プライバシーポリシー

先に結論

アプリが外へ出る経路は 2 本しかありません

★「通信を一切しません」とは書きません。嘘になるからです。 2 本あります。どちらも「何かを送る」ためではなく「取りに行く」ためのものですが、 取りに行けば相手のサーバには接続の記録が残ります。そこまで含めて下に書きます。

数え方: grep -rnoE "fetch\(|XMLHttpRequest|https?\.(get|request)\(|sendBeacon" js electron が拾う 25 か所を 1 つずつ開いて、行き先を確かめました。内訳は この PC の中向けが 15、説明のためのコメントが 5、 プラグインに禁じている語の一覧が 2、ワーカーが消すグローバル名の一覧が 1、 そして本当に外へ出るのが 2です。詳しくは次の節と、いちばん下の「確かめ方」。
★この数はアプリ（js と electron）のものです。 この公開サイトのお問い合わせフォームは別で、そちらはあなたが押したときに POST します。 何が保存されるかは第 7 節に書きます。

1 本ずつ、どこへ何を送るか

出る 2 本の中身

• 1. 更新の確認と、新しい版の取得

  接続先は https://tsugime.libertysync.com/update.json です （electron/updater.cjs の設定に直接書いてあります）。
  送るもの: HTTP の GET 要求 1 本だけ。本文はありません。問い合わせの文字列（?…）も付きません。 付ける見出しは user-agent: TSUGIME、accept-encoding: identity、 cache-control: no-cache の 3 つで、これ以外に何も足していません。 利用者を見分ける番号も、PC の名前も、いま開いている企画の名前も入りません。
  版の比較はこの PC の中でやります。「今お使いの版は何か」をサーバへ伝えてから 答えをもらう作りではありません。目録を丸ごと受け取って、手元で比べます。
  新しい版があれば exe を落としますが、その取得先は目録と同じホストでなければ受け付けません （_verifyFileEntry。目録だけ書き換えられて別のサーバへ誘導されるのを防ぐため）。 落としたあとは大きさと SHA-256 を照合し、実行する直前にもう一度照合します。
  ★既定では、起動のたびに自動で確認します（checkOnStart: true）。 ★これを止める項目は、いまの設定画面にありません。止め方は下の箱に書きます。
  ★ポータブル版も確認だけはします（自分自身を入れ替えられないので、 新しい版があっても手で落としていただく形になります）。 「入れ替えられないから通信もしない」ではないので、書いておきます。
  ★ブラウザ版にはこの経路がありません（自動更新の仕組みごとデスクトップ版だけのものです）。

• 2. 音声認識モデル（ggml-*.bin）の取得

  接続先は https://huggingface.co/ggerganov/whisper.cpp/resolve/main/ です （electron/whisper.cjs）。
  送るもの: こちらも GET 1 本だけ。見出しは user-agent: TSUGIME と accept-encoding: identity の 2 つです。音声も、文字起こしも、素材も送りません。 そもそも送る向きの呼び出し（POST / PUT / PATCH）が、アプリ全体で 0 件です。
  いつ出るか: 利用者が押したときだけです。画面を開いただけでは通信しません。 押す前に接続先（huggingface.co）と大きさ（tiny 74MB 〜 medium 1.43GB）を必ず表示して、 確認を取ってから出ます。「手元にある ggml-*.bin を選ぶ」を選べば、この経路は 1 度も使いません。
  ★転送（リダイレクト）で別のホストへ回されることは許しています。 配布元が CDN へ回す作りだからです。ただし https から http へ落とす転送には従いません （whisper.cjs。u.protocol !== 'https:' なら断ります）。 中身のすり替えは SHA-256 の照合で止めます。
  ★ブラウザ版に音声認識はないので、この経路もありません。

具体的に何を送っていないか

この 2 本には、送る本文がありません

「個人情報は送りません」のような曖昧な言い方ではなく、名前を挙げて書きます。 どちらの経路も GET で、本文（body）が無く、URL も固定です。あなたの中身を乗せる場所がありません。
★「1 バイトも出ていない」とは書きません。user-agent: TSUGIME という名乗りは出ていますし、 接続そのものは相手のログに残ります（前節）。出ていないのはあなたの中身です。

ブラウザ版で fetch( を呼んでいる 14 か所は、全部この PC の中向けです （素材の blob: URL、同梱物の app://local/ 、手元の node server.js のパス）。 外部のホスト名は 1 つも出てきません。外部ライブラリも CDN も外部フォントも使っていません。

この PC の中に、何が残るか

保存されるものと、その置き場所

送らない代わりに、残るものは全部この PC の中に残ります。どこに何があるか書いておきます。 消したくなったとき、自分で消せる方がよいからです。

デスクトップ版 — 保存先フォルダ（ふつうは %APPDATA%\TSUGIME\）

ログの上限はコードに実測が書いてあります: 1 行あたり平均 845 バイト、1,241 行で 1,048,645 バイト＝1MB を超えて errors.log.1 へ回り、回転後は 204 バイトから再開しました（electron/main.cjs）。

ブラウザの保管庫（デスクトップ版・ブラウザ版とも）

★デスクトップ版では、これは「別の場所」ではありません。 上の表と同じ保存先フォルダの中に、Chromium が作る下位フォルダとして置かれます。 上のフォルダを消せば、これも一緒に消えます。

見落としやすいので、独立して書きます

共有リンクに入るもの・入らないもの

TSUGIME は編集内容を URL の フラグメント（# より後ろ）に封じ込めて渡せます。 フラグメントはブラウザがサーバへ送らない部分なので、どこにもアップロードされません。 アカウントもサーバも要りません。ただし、リンクを人に渡せば中身も一緒に渡ります。

アプリではなく、この公開サイトの話

このサイトで集まるもの

• アクセス解析は入れていません

  このサイトが外から読み込む JavaScript は /assets/tsugime.js の 1 本（2,766 バイト）だけです。中身はメニューの開閉と、 スクロールで本文が出てくる動きだけで、 localStorage も document.cookie も fetch も sendBeacon も1 つも含んでいません（検索して 0 件）。 ほかに各ページの <head> に 1 行だけ短い script がありますが、 やっているのは「JS が動いている」という印を付けることだけです。 Google Analytics のたぐいも、広告のタグも、SNS のボタンも入れていません。 書体も自前で置いています（外部のフォント配信元へは接続しません）。

  配信側の Content-Security-Policy は default-src 'self' を土台に、 connect-src 'self'（fetch・XHR・WebSocket）、img-src 'self' data:、 font-src 'self'、form-action 'self'、object-src 'none'、 frame-src 'none' を並べています（ops/nginx-tsugime.conf の 4 か所すべて）。 外部のホストへ繋ぐ・読み込む・送るのどれも塞いであります。
  ★止めるのはブラウザです。CSP は「サーバがお願いし、ブラウザが守る」仕組みなので、 CSP を見ないブラウザでは効きません。前の版は connect-src 1 つを根拠に 「ブラウザが止めます」と言い切っていましたが、connect-src が見ているのは 繋ぎに行く通信だけです。読み込みと送信は別の指定が担っています。書き直しました。

• Cookie を発行しません

  そのため「Cookie に同意してください」という帯も出しません。 出す必要が無いからです。同意を取る仕組みを作るより、使わない方が早いと判断しました。

• web サーバのアクセスログについて（★ここは推測が混じります）

  ふつう nginx はページを開くたびに 接続元の IP アドレス・日時・開いたページ・応答の状態・リンク元・ブラウザの名乗りを記録します。 広告にも解析にも使いませんし、他の情報と突き合わせて誰かを特定することもしません。
  ★根拠を正直に書きます。この製品の nginx 設定（ops/nginx-tsugime.conf）には access_log の行が 1 つもありません（実測 0 件）。 つまり上の段落は「nginx は既定でアクセスログを取る」という一般論に基づく推測であって、 実機で本当に取れているか、どこへ書かれているかはこの製品のファイルからは確かめられません。 ★実機を見て確かめ、ここを書き直すのは持ち主の仕事です。
  ★保存期間も未定です。設定に保存期間の指定が無く、「何日で消える」と言い切れる状態にありません。 決まっていないことを「90 日」などと書くわけにはいかないので、空けてあります。 ★持ち主が決め次第、ここに日数を書きます。

• 配布物のダウンロードも、同じログに残ります

  exe を落とすと、どのファイルをいつ落としたかがアクセスログに残ります（上と同じ推測の上に立っています）。 誰が落としたかを知る手段はありません — アカウントも、メールの登録も、 ダウンロード前の入力欄も無いためです。 （このため「落とした人にお知らせを送る」ということも、私たちにはできません。）

フォームは、もうあります

お問い合わせでいただいた内容の扱い

お問い合わせの頁にフォームがあります。受け口も自前です （ops/contact-receiver.mjs）。外部のフォーム作成サービスは使っていません。 「素材が外に出ない」を看板にしながら問い合わせ欄だけ他社に流すのは筋が通らないので、そう決めました。 ★前の版のこの頁は「フォームはこれから作ります」「いま使えるのはメールだけ」と書いていました。事実と違っていたので直しました。

フォームから保存されるもの（全部で 9 つ）

欄の一覧は ops/contact-receiver.mjs の FIELDS = ['kind','name','org','email','message','env'] です。 ★ここに無い名前で送られてきたものは捨てます（知らないものを保存しない作りです）。 住所・電話番号・生年月日は求めません。欄がないので、入れようがありません。

いま無いものは「無い」と書きます

1.0.0 で増えること

有料になるのは 1.0.0 からです。そのときアカウントと決済が入るので、 この頁は必ず書き直します。いま先回りして「取得します」と書くと、 今この瞬間の事実と食い違うので書きません。

★1.0.0 でも素材・プロジェクト・文字起こしを外へ送る予定はありません。 サインインの仕組みも、アプリに待ち受けを作らずに済む形（コードを表示してブラウザで許可する方式）を選んでいます。 「外へ出る経路が 2 本しかない」という看板と矛盾させないためです。

誰が責任を負うか

事業者の情報

★特定商取引法に基づく表記は、まだ公開していません。 必要な 6 項目のうち 5 つ（所在地・代表者名・支払方法・支払時期・引渡し時期）が未定だからです。 空欄のまま出すと違反になるので、揃うまで頁ごと出さないことにしています （リンクも出していません）。

信じてくださいとは言いません

この頁の主張を、ご自身で数え直せます

ソースを手元に取れば、同じ数え方ができます。 数が合わなかったら、それは私たちの落ち度です。お知らせください。

# 通信らしきものを全部拾う（25 か所出ます）
grep -rnoE "fetch\(|XMLHttpRequest|https?\.(get|request)\(|sendBeacon" js electron

# 外部のホスト名を数える（9 種類出ます）
grep -rhoE "https://[A-Za-z0-9._-]+" js electron | sort | uniq -c

# アプリから送る向きの呼び出しがあるか（0 件です）
grep -rnE "method:\s*'(POST|PUT|PATCH)'" js electron

# アクセス解析のたぐいがあるか
# （2 件出ます。1 件は plugin-api.js の説明コメント、
#   もう 1 件は同じファイルの「プラグインに禁じている語の一覧」。仕掛けは 0 件）
grep -rniE "analytics|telemetry|gtag|sentry|sendBeacon" js electron

# 本当に外へ出る 2 本だけを見る
grep -rnE "https\.get\(" js electron

# 問い合わせで保存する欄（第 7 節の 6 欄。残る 3 つは受け口が自動で足します）
grep -n "FIELDS = " ops/contact-receiver.mjs

# この製品の nginx 設定にアクセスログの指定があるか（0 件です。第 6 節）
grep -c "access_log" ops/nginx-tsugime.conf

★前の版はこの表で 「コメント 2／禁止語の一覧 6」と書いていました。 総数 25・外へ出る 2・POST 0・ホスト 9 種類はどれも合っていましたが、 名札の付け方が間違っていました。数え直して直しました。 自分で数え直せると言っている表なので、ここがずれると全部が安くなります。

2 つめの grep で出てくるホスト名は 9 種類です。全部の内訳: huggingface.co（モデルの取得・実際に接続／6 回）、 tsugime.libertysync.com（更新・実際に接続／4 回）、 aka.ms（Microsoft へのリンク。既定のブラウザが開きます／2 回）、 tech.ebu.ch（放送規格 EBU R103 の原典を示すコメント。取りに行きません／1 回）、 そして a.test / A.test / b.test / example.com / dist.example.com の 5 つは 自己診断の中の作り物です（規格で「試験にだけ使う」と決められている名前で、実在しません）。

---

この頁を変えるとき

内容を変えたときは、いつ何を変えたかを書き残します。 黙って書き換えて「最初からそう書いてありました」という顔をするのは、 できないことの頁を自分から持っている製品のやることではありません。

この頁の数字は、2026 年 9 月 11 日にこの製品のコードを検索して数えたものです。 ★伏せ字の実測（第 4 節）は、コードと同じ処理に同じ文字列を通して出た結果です。