共通の約束
かわうそファクトリーのすべてのアプリに当てはまること
このポリシーは、かわうそファクトリー（川口達也）が提供するアプリ「Sky Gallery」「Sky Gallery +」「Clock Gallery」「Clock Gallery +」（以下まとめて「本アプリ」）と、その連携のためのサーバーが、利用者の情報をどう扱うかを説明します。すべてのアプリに共通することをこの節に、アプリごとに違うことを下の節に書いています。
1. アカウント・広告・解析はありません
本アプリに会員登録はありません。名前やメールアドレスを集めることはありません。利用状況の解析ツールや広告は入っていません。
2. 購入
購入は App Store などのストアを通して、そのストアの運営者（Apple など）が扱います。私たちがお支払いの情報を受け取ることはありません。
3. 設定は端末の中に
選んだ景色・時計・表示などの設定は、お使いの端末の中に保存します。
4. 子どもの情報
本アプリは子どもから個人情報を集めることを目的としていません。
5. このポリシーの変更
内容を変えるときは、このページを更新し、最終更新日を改めます。情報の使いみちを広げるときは、使う前に本アプリの中で知らせます。
6. お問い合わせ
Sky Gallery
Apple TV 版
サーバーとの通信
私たち（開発者）が運営するサーバーとの通信はありません。
位置情報と天気
- 「位置情報を使う」をオンにして許可したときだけ、Apple TV のおおよその位置（約1km の精度）を使います。使い道は、その場所の空と天気を描くことだけです。
- 天気は Apple の WeatherKit から受け取ります。そのため、位置（または選んだ都市の緯度・経度）が Apple に送られます。私たちが位置を受け取ったり、保存したりすることはありません。天気の出典は Apple Weather です。
- 位置情報を使わないときは、利用者が選んだ都市の緯度・経度で天気を受け取ります。
- 位置情報の許可は、Apple TV の「設定」からいつでも取り消せます。
端末の中に保存するもの
選んだ景色・表示・言語と地域・単位・サウンドなどの設定と、無料期間の始まりの日時は、お使いの Apple TV の中にだけ保存します。無料期間の始まりは、アプリを入れ直しても無料期間がやり直されないよう、端末のキーチェーンにも保存します。どれも私たちには送られません。
ほかのアプリやサイトへのリンク
「姉妹品 Clock Gallery のご紹介」から App Store のページを開くことがあります。その先の情報の扱いは Apple の方針に従います。
Clock Gallery
Apple TV 版ほか。連携のためのサーバー（clockgallery.app・pair.clockgallery.app）を含みます
本アプリは端末の位置情報を集めません。
Google カレンダーとつないだときに扱う情報
カレンダーとつなぐのは、利用者が自分で選んだときだけです。そのとき本アプリは Google から次の情報を受け取ります。
- Google アカウントのメールアドレス：どのアカウントとつないでいるかを画面に出すため
- カレンダーの一覧（calendar.calendarlist.readonly）：表示するカレンダーを選んでもらうため
- 予定（calendar.events.readonly）：前後7日の予定の件名・時刻・終日かどうか・出欠の状態を、時計の横の表示・次の予定までの時間・予定の前のお知らせに使うため
本アプリが求める権限は読み取りだけです。予定を作る・変える・消すことはできません。非公開の予定は件名を出さず「予定あり」と表示します。
どこに置くか
- 予定とカレンダーの一覧は、お使いの Apple TV の中にだけ置きます。本アプリは Google のサーバーから直接受け取り、私たちのサーバーを通しません。
- Google のアクセス許可（トークン）は、Apple TV のキーチェーン（その端末だけ・iCloud に同期しない領域）に置きます。長く使う許可（リフレッシュトークン）は、私たちのサーバーの鍵で暗号化した状態でだけ端末に置き、私たちのサーバーには保存しません。
- 私たちのサーバー（pair.clockgallery.app）は、サインインの受け渡しと、許可の更新の中継だけをします。サインインの受け渡しのための一時的な情報は最長10分で消えます。サーバーの記録に、トークン・メールアドレス・予定を残しません。
Google のデータの利用制限
本アプリが Google API から受け取った情報の利用と、他のアプリへの移転は、Google API Services User Data Policy（Limited Use の要件を含む）に従います。受け取った情報は、上に書いた表示のためだけに使います。広告・販売・第三者への提供・人による閲覧・AI の学習には使いません。
Apple（iCloud）カレンダーとつないだときに扱う情報
つなぐのは、利用者が自分で選んだときだけです。
- 入力された Apple アカウントのメールアドレスと App 用パスワード（appleid.apple.com で作るもの。Apple アカウントのパスワードではありません）：Apple TV のキーチェーン（その端末だけ）に置き、Apple の iCloud のサーバーにだけ送ります。私たちのサーバーには送りません。
- カレンダーの一覧と予定：Apple TV が Apple のサーバー（CalDAV）から直接読み取り（読み取りだけ）、端末の中にだけ置きます。
- メニューで接続を解除すると、パスワードと予定を端末から消します。
情報を守るしくみ
カレンダーの情報やアクセス許可のような機微な情報を、次のしくみで守っています。
- 通信の暗号化：本アプリ・私たちのサーバー・Google・Apple のあいだの通信は、すべて HTTPS（TLS）で暗号化します。
- 端末の中の保管：Google のトークンと Apple の App 用パスワードは、Apple TV のキーチェーンに「この端末だけ」の設定（ThisDeviceOnly）で置きます。ほかの端末へのバックアップや iCloud への同期はされません。予定は本アプリ専用の領域（ほかのアプリから読めないサンドボックス）にだけ置きます。
- リフレッシュトークンの暗号化：長く使う許可（リフレッシュトークン）は、私たちのサーバーの鍵で AES-256-GCM により暗号化した状態でだけ端末に置きます。私たちのサーバーはこれを保存しません。
- サインインの受け渡しの保護：サインインには PKCE を使い、サインインの結果はテレビが作った公開鍵で暗号化（ECDH P-256・AES-256-GCM）してテレビに渡します。テレビの画面とスマホに同じ6桁の番号を出し、利用者が見比べてからサインインします。許可の更新と取り消しの依頼には、テレビの鍵による署名（ECDSA P-256）を確かめます。
- サーバーでの扱い：受け渡しのための一時的な情報は最長10分で自動的に消します。トークン・メールアドレス・予定は、サーバーの保存領域にも記録（ログ）にも残しません。サーバーの鍵と Google のクライアントシークレットはソースコードに含めず、Cloudflare の秘密情報として保管し、開発者の限られた人しか扱えません。
- 最小限の権限：求める権限は読み取りだけで、表示に要る項目しか使いません。
つながりを解除する・情報を消す
- 本アプリのメニュー「カレンダー」→「接続を解除する」で、Google の許可を取り消し、端末の中のトークンと予定をすべて消します。
- Google アカウントのサードパーティのアクセスからも、いつでも許可を取り消せます。
- 本アプリを削除すると、端末の中の予定も消えます。
私たちのサーバーには利用者ごとの記録が無いため、サーバー側で消すものはありません。
天気
アプリで選んだ都市の名前（端末の位置情報ではありません）を当社の中継（pair.clockgallery.app）に送ります。中継は都市ごとに Apple の WeatherKit から天気を受け取り、30分のあいだ保存してすべての利用者に同じものを返します。利用者を識別する情報は保存しません。WeatherKit の天気の出典は Apple Weather です。