プライバシーポリシー

Site Pulseがアクセスするもの

お客様がGoogleアカウントの接続を選んだとき、Site PulseはGoogleに次の許可を求めます。

• Google Analyticsのデータの表示とダウンロード（https://www.googleapis.com/auth/analytics.readonly）。Site Pulseはこの許可を使って、お客様のアカウントで閲覧できるGoogle Analytics 4プロパティ（プロパティ名とアカウント名、プロパティID、タイムゾーン）を一覧表示し、それらの集計レポートを読み取ります。読み取るのは、現在および過去30分間のアクティブユーザー、今日と昨日のユーザー、過去7日間のユーザー、そして曜日・時間帯ごとのいつものユーザー数です。ウィジェットのために、過去30分間の1分ごとのアクティブユーザー、過去24時間の1時間ごとのユーザー、そして今月と先月の日ごとのユーザー、上位の国、トラフィックの参照元も読み取ります。サイトの詳細を開いている間は、過去30分間に限り、訪問者がどこにいるのか（国、そして開いた国の中の都市）、閲覧しているページのタイトル、使用しているデバイスの種類（デスクトップ、モバイル、タブレット）、訪問によって送信されたイベントの名前（ページビューやスクロールなど）も、すべて集計値として読み取ります。各サイトのウェブサイトのアドレスを調べるために、プロパティのウェブデータストリーム（デフォルトのアドレスのみで、訪問者のデータは含みません）を読み取ります。アクセスは読み取り専用で、Site Pulseがお客様のAnalyticsアカウントの内容を変更することはできません。
• メールアドレスと基本的なサインイン情報（openidとemail）。Site Pulseはこれらを、どのGoogleアカウントが接続されているのかを表示し、接続された複数のアカウントを区別するためだけに使います。

Site Pulseがそれ以外のGoogleのデータにアクセスすることはありません。また、お客様のウェブサイトの個々の訪問者を見ることもありません。Google Analyticsがレポートするのは集計値だけです。

Site Pulseは、このためにGoogleの追加の許可を求めることはありません。データストリームと詳細レポートは、同じ読み取り専用のanalytics.readonlyの許可で読み取ります。

iPhoneとiPadでは、お客様自身のサイトのライブアクティビティに、もうひとつ同意が必要です。Site Pulseのサーバーが、同じ3つのスコープ（analytics.readonly、openid、email）で独自の許可をGoogleに求めます。これはGoogleアカウントごとに1回、お客様がアプリで同意した後にのみ行われます（ライブアクティビティのサーバーをご覧ください）。

アカウントを接続していない場合、Site Pulseはシミュレーションされた訪問者のいるデモサイトを表示し、GoogleにもSite Pulseのサーバーにもリクエストを送りません。デモのライブアクティビティは、iPhoneまたはiPadの上だけで作られます。

データの保存場所

お客様のデバイス（Mac、iPhone、iPad）と、お客様自身のiCloudアカウントに保存されます（iCloudでの同期をご覧ください）。Site Pulseのサーバーがライブアクティビティのために保管するものは、ライブアクティビティのサーバーに別途記載しています。

• 接続した各アカウントについて、Googleが発行するサインイントークンを、アカウントのメールアドレスとGoogleアカウントID（アカウントの表示と、複数のアカウントの区別に使用）とともに、キーチェーンに保存します。iCloudキーチェーンがオンになっている場合、このキーチェーン項目はお客様のほかのデバイスにも同期されます（iCloudでの同期をご覧ください）。
• プロパティの一覧（それを閲覧できるGoogleアカウントIDごとに、各プロパティのウェブサイトのアドレスとともに整理）と、各サイトのいつものトラフィックのパターンは、アプリ専用のフォルダ（すべてのデバイスで、アプリのサンドボックス内のApplication Support）にキャッシュされます。これにより、アプリがすばやく起動し、リクエストの数も減ります。
• 見守っている各サイトのアイコンと、Site Pulseがサイトのタイルの色付けに使うそのメインカラーは、アプリ専用のフォルダ（Application Support）にキャッシュされ、更新は多くても週に1回です。
• お客様の設定（見守るサイト、短い名前、色、順序、オプション）は、アプリの環境設定に保存されます。iCloudでの同期に記載した選択内容は、iCloudを通じても同期されます。

ウィジェット

デスクトップ、通知センター、ホーム画面、ロック画面にSite Pulseのウィジェットを追加すると、アプリはウィジェットに表示するデータを、そのデバイス上の共有フォルダ（App Groupコンテナ。Macでは~/Library/Group Containers/566SSXX9H8.com.sgumz.sitepulse/）に保存します。保存される内容は次のとおりです。

• 見守っているサイトごと、およびすべてのサイトの合計についての、集計されたアナリティクスの数字のスナップショット。月ごと・日ごとのユーザー（今月と先月）、カーブとして表示する過去24時間、上位の国（今月と先月）とトラフィックの参照元、現在のリアルタイムの人数、過去30分間の1分ごとのアクティブユーザー、スパイク中のサイト、これらの数字から計算したいくつかのハイライト、そしてサイトの名前、プロパティID、色、モノグラム、タイムゾーン、各サイトを読み取るGoogleアカウントID。
• ウィジェットがどの詳細を表示すべきかを判断するための、Site Pulse Proが有効かどうか、どのプランか、いつまでか（Site Pulse Proをご覧ください）。
• 見守っているサイトのアイコンのコピー。
• 過去31日間に、見守っているサイトでスパイクが始まった時刻の記録（プロパティIDと開始時刻のみ）。
• iPhoneとiPadでは、ウィジェットが最後に自分でデータを取得した時刻についての小さなメモ（下記参照）。最後に試みた時刻、Googleから頻度を下げるよう求められたかどうか、次回どのサイトを最初に取得するか。

このフォルダを読み取るのは、Site Pulseとそのウィジェットだけです。このフォルダの内容がデバイスの外に出ることはなく、iCloudで同期されることもありません。

Macでは、ウィジェット拡張機能はネットワークにアクセスできず、キーチェーンに保管されたGoogleのサインイントークンを読み取ることもありません。数字は、上記と同じ読み取り専用の許可を使って、アプリが取得します。

iPhoneとiPadでは、iOSがアプリのバックグラウンド実行をほとんど許可しないため、ウィジェットが自分で新しい数字を取得することがあります。手元のデータが15分以上前のものになると、ウィジェット拡張機能はお客様自身のサインイン情報を使って、Google Analyticsに直接接続します。キーチェーンからサインイン情報を読み取り（アプリが使うものと同じ項目で、変更することはありません）、Googleから短期間だけ有効なアクセストークンを取得し、見守っているサイトについて同じ集計レポート（リアルタイムのユーザー、1分ごと・1時間ごとのユーザー、今月の数字）を、上記と同じ読み取り専用の許可でリクエストします。試みるのは多くても5分に1回で、数秒で応答がなければあきらめます。アクセストークンはメモリ内にのみ保持されます。新しい数字は上記のスナップショットに書き込まれ、それ以外のものがどこかに送信されることはありません。アカウントを接続していない場合、またはデモサイトの場合、ウィジェットはリクエストを送りません。

Site Pulseの実行中（iPhoneとiPadでは、iOSが許可したときのバックグラウンドでの更新中も）、アプリは約15分ごとに、また見守るサイトを変更したりアカウントを削除したりした少し後に、スナップショットを書き直します。そのたびに、見守らなくなったサイトはスナップショットから外れ、そのアイコンのコピーは削除され、スパイクの記録からもそのサイトの項目が削除されます。31日より古いスパイクも削除されます。Googleアカウントが接続されていない場合、スナップショットにはシミュレーションされたデモサイトが保存され、アイコンのコピーとスパイクの記録は削除されます。macOSは、アプリを削除してもMacのフォルダを削除しません。すべてを削除するには、上記のフォルダを削除してください。

サイトの詳細に表示される国、都市、ページのタイトル、デバイス、イベントは、その詳細を開いている間だけ取得されます。これらはSite Pulseの実行中はメモリ内に保持され（そのため、詳細を開き直すとすぐに表示されます）、ディスクに書き込まれることはなく、アプリを終了すると消去されます。

ウェブサイトのアイコン

各サイトのアイコンを表示するため、Site Pulseはお客様のウェブサイトから直接アイコンをダウンロードします。Google Analyticsがそのサイトについて記載しているウェブサイトのアドレスをリクエストし（リダイレクトがあればそれに従います）、そのホームページを読み取り、ページ自体がリンクしているアイコンの場所をリクエストします。アイコンの場所は、そのサイトが使っているコンテンツ配信ネットワーク上にある場合もあります。Site Pulseが、第三者のファビコンやアイコンのサービスを使うことはなく、これらのリクエストでAnalyticsのデータを送ることもありません。これらは通常のウェブリクエストなので、お客様のウェブサイトのサーバーログに記録される場合があります。

Site Pulseは、失敗したリクエストとその対象のプロパティIDなど、簡単な診断メッセージをデバイスのシステムログに書き込みます。これらはそのデバイスにとどまり、アナリティクスの数字やトークンは含まれません。

Site Pulseは、暗号化された接続でGoogleのサーバー（accounts.google.com、oauth2.googleapis.com、analyticsdata.googleapis.com、analyticsadmin.googleapis.com）と直接通信し、アイコンを取得するためにお客様自身のウェブサイトと通信します（上記参照）。iPhoneとiPadでは、お客様が自分のサイトのライブアクティビティを始めるか、スパイクアラートをオンにすると、アプリはapi.ga4live.appにあるSite Pulseのサーバーとも通信します（ライブアクティビティのサーバーに記載）。また、iPhoneまたはiPadでサインアウトすると、アプリはそのアカウントについて保管しているものを削除するよう、サーバーに依頼します。iPhoneとiPadのウィジェットが通信するのは、oauth2.googleapis.comとanalyticsdata.googleapis.comだけです。Macのアプリが、Site Pulseのサーバーと通信することはありません。サーバーがライブアクティビティのために保管するものを除き、アプリに表示されるものが開発者に送信されたり、開発者によって保存されたりすることはありません。開発者がお客様のGoogleのデータを販売または共有することはなく、閲覧することもありません。

iCloudでの同期

複数のデバイスでSite Pulseを使う場合、2つのものがお客様自身のiCloudアカウントを通じてデバイス間で同期されます。この同期を運営しているのは開発者ではなくAppleで、Site Pulse独自のサーバーはこれに一切関与しません。

• Googleのサインイン情報（上記のサインイントークン、メールアドレス、GoogleアカウントID）は、同期可能な項目としてiCloudキーチェーンに保存され、Appleによってエンドツーエンドで暗号化されます。これにより、あるデバイスで接続したアカウントが、もう一度サインインしなくてもほかのデバイスに表示されます。同期されるのは、お客様のApple AccountでiCloudキーチェーンがオンになっている場合だけです。オフの場合、サインイン情報はサインインしたデバイスにとどまります。
• サイトの選択（見守るサイト、その順序、短い名前と色、さらにカラーモードと、お客様のアカウントで閲覧できるプロパティのID）は、iCloudのキー値ストレージを通じて同期されます。サインイントークンやアナリティクスの数字は含まれません。2つのデバイスで同時に変更された場合は、新しい方の変更が優先されます。

アナリティクスの数字、キャッシュ、アイコン、ウィジェットのスナップショットは同期されず、各デバイスがそれぞれGoogleから直接取得します。このセクションに記載したものがSite Pulseのサーバーに送られることはなく、開発者がお客様のiCloudのデータを読むこともできません。

Site Pulse Proと購入

Site Pulse Pro（月額または年額のサブスクリプション、または買い切り）は、AppleのApp StoreでApp内課金を通じて販売されます。支払い、無料トライアル、更新、返金、ファミリー共有は、Appleのプライバシーポリシーに基づいてAppleが取り扱います。Site Pulseが、お客様の支払い情報、氏名、Apple Accountを見ることはありません。

各デバイスで、Site PulseはそのデバイスにあるAppleのStoreKitに、有効なSite Pulse Proの購入を問い合わせ、その結果だけを保持します。保持するのは、Proが有効かどうか、どのプランか、いつまでかです。ウィジェットが詳細を表示またはロックできるよう、この情報はウィジェットのデータ（上記）と一緒に保存されます。

お客様自身のサイトのライブアクティビティはProに含まれるため、サーバーはProが有効かどうかを知る必要があります。お客様のiPhoneまたはiPadがサーバーを使うようになると（上記）、アプリは起動時、購入または復元の後、ライブアクティビティを始めたときに、App Storeが署名した最新の購入記録をSite Pulseのサーバーに送ります。サーバーはそれをAppleに確認し、Proが有効かどうか、いつまでか、購入の元のトランザクションID（Appleが割り当てる番号）、最後に確認した日時、そしてProの終了後は、いつ終了したかだけを保管します。また、その購入が更新、失効、返金されたときには、Appleがサーバーに通知します。サーバーが、お客様の氏名、Apple Account、支払い情報を見ることはありません。Macでは、Proのステータスがデバイスの外に出ることはありません。

無料トライアルを始めると、Site Pulseは通知を1件送る許可を求め、許可された場合は、トライアルが終わる2日前にデバイス上でリマインダーを予約します。このリマインダーはローカル通知で、どのサーバーも経由しません。

ライブアクティビティのサーバー

iPhoneとiPadでは、ライブアクティビティがサイトのリアルタイムの数字をロック画面に（iPhoneではダイナミックアイランドにも）表示します。iOSはアプリが1分ごとにバックグラウンドで実行されることを許可しないため、その部分はSite Pulse独自のサーバーが担います。アプリを閉じている間、サーバーはお客様のサイトの数字をGoogle Analyticsから読み取ってお客様のiPhoneまたはiPadに送り、ライブアクティビティを1分ごとに更新し、サイトがスパイクしたときにはライブアクティビティを開始します。サーバーは開発者が米国のGoogle Cloud上で運用しており（us-west1リージョンのCloud RunとFirestoreデータベース、鍵はCloud KMSで管理）、api.ga4live.appで応答します。Macのアプリがこのサーバーと通信することはなく、デモサイトのライブアクティビティは、サーバーを使わずにiPhoneまたはiPadの上で作られます。

サーバーが関わる場合

• お客様が使う場合に限ります。サインインやデモで、サーバーに登録されることはありません。お客様のiPhoneまたはiPadがサーバーに登録されるのは、お客様が同意したときだけです。お客様が自分のサイトのライブアクティビティを始めるか、スパイクアラートをオンにすると、Site Pulseがサーバーの保管するものを説明し、「Continue with Google」をタップするまでは何も送信されません。それ以降は、Site Pulseを開くたびに（新しいプッシュトークンやProの購入などとともに）その登録を更新します。これは、スパイクアラートをオフにした後も、「Delete my Live Activity data」をタップするまで続きます。Site Pulseを30日間開かなかった場合、サーバーは登録を削除し、次にアプリを開いたときに新しい登録が作られます。登録にアナリティクスのデータは含まれません。含まれるのは、下記の「各デバイスについて」に記載した項目と、接続された各アカウントについてのGoogleの短期間だけ有効なサインインの証明（IDトークン）だけです。サーバーはこれを確認し、そこからアカウントIDだけを保管します。
• お客様の同意。サーバーがお客様のGoogle Analyticsを読み取るのは、サーバー独自の許可がある場合だけです。お客様が初めて自分のサイトのライブアクティビティを始めるか、スパイクアラートをオンにしたとき、Site Pulseはサーバーが保管するものを説明し（「Live updates while Site Pulse is closed」）、その後Googleの同意ページを開きます。お客様はそこで許可することも、拒否することもできます。お客様のデバイスにあるサインイントークンが、デバイスの外に出ることはありません。

サーバーが保管するもの

要約すると、同意の前にアプリが説明するとおり、暗号化されたGoogleの許可、選択したサイトとその名前、スパイクを見つけるための各サイトのいつものトラフィック、実行中のライブアクティビティに表示される最新の数字、そしてこのデバイスのIDです。詳細は次のとおりです。

• 同意した各Googleアカウントについて：サーバーのGoogleの許可（リフレッシュトークン）。Google Cloud KMSの外に出ることのない、KMS内の鍵で暗号化されます。アカウントのGoogleアカウントID（メールアドレスではなく番号）。許可が与えられた日時と、それがまだ有効かどうか。
• 各デバイスについて：ランダムなインストールID。以降のリクエストが同じデバイスから送られたことを証明するための、デバイスのシークレットの一方向ハッシュ。iOSがSite Pulseに与える、サーバーがそのデバイスでライブアクティビティを開始できるようにするプッシュ開始トークンと、Appleがそのトークンの失効を報告した場合はその日時。More Frequent Updatesがオンかどうか。アプリのバージョン。Appleのどのプッシュサービスを使っているか（開発用またはApp Store）。アプリを最後に開いた日時。そのデバイスでサインインしているGoogleアカウントID。そしてProをお持ちの場合は、Site Pulse Proに記載した購入ステータス。
• スパイクアラートがオンの間：アプリが開く前でもスパイクアラートでサイト名を伝えられるよう、選択したサイト（Google AnalyticsのプロパティIDとタイムゾーン）と、アプリから送られたその名前。スパイクを見つけるための各サイトのいつものトラフィック（過去28日間の、曜日・時間帯ごとの平均ユーザー数と、サイトの直近の数分間がそれと比べてどうか）。最後のスパイクが始まった日時。そしてサイトがスパイクしている間は、いつからか、いつもの何倍か。
• ライブアクティビティの実行中：表示しているサイト（プロパティIDとタイムゾーン）、開始と停止の日時、そして表示している最新の数字。リアルタイムのユーザーと過去30分間の1分ごとのユーザー、昨日と比べた今日、上位の国と上位のページのタイトル、スパイクの倍率です。これらは1分ごとに置き換えられ、ライブアクティビティが終了すると削除されます。お客様が自分で始めたライブアクティビティについては、サーバーはサイト名を保管せず、iPhoneまたはiPadの側で名前を付け加えます。
• 取り消しを待っている許可：サーバーがアカウントを削除するときにGoogleまたはCloud KMSに接続できなかった場合、暗号化された許可だけが単独で保管され、毎日再試行されて、遅くとも約30日後に削除されます。

それ以外のアナリティクスの数字はサーバーを通過するだけで、保管されません。サーバーが読み取りの許可で読み取るのは、次の集計レポートだけです。過去30分間の1分ごとのユーザー、現在の上位の国とページ、今日と昨日のユーザー、そして過去28日間の曜日・時間帯ごとのユーザー。Googleの短期間だけ有効なアクセストークンは、サーバーのメモリ内にとどまります。サーバーがAnalytics Admin APIを読み取ることはなく（サイトの情報はアプリから受け取ります）、個々の訪問者を見ることもありません。

サーバーから送られるもの

ライブアクティビティの更新は、Apple Push Notification serviceを通じてお客様のiPhoneまたはiPadに届きます。更新には上記の数字が含まれます。更新の中でサイトは、プロパティIDそのものではなく、アカウントIDとプロパティIDから作られたコードで示されます。スパイクアラートには、サイト名も含まれます。それ以外の誰かに何かが送られることはありません。Google Cloudは、開発者に代わってサーバーを保存・実行しています。サーバー自身のログには、各リクエストのルートと結果、エラーの種類が記録されますが、トークン、ID、アナリティクスの数字が記録されることはありません。また、Google Cloudは標準のリクエストログ（各リクエストの時刻とネットワークアドレスを含む）を、サーバーのログのデフォルトの保持期間である30日間保持します。

オフにする方法と削除する方法

• Settings → Live Activities → 「Start a Live Activity when a site spikes」：オフにすると、このデバイスの選択したサイト、その名前、いつものトラフィックが削除されます。お客様のほかのどのデバイスでもスパイクアラートがオンになっておらず、そのアカウントのライブアクティビティがひとつも実行されていない場合は、アカウントのGoogleの許可もGoogleで取り消され、あわせて削除されます。
• Stop（アプリ内、またはライブアクティビティ上）をタップするとライブアクティビティが終了し、サーバーはその最新の数字を削除します（お客様のほかのデバイスで同じものが表示されなくなった時点で）。スパイクアラートがひとつもオンになっていない場合でも許可は残るため、次のライブアクティビティはもう一度確認されることなく始まります。これは、下記のほかの方法のいずれかで許可が削除されるまで続きます。
• Settings → Live Activities → 「Delete my Live Activity data」：サーバーは、このデバイス、そのライブアクティビティとスパイクアラート、そしてお客様のほかのどのデバイスでも使われなくなったすべてのアカウントを削除し、その許可をGoogleで取り消します。実行中のライブアクティビティは終了します。
• サインアウト（iPhoneまたはiPadでSettings → Accounts → Remove）すると、そのアカウントのライブアクティビティが終了し、お客様のすべてのデバイスについて、サーバーがそのアカウントについて保管しているものがすべて削除され、その許可がGoogleで取り消されます。サーバーに接続できない場合は、次にアプリを開いたときにアプリがサーバーに伝えるか、下記の30日間のルールが適用されます。Macでアカウントを削除した場合、サインイン情報がiCloudキーチェーンで同期されていて、iPhoneまたはiPadでライブアクティビティを使っていれば、次にそのデバイスでSite Pulseを開いたときに、そのデバイスを通じてサーバーに伝わります。
• 自動的に：Site Pulseが30日間開かれていないデバイスは、そのライブアクティビティとスパイクアラートとともに削除され、ほかのどのデバイスでも使われていないアカウントもすべて削除されます。デバイスがSite Pulseからライブアクティビティを受け取れなくなったとAppleが報告した場合（通常はアプリがそのデバイスから削除されたためで、サーバーは次にそのデバイスでライブアクティビティを開始しようとしたときにそれを知ります）、サーバーはそのデバイスのプッシュ開始トークンを破棄し、ただちにそのサイトのスパイクの監視を停止します。7日以内にそのデバイスでSite Pulseが再び開かれない限り（開かれた場合は新しいトークンが送られ、スパイクアラートが継続されます）、そのデバイスは同様に、ライブアクティビティとスパイクアラート、そしてほかのどのデバイスでも使われていないすべてのアカウントとともに削除されます。30日間のルールは、これとは関係なく適用されます。また、Proを利用していたすべてのデバイスでProが終了してから16日が経つと、アカウントの許可とデータも削除されます。この確認は毎日行われます。
• Googleで：myaccount.google.com/connectionsでSite Pulseを削除します。許可はただちに無効になり、サーバーは次にその許可を使おうとしたときに暗号化されたコピーを削除します。実行中のライブアクティビティには「paused · reconnect in Site Pulse」と表示されます。

サポートページの「メールで問い合わせる」ボタンから、サーバーが保管しているお客様のデータをすべて削除するよう依頼することもできます。

Google API サービスのユーザーデータに関するポリシー

Site PulseのアプリおよびSite Pulseのライブアクティビティのサーバー（api.ga4live.app）において、Google APIから受け取った情報をSite Pulseが使用し、ほかのアプリに転送する場合は、制限付き使用の要件を含むGoogle API サービスのユーザーデータに関するポリシーを遵守します。

具体的には、Site PulseはGoogle APIから得たデータを、お客様自身のアナリティクスをお客様に表示するためだけに使います。アプリ、ウィジェット、ライブアクティビティでの表示がこれにあたり、お客様のサイトがスパイクしたときにお知らせすることも含みます。サーバーもデータをその目的のためだけに使い、お客様自身のデバイスにだけ（Apple Push Notification serviceを通じて）送ります。Site Pulseがデータをほかの誰かに転送することはなく、広告に使うことも、AIや機械学習モデルの学習に使うことも、誰かに閲覧させることもありません。

データの保護

Googleのサインイン情報とアナリティクスのデータは機密性の高い情報です。そのためSite Pulseは、それらが存在するあらゆる場所で保護しています。

• 最小限の権限。Site PulseがGoogleに求めるのは、Google Analyticsへの読み取り専用のアクセス（analytics.readonlyの許可）と、アカウントを表示するためのメールアドレスとアカウントIDだけです。Analyticsの設定やデータを変更することはできず、Googleアカウント内のそれ以外のものへのアクセスを求めることもありません。
• 通信の暗号化。アプリとGoogle、アプリとライブアクティビティのサーバー、サーバーとGoogleまたはAppleの間のすべての接続に、HTTPS（TLS）を使用しています。暗号化されずに送信されるものはありません。
• お客様のデバイスで。Googleのサインイントークンは、オペレーティングシステムが暗号化し、Site Pulseだけが使えるようロックするAppleのキーチェーンにのみ保管されます。iCloudキーチェーンでは、エンドツーエンドで暗号化されて同期されるため、Appleでさえ読むことはできません。キャッシュされた数字と設定は、アプリのサンドボックス化されたコンテナと、お客様自身のiCloudアカウントの中にとどまります。
• 安全なサインイン。サインインは、システムのブラウザに表示されるGoogle自身の同意画面を通じて行われ、Site Pulseがお客様のGoogleのパスワードを見ることはありません。サインインにはPKCEと、署名付きで1回限りのstate値を使っているため、サインインの応答を傍受したり、再利用したりすることはできません。
• ライブアクティビティのサーバーで。サーバーが保管するGoogleの許可（リフレッシュトークン）は、KMSの外に出ることのない、Google Cloud KMS内の鍵で暗号化されます。データベースはインターネットからの直接のアクセスをすべて拒否し、読み書きできるのはサーバー自身だけです。また、Googleが保存時に暗号化しています。各デバイスは、サーバーが一方向のSHA-256ハッシュとしてのみ保存するシークレットを使って、自身を証明します。サーバー自身の鍵とシークレットはGoogle Cloud Secret Managerに保管され、サーバーの各部分は必要な権限だけで動作します。
• 最小限の保持。サーバーが保管するのは、上記のとおり、実行中のライブアクティビティに必要なものだけです。お客様がサインアウトしたとき、GoogleアカウントからSite Pulseを削除したとき、または開発者に依頼したときに、それを削除し、その許可をGoogleで取り消します。
• 販売しない、人が読まない。お客様のデータが販売されることも、広告に使われることも、AIモデルの学習に使われることも決してありません。また、お客様が問題の解決のために開発者に助けを求めて許可した場合や、法律で求められた場合を除き、誰かがそれを読むこともありません。

お客様のデータに影響する漏えいを万一把握した場合は、何が起きたのか、どうすればよいのかとあわせて、不当に遅れることなくお知らせします。

トラッキングとアナリティクス

Site Pulseには、アナリティクス、クラッシュレポート、広告、トラッキングのSDKは含まれていません。お客様の使い方について記録する唯一のものは次のとおりです。お客様のiPhoneまたはiPadがサーバーを使うようになると、サーバーはそのデバイスでSite Pulseが最後に開かれた日時を保管します。これは、30日間開かれなかった場合にそのデバイスのデータを削除するためだけに使われます。macOS、iOS、iPadOSでクラッシュレポートをデベロッパと共有することを選んだ場合、Appleは自社のプライバシーポリシーに基づいて、それを開発者に渡すことがあります。クラッシュレポートに、お客様のGoogleのデータは含まれません。

このウェブサイト

ここまでの内容はすべて、Site Pulseのアプリとそのサーバーについてのものです。このウェブサイト、ga4live.appはそれとは別のもので、訪問数を計測し、どのページが読まれ、App Storeのボタンなど、どのリンクが使われているかを把握するために、Google Site Kitを通じてGoogle Analyticsを使っています。Google Analyticsはお客様のブラウザにCookieを設定し、お客様のIPアドレス、ブラウザとデバイスの詳細、閲覧したページを受け取ります。Googleは、そのデータを自社のプライバシーポリシーに基づいて取り扱います。また、初めてアクセスしたときに、このサイトを配信するネットワーク（Amazon CloudFront）が、お客様の接続元の国から選んだ言語コード（例：「ja」）だけを保存するgl_localeという名前のCookieを設定します。これは、お客様の言語のページをサイトから提案するためのものです。有効期間は1年で、個人データは含まれず、共有されることもなく、いつでも削除できます。サイトがこのCookieを使うのはその提案のためだけで、お客様の代わりに言語を選んだり、ページを自動的に転送したりすることはありません。サイトのフォントはこのサイト自体から配信しており、お客様のIPアドレスがフォントサービスに送られることはありません。このサイトに広告は表示されず、お客様に関する情報を販売することもありません。コンテンツブロッカー、またはGoogleのオプトアウト アドオンを使うと、このサイトでのGoogle Analyticsを停止できます。

アクセスの取り消しとデータの削除

• Site Pulseで：お使いのいずれかのデバイスでSettings → Accountsを開き、アカウントの横にあるRemoveをクリックします。これにより、そのトークン、メールアドレス、アカウントIDがキーチェーンから削除され、GoogleでのSite Pulseのアクセスが取り消され、そのアカウントだけが閲覧できたサイトの情報も消去されます。サインイン情報はiCloudキーチェーンで同期されるため、あるデバイスでアカウントを削除すると、ほかのデバイスからも削除されます。iPhoneとiPadでは、Site Pulseのサーバーがそのアカウントについて保管しているものも削除されます。
• ライブアクティビティのサーバー：オフにする方法と削除する方法をご覧ください。
• Googleで：Googleアカウント → セキュリティ → サードパーティ製のアプリとサービスとの接続（myaccount.google.com/connections）を開き、Site Pulseを選んでアクセスを削除します。
• すべて：アプリとそのコンテナ（~/Library/Containers/com.sgumz.sitepulse）を削除すると、キャッシュされたすべてのデータと設定が削除されます。ウィジェットのフォルダ ~/Library/Group Containers/566SSXX9H8.com.sgumz.sitepulse も削除してください。サインイン情報は、キーチェーンアクセスで手作業で削除するのではなく、Settings → Accounts → Remove（上記）で削除します。iPhoneとiPadでは、アプリを削除するとそのデバイスからキャッシュと設定が削除されますが、同期されたサインイン情報は、いずれかのデバイスのSite Pulse（Settings → Accounts）でアカウントを削除するまで、iCloudキーチェーンに残ります。

お子さまについて

Site Pulseはウェブサイトのオーナーのためのツールであり、お子さまを対象としたものではありません。

変更

本ポリシーが変更された場合は、新しい発効日とともに、新しいバージョンをこのページに掲載します。

お問い合わせ

Sandro Gumz · サポートページの「メールで問い合わせる」ボタンからご連絡ください