プライバシーポリシー

1段落でのまとめ

MailTwin はお使いの Mac 上で動作します。クラウド AI プロバイダーにメールの処理を指示すると、必要なメッセージまたは下書きと選択された文体例は Mac からそのプロバイダーへ直接送られ、MailTwin の AI サーバーを経由しません。API キーは macOS キーチェーンに保存され、選択したプロバイダーにだけ提示されます。Apple Intelligence と Ollama はローカルで実行できます。更新、設定、ライセンス、任意のテレメトリに関する別個の通信を以下に示します。

受信トレイ整理はローカルで完結します。Mac 上で最大150件の送信者、件名、日付、メールボックス、既読・フラグ状態を確認します。本文と添付ファイルは開かれず、整理データが AI プロバイダーや新たな MailTwin ネットワークサービスへ送られることもありません。

サービス通信と処理者

利用者が明示的に開始する AI リクエスト以外に、MailTwin が行うサービス通信は次のとおりです。

• 更新 — Sparkle は署名済みの appcast.xml と、更新をインストールする際には署名済み DMG を updates.mailtwin.ai から取得します。通常の接続メタデータは Cloudflare に届きますが、テレメトリ用インストール UUID は送信されません。
• リモート設定 — 公開 config.json を約4時間ごとに updates.mailtwin.ai から取得します。User-Agent にはアプリのビルド番号が含まれますが、インストール UUID は含まれません。
• ライセンス — 有効化時にはライセンスキーと MailTwin Mac · <安定した8文字のハッシュ> という端末ラベルを、後続の確認時にはライセンスキーと LemonSqueezy インスタンス ID を LemonSqueezy へ直接送信します。通常の接続メタデータも LemonSqueezy で処理され、同社のプライバシーポリシーが適用されます。
• テレメトリ — 利用者がオプトインした場合に限り、以下の仮名化されたイベントが telemetry.mailtwin.ai へ送信されます。クラッシュファイルはアップロードされません。
• プロバイダー接続のウォームアップ(ビルド 75) — クラウド AI プロバイダーを選択した状態でアシスタントパネルを開くと、最初の明示的なアクションがより速くストリーミングされるよう、MailTwin がそのプロバイダーの API ホストへ空の未認証接続を開くことがあります。ウォームアップにはメール本文、プロンプト、インストール UUID、API キーのいずれも含まれません。明示的にアクションを実行するまで、メールに関する情報は何も送信されません。Apple Intelligence と Ollama にこの方法で接続することはありません。

あなたの Mac にとどまるデータ

• AI プロバイダーの API キー — macOS キーチェーンの ai.mailtwin.keys に保存されます。キーは、利用者が開始した直接リクエストを認証するために該当プロバイダーへだけ送信され、MailTwin や Smilodon AS には送信されません。
• ライセンスキーと LemonSqueezy のインスタンス ID — 同じサービスのキーチェーン内。LemonSqueezy へのアクティベーション照合に使用します。
• インデックス済みスタイルプロファイル — 送信済みメールボックスのサンプルメール。本文を LZFSE で圧縮し、~/Library/Application Support/MailTwin/ に保存します。
• リクエストログ — 直近200件の AI リクエストのプレビュー（個人情報を伏せた状態）。「設定 → プライバシー」から確認できます。
• コストトラッカー — ソフトキャップ機能のための、日ごとのトークン総量。
• ID 情報（オンボーディング時に取得した名前とメールアドレス） — UserDefaults に保存。挨拶文のテンプレートに使用します。テレメトリーで送信されることはありません。
• ワークスペースと文体のデータ — ローカルのアクティビティ記録、返信を把握する返信待ちの識別情報、受信箱整理で学習した送信者選択、Voice Studio 設定、マイアクションのテンプレート、Relationship Memory の出典メタデータは ~/Library/Application Support/MailTwin/ に保存されます。記録には識別用の送信者、件名、アカウントが含まれる場合がありますが、本文、プロンプト、AI 出力は含まれません。ローカルの文体インデックス用に送信済み本文を読むのは、「インデックス」または「再インデックス」を明示的に選んだ後だけです。自動で読むことはありません — 起動時も、タイマーでも、バックグラウンドでも。オンボーディングの案内とボイススタジオは、ボタンを押したときにだけ開始します。新規インストールの初期値はアカウントあたり 200 通（最大 2,000 通）で、Mail のメールを 5 通ずつ読みます。「停止」は後続バッチを止めますが、実行中の Apple Event は中断できません。これらはテレメトリではありません。
• 案内付き Groq セットアップ中のクリップボード監視(ビルド 80) — 無料のアクセスコードを受け取る案内付きセットアップ画面が表示されている間だけ、MailTwin は一般のペーストボードに新しいテキストがないかを確認し、gsk_ で始まるコードという 1 つのパターンとだけ照合します。一致しないテキストは直ちに破棄され、保存も、記録も、診断レポートへの追加も、送信もされません。監視はその画面が閉じた瞬間に止まり、クリップボードに関する情報が Mac の外に出ることはありません。
• 短縮時間カウンター(ビルド 81) — MailTwin は短縮した作成時間の累計見積もりを、Mac 内の timesaved.json に保存します。このファイルに含まれるのは合計、返信件数、および同じ返信を二重に数えないためだけに使う短い一方向ハッシュのみです。件名・差出人・宛先・アカウント・メッセージ ID・メッセージの一部はいっさい含まれず、当社を含めどこにも送信されません。MailTwin をリセットすると削除されます。
• 完全な削除と、より慎み深い診断レポート(ビルド 86) — 「すべて消去」は、MailTwin が Mail 機能拡張と共有するコンテナも消去するようになりました。そこには表示名・主要アドレス・署名・よく連絡する相手のアドレスが保存されており、以前はリセット後も残っていました。サポート用にコピーできる診断レポートは、Mail のウインドウタイトルを列挙しなくなりました。Mail のウインドウタイトルは件名そのものだからです。

選択した AI プロバイダーへ送信されるデータ

AI アクション（返信、要約、下書き改善など）を実行すると、プロバイダーへ次の情報を送信します：

• 操作対象のメール本文（または下書き）。
• そのメール1件の件名と送信者・宛先のアドレス — モデルが役立つ返信を書くために必要な情報です。
• 動作内容を説明する短いプロンプト。
• あなたの過去の送信メッセージから最大5件をもとに構築されたスタイルコンテキスト断片（可能な場合は、同一の宛先・トピック・アカウントに絞り込み）。
• 明示的に選んだワークスペースのコンテキスト — Relationship Memory で「選択項目を使う」をクリックすると、選んだ出典付き抜粋が最大 3 件、見える形でリクエストに追加されます。文体アクションに関連する Voice Studio 設定も含まれます。どちらも勝手には送信されません。
• Mail の中でのキーワード展開(ビルド 77) — Mail 自身の返信ウインドウで「キーワードを展開」を押すと、パネルからの操作とまったく同じものが送信されます。引用の上に打ち込んだキーワード、元メッセージの件名と送信者/宛先アドレス、そして操作を説明する短いプロンプトです。新しい種類のデータが Mac から出ることはなく、ボタンを押すまで何も送信されず、すべての検証を通らないかぎり下書きには何も書き戻されません。

その通信にはプロバイダーのプライバシーポリシーが適用されます。リクエストの認証は、お客様がそのプロバイダーで取得した API キーで行われ、プロバイダー側からは、お客様のアカウントからの通常のリクエストと同じように見えます。

MailTwin がプロバイダーに送らないもの：上記のメッセージ・下書き・スタイルサンプル以外のあらゆるメール、別アカウントの内容、キーチェーン、ライセンスキー、オンボーディング時に入力した名前とメールアドレス。

自動更新（updates.mailtwin.ai）

MailTwin は Sparkle 2 を使用し、約24時間ごとにアップデートをチェックします。チェック時に https://updates.mailtwin.ai/appcast.xml から XML appcast を取得します。リクエストには MailTwin/<build> 形式の User-Agent が含まれます。ファイルを配信している Cloudflare は、標準的な CDN ログとしてリクエストの IP と User-Agent を記録します。当社は、アップデートの取得を他の識別情報と紐付けることはありません。

アップデートは、Smilodon AS が保管する EdDSA 秘密鍵で署名されています。Sparkle はインストール前に、MailTwin に組み込まれた公開鍵を使って署名を検証します。仮にアップデート配信ホストが侵害されたとしても、攻撃者が悪意のあるアップデートをお客様に届けることはできません。

リモート設定（updates.mailtwin.ai）

MailTwin は約4時間ごとに、https://updates.mailtwin.ai/config.json から小さな JSON ドキュメントを取得します。これは、サードパーティ API が破壊的変更を導入した際に、特定のプロバイダー／モデルの組み合わせをキルスイッチで無効化するためのものです。リクエストには上記 appcast と同じ User-Agent が含まれ、それ以外のクライアント情報は含まれません。

オプトイン式テレメトリー（telemetry.mailtwin.ai）

オプトインのみ — 初期状態では無効です。 設定 → プライバシーで有効にすると、MailTwin は仮名化された製品利用イベントを https://telemetry.mailtwin.ai/events へ送信します。記録にはイベント名、厳密に限定されたプロパティ（操作、プロバイダー、所要時間、エラー分類など）、ランダムでローテーションされるインストール UUID、MailTwin のビルド、macOS バージョン、ISO タイムスタンプが含まれます。UUID はローテーションまで一つのインストールを識別できるため匿名ではなく仮名情報であり、氏名、メール、ライセンス、購入とは関連付けられません。

Cloudflare はリクエストの配信とレート制限のためエッジで送信元 IP を処理し、2文字の国コードを導出します。MailTwin Worker は国コードを保存しますが、IP や User-Agent を D1 に書き込みません。MailTwin と Smilodon AS は送信元 IP を保存しません。

テレメトリにメール本文、アドレス、件名、プロンプト、AI の回答、氏名、メールアドレスが含まれることはありません。許可されたイベントとプロパティのスキーマ以外は拒否されます。ローカル監査は 設定 → プライバシー →「送信内容を表示」で確認できます。

受理された記録は Cloudflare D1 に最長90日間保存されます。サーバー側の受信時刻を基準に、日次のスケジュール済み削除が古い行を削除します。機能利用、信頼性、アプリと macOS の互換性の把握にのみ利用し、販売や貸与は行いません。

無効にすると未送信のローカルキューと監査履歴を消去し、現在の UUID をローテーションして今後の送信を停止します。すでに受信済みの記録は直ちには消えません。現在の UUID を添えて削除を依頼するか、90日以内の自動削除を待つことができます。

クラッシュレポート

MailTwin はクラッシュダンプを ~/Library/Logs/MailTwin/ にローカル保存します。このリリースにはクラッシュをアップロードする仕組みがなく、MailTwin がそれらのファイルを送信することはありません。診断レポートに載るのはファイル名とサイズのみで、内容は含まれません。ローカルファイルはいつでも確認または削除できます。

支払いとライセンス（LemonSqueezy）

購入は、販売者（merchant of record）として LemonSqueezy が処理します。ライセンスをご購入いただくと、LemonSqueezy が決済処理と税務対応に必要なデータ（お名前、メールアドレス、国、決済情報）を収集します。同社のプライバシーポリシーが適用されます。

ライセンスのアクティベーションは、お客様の Mac から https://api.lemonsqueezy.com/v1/licenses/* を呼び出し、ライセンスキーとハッシュ化されたマシンフィンガープリント（IOPlatformUUID とバンドル ID から導出）を送信します。フィンガープリントはシート数の制限を適用するために使用します。

当社が決して収集しないもの

• あらゆるメールの内容（お客様が選択した AI プロバイダーへのリクエストに含まれるものを除く）。
• メールアドレス（お客様自身のものも、他の方のものも）。
• 件名。
• 入力された自由形式のプロンプト。
• AI プロバイダーからの応答。
• MailTwin と Smilodon AS は送信元 IP を保存しません。Cloudflare はウェブサイト、更新／設定の配信、テレメトリ、レート制限のためエッジで IP を通過処理し、オプトインのテレメトリでは国コードを導出しますが、MailTwin Worker は IP を D1 に書き込みません。AI プロバイダーと LemonSqueezy は各社のポリシーに基づき接続データを処理します。

あなたの権利（GDPR、CCPA）

ローカル設定の書き出し（設定 → プライバシー → 設定を書き出す）と、MailTwin のローカルデータの削除（設定 → プライバシー → すべて消去）ができます。Smilodon AS または LemonSqueezy が保有する購入・ライセンスデータについては [email protected] へご連絡ください。適用法令の期限内に回答します。

テレメトリは仮名化され、氏名や購入時のメールとは関連付けられていないため、メールアドレスだけでは該当行を特定できません。90日の自動期限より前に削除を依頼するには、現在のインストール UUID を添えてください。Mac で defaults read ai.mailtwin.app telemetryInstallId を実行して確認でき、サポートもお手伝いします。

テレメトリを無効にすると UUID はローテーションされます。古い UUID で受信された行は、その後利用者やメールアドレスに結び付けたり復元したりできません。90日後の自動削除が最終的な削除手段です。

お子様について

MailTwin は13歳未満のお子様を対象としていません。13歳未満の方からのデータを意図的に処理することはありません。

本ポリシーの変更

重要な変更があった場合は、本ページに掲載するとともに、アプリのリリースノートでお知らせします。冒頭の「最終更新日」は、直近の変更日時を反映しています。

お問い合わせ

Smilodon AS
ノルウェー
プライバシーに関するお問い合わせは [email protected]、製品に関するお問い合わせも [email protected] まで。