信の内容を確かめられるよう、外部への通信を一覧にします。同じ内容を「外部への通信について」でも説明します。

AI との接続（3.4）は、同じ Mac の中のやりとりで、この一覧に加わる通信はありません。AI が始めた再点検の通信は、上の表の OSV への照会と緊急度の情報の取得のうち、前回の点検で選んだものと同じです。

3.4 利用者による AI への貼り付け・AI との接続・外部リンクの閲覧

本製品は、AI のサービスへソースコードや依頼文を送信しません。依頼文には、伏せ字にした根拠、相対パス、行が含まれます。利用者が依頼文をコピーして外部の AI に貼り付けると、そのサービスに情報が送信されます。送信の前に、内容と、送ってよい権限があるかを確かめてください。送信の後の保存・学習への利用・削除などは、利用者が使う AI のサービスの条件と設定によります。

利用者がアプリの設定で AI との接続を入にしたときは、同じ Mac の中で、利用者が登録した AI のコマンドラインツール（当初の対象は Claude Code と Codex）が、本製品から依頼文を受け取り、報告を集め箱に入れ、再点検を始められます。最初は切で、同意の前は入にできません。切は、いつでも設定の画面でできます。本製品から AI のサービスへは通信しません。本製品から外部への通信は増えません。AI とのやりとりは、同じ Mac の中（本製品と、利用者が登録した AI のコマンドラインツールの間）で行います。AI が受け取った依頼文をどこへ送るかは、その AI のサービスの側の取扱いによります。依頼文をコピーして貼り付ける場合と同じです。AI に渡す依頼文の中身は、コピーで渡すのと同じです（端末の絶対パスは渡しません）。AI から受け取った報告は集め箱に入れるだけで、あなたが画面で確かめて確定するまで記録しません。

本製品の参照リンクを利用者が選ぶと、OS の既定のブラウザーで外部のページを開きます。ただし、localhost・.local・.internal 等の組織内・端末内でだけ使う名前、ドットの無い 1 語だけの名前、ループバック・私設・リンクローカル・クラウドの metadata 等の IP アドレスを指すリンクは開かず、「内部・ローカルの宛先のため開きません」と表示します（名前は解決せずに文字列で判定するため、公開の名前が内部のアドレスを指す場合は開きます）。ブラウザーからは、閲覧先へのアクセスと名前解決が行われます。接続元の IP アドレス、ブラウザーの情報、Cookie 等の送信は、ブラウザーの状態・設定と閲覧先によって異なります。本製品の OSV への照会・公開 URL 検査と同じ制限がかかるわけではありません。

利用者が無料体験の申込み・購入の案内を選ぶと、OS の既定のブラウザーで提供者の販売サイト（cheloop.com）の申込み・購入のページを開きます。利用者が更新を止める・支払を確かめるための案内を選ぶと、OS の既定のブラウザーで販売サイト（cheloop.com）のページを開き、そこから決済代行会社（Stripe）の顧客ページを開きます（2026-11-11 の商用版から提供）。これは、利用者の操作でブラウザーに受け渡すもので、本製品が通信するものではありません。本製品は、ブラウザーに渡すページの URL に、ライセンスの番号や、登録したアプリの情報を付けません。ブラウザーと販売サイト・Stripe の間の通信と、そのページで入力・表示される情報の扱いは、ブラウザーの設定と、販売サイトでの取扱い（1.1・1.3）・Stripe での取扱い（1.2）によります。

4. 診断情報・利用状況の送信

• 本製品は、診断情報の外部送信の機能を実装していません。利用状況の計測（analytics）も行いません。
• 将来、診断情報（検査エンジンの状態と伏せ字にしたエラーに限る）を送信する機能を追加する場合は、初期設定はオフとし、送信前に送信内容のプレビューを表示して、利用者が確認した場合だけ送信します。その際は本ポリシーを改訂し、再同意を求めます。

5. 第三者への提供

本製品の検査・記録の機能では、提供者は端末の中に保存された情報を取得しません。そのため、それを提供者から第三者へ提供することもありません。第 3 章の送信は、利用者の選択に基づき、利用者の端末から送信先へ直接行われます。

販売・決済・問い合わせで扱う情報（1.1）は、法令に基づく場合を除き、本人の同意なく第三者へ提供しません。

決済の処理を Stripe に委託すること（1.2）は、提供者の業務の一部を任せるもので、この章でいう第三者への提供には当たりません（個人情報保護法第27条第5項第1号）。ただし、購入者の情報は外国にある事業者（1.2）で扱われるため、委託であっても、外国にある第三者への提供についての定め（同法第28条）が適用されます。この提供は、申込みの際に得る本人の同意に基づきます（1.2・1.4）。

販売サイトの配信・記録の保存・メールの送信を Cloudflare に委託すること（1.3）も、同じく第三者への提供には当たりません。Cloudflare, Inc. も外国（米国）にある事業者のため、同法第28条が適用されます。この提供も、申込みの際に得る本人の同意に基づきます（1.3・1.4）。

6. 開示等の請求・問い合わせ

本ポリシーに関する問い合わせ、苦情、個人情報保護法に基づく利用目的の通知・開示・訂正・利用停止等の請求は、下の問い合わせ先で受け付けます。対象は、提供者が保有する保有個人データ（1.1 の情報と、1.3 の情報のうち本人を識別できる形で保有するもの）と、法令上開示の対象となる第三者提供記録です。法令に従って請求に対応します。請求は、下の問い合わせ先のメールで受け付けます。本人確認は、登録のメールアドレスからの送信と、確認のメールへの返信で行います。登録のメールアドレスを使えない場合は、提供者が保有する情報に応じた別の本人確認の方法を案内します。法定代理人と、本人から委任を受けた代理人による請求にも応じます（委任を確かめる書面を求めます）。開示の方法は、電子データの提供と書面から指定できます。手数料はかかりません。原則として 2 週間以内に回答します。

提供者が取得していない、端末の中だけの情報は、提供者が開示したり、遠くから削除したりできません。端末の中の削除は 2.5 を見てください。

• 提供者の名称: 株式会社山愛
• 運営部門: マスマール（Masmarl）
• 代表者: 下本一伸
• 所在地: 〒506-0005 岐阜県高山市七日町3丁目79番地 七日町ビル2階
• 問い合わせ先: support@masmarl.com
• 安全管理のために講じた措置:
  • 個人情報の取扱いの責任者を定めています。
  • 購入者の情報を扱える者を限定しています。
  • 決済の情報と購入者の情報は、決済代行会社（Stripe）で管理します。購入者の情報（会社名（屋号）、担当者の氏名、メールアドレス）は、販売サイトの記録として、委託先（Cloudflare）にも保存します（1.3）。
  • 決済代行会社や販売サイトの管理画面には、2 段階認証を使います。
  • 情報を扱う端末には、パスワードとディスクの暗号化を設けています。
  • 外的環境の把握: 決済代行会社（Stripe）に預けた購入者の情報は、米国などの外国（1.2）で扱われます。提供者は、米国の個人情報の保護に関する制度（1.2）を把握したうえで、安全管理の措置を講じます。
  • 外的環境の把握: 販売サイトの委託先（Cloudflare）は米国の事業者で、販売サイトで扱う情報が米国で扱われる場合があります。提供者は、米国の個人情報の保護に関する制度（1.3）を把握したうえで、安全管理の措置を講じます。

7. 改訂

本ポリシーは同意の対象です。初回利用前に、利用規約・検査限界文書とあわせて同意を求め、同意した版と本文の sha256 ハッシュ値を記録します（ハッシュ値は同意した本文の証跡で、ハッシュ値が変わったことだけでは再同意を求めません）。この同意は、将来追加する外部送信や、法令上個別に必要な同意をまとめて得るものではありません。OSV への照会・公開 URL 検査は、第 3 章の個別の選択と確認に従います。

• 外部への送信内容を増やす変更や、利用者の情報が渡る経路や、ほかのプログラムが行える操作を増やす変更等の重要な変更: 重要な変更を含む版であることを記録し、重要な変更を含む版以降に同意していない場合（途中の版を飛ばした場合を含む）は、アプリ内で再同意を求めます。メジャー版が変わった場合（例: 1.x → 2.0）と、正式版（1.0.0）より前の版（0.x の版）にだけ同意している場合も再同意を求めます。
• 誤字の訂正・表現の整理等の軽微な変更: マイナー版・パッチ版を上げ、周知だけを行います。版番号の上げ方が小さくても、情報の取扱いに重要な変更がある場合は、上の重要な変更として扱います。
• 変更の内容と施行日は、販売サイトに新しい版と変更点を掲載して知らせます。再同意が必要な重要な変更は、これに加えて、登録のメールアドレスへの通知（登録のメールアドレスがある場合。2026-11-11 の商用版から行います）と、アプリの中の案内（同意の画面）で知らせます。
• 変更の効力: 本人の同意を得て行う変更は、その本人が同意した時に、その本人について効力が生じます。それ以外の重要な変更は、効力が生じる日を定め、その日の 7 日前までに周知します。その日に効力が生じます。周知だけで適用するのは、法令上、本人の同意を要しない変更に限ります。本人の同意が要る新たな取扱いは、同意を得てから始めます。本ポリシーの改訂や利用の継続だけで、その同意があったとは扱いません。

附則

• 0.1.0-draft（2026-10-08）: 草案作成。弁護士未レビュー。
• 0.2.0-draft（2026-10-10）: 確認項目の記録（finding_confirmations・check_answers・check_events、確認した人の名前（任意））と確認依頼文の非送信を追加。重要な変更として再同意の対象。弁護士未レビュー。
• 0.3.0-draft（2026-10-11）: 修正指示の印（fix_queue_marks。ハッシュ・印・日時だけ）の保存を追加。個人を識別する情報・送信先は増えないため、周知のみ（再同意の対象外）。弁護士未レビュー。
• 0.4.0-draft（2026-10-12）: AI への依頼の単位の記録（ai_queue_units。ハッシュ・回数・日時だけ。30 日で削除）、点検の回ごとの要約（loop_rounds。数だけ。30 日の自動削除の対象外・400 回まで）、点検の設定（scan_options_json。照会の有無・オフラインかどうか・URL の数だけ）の保存、AI への依頼文をコピーした日時と AI の結論の保存（この端末の中だけ）を追加。個人を識別する情報・送信先・送信内容は増えず、長く残すのは数だけのため、周知のみ（再同意の対象外）。弁護士未レビュー。
• 0.5.0-draft（2026-10-13）: AI の報告の貼り付けの記録（ai_reports。結果の種類と、秘密らしき値を伏せた理由の文（1,000 文字まで）。30 日で削除）と、誤検知・人の作業待ちの記録（ai_unit_claims。ハッシュ・種類・日時だけ。30 日の自動削除の対象外・2,000 件まで）を追加。「済んだ」の印を新しく付けなくなった。送信先・送信内容は増えず、長く残すのはハッシュと種類だけのため、周知のみ（再同意の対象外）。弁護士未レビュー。
• 0.6.0-draft（2026-10-13）: 商用販売に向けた改訂。提供者の情報、販売・決済・問い合わせで扱う情報と利用目的（1.1）、販売サイトの GA4 は本製品に入っていないこと、登録できるアプリの本数は端末の中で判定し送らないこと、AI の答えの引き継ぎの記録、再同意の前にできること、同意の記録を本製品の削除まで保存すること、外部への通信の一覧と、利用者による AI・ブラウザーの操作を追加。本製品の送信先・送信内容は増えないが、購入者の個人情報と決済代行会社の取扱いを新しく定めたため、7 章の基準で重要な変更とし、再同意の対象。冒頭の表示文を「この文書は弁護士のレビューを受けていません。」に改めた（2026-10-14 提供者の決定。表示だけの変更で、この版の内容に含める）。弁護士未レビュー。
• 0.6.1-draft（2026-10-14）: 未確定だった項目のうち、購入のときに入力する項目、カード番号と住所・電話番号を受け取らないこと、保存期間、外国にある事業者（Stripe・米国）の扱い、開示等の請求の手続、安全管理の措置、周知の方法を定めた。問い合わせ先は未確定のまま。販売前の内容の補充のため、パッチ版とし、再同意の判断は 0.6.0-draft の重要な変更のまま変えない。弁護士未レビュー。
• 0.6.2-draft（2026-10-14）: 「誤検知として非表示」の記録（suppressions）に、見直しの期限（30 日・90 日・1 年・期限なし）と元に戻した日時（revoked_at）を保存する旨を書いた。保存する項目の意味が広がるだけで、新しい個人情報・送信先・送信内容は無く、保存期間も変わらないため、周知のみ（再同意の判断は 0.6.0-draft の重要な変更のまま変えない）。弁護士未レビュー。
• 0.6.3-draft（2026-10-14）: 2026-11-01 の商用版から提供する仕組み（購入・決済・返金、本数の上限の判定、更新前のお知らせのメール、重要な変更のメール通知）を、冒頭と該当する箇所に示した。「誤検知として非表示」の記録（suppressions）の見直しの期限の既定（90 日）と、元に戻した日時（revoked_at）が入る操作（「元に戻す」と「見直し済み（表示のままにする）」）を明確にした。新しい個人情報・送信先・送信内容は無く、保存期間も変わらないため、周知のみ（再同意の判断は 0.6.0-draft の重要な変更のまま変えない）。弁護士未レビュー。
• 0.6.4-draft（2026-10-14）: 決済の処理を Stripe に委託することと、外国（米国）での取扱い（外国の名称、米国の制度の概要、Stripe の措置、個人情報保護法第28条に従うこと）を 1.2 に書いた。委託は第三者への提供とは別の扱いであることを 5 章に書いた。安全管理の措置に外的環境の把握を足した。購入・請求の記録の保存期間を「法令で定める期間（原則 7 年間）」とした。開示の方法を指定できることを書いた。ライセンスの確認は端末の中で行い通信しないこと、更新を止める案内はブラウザーで決済代行会社のページを開くもので本製品の通信ではないこと、契約が終わった後も閲覧・書き出し・削除ができることを書いた。登録のメールアドレスへの通知はアドレスがある場合に行い、変更の効力の生じ方を、同意による変更とそれ以外に分けた。本製品の送信先・送信内容は増えず、販売の側の取扱いは 0.6.0-draft で定めた範囲の説明の補充のため、パッチ版とし、再同意の判断は 0.6.0-draft の重要な変更のまま変えない。弁護士未レビュー。
• 0.7.0-draft（2026-10-19）: 自動の見張り（毎日の部品の照会と週 1 回の自動点検）を追加機能として提供するため、あなたがその場にいないときの OSV への照会（送る内容は手動の点検の照会と同じ）、端末の中に保存する 4 つの表（monitor_settings・monitor_snapshots・monitor_runs・monitor_consents）と保存期間、見張りの同意と取り消しを足した。外部への送信の機会を増やす変更のため、7 章の基準で重要な変更とし、再同意の対象。弁護士未レビュー。
• 0.7.1-draft（2026-10-19）: 製品名を「App Safety Check」から「Cheloop（チェループ）」に改めた。6 章に問い合わせ先（support@cheloop.com）を書いた。3.2 の User-Agent の名前を改めた（送る情報の種類は変えていない）。内容の変更ではないため、周知のみ（再同意は求めない）。弁護士未レビュー。
• 0.8.0-draft（2026-10-20）: ライセンスの仕組みに合わせて改めた。1.1 に、無料体験の申込みで販売サイトが受け取るメールアドレスと、その利用目的（体験用のライセンスの送付と、同じメールアドレスへの再発行の防止だけ。案内や宣伝のメールは送らない）・保存期間（送付から 1 年で削除）を足した（2026-10-20 提供者の決定）。2.2・2.5 に、端末の中に保存するライセンスの表（license。メールアドレスは含まない）と、app_meta のライセンスの判定に使う最も新しい時刻（license_clock_max）を足した。3.4 に、ブラウザーで開く販売サイト（cheloop.com）のページを足し、更新を止めるときは販売サイトを経由して決済代行会社の顧客ページへ移ることを書いた。冒頭の「草案の読み方」で、アプリの中の仕組みは現在のビルドに入っていることを示した。本製品の送信先・送信内容は増えないが、提供者が取得する個人情報（体験の申込みのメールアドレス）が増えるため、7 章の基準で重要な変更とし、再同意の対象。弁護士未レビュー。
• 0.8.1-draft（2026-10-21）: 依存関係の脆弱性の並び順と印のため、緊急度の情報（CISA KEV・EPSS）の取得を足した。3 章の前文を 3 つの場合に改め、3.1 に「あわせて受け取るもの」（点検の前の同意の文と同じ文・実施の条件・送信する情報は無いこと・相手に伝わること・同梱の KEV の控え・出典）を、3.3 の一覧に 2 行と名前解決のホスト名を足した。2 章に、端末のキャッシュ（threat-intel フォルダー。公開の一覧で、どのプロジェクトの情報も含まない）、点検の記録の threat_intel_json、検出事項の新しい欄、monitor_snapshots の kev_ids_json と、それらの削除（2.5）を書いた。送信する情報は増えず（KEV・EPSS には何も送らない）、提供者が新しく取得する個人情報も無いため、周知のみ（再同意は求めない。基準は 0.8.0-draft のまま）。個々の取得は、取得先を明記した点検ごとの OSV の同意と、取り直す見張りの同意（1.1.0）の下でだけ行い、送る情報は無い。あなたがその場にいないときに部品の情報を送る機会を増やした 0.7.0-draft（見張り）とは、この点で異なる。接続先が増えることを 7 章の重要な変更とみるかは、弁護士の確認の段階で確かめる（レビュー項目 LR-63）。弁護士未レビュー。
• 0.8.2-draft（2026-10-21）: AI が「誤検知」等と報告した依頼の記録（ai_unit_claims）を、重大問題の数え方（AI が誤検知と報告した項目を概要の重大問題の数から外す）にも使うことを書いた。保存する項目・保存期間・送信先・送信内容は変わらないため、周知のみ（再同意の対象外。再同意の基準は 0.8.0-draft のまま）。弁護士未レビュー。
• 0.8.3-draft（2026-10-22）: AI への依頼のまとめ（まとめてコピー・書き出し）に合わせて、2.2 に、まとめの 1 回ごとの記録（ai_bundles。点検の識別子・まとめの種類・件数・書き出しのフォルダー名・日時だけ。30 日で削除）、ai_queue_units の最後に入れたまとめの識別子、app_meta のまとめの件数と書き出し先のフォルダーのパス（ai_bundle_size・ai_bundle_export_dir）を足し、2.5 に削除の扱いを、2.6 に書き出し先に作るファイル（書き出しを押したときだけ。0600。本製品は送らず、自動では消さない）と返信ファイルの扱いを書いた。送信先・送信内容・提供者が取得する情報は増えないため、周知のみ（再同意の対象外。再同意の基準は 0.8.0-draft のまま）。弁護士未レビュー。
• 0.8.4-draft（2026-10-23）: AI の報告の集め箱（ai_report_inbox）の表と、返信ファイルの扱い（取り込むと集め箱に入れ、記録は「まとめて記録」を押したときだけ）を 2.2・2.5・2.6 に足した。送信先・送信内容・提供者が取得する情報は増えないため、周知のみ（再同意の対象外。再同意の基準は 0.8.0-draft のまま）。弁護士未レビュー。
• 0.8.5-draft（2026-10-23）: 「誤検知として非表示」の記録（suppressions）の行に、AI への依頼の列の「誤検知と報告済み」の行で 1 回押したときは、理由の入力を求めず決まった文を理由として保存し、見直しの期限を既定の 90 日にすることを書いた。保存する項目・送信先・送信内容・提供者が取得する情報は増えず、保存期間も変わらないため、周知のみ（再同意の対象外。再同意の基準は 0.8.0-draft のまま）。弁護士未レビュー。
• 0.8.6-draft（2026-10-23）: ボタン名・状態名を画面に合わせた（2.2・2.5・2.6 の「まとめて記録」を「記録の内容を確かめる」と確認の画面の「確定して記録する」に、「人の作業待ち」を「あなたの作業待ち」に改めた）。決まりの中身は変えず、保存する項目・保存期間・送信先・送信内容・提供者が取得する情報も増えないため、周知のみ（再同意の対象外。再同意の基準は 0.8.0-draft のまま）。弁護士未レビュー。
• 0.8.7-draft（2026-10-25）: 外部 AI の評価の指摘の修正に合わせて改めた。2.2 の ai_unit_claims の利用目的を、重大問題の数え方（AI が誤検知と報告した項目を重大問題の数から外す）から、AI が誤検知と報告した件数の別の表示（重大問題の数は減らさない）に改めた。2.2 の findings の根拠と 2.4 に、該当するコードの一部（伏せ字にした後、1 か所 200 文字まで）を保存することを明記した（これまでも保存していたもので、保存する項目は増えていない）。2.4 に、秘密情報の検査で見つけた値をほかの検査の結果の文からも伏せることと、以前の版で保存した文を汎用の伏せ字の処理で伏せ直すことを書き、2.2 の app_meta に新しい鍵（remask_v18_changed_rows。数だけ）を足した（伏せ直した行の数）。3.4 に、内部・ローカルの宛先を指すリンクは開かないことを書いた。送信先・送信内容・提供者が取得する情報は増えず、保存する内容は伏せる範囲が広がる側の変更で、保存期間も変わらないため、周知のみ（再同意の対象外。再同意の基準は 0.8.0-draft のまま）。弁護士未レビュー。
• 0.8.8-draft（2026-10-25）: 最終レビューの指摘に合わせて改めた。2.4 に、秘密情報の検査で見つけた値をほかの検査の結果の文から伏せるのは値の位置を特定できたものに限ること、件数の上限（10,000 件）を超えた分も読み込む量の上限の範囲で値を取り出して伏せること（取り出せなかった分は伏せられないことがあり、一部未完了と記録すること）、見つけた値の量が照合の上限を超えたときは説明・根拠の文を全て伏せ字にして一部未完了と記録すること、以前の版で保存した文の伏せ直しは汎用の伏せ字の処理だけであることを書いた。0.8.7-draft の改訂履歴の app_meta の記載を、新しい鍵を足したことが分かるように正確にした。送信先・送信内容・提供者が取得する情報は増えず、保存する項目・保存期間も変わらない（伏せる範囲が広がる側の変更の説明を正確にしたもの）ため、周知のみ（再同意の対象外。再同意の基準は 0.8.0-draft のまま）。弁護士未レビュー。
• 0.8.9-draft（2026-11-09）: 販売開始日（2026-11-11）に合わせて施行日と商用版の日付を改めた。冒頭の「草案の読み方」で、販売サイト（cheloop.com）の側の仕組みは販売サイトで提供していることを示した。1.1 の GA4 の記載を、販売サイトでは計測（GA4 等）をしていないこと、置くときは先に本文書を改訂することに改めた。1.3 に、販売サイト（cheloop.com）での取扱い（Cloudflare が受け取るアクセスの記録とその目的、Cookie・計測・広告を使わないこと、無料体験の申込みの照合用の値と保存期間、顧客ページのリンクの申込みで受け取るメールアドレス（有効時間 30 分のリンクを送るためだけに使う）、申込みの回数の制限の記録、それぞれを 1 日 1 回の処理で削除すること）と、配信・記録の保存・メールの送信を Cloudflare に委託すること（1.2 と同じく、外国の名称（米国）、個人情報保護法第28条に従うこと、米国の制度、Cloudflare での取扱い）を足した。1.1 の無料体験のメールアドレスの保存期間の文を、メールアドレスそのものは保存せず、照合用の値（HMAC）だけを発行から 1 年保存することに合わせた。3.4 の販売サイトでの取扱いの参照先を、1.1・1.3 に改めた。5 章に Cloudflare への委託も第三者への提供に当たらないこと（第28条の扱いは 1.3）を、6 章の安全管理の措置に Cloudflare（米国）の外的環境の把握を足した。日付の変更は内容の変更ではなく、販売サイトの章の追加は、まだ利用者がいないため、周知のみ（再同意の対象外。再同意の基準は 0.8.0-draft のまま）。弁護士未レビュー。
• 0.8.10-draft（2026-11-09）: 販売する製品の版を 1.0.0 とし、3.2 の User-Agent を Cheloop/1.0.0 (+https://cheloop.com) に改めた（以前は内部検証用の文字列）。User-Agent は、公開 URL 検査で接続先のサーバーに伝わる、製品名・版・販売サイトの URL だけで、利用者や端末を特定する情報を含まない。送信先・送信内容の種類は増えないため、周知のみ（再同意の対象外。再同意の基準は 0.8.0-draft のまま）。弁護士未レビュー。
• 0.8.11-draft（2026-11-10）: 提供者の表記を「株式会社山愛　マスマール」に統一し、部門名・表示名の添え書きをやめた（前文。提供者の決定 2026-11-10）。6 章の「提供者の名称」は登記簿上の名称だけを書き、直後に「運営部門」の行を足した。提供者・代表者・所在地・問い合わせ先は変わらない。取得する情報・利用目的・送信先・送信内容は変えない。名称の表記だけの変更のため、周知のみ（再同意の対象外。再同意の基準は 0.8.0-draft のまま）。施行日（2026-11-11）は変えない。弁護士未レビュー。
• 0.8.12-draft（2026-11-10）: 冒頭の注記を削り、題の「（草案）」を外し、冒頭の見出し「草案の読み方」を「この文書の読み方」に改め、未確定の印の説明の文（印は本文に残っていない）を削った（提供者の決定 2026-11-10）。あわせて、外部の評価の指摘に合わせて、実装に合うように書き方を改めた。(1) 3.1・3.3 の CISA KEV・EPSS の取得の「送信する情報はありません」を、部品・プロジェクトの情報は送らないことと、接続に伴って相手に伝わる情報に書き分けた（同意の文と同じ 1 文は変えず、意味の説明を添えた）。(2) 2.2・2.5 の同意の記録と見張りへの同意の記録の「本製品を削除するまで」を「本製品のデータフォルダーを削除するまで」に改め、アプリ本体のアンインストールだけでは消えないことを書いた。(3) 2.6 の返信ファイルは、全文をデータベースに保存しないことと、元のファイルは残り自動では消さないことに書き分けた。(4) 6 章に、購入者の情報を Cloudflare にも保存していること（1.3 に書いている内容）を書いた。(5) 7 章に、周知だけで適用するのは法令上本人の同意を要しない変更に限り、本人の同意が要る新たな取扱いは同意を得てから始めることを書いた。取得する情報・利用目的・送信先・送信内容・保存期間は変えていない。条項は変えていない。内容の変更ではないため、周知のみ（再同意の対象外。再同意の基準は 0.8.0-draft のまま）。施行日（2026-11-11）は変えない。
• 1.0.0（2026-11-10）: 販売開始（2026-11-11）に合わせて正式版とした（版名の -draft を外した）。0.x の版に同意している場合は、再同意を求める（再同意の基準を 1.0.0 とした）。あわせて、外部の評価の指摘に合わせて次を改めた。(1) 前文の提供者の定義を、登記簿上の名称に運営部門を添える形にした。(2) 1.1 の購入・請求の記録の保存期間を、記録の種類ごとに法令が定める起算点から数えることに改め、販売サイトの顧客の記録を削除する時期と、自動で削除する処理が無い記録を書いた。(3) 3.1 の CISA KEV・EPSS の文を、同意の画面の文と同じく「部品やプロジェクトの情報は送りません（接続に伴い、IP アドレスなどが相手に伝わります）」に改めた。(4) 6 章の開示等の請求の対象を、1.3 の情報のうち本人を識別できる形で保有するものと第三者提供記録に広げ、登録のメールアドレスを使えない場合の本人確認と、代理人による請求を書いた。(5) 7 章の再同意の基準の説明を、正式版（1.0.0）より前の版にだけ同意している場合と改めた。(6) 1.2・1.3・5 章・6 章の、外国にある事業者（Stripe・Cloudflare）での取扱いを書き直した。契約の相手の名称、情報が移される国・地域、提供者が委託する取扱いと Stripe が自らの目的で行う取扱いの別、提供先が講じている措置を書き、外国にある事業者への提供の根拠を、購入・無料体験の申込みの際に得る本人の同意とした（1.4 を足した）。申込みの画面にプライバシーポリシーへの同意欄を置き、同意した版を記録することを 1.3 に書いた。取得する情報のうち増えるのは、この同意の記録（版）だけで、利用目的・送信先は変えていない。施行日（2026-11-11）は変えない。
• 1.0.1（2026-11-11）: 6 章の問い合わせ窓口のメールアドレスを support@masmarl.com に変更した（提供者の運営部門マスマールの共通の窓口）。提供者・代表者・所在地は変わらない。取得する情報・利用目的・送信先・送信内容は変えていない。軽微な変更のため、周知のみ（再同意は求めない。再同意の基準は 1.0.0 のまま）。施行日（2026-11-11）は変えない。
• 1.1.0（2026-11-12）: AI との接続（MCP）を足したことに合わせて改めた。1 章の「AI API との連携は行いません」を、本製品から AI のサービスへ通信しないことと、利用者が AI との接続を入にしたときは同じ Mac の中で AI が依頼を受け取り報告を集め箱に入れることに改めた。2.1・2.2 に、接続のためのファイル（mcp/cheloop.sock。入にしている間だけ・中身は残らない・切と終了で消す。異常終了で残ったときは次の起動で消す）、scan_runs の started_by（点検を誰が始めたか）、ai_bundles の種類 mcp、ai_report_inbox の出どころ mcp、app_meta の mcp_enabled（AI との接続の入・切）を足した。3 章の冒頭と 3.3 に、外部への通信は増えないことと、AI が始めた再点検でも前回の点検と同じ通信をすることを、3.4 に、AI との接続（利用者が入にしたときだけ・同じ Mac の中のやりとり・AI が受け取った依頼文の扱いは AI のサービスの側によること・確定するまで記録しないこと）を書いた。7 章の重要な変更の例に、利用者の情報が渡る経路や、ほかのプログラムが行える操作を増やす変更を足した。送信先・送信内容は変えず、提供者が取得する情報も増えないが、利用者の情報が AI に渡る経路と、AI が始められる操作（依頼の受け取り・報告・再点検）が増えるため、7 章の重要な変更として扱い、再同意を求める（再同意の基準を 1.1.0 とした。提供者の決定 2026-11-11）。施行日（2026-11-11）は変えない。この版の変更は、再同意をした時に、その利用者について効力が生じる（7 章）。3.2 の User-Agent を、製品の版 1.1.0 に合わせて Cheloop/1.1.0 (+https://cheloop.com) に改めた（送信先・送信内容は変えていない）。あわせて、7 章の変更の効力の、重要な変更の周知の期間を 30 日から 7 日にした（利用規約 第14条に合わせた。提供者の決定 2026-11-12）。提供開始の時点で有償の購入者・無料体験の申込者がいなかったため、利用規約 第14条4項の予告の期間を置かずに提供を始めた（2026-11-12 提供者の判断）。