InnerPulseは最初からプライバシーを念頭に設計されています。サーバーなし、アカウントなし、分析機能なし。この章ではそれが技術的に何を意味するかを説明します。
すべてはローカルに
エントリー、チェックイン、要因、設定はあなたのiPhoneまたはiPadの保護されたアプリコンテナ内のSwiftDataデータベースに保存されます。このコンテナはiOSによって他のアプリのアクセスから守られています。デバイス同期がオフである限り、InnerPulseによってこれらの何ものも端末を離れません。
エントリーに添付した写真とファイルもアプリコンテナに保存され、iOSで最も厳しいファイル保護クラスが適用されます。デバイスがロックされている間は読み取れません。InnerPulseは写真を位置情報とカメラ情報(EXIF)なしで保存します。ビデオは保存しません。PDFなどその他のファイルはそのまま取り込みます。添付がApple Health、Apple Watch、ウィジェットに渡ることはありません。
InnerPulseが読み取るApple HealthのデータはApple Health内に残ります。アプリはそれらを独自のストアにコピーしません。要因提案を生成するためにランタイムでのみ評価します。
アカウントなし、独自のクラウドなし
サインインしません。端末パスコード以外のパスワードを設定しません。InnerPulseのサーバーはありません。Apple WatchはiPhoneと直接同期します。iPhoneとiPadは、両方でデバイス同期をオンにするまで、それぞれ別の日記を持ちます。各インストールは空のデータベースで始まります。
デバイス同期
オプションの デバイス同期 を使うと、iPhoneとiPadを同じ状態に保てます。初期設定はオフです。デバイスごとに個別にオンにします: 設定 > プライバシーとデータ > デバイス同期 の このデバイスで同期 スイッチ。最初の同期の前に、アプリは デバイス同期をオンにしますか？ という確認を表示します。エントリー、質問票、要因が暗号化されてiCloudに送られること、それが健康データであること、いつでも撤回できることを説明します。オンにする を選んだときにだけ同期が始まります。
InnerPulseがデータを守る仕組み: 同期にはあなたのプライベートなiCloudデータベース(CloudKit)を使います。そのためのサーバーやアカウントも、私たちの側にはありません。アプリは各レコードをiCloudに送る前に、デバイス上でAES-GCMと256ビットの鍵で暗号化します。鍵はiCloudキーチェーンに保存されます。iCloudキーチェーンは、高度なデータ保護をオンにしていなくても、Appleがエンドツーエンドで暗号化しています(Appleの概要)。あなたが書いた内容は、私たちもAppleも読めません。Appleにわかるのは、暗号化されたデータパケットがいつ、いくつ保存されたかだけです。パケットのサイズは、アプリが段階的に埋めて揃えます。
同期される項目: 気分、メモ、気持ち、要因を含むエントリー、アンケート結果、要因とカテゴリー、表示設定(グラフのスタイル、行のレイアウト、エントリーの構成、パターンのしきい値)。各デバイスに残るもの: リマインダー、App ロック、Apple Health、天気、テーマ、言語。
写真とファイル: デバイス同期のページで 写真とファイルを同期 をオンにすると、添付も同期の対象になります。初期設定はオフです。オンにするとき、アプリはiCloudストレージで必要になる容量の目安を表示します。同期されるのは25 MBまでの写真とファイルで、プレビューも含まれます。それより大きいファイルはデバイスに残ります。アプリは各ファイルを同期キーから導出した個別の鍵で暗号化し、128 KB単位で埋めて揃えます。Wi-Fi 接続時のみアップロード は初期設定でオンです。ほかのデバイスへのダウンロードはWi-Fiに限定できません。添付を取り除くと、すべてのデバイスから消え、iCloudの容量も解放されます。スイッチをオフにしても、iCloud上も含めて何も削除されません。
統合: 書き出しと読み込みの後などに生じた同一のエントリーは、同期で1つにまとめられます。内容が別のエントリーに完全に含まれるエントリーも同様です。少しでも違いがあれば、両方のエントリーが残ります。同じ名前の要因は同じ要因として扱われ、表記が違えば2つの要因になります。2台のデバイスが同じメモを変更した場合、エントリーには両方の版が残ります。別々の項目を変更した場合は、両方の変更が残ります。
Apple Health: Apple Healthにエントリーを書き込んだデバイスだけが、対応するサンプルを更新または削除します。
2台目のデバイス: 鍵はiCloudキーチェーン経由で届きます。数分かかることがあり、iCloud設定で パスワードとキーチェーン がオンになっている必要があります。新しいデバイスでApp ロックがオフの場合、そのデバイスにすべてのエントリーが表示されるため、InnerPulseはApp ロックをオンにするよう提案します。
削除: エントリーや質問票を削除すると、iCloudには内容のない暗号化された削除記録だけが残ります。メモも値も要因の名前も含みません。この記録により、ほかのデバイスも削除を反映します。
大量削除からの保護: 一度に多くのエントリーを削除すると(10件以上、かつ全エントリーの4分の1以上)、同期は一時停止し、削除しない か すべてのデバイスで削除 かを尋ねます。
オフにする・削除する: 同期をオフにしても、データはデバイスに、コピーはiCloudに残ります。iCloud のコピーを削除 はコピーを削除し、すべてのデバイスはエントリーを保持したまま同期をオフにします。デバイスを紛失した場合は、まず 設定 › Apple アカウント › デバイス でそのデバイスを削除し、次にiCloudのコピーを削除してから同期をオンにし直してください。
別のiCloudアカウント: 別のアカウントでサインインすると、同期は一時停止します。確認なしに新しいアカウントへ送られるものはありません。
Apple WatchはこれまでどおりiPhoneとだけ同期します。問題があるときの対処はよくある質問に記載されています。
アプリが使う権限
InnerPulseは必要なもののみを、対応する機能を有効化した場合にのみ尋ねます。
- 通知: 日記とアンケートのリマインダー用。リマインダーをオンにするとすぐに尋ねられます。
- Face ID、Touch ID、端末パスコード: アプリロック用。ロックを有効化するとすぐに尋ねられます。
- Apple Health: 要因提案とオプションのライトバック用。データタイプごとに尋ねられます。
- 位置情報(アプリ使用中のみ): 天気要因用。天気を有効化するとすぐに尋ねられます。
- カメラ: エントリーの 写真とファイル で写真を撮影するときだけ使います。初回にiOSが尋ねます。
- 写真: ライブラリからの選択は、Appleの写真ピッカーを通じて行います。InnerPulseが受け取るのは選択した写真だけで、ライブラリ全体へのアクセスは必要ありません。アプリがライブラリに何かを書き込むことはありません。
- マイクと音声認識: メモの音声入力用。最初にマイクボタンをタップしたときに尋ねられます。デバイスがあなたの言語をローカルでサポートしている場合、認識はApple Speechを介してデバイス上で実行されます。それ以外の場合、iOSが認識をAppleのサーバーに転送することがあります。
各権限は、iOSの設定、Apps、InnerPulseでいつでも撤回または再付与できます。
トラッキングなし
InnerPulseには分析機能なし、トラッキングピクセルなし、Firebaseなし、Sentryなし、そして行動テレメトリーのための他のサードパーティSDKもありません。アプリはランタイム時にInnerPulseのサーバーへの単一のネットワーク呼び出しも実行しません。そんなものはありません。アプリがそもそも到達する唯一の外部エンドポイントはApple独自のサービスです。
- 天気要因を有効化している場合のWeatherKit。
- アプリ評価ボタンを押した場合のアプリ内レビューダイアログ用のApp Store Connect。
- デバイスが音声入力の言語をローカルで認識できず、iOSが認識をAppleに転送する場合のApple Speech。
- デバイス同期をオンにしている場合のiCloud(CloudKit)。そこにあるのは暗号化されたレコードだけです。
iCloudバックアップ
iCloudバックアップを有効化している場合、InnerPulseは他のアプリと同様に、エントリーに添付した写真やファイルも含めて一般的にバックアップされます。データはiCloud内の暗号化されたコピーに保存されます。あなたのiCloudがAdvanced Data Protectionで保護されていない限り、Appleはこのコピーを特定の法的状況下で開示できます。
これを避けたい場合、iOS設定、Appleアカウント、iCloud、ストレージを管理、バックアップ、[端末名]、Appsで、InnerPulseがリストに表示されているか確認して無効化できます。ただし、iOSはこのリストに、インストールされているすべてのアプリではなく、通常はデータ量の多いアプリのみを表示します。InnerPulseが現在数メガバイトしか使用していない場合、アプリリストにまったく表示されず、個別に選択解除することなく全体のバックアップに自動的に含まれている可能性があります。
バックアップパスを完全に制御したい場合の最も安全な方法は、CSVとして定期的に手動でデータエクスポートを行い、端末のiCloudバックアップを完全に無効化することです。または、次のバックアップが始まる前にプライバシーセンターでアプリを完全に空にできます。
アプリロック
設定でアプリロックを有効化します。タイムアウトに応じて、アプリが次回開いたときにFace ID、Touch ID、端末パスコードを求めます。認証されるまで、InnerPulseは空のロック画面を表示し、アプリの内容は何も見えません。これは、たとえばパートナー、家族、検査時など、誰かがあなたのロック解除された端末を手にした場合の第2の保護です。ロックが有効な間、今日の記録 ウィジェットはメモも要因も表示せず、気分と時刻だけを表示します。
セキュリティの要件に合わせてタイムアウトを選びます。
- なし: ロックなし。インストール後の標準。
- 即時: すべてのアプリ切り替えでロック。安全ですが不便。
- 1分、5分、15分: バックグラウンド時間後のロック。良い妥協点。
プライバシーセンター
設定でプライバシーとデータをタップしてプライバシーセンターを開きます。次が表示されます。
- 日記エントリー、アンケート結果、カスタム要因のカウンター。
- エクスポート、インポート、削除機能へのクイックアクセス。
- デバイス同期 の行と、その状態(オンまたはオフ)。
- データの保存場所を説明するフッターテキスト。同期なしではデバイス上のみ、同期ありではiCloudストレージ内のエンドツーエンド暗号化されたコピーにも保存されます。
気分スコアを隠す
プライバシーセンターのプライバシーの下に気分スコアを隠すスイッチがあります。これはロック画面アクセサリに関係します。有効にすると、ロック画面アクセサリは気分値の代わりに中立的なシンボルのみを表示します。ロック画面が他の人にも見え、気分スコアを公然と表示したくない場合に便利です。ウィジェット自体についての詳細は、ウィジェットとロック画面章に記載されています。
すべてのデータを削除
プライバシーセンターには赤いボタンすべてのデータを削除があります。確認を2回求めます。クリック時に次が削除されます。
- すべての日記エントリー、
- エントリーに添付したすべての写真とファイル(待機期間なしで即時に削除)、
- すべてのアンケート結果、
- すべてのカスタム要因とカスタムカテゴリー、
- すべてのスマートサジェストデータ(曜日パターン、共起スコア)。
デバイス同期がオンの場合、アプリはどこで削除するかも尋ねます。このデバイスのみ はこのデバイスで同期をオフにし、すべてのデバイスで はほかのデバイスのエントリーも削除します。
削除されないもの:
- InnerPulse自身が書き込んだApple Healthサンプル。Apple Healthへのライトバックを使用していた場合、これらのサンプルはApple Healthに残ります。必要に応じてHealthアプリで削除してください。
- iCloudバックアップ、有効な場合。Appleはそれらを別途管理します。新しいバックアップで上書きされるか、バックアップイメージを手動で削除するまで、以前のバックアップにデータが残っている可能性があります。
- このデバイスのみ を選んだ場合の、デバイス同期のiCloudコピー。デバイス同期 の iCloud のコピーを削除 で削除できます。
アンインストールによるデータ削除
ホーム画面からアプリを削除すると、iOSはデータベースを含むアプリコンテナ全体を削除します。これは最終的な方法ですが、アプリの確認ダイアログなしで行われます。Apple HealthサンプルとiCloudバックアップは上記のとおり残ります。
CSVエクスポートは暗号化されていません
エクスポートからのCSVファイルはプレーンテキストです。メディアを含むZIPファイルも同様です。医療文書のように扱ってください。メールやクラウドで共有する場合、受信者に注意して、可能ならエンドツーエンド暗号化されたチャネルを使ってください。PDFエクスポートも暗号化されていません。安全な共有のための詳細はデータエクスポート章に記載されています。
知っておくと役立つこと
- InnerPulseは開発者、第三者、広告ネットワークにデータを送信しません。
- アプリには広告がありません。バナーもインタースティシャルもありません。有料アプリであり、データで賄われているのではありません。
- アプリロックはオプションですが、端末を他の人も使用する場合は推奨されます。
- 本当に匿名のままでいたく、既存設定のiCloudバックアップを使いたくない場合は、定期的に手動でエクスポートしてください。詳細はデータエクスポートに記載されています。