プライバシーを、わかりやすく。

Reachは、iPhone・iPad用のReach Viewer（App Storeでは「Reach Remote」）とMac用のReach Hostで構成されるリモートデスクトップツールです。提供元はKMWORKS, INC.（以下「当社」）です。本ポリシーは、アプリと任意のバックエンドによるデータの取り扱いを説明します。

サインインしていない状態では、次の2つの接続方法を利用できます。どちらも画面・音声・入力・接続候補をReachのインフラ経由で送信しません。

• 近く / LAN — Reach Viewer は、同じネットワーク上の Bonjour/mDNS 上の Mac を検出し、直接暗号化された QUIC 接続を開きます。 デフォルトでは、最初の接続は Mac に示されたペアリングコードを確認します。 セッションデータがネットワークから退出しません。
• 手動直接IP — Hostのアドレスとポート番号を自分で入力すると、アプリが直接接続します。既定ではUDP 8443を使用し、通常はルーターでポート転送の設定が必要です。シグナリングサービスもリレーも使いません。

これらの接続経路とは別に、MacでHostのペアリングとリモートアクセスが有効な場合、Reach HostはHostの接続メタデータを含む小さなレコードをAppleのCloudKitへ公開し、ご自身のデバイス同士が認識できるようにします。Reach Viewerも対応する信頼レコードを公開する場合があります。両方のレコードについては次の節で説明します。

Reach Hostは、ReachのiCloudコンテナにある公開CloudKitデータベースへCKRecordを書き込みます。アプリはペアリングコードを識別子としてこのレコードを検索します。ただし、コードを使って探すことは非公開の保存を意味せず、コードを知る人だけが読めることも保証しません。保存先はあなた専用の非公開コンテナではなく、公開データベースです。Appleが保存を運営していても、当社はこの情報をデバイス外へ送られるデータとして扱います。

記録には以下が含まれています：

• お客様のホスト名 — ネットワーク上で macOS が使用するデバイス名
• Host の公開 ID 鍵と TLS 証明書のフィンガープリント
• 設定済みの場合は、ホストの外部IPアドレスとポート
• 直接接続候補 — QUIC の設定に使用される LAN および WAN エンドポイント
• 公開タイムスタンプと CloudKit レコードのスキーマバージョン
• 接続前の機能メタデータ — 対応コーデック、システム音声への対応状況、機器の検出用に通知される既定の解像度、機能データのバージョン
• お客様のiCloudユーザーレコード名 — Reach iCloudコンテナにスコープされた安定した識別子です。 常に存在するわけではありません。iCloud Auto-Trust が有効になり、iCloud アカウントが確認された場合にのみ記録され、ビューアは同じ iCloud アカウントに属するホストを認識できるようになります。

iCloudにサインインしている場合、Reach Viewerは接続を試みる際、同じ公開データベースに対応する信頼レコードを公開できます。レコードにはViewerの公開鍵のフィンガープリント、時刻、CloudKitが付けるiCloudユーザーレコード名が含まれます。MacでiCloud Auto-Trustを明示的に有効にし、同じApple IDを使用していることが確認された場合に限り、それまで信頼されていなかったViewerが初回接続でペアリングコードなしに信頼を確立できます。すでに信頼済みのViewerは保存済みフィンガープリントで再接続するため、このCloudKit信頼レコードは不要です。手動で信頼を削除した場合は自動信頼よりも優先され、同じフィンガープリントを再び信頼するには新しいペアリングコードの明示的な入力が必要です。検証が終わり、Macへのローカルな信頼情報の保存に成功すると、Macはレコードの削除を要求します。CloudKitで削除に失敗した場合は、後にその信頼エントリで接続が正常に確立された際に再試行できます。ただし、レコードが直ちに、または最終的に物理削除されるとは保証しません。Macの信頼済みデバイスからViewerを削除するとMac上のローカルな信頼が取り消されますが、CloudKitレコードの削除とは別の操作です。

アプリはこのメタデータをデバイスの検出と信頼の確認に使用します。ペアリングやリモート公開を停止したとき、またはペアリングコードをリセットしたとき、Reach Host は該当する Host レコードの削除を要求します。ただし、ネットワークや CloudKit のエラーにより、削除が遅れたり実行されなかったりする場合があります。Reach Viewer の「Forget Mac（Mac の登録情報を削除）」は、そのデバイスに保存した接続情報とローカルの信頼情報を削除しますが、Mac の CloudKit レコードは削除しません。アプリの削除や iCloud 設定の変更によって、この公開データベース内のすべてのレコードが削除される保証はありません。

Reach アカウントは、2 つのインターネット経路をロック解除します — インターネット・ダイレクト、保存された接続プロファイルを通じてNATトラバーサルを実行し、 Relay（リレー接続） — そして、同じアカウント上のデバイス同士がペアリングコードなしで相互に信頼できるようにします。 アカウントだけではパスは作成されません。接続には、ダイヤル可能な直接候補または設定されたリレーが必要です。

メールでサインインします。パスワードはなく、一度だけ使えるログインリンクまたはコードを送信します。サインインすると、当社のバックエンドは次の情報をアカウントに紐付けて保存します。

• メールアドレス — サインインのためにのみ使用されます。
• アカウント記録 — アカウント識別子とメールアドレス、サーバーが保持するアカウント署名鍵ペア、およびサインイン状態を管理するために必要なメタデータ：作成および検証時間、セッション生成カウンタ、そしてアカウントロール。
• デバイスレジストリ — 登録した各デバイスについて、識別子、名前、種類（MacのHost、またはiPhone・iPadのViewer）、暗号学的な識別情報（公開鍵、鍵のフィンガープリント、TLS証明書のフィンガープリント）、登録時刻・最終確認時刻・登録取り消し時刻を保存します。MacのHostについては、他のデバイスが接続できるよう、到達可能なアドレスとポート、および直接接続候補の一覧も保存します。
• サインイン状態 — 有効期間の短いセッショントークンと更新トークンをハッシュ化して保存し、有効期限とローテーション時刻も記録します。エントロピーの高いログインリンクのトークンはハッシュのみを保存します。一方、デバイス間で使う 6 桁の代替コードは、短期間保持される同じ保留中ログインレコードにコードの値そのものとして保存されます。このレコードにはメールアドレス、コンテキストのハッシュ、有効期限と使用時刻、総当たり攻撃の試行回数を制限するカウンターも含まれます。
• トークン更新の復旧 — 操作識別子、トークンハッシュ、有効期限、および暗号化されたリフレッシュ応答により、中断されたトークンローテーションを安全に再トライできます。 これらのレコードはプレーンテキストのセッショントークンを保存しません。
• 購入に基づく利用権 — App Store での購入をアカウントに関連付けると、プラン、有効期限、更新日時、Apple の元の取引識別子がアカウントに保存されます。
• パスキー — パスキーでサインインする場合、WebAuthn チャレンジとパスキーの公開認証情報（認証情報 ID、公開鍵、署名カウンタ、トランスポート）。
• 濫用防止カウンター — サインイン機能を保護するため、IP アドレスと正規化したメールアドレスをキーにした有効期間の短いリクエストカウンターを別途保持します。
• App Store 審査用アカウント — App Store の審査だけに使用するアカウントでは、審査用サインインコードのハッシュ、失敗した試行回数、試行回数を数える時間枠の開始時刻もアカウントレコードに保存されます。

この情報は、サインイン、デバイスの信頼、接続設定、購入権利の検証、およびサービス保護をサポートします。 画面、音声、および入力コンテンツはアカウントデータベースに保存されていません。 オペレーショナル・テレメトリ、リクエストログ、および一時的なシグナリングデータは、以下で別々に説明されています。 これらの機能を提供するために必要なインフラストラクチャ処理については、サードパーティサービスをご参照ください。

バックエンドはCloudflare上で稼働します。本ポリシーは、データの処理地域を特定の地域に限定することを約束しません。

サインインした状態でInternet DirectまたはRelayへの接続を試みる際、シグナリングでIPアドレスやポートなどの接続候補を交換します。処理対象は候補データ、試行と認証情報の対応付け、取得できる場合のViewerのパブリックIPアドレス、レート制限の状態です。

各候補データの有効期間は公開時刻から最大60秒です。再公開により接続試行全体の期限が更新される場合があります。キャンセルや期限切れの処理で候補と関連状態を整理しますが、成功直後や正確に60秒後の物理削除は保証しません。稼働中の Host ソケットに必要な認証状態は、そのソケットが有効な間保持される場合があります。終了した試行の再開を防ぐ短期のキャンセル状態と、サービス保護用カウンターには、それぞれ別の保存期間があります。

シグナリングサービスは、画面、音声、または入力コンテンツを受信したり保存したりしません。 セッションコンテンツは、以下に記載された直接接続または Cloudflare TURN ルートを介して移動します。

直接パスを開くことが困難な場合、たとえば CGNAT の背後や制限的なファイアウォール、あるいは一部のモバイルネットワークの背後にある場合、Reach はセッションを中継できます Cloudflare TURN. お客様はご自身の Cloudflare アカウントと認証情報を Reach Host に設定し、Cloudflare の料金およびポリシーが適用されます。

自動的なアカウントトークン設定により、Mac は Cloudflare の API から TURN キーを要求します。 これにより、Cloudflare アカウント ID、トークン、および Mac の名前を含むことができるキー名が送信されます。 生成された TURN キー、または手動で入力するキーは、Mac Keychain に格納され、短期間のセッション認証情報を取得するために使用されます。 これらの認証情報リクエストは、Mac から Cloudflare へ直接送信され、Reach アカウントサーバーを経由しません。

ビデオ、オーディオ、および入力は、リレーを通過中も QUIC 上で TLS 1.3 により暗号化されたままです。 Cloudflare は、暗号化されたパケットと、サービス提供に必要なネットワークメタデータを処理します。 接続遅延はネットワークとリレー経路に依存します。

オプションの Cloudflare 使用報告

使用状況報告を有効にし、Refresh を選択すると、Mac は Cloudflare の GraphQL API を直接呼び出します。 リクエストには、Account ID、時間範囲、オプションの TURN キー ID、および API トークンが含まれます；レスポンスは、集約されたインバウンドおよびエグレスバイトを提供します。 アカウント全体の結果には、Reach以外のサービスからの TURN の使用が含まれる場合があります。 トークンだけを保存しても、使用状況クエリは実行されません。

レポートトークンは、TURN セッション認証情報とは別に、デバイス専用の Keychain エントリに保持されています。 有効化スイッチ、アカウントID、表示スコープはローカル設定であり、取得された結果はアプリが実行されている間のみメモリに保持されます。 レポートをオフにするか、Reach アカウントを変更すると、保存された Cloudflare 認証情報は自動的に削除されることなく、以前の結果がクリアされます。 Host の認証情報を削除しても、Cloudflare アカウントで既に発行されているキーやトークンは取り消されません。Cloudflare で取り消しを管理してください。

アプリで Reach アカウントを削除できます。 アカウントデータベースは、アカウントレコード、登録されたデバイス、セッション、トークンリフレッシュリカバリレコード、保留中のログインコード、パスキー、および関連するWebAuthnチャレンジをすべて削除します。 同じメールアドレスの事前アカウントWebAuthnチャレンジも含まれます。

不正利用防止カウンターおよび運用ログは、このアカウント削除リクエストの対象外です。 カウンタは設定されたレートリミットウィンドウとクリーンアップ手順に従い、運用ログは Cloudflare に個別に保持されます。 このポリシーは、運用ログに対して固定された保持期間を約束していません。

期限切れまたは使用されたログインリンクやコードは、認証に再利用できません。 期限切れのログイン、WebAuthn、およびリフレッシュ回復レコード、およびリフレッシュ期間が終了したセッションは、スケジュールされたクリーンアップの対象となります。 クリーンアップスケジュールや失敗した操作により、期限切れ後に物理的削除が発生する可能性があります。

デバイスは個別にアカウントから削除できます。サインアウトはアカウントの削除ではありません。ローカルの接続設定、プリセット、信頼レコード、Cloudflareの認証情報には、それぞれ別の削除方法があります。Reachアカウントを削除しても、Appleの公開CloudKitレコードや、ご自身のCloudflareアカウントにあるキーは削除されません。

Reach Host は、選択したディスプレイを取り込むために macOS の画面収録権限を、Viewer から送った入力を Mac に反映するためにアクセシビリティ権限を要求します。任意のウインドウ位置復元でも、対応するアプリウインドウの位置とサイズの読み取り・変更にアクセシビリティ権限を使用します。

システムオーディオはScreenCaptureKitを通じて取得されます。 Reach Host はマイクの許可を要求せず、マイクサンプルを無視します。必要なのは画面録画/システム音声アクセスです。 キャプチャは Mac で行われ、そのセッションで認証された視聴者にのみ配信されます。

ダイレクトタッチモードでは、ビューアがピクセル単位で正確にポインタを移動するためのカーソルハンドルを表示します。 それを駆動するために、Reach Host は Mac のカーソルの位置（正規化された座標、所属するディスプレイ、タイムスタンプ）を、ビデオおよび入力と同じ暗号化された QUIC セッション上で、接続された認証されたビューアに送信します。 それは別の分析サービスに送信されず、カーソル移動履歴として保存されません。 Relay を使用すると、暗号化されたセッションパケットは Cloudflare を通過します。

「Reach Host → Devices & Trust → Advanced → Cursor Telemetry」で無効にできます。無効にすると Host はカーソル位置の送信を停止し、対応する Viewer に画面上に残ったカーソルハンドルを消すよう通知します。

Reach Viewer は、ローカルネットワークの権限を使用して、Bonjour/mDNS を介して近くの Mac を検出し、ローカルネットワーク上の Mac と直接通信します。 Mac の IP アドレスを手動で入力しても、この権限は置き換えません。 ローカルネットワーク外のアドレスへの手動ダイレクトIPは別件であり、到達可能なアドレスとポートが必要です。

Reach Host は、Sparkle アップデートフレームワークを使用して、起動時および実行中に定期的に新しいバージョンをチェックします。 アップデートチェックは、当社の更新フィードへの標準的な HTTPS リクエストであり、このフィードは GitHub ページにホストされています。すべての HTTPS リクエストと同様に、IP アドレスと User-Agent ヘッダーはそのエンドポイントで表示されますが、アカウント識別子やテレメトリ、その他の識別ペイロードは送信されません。 Reach Viewer は App Store を通じて更新され、Apple の標準 App Store ポリシーに従います。

Reach は広告識別子（IDFA）や広告およびプロファイリング SDK を使用しません。 アプリにはCrashlytics、Sentry、またはGoogle Analyticsは含まれていません。 レポートを共有することを選択した際に、ローカル診断を提供できます。 上記で説明したオプションの Cloudflare 使用状況報告と、以下のバックエンド運用記録は、別々の機能です。

サービスを運用し保護するために、バックエンドは Cloudflare に運用イベントとリクエストログを記録し、設定するとメトリクスを Analytics Engine に送信します。 主なカテゴリは次のとおりです：

• 接続ライフサイクルイベント名と時間、試行識別子、リージョンラベル、ロール（ホストまたはビューア）、結果、およびレイテンシ
• アプリのバージョンとビルド、ソケットの種類、再接続パス、そしてホストソケット登録およびブロック登録イベントにおける安定したSHA-256由来のホスト仮名。 関連するキルスイッチイベントには、Workerリクエストエンドポイントも含まれます。 これらの追加フィールドは、すべての招待またはソケットクローズイベントに付随しているわけではありません。
• グループ化とクリーンアップの件数、ソケットリースのリリース理由とステータス、エラークラス、ショート相関プレフィックス。 デバイス復元ログには、アカウントおよびデバイス識別子の最初の8文字が含まれます。
• 購入をアカウントに関連付ける場合、購入検証の運用記録には、アカウント識別子の先頭8文字、製品識別子、検証環境、適用結果などが含まれます。

仮名にはデバイス名やアカウントメール自体が含まれませんが、同じホストのイベントをリンクすることができます。 レートリミット状態は、サービス保護のためにも維持されます。 ローカル診断には、選択された接続経路を含めることができます。 現在のコード転送接続ライフサイクルイベントをAnalytics Engineに転送すると、別のルートタイプのフィールドが入力されません。

これらのレコードは、接続の信頼性、障害診断、サービス保護、および購入確認をサポートします。 彼らは画面、音声、および入力コンテンツを除外します。 当社はそれらを販売せず、広告やユーザープロファイリングに使用いたしません。 Cloudflare はこの運用データをサービスプロバイダーとして処理します。

• 接続設定 — 選択された表示、解像度、コーデック、フレームレート、ビットレート、スクロール方向の切替、カーソルテレメトリのオン/オフ、および各 Mac に対して最後に選択されたルート
• ワークスペースプリセット — 名前、レイアウト、画面ごとの Mac と表示識別子、ルート、サイズおよび解像度の選択、ウィンドウ復元の設定、作成および更新時間は、Viewer のローカル設定に保存されます。
• 保存された接続詳細 — Direct IP ホストに入力したアドレスとポート、およびペアリングした Mac のペアリングコード
• 信頼記録 — ペアリングしたホストおよびホストが信頼した視聴者の暗号指紋
• サインインしている場合のアカウントセッショントークン — デバイスの安全なキーチェーン内
• Cloudflare の認証情報（設定した場合）— リレーキーと任意の使用状況レポート用トークンを Mac の Keychain に保存します。キーの作成、セッション認証情報の生成、使用状況の照会では、上記のとおり Mac から Cloudflare を直接呼び出します。
• 診断ログ — トラブルシューティングのために一時的に保持され、レポートを共有しない限りアップロードされません

アプリのウインドウ位置を記憶する任意の機能

プリセットの「Remember app window positions」をオンにし、Mac にアクセシビリティ権限を与えると、Reach は Reach 仮想ディスプレイを削除する前に、対応する開いたウインドウへの参照、表示領域に対する相対的な位置とサイズ、およびサイズ変更の可否を Mac プロセスのメモリに保持します。ディスプレイを再作成したとき、この一時記録を使って、まだ開いているウインドウを元の位置に戻します。ウインドウのタイトルや書類の識別子は記録項目に含まれず、記録はディスクにも Reach のサーバーにも書き込まれません。Host プロセスが終了すると消え、該当ディスプレイの復元をオフにすると削除されます。プリセットのオン／オフ設定は Viewer の設定に残ります。

iPhone または iPad アプリを削除すると、そのアプリコンテナデータが削除されます。 Keychain 項目は個別に管理されるため、アンインストールだけではすべての認証情報の削除が保証されるわけではありません。 Mac において、Reach Host アプリバンドルを削除しても、その設定やアプリケーションサポートファイル、または Keychain の項目は自動的に削除されません。クリーンなデータが必要な場合は、手作業で削除してください。

reachremote.app は Cloudflare Pages でホストされている静的サイトです。サイト独自のスタイル、スクリプト、画像は、このサイトから配信されます。Cloudflare は公開ドメインにメールアドレスの難読化とブラウザー検証のスクリプトを追加します。公開ページには、ページ閲覧数とパフォーマンス指標のための Cloudflare Web Analytics ビーコンも含まれます。Cloudflare のセキュリティ機能は、必要な Cookie を使用する場合があります。広告トラッカーは使用しません。また、Cloudflare はウェブリクエストの処理時に、IP アドレスや User-Agent などの通常のリクエストメタデータを処理します。

ウェブサイトの言語は URL のパスで指定します。以前の ?lang=en リンクは対応する英語ページへ移動します。Cloudflare 設定の目的は setup クエリパラメータに保存されます。このサイトは API トークンやペアリングコードを収集しません。Mac 用のダウンロードを選ぶと GitHub Releases API に最新の DMG を問い合わせ、GitHub のダウンロードを開きます。GitHub と App Store を含む外部サービスには、それぞれ独自のプライバシーポリシーがあります。

• Cloudflare — ウェブサイトにサービスを提供し、オプションのアカウント、サインインメール、シグナリング、および運用データを処理します。 また、TURN リレー、キー作成、およびオプションの使用 API をご自身のアカウントで提供します。 リレーされたパケット内のセッションコンテンツは、デバイス間で暗号化されます。
• アップル (CloudKit) — 上記で説明したペアリングメタデータを保存し、あなたのデバイスが互いに検出できるようにします。
• アップル (App Store) — Reach Viewer を配布し、Apple の標準 App Store ポリシーに基づき、該当する購入、サブスクリプション、購入検証を処理します。
• GitHub — Reach Host の更新フィード（appcast）を GitHub ページでホストし、GitHub のリリースを通じて Host のインストーラーを配布します。 GitHub は、更新を確認またはダウンロードする際に、IP アドレスやユーザーエージェントなどの標準的な HTTPS リクエストメタデータを処理します。

これらのサービスは、それぞれの役割に必要なデータを処理します。 Reach は広告ネットワークやデータブローカーにデータを販売しません。

Nearby / LAN、Manual Direct IP、Internet Direct、Relayのすべての経路では、TLS 1.3を使ったQUICで通信が暗号化され、証明書のフィンガープリントが固定されています。Viewerは、ペアリング時に記録されたもの、Reachアカウントの当該デバイス登録情報にあるもの、または明示的に許可した初回の直接接続時に固定されたもののいずれかとして、すでに信頼している証明書フィンガープリントを持つHostにのみ接続します。後でフィンガープリントが一致しなければ接続を拒否します。当社はどの経路でも通信内容を復号できません。

Reach は13歳未満の子どもを対象としておらず、当社は子どもから情報を意図的に収集することはありません。 ペアリングおよびアカウントメタデータは、上記で説明したサービス機能をサポートし、広告やユーザープロファイリングには使用されません。

本ポリシーは随時更新されることがあります。 このページに変更が掲載され、上部の日付が更新されます。 信頼モデルやデータフローが変わるたびに、私たちはそれを改訂します。

本プライバシーポリシーに関するご質問： support@reachremote.app. バグ報告と公開質問： github.com/SGT-Cho/Reach.