プライバシーと暗号化

Arion が何をどこに保存するか、そしてアカウントにできること、できないこと。

デバイスに残るもの

マイクの音声は入力中のあいだだけメモリに保持され、終わると破棄されます。下書きや修正も同じです。

整文のためにコンテキストをオンにすると、Arion はアクセシビリティ機能を通じてフォーカス中の入力欄のカーソル周辺の限られた範囲と、フォーカス中のウィンドウの表示テキストを読み取ります。内容は保存せず、パスワード欄や種類の分からない欄は読みません。

利用状況は、回数・話した時間・語数の日ごとの合計だけです。文字、アプリ名、時刻は含みません。

モデルのダウンロード：公開されているファイルで、使う前に固定の SHA-256 ダイジェストと照合します。

アップデートの確認：Arion 更新センターからリリース情報を読むだけで、内容やデバイス識別子は送りません。適用前に署名を検証し、自動確認はオフにできます。

任意のサインインとクラウド整文：サインインまたはアカウント管理のときだけアカウントサービスに接続します。クラウド整文プロバイダーを接続した場合は、認識後のテキストと有効なコンテキストだけを送り、音声は送りません。Arion にはクラウド音声認識もテレメトリもありません。

承認した語彙と学習した語彙は AES-256-GCM で暗号化されます。鍵はデバイス上で生成され、macOS ではログインキーチェーン（このデバイスのみ）に、Windows では DPAPI で保護されます。

鍵が見つからない、または整合性の検証に失敗した場合はエラーになります。平文に戻すことは決してありません。

同期は開発中で、まだ使えません。設計は仕様で決まっています。各レコードはアップロード前にデバイス上で暗号化され、グループ鍵を持つデバイスだけが読めます。

新しいデバイスは、既存のデバイスか復旧キーを使って参加します。デバイスを外すと、以降の書き込み用の鍵が更新されます。

リレーはホスト型でもセルフホストでも、時刻、IP アドレス、デバイスとグループのルーティング識別子、暗号文のサイズを見ることができます。暗号化はこうしたメタデータを隠せず、すでに侵害されたデバイスも守れません。

アカウントは任意です。音声入力、語彙、学習はアカウントなしで動きます。

サインインは、あなたが誰で、ホスト型同期を使えるかをホスト型リレーに伝えるためのものです。アカウントは鍵を持たず、同期した内容を復号できません。AstraFoundry にもできません。ホスト型リレーは、各同期スペースがどのアカウントのものかを把握します。

サインアウトしても、デバイス上の鍵と語彙は残ります。同期をオフにすることと、サーバー上のデータを削除することは別の操作です。

すべてのデバイスと復旧キーを失うと、同期したデータは失われます。アカウントの復旧で戻るのはサインインで、データではありません。

すでにデバイスにダウンロードされた文字は、そのデバイスを外したあとでも遠隔で消すことはできません。