NeverNo が保存するもの、保存しないもの

ローカルストレージに平文で

サーバーに見えるもの

• 同期された項目の数と、それぞれのサイズ（256バイトの倍数に丸めたもの）。種類や内容は決して見えません。
• 各書き込みと最後のやり取りの時刻、そして各項目を書き込んだデバイス。
• デバイス（名前、状態、日付）とパスキー（ID、名前、日付）。
• 使用中の容量と、プランの上限との比較。削除された項目は、ほかのデバイスでも削除されるよう、内容のない痕跡が180日間残ります。

プランごとの同期容量

容量がいっぱいになると、新しい変更はデバイス上で待機します。何も失われず、ほかのデバイスは同期済みの内容を受け取り続けます。プランが使用量より容量の少ないものに変わっても何も削除されませんが、十分に削除するまでは、テキストを含め新しいものは同期されません。

主導権はあなたにあります

• 設定 › データ でオフにすると、同期が止まり、項目、鍵のエンベロープ、デバイスのアクセスがサーバーから消去されます。残るのは、下に挙げる内容のない目印だけです。オフにした日付と、リセットをした場合はその痕跡です。データはこのブラウザに残ります。
• 一時チャットはこのブラウザに書き込まれないため、同期されることもありません。
• リカバリーキーを使うと、パスキーを失っても新しいデバイスでデータを開けます。表示されるのは一度だけで、私たちには決して見えません。新しいキーを発行するには、パスキーか古いリカバリーキーが必要です。
• パスキー、リカバリーキー、ほかの承認済みのデバイスのいずれもなければ、私たちのコピーは開けなくなります。各デバイスのデータはそのまま残り、そのいずれかから同期を再びオンにできます。
• 「キーを変更」は、すべてを新しい鍵で暗号化し直します。もう管理できないデバイスを取り消したあとに行ってください。

• IndexedDB には何も入りません。チャットもメッセージもメディアもなく、そのための鍵も作られません。
• サイドバーにも検索にもタイトルは出ず、専用のアドレスもありません。/chat?ephemeral=1 のままです。
• メモリーはこのチャットから何も読まず、何も学びません。バックアップにも共有リンクにも同期にも入りません。
• ページの再読み込み、タブを閉じる、チャットを離れる（アプリ内では確認のあと）のいずれでも完全に消去されます。

それでも数えられるもの：メッセージは本日の上限に数えられ、回答への評価はほかのチャットと同じく匿名の合計に加わります。こちら側も何も変わりません。どのチャットとも同じく、テキストはサーバーを通ってモデルに届き、どこにも書き込まれません。

それでも数えられるもの：インデックスを作成した箇所と検索した質問はそれぞれ1日の上限（vault）に数えられ、計算にかかった費用はメモリーと同じく金額として記録されます。「匿名化」と表示されたモデルでは、箇所はメッセージとともにその開発元に届き、開発元のルールに従って扱われます。設定の「すべて消去」で、金庫もほかのデータと一緒に削除されます。

外部へのあらゆる操作（メッセージの送信、操作を伴うツールの呼び出し）は、ワンタップで承認するまで待機します。通知にミッションの内容が含まれることはありません。

設定の「アカウントを削除」を使うと、これらすべてが消去されます。サブスクリプションが解約され、Stripe のカスタマーとそのカードが削除され、続いてバックアップ、同期されたコピー、リンク、鍵、カウンター（トライアルのものを含む）、コスト、最後にアカウントが消去されます。Google、Notion、Slack、GitHub に与えた許可は、それぞれの側で取り消されます。応答しないサービスがあっても、私たちが持つアクセス情報は消去され、そのサービスのあなたのアカウントから許可を取り消せます。残るもの：匿名の評価カウンター。アカウントの ID を除いた管理ログ。法律が求める会計記録（暗号資産で支払った注文とその領収書の送信記録。あなたとは切り離されています）。アカウントと切り離された利用統計（最長90日）。IP アドレスのフィンガープリントに紐づくカウンター（自動で消えます：48時間、トライアルのものは月末）。私たちのデータベースの外にあるもの：Resend に残る私たちのメールの送信記録、Supabase の技術的なバックアップ（その保管期間中）、Stripe が自社で保管する請求書。

Supabase の技術的なバックアップには、データベースのコピーが、つまり削除された行のコピーも、Supabase が保管している間は残ります。

• メッセージと回答の本文、そしてモデルの推論。
• カスタム指示、メモリーの記憶、作成したキャラクターのプロフィール。これらは各メッセージと一緒に送られます。
• 添付ファイル。PDF はメモリ上で読み取られてから破棄され、テキストファイルはブラウザ自身が読み取ります。
• 送信した画像。チェックされたあと、メタデータ（位置情報、カメラ）を除いて再エンコードされてから、提供元に送られます。
• 作成した画像。提供元から戻ってきて、そのままブラウザに届き、ブラウザが暗号化します。
• スタジオでの説明文、音声入力した声、読み上げるテキスト。
• ウェブ検索。検索語は識別子なしでサーバーから送られ、私たちのログには残りませんが、プランによっては Exa を経由し、Exa が保持することがあります（下の「ウェブ検索」を参照）。

エラーログに記録されるのは技術的な目印だけです。モデル名や提供元の名前、エラーコード、クレジット操作の番号などです。アカウントは、秘密の鍵で計算したタグとしてしか現れず、タグだけでは何もわかりません。アカウントを削除したときだけその ID を記録しますが、メールアドレスは決して記録しません。なお、受け取った内容を一定期間保管する提供元もあります。「メッセージを読むのは誰か」をご覧ください。

生のイベントは90日後に消去され、匿名の日次合計だけが残ります。設定で「匿名の統計を共有する」をオフにするか、ブラウザから Global Privacy Control または Do Not Track を送れば、引き続きカウントはされますが、フィンガープリントは使われず、アカウントにも紐付けられません。紐付いていた情報は消去されます。アカウントを削除すると、その分も消去されます。

スイッチは 設定 › データ にあり、初期設定ではオンです。オフにすると、メッセージはそのまま匿名化モデルに届きます。プライベートモデルではマスクしません。そこには何も保存されず、誤ったマスクは守れるもの以上の損になるためです。入力欄の下の「3件をマスクしました」で、直前のメッセージで置き換えた内容を確認できます。検出の調整には一切使わず取り置いた「封印ケース」で測定したところ、住所は72%、電話番号は94%、IBAN は100%の割合で検出され、個人情報に似ているだけの文章160件の罠では誤検出がありませんでした。これは私たち自身のテスト結果であり、保証ではありません。変わった書き方の情報はすり抜けることがあるため、匿名化モデルに送る内容は見直してください。ローンチ後に3回目の改善を予定しています。

• PDF の書き出しは平坦化されます。各ページは隠した箇所に不透明な枠を塗った画像として描かれ、新しいファイルはその画像だけから書かれ、元のオブジェクトは一切含まれません。テキスト層も、フォントも、メタデータ（タイトル、作成者、プロデューサー、XMP）も、添付も、注釈も、スクリプトも、過去の版もありません。ファイルには最初から存在しないのです。
• ダウンロードの前に、ページは書き出したファイルを検査します。隠した値のどれも、禁止された構造のどれも含まれてはなりません。含まれていれば書き出しは止まり、何もダウンロードされません。
• Markdown とテキストの書き出しは、隠した箇所を番号つきトークン（[EMAIL_1]）か █ のブロックに置き換えます（選択可）。任意のレポートは種類ごとの件数のみを示し、値は決して含みません。
• ページはブラウザ自身の計測により、ファイルをドロップしてから行ったリクエストを数えます（サイトのファイルは除く）。この数は0のままで、書き出しボタンの横に表示されます。
• 何も保持されません。ファイルも、テキストも、検出結果も、このブラウザにも他の場所にも残りません。コピーの名前は document-redacted で、元の名前は使いません。ログインしたアカウントは、あとで「金庫に保存」を選べます。これは上で説明した通常の金庫です。

約束は「ファイルはデバイスから出ず、書き出す前に自分で確認する」であり、保証ではありません。検出器は知らないもの（リストにない名前、日付、場所）を見つけられず、スキャンページは OCR が読み取れた内容に依存します。確認のステップはそのためにあります。

「自動」モードはプライベートモデルを使います。一部のやり取りは、マスキングのうえで匿名化モデルを通ります。「自動」のプライベートモデル：DeepSeek V4.1 Flash、DeepSeek V4.1 Flash、DeepSeek V4.1 Flash、DeepSeek V4.1 Flash、DeepSeek V4.1 Flash、DeepSeek V4.1 Flash、DeepSeek V4 Flash、DeepSeek V4 Pro、GLM 5.2、NeverNo Uncensored、Qwen 3.5 35B、Mistral Small 3.2。それ以外（下の政治的な質問を除く）では、匿名化モデルが答えるのは、自分でそのモデルを選んだとき、または回答の下に出る、そのモデルに聞いてみる提案をクリックしたときだけです。中国のモデルが回答を拒む一部の政治的な質問では、「自動」は DeepSeek、GLM、Kimi、Qwen の代わりに、マスキングのうえ、データを保持しないホスト上で、匿名化モデルの Claude（Anthropic）で回答します。

画像・動画・音声

スタジオは Runware を経由します。説明文は識別子なしでサーバーから送られます。この表もコードから生成されています。

ほかに、データの一部が通るサービス

ウェブ検索

サブスクリプションの利用者には、Exa が検索語（あなたのメッセージから作る短い検索語）を受け取って結果を返します。無料アカウントは Exa の検索が1日1回で、その後は Serper を通ります。アカウントがない場合は Serper です。Exa は検索語を保持し、サービスの改善やモデルの学習に使うことがあります。保持しないオプションは契約していません。内容によっては、Exa に送らない検索もあります。Serper は Google の結果を返し、Jina Reader は見つかったページ、またはあなたが貼り付けたアドレスを読み込みます。3社とも識別子もあなたの IP アドレスも受け取りません。ディープリサーチで「プレミアムの作成者」を選ぶと、GPT 6.1 Sol 自身がウェブを検索します（OpenAI の組み込み検索。OpenRouter 経由、Microsoft Azure 上で、ゼロ保持を指定しています）。あなたの質問は、匿名化モデルの場合と同じくマスクされた状態で渡されます。元のページが読めなくなっている場合、ディープリサーチはそのアドレスを Internet Archive に送り、保存されたコピーを読みます。リサーチを「すべての情報源」で実行した場合は、あなたの質問から作った検索語が arXiv、OpenAlex、米国証券取引委員会（SEC）の EDGAR データベースにも送られます。いずれも識別子やあなたの IP アドレスは受け取りません。

音声

音声入力とコンフェッショナルの文字起こしは、データを保持しない Groq の Whisper で行い、Groq が遅いときは DeepInfra が代わります。Kokoro、Inworld、Qwen の声は DeepInfra を、xAI と MiniMax の声は Runware を経由します。声は文字に起こされたあと、破棄されます。Pro+、Max では、回答の読み上げを ElevenLabs（声は Jessica）が行います。連絡先は送信前に伏せられ、読み上げのたびに私たちのアカウントの履歴からすぐに削除されます。一部の回答や、あなたが選んだ声は、ElevenLabs を通りません。

匿名化モデルの開発元

匿名化モデルは、データを保持しないオプションを付けた OpenRouter 経由で動きます。応答するホストは何も保管しないことを約束しています。データを保持しない経路がない少数のモデルは、上の表に印を付けています。その場合は開発元が自社のルールに従ってリクエストを保管します（Anthropic は最長30日、OpenAI は30日）。Gemini は Google が提供しており、不正利用の監視で検出されたリクエストを最長90日保管することがあります（モデルの学習には使いません）。

匿名化モデルへの中継

一部のリクエストでは、プライベートモデルが応答しない場合、データを保持しない経路で接続する、匿名化されたサードパーティモデル（Grok、xAI）が回答を書くことがあります。名前・メール・電話・住所などの個人情報は、モデルに渡る前にマスクされます。自分で選べるサードパーティモデルとまったく同じ扱いです。

コンフェッショナル

コンフェッショナルは、Anthropic の Claude Sonnet で回答します。ゼロ保持オプションを付けた OpenRouter 経由で Google Vertex または Amazon Bedrock が提供しており、ホスト側には何も残りません。Sonnet が応答しない場合は、同じ条件で Claude Haiku が引き継ぎ、最後の手段としてプライベートモデルの GLM 5.2が回答します。一部のやり取りでは、xAI の Grok 4.20（個人情報はマスクされ、ゼロ保持）が回答し、次に DeepInfra の DeepSeek V4 Pro、その次に OpenRouter 経由でデータを保持しない第三者のホストが提供する Dolphin が続きます。後の二つはプライベートモデルです。声については、すぐ下で説明します。

コンフェッショナルの声

コンフェッショナルで選んだ声は、私たちの委託を受けて（処理者として）動く ElevenLabs が生成します。ElevenLabs が受け取るのは読み上げる回答のテキストだけで、声やアカウントの情報は渡りません。送信の前に、文中のメールアドレス、電話番号、住所、口座情報、カード番号、IP アドレスは中立的な言葉（「あなたのメールアドレス」）に置き換えられます。名前と名字は声が呼べるようにそのまま残ります。ElevenLabs は各文を私たちのアカウントの履歴に保存しますが、私たちは読み上げの数秒後にそれを削除し、さらに5分ごとに、10分を過ぎても残っているものを削除します。ElevenLabs が自社の不正利用対策のために保持するものは、同社のルールに従います。一部の文は、また ElevenLabs が応答しないときはすべての文が、上に挙げた声のいずれかで読み上げられます。

メモリー

無料を含むすべてのアカウントで、プライベートモデル（DeepInfra 上の DeepSeek V4 Flash）が覚えておくべき事実を選び出し、そのベクトルを計算します。結果はブラウザに戻り、ブラウザが暗号化します。

安全

私たちの絶対的な制限は、カタログ内のプライベートモデルがチェックします。画像のリクエストや送信された画像を読み、そのあと破棄します。

ボット対策

アカウントのない訪問者は、Cloudflare Turnstile のチェックを一度通過します。Turnstile は訪問者の IP アドレスとブラウザの技術的な情報を受け取ります。

支払い

Stripe は支払いを紐づけるためにメールアドレスとアカウント ID を、そして私たちが一切見ることのないカード情報を受け取ります。

ホスティング

サイトは Vercel 上で動いており、Vercel にはリクエストの通過が見えます。データベース、アカウント、暗号化されたバックアップ、暗号化された同期用のコピーは Supabase にあり、Supabase はログインコードのメール送信も行います。

金庫

金庫の文書の各箇所と質問は、DeepInfra のプライベートモデル（Qwen3-Embedding-0.6B）でベクトルになります。ベクトルはブラウザに戻り、ブラウザが暗号化します。

/** * Local-only encryption for the Zero-Log store. * * One AES-256-GCM key per browser, generated on first use as a non-extractable * CryptoKey and kept in IndexedDB: it never leaves the device and cannot be read * back as raw bytes, even by our own scripts. */import { requestPersistentStorage } from "./storage";export type Sealed = { v: 1; iv: Uint8Array<ArrayBuffer>; ct: Uint8Array<ArrayBuffer> };const encoder = new TextEncoder();const decoder = new TextDecoder();export type KeyStore = {  load: () => Promise<CryptoKey | undefined>;  /** Stores the key unless one is already there (the first stored wins). */  save: (key: CryptoKey) => Promise<void>;};let keyPromise: Promise<CryptoKey> | null = null;let activeStore: KeyStore | null = null;/** Point the module at the table that holds the key. Called once by the database. */export function configureKeyStore(store: KeyStore) {  activeStore = store;  keyPromise = null;}

• src/lib/db/crypto.ts (85行)
• src/lib/backup-crypto.ts (51行)
• src/lib/share.ts (165行)

リポジトリはまだ非公開です。今後公開リポジトリを用意し、このコードとブラウザが実行しているコードを比較できるようにします。

1. 1暗号化されたデータ

   「アプリケーション」タブ（Chrome、Edge）または「ストレージ」タブ（Firefox）を開き、IndexedDB › neverno › messages へ進みます。各メッセージの content フィールドは { v, iv, ct } オブジェクトで、読めないバイト列です。keys では、鍵に extractable: false と表示されます。

2. 2入力したときに送られるもの

   「ネットワーク」タブを開いてメッセージを送ると、chat リクエストが1つ送られます。中身は現在の会話とその時点の設定です。ほかの会話は送られません。

3. 3そのあとに続く小さなリクエスト

   メモリーがオン：続いて2つの小さな memory リクエストが、覚えておく事実を選び出すためにこの直近のやり取りを送ります。新しい会話：タイトルを付けるために chat/title リクエストが最初の質問と回答の冒頭を一度だけ送ります。提案がオン（設定、コンテンツ）：回答のあと、chat/follow-ups リクエストが最後の質問と回答の最初と最後を送り、続きを提案します。何も保存されません。同期がオン：sync/push と sync/pull リクエストが、ブラウザが暗号化した項目を運びます。その ct フィールドは読めません。セッション Cookie は、chat リクエストも含め、これらのどれにも一緒に送られます。ログインしているどのサイトとも同じです。

4. 4共有リンクの鍵

   「ネットワーク」タブを開いた状態で共有リンクを開いてください。shares/… リクエストに含まれるのはリンクの ID だけです。# の後ろの部分はどこにも現れません。

5. 5ページが通信できる相手

   neverno.ai では、ページのContent-Security-Policyヘッダーに、ページが通信を許可されているアドレスだけが列挙されています。私たちのサーバー、Supabase、メディア用の Runware の CDN、ボット対策用の Cloudflare、そしてコンフェッショナルのリアルタイム音声会話のために確保した二つのアドレス（api.elevenlabs.ioと私たちのサーバーrt.neverno.ai）です。この二つはあらかじめ載せてあり、その機能が公開されるまで、ページがそこに接続することはありません。第三者によるアクセス解析も広告もありません。

• NeverNo は匿名化ネットワークではありません。どのサイトとも同じく、ホスティング事業者はあなたの IP アドレスを見ています。私たちは自分たちのどのテーブルにも記録しませんが、事業者の技術ログには、その事業者のルールに従って痕跡が残る場合があります。また、アカウントのログインを処理する Supabase は、開いている各セッションの IP アドレスを保存します。IP アドレスを隠すには、VPN や Tor を使ってください。
• モデルを選び、検索するかを決め、絶対的な制限を適用するために、サーバーは回答を作る間、メッセージをメモリ上で読みます。どこにも書き込みませんが、通過するところは見えています。
• モデルは呼び出しの間で何も覚えていないため、メッセージのたびに現在の会話（直近のメッセージ）も一緒に送られます。
• 「プライベート」ラベルは、DeepInfra の約束と OpenRouter のデータを保持しないオプションに基づいています。私たちが両社のサーバーを検査することはできません。
• 「匿名化」モデルは、開発元の企業（Anthropic、OpenAI、Google、xAI）が読みます。企業は独自のルールに従い、リクエストを一定期間保存することがあります。メールアドレス、番号、印を付けた名前は、その前にマスクされます（上記参照）。それ以外のテキストはマスクされません。機密性の高い会話には、プライベートモデルを使ってください。
• ローカル暗号化により、データベースをそのまま開いて会話を読むことはできず、どのスクリプトも鍵を取り出せません。ただし、デバイスやログイン中のセッションにアクセスできる人やプログラムからは守れません。デバイスにはロックをかけてください。
• ブラウザ内では、いくつかの目印（日付、モデル、メディアの種類）が読める状態で残り、インターフェースの設定は平文で保存されています。
• 作成した動画や音声は、ブラウザがダウンロードするまで Runware の CDN 上で待機します。そこにどれだけ残るかは Runware 次第です。クリップの場合は最長7日間です（2026年11月11日に測定。ファイルのアドレスが示す有効期限によります）。
• 私たちのコードはまだ公開されていません。公開されたコードと、ブラウザが実行しているコードを自分で比較することはまだできません。
• 同期では一部のメタデータが見えてしまいます。項目の数、丸めたサイズ、書き込みごとの時刻、つまり利用のリズムです。手放した承認済みのデバイスは、鍵を変更するまで鍵を持ち続けます。
• バックアップのパスフレーズを忘れたり、バックアップも同期もなしでブラウザのデータを消去したりすると、データは失われます。私たちには復元する手段がありません。

1. 2026年11月15日データベースが保存するものの表に、開いているセッションを確認して閉じる場所（設定 › セキュリティ）を書き加えました。
2. 2026年11月11日時間のかかる生成：動画について、取り込んだ画像をもとにしているかどうかをデータベースに記録するようになりました（単なる目印で、説明文も画像も含みません）。Runware がクリップを保管する期間を明記しました：最長7日間（測定値）。
3. 2026年11月11日訪問者のカウンターとコストの金額は、例外なく48時間後に消去されます。IP アドレスに紐づくトライアルのカウンターは月末に消去されます。管理ログに残る休眠アカウントの記録は、アカウントの ID を含まなくなりました。ミッションの結果は毎時の消去処理で消去されます。
4. 2026年11月11日チャットの画像の下にある「スタジオで続ける」リンクは、画像の説明文をページのアドレスに入れなくなりました。この日付より前は、ホスティング事業者の技術ログに残る可能性がありました。
5. 2026年11月11日アカウントを削除すると、トライアルのカウンターも消去され、Google、Notion、Slack、GitHub に与えた許可も取り消されるようになりました。ログにはアカウントを鍵付きのタグでしか記録しなくなり、匿名化モデルはこのページに挙げたホストだけを通ります。
6. 2026年11月11日このページを一行ずつコードと照らし合わせ、修正しました。Supabase は開いている各セッションの IP アドレスとブラウザを保存します。データベースが保存する内容の表を、種類ごとに補いました。セキュリティヘッダーには、コンフェッショナルのリアルタイム音声のために確保した二つのアドレスも載っています（11月初めから）。ディープリサーチが接続するサービスと、コンフェッショナルの代替モデルを明記しました。
7. 2026年11月9日アカウントの利用カウンターは、「マイプラン」の30日間カレンダーを欠けなく表示できるよう、31日間保持されるようになりました（数値のみで、内容は含みません）。訪問者のカウンターはこれまでどおり48時間後に消去されます。
8. 2026年11月9日「自動」：中国のモデルが回答を拒む一部の政治的な質問では、Mistral Small の代わりに、匿名化モデルの Claude（Anthropic）で回答するようになりました。個人情報は送信前に置き換えられ、回答で元に戻されます。データを保持しないホスト上で処理されます。自分で選んだモデルが置き換えられることはありません。
9. 2026年11月9日「自動」：中国のモデルが回答を拒む一部の政治的な質問では、DeepSeek、GLM、Kimi、Qwen の代わりに、別のプライベートモデル（Mistral Small、必要なら Dolphin）で回答します。自分で選んだモデルが置き換えられることはありません。
10. 2026年11月9日ウェブ検索：Exa は有料プランの利用者に使われます（無料アカウントは1日1回、その後は Serper と Jina。アカウントがない場合は Serper と Jina）。Exa は検索語（識別子も IP アドレスもなし）を保持することがありますが、私たちのログはどれも保持しません。
11. 2026年11月8日同期：各200 KB までのプロジェクトのファイルはすでに同期されていたため、そのことを明記しました。使用量より容量の少ないプランでは、十分に削除するまで、テキストを含め新しい同期が止まります。
12. 2026年11月5日コンフェッショナルの声を ElevenLabs が生成するようになりました。個人情報は送信前に置き換えられ、各文は読み上げの数秒後に私たちのアカウントの履歴から削除されます。
13. 2026年11月4日匿名化モデルとコンフェッショナルへのリクエストがどう扱われるか（保持なしと、印を付けた例外）を追記。
14. 2026年11月4日上限と無料トライアルに使う IP アドレスのフィンガープリントは、IPv6 アドレスでは/64ネットワーク全体（1つの接続のアドレスのまとまり）を対象にするようになりました。アドレスを切り替えても上限が増えることはありません。引き続き秘密鍵によるフィンガープリントで、アドレスそのものではありません。
15. 2026年11月1日アカウント向けのエンドツーエンド暗号化同期。サーバーには読めないコピーだけが置かれ、開けるのはパスキー、リカバリーキー、承認済みのデバイスだけです。メディアは同期されません。
16. 2026年11月1日ブラウザで測ったページの速さ（LCP、INP、CLS）を利用統計に追加。値は丸め、ページの種類ごとにだけ記録します。共有がオフのときは何も送りません。
17. 2026年11月1日会話をまたぐメモリーを、無料プランを含むすべてのアカウントで利用可能に。アカウントのない訪問者には引き続きありません。
18. 2026年10月31日内容を含まない利用統計：自社での集計、Cookie なし、日ごとのフィンガープリント、設定のスイッチ。
19. 2026年10月31日プライベート金庫：文書をこのブラウザ内で暗号化して保管。質問に必要な箇所だけが、その質問と一緒に送られます。
20. 2026年10月31日一時チャット：タブのメモリの中だけに保たれ、このブラウザには書き込まれない会話。
21. 2026年10月31日プランに含まれる利用のコスト金額を、35日後に自動で消去するようにしました。
22. 2026年10月31日このページと、暗号化を行うコードを公開。
23. 2026年10月31日ウェブ検索：検索語は識別子も IP アドレスもなしでサーバーから送られ、ログにも残りません。
24. 2026年10月31日アクセントカラーをプロフィールに保存。アバターも前日から同様です（シード値で、写真ではありません）。
25. 2026年10月30日送られた画像はチェックされ、メタデータを除いて再エンコードされてから提供元に送られます。
26. 2026年10月30日毎時の自動消去：48時間を過ぎた利用カウンター、期限切れの共有リンク。
27. 2026年10月30日設定からのアカウント削除：サブスクリプション、Stripe のカスタマー、バックアップ、キー、カウンター、コストを消去。
28. 2026年10月30日回答への評価：アカウントもテキストも含まない、単純な匿名カウンター。
29. 2026年10月30日パスフレーズで暗号化するバックアップ（PBKDF2、600,000回の反復、AES-256-GCM）。
30. 2026年10月30日暗号化された共有リンク。鍵はリンクの # に置かれ、中の画像も同じ鍵で暗号化されます。
31. 2026年10月30日セキュリティヘッダー：ページが通信できるのは、私たちのサーバー、Supabase、メディアの CDN、Cloudflare だけです。
32. 2026年10月30日API キー：SHA-256 フィンガープリントのみを保存。
33. 2026年10月30日メールのコードによるログイン。アカウントなしの試用は IP アドレスのフィンガープリントに紐づき、アドレスそのものには紐づきません。
34. 2026年10月29日ブラウザ内での履歴の暗号化（AES-256-GCM、ブラウザごとに書き出し不可の鍵を1つ）。