Privacy Policy

Version 2.4 — Effective: October 23, 2026

1. Information We Collect

Veil is designed to collect the minimum information necessary to provide the service:

• Anonymous authentication: A random user ID is generated when you first use the App. No email address, phone number, or personal information is required.
• Encrypted content: Messages, photos, videos, album comments, profile images, and calendar plans are encrypted on your device before being sent to our servers.
• Device information: Your device platform (iOS/Android), selected language, and which App features your version supports are stored for service improvement and analytics.
• FCM token: If you opt in to push notifications, your device token is stored to deliver notifications.
• Usage data: Message count, storage usage, call count (version 3.0.0 and later), and last login time are tracked for quota management and dormant account detection.
• Information used to choose ads: The gender you picked at first launch ("Prefer not to say" is available) and your region. They are sent to our server to choose ads and offers, and are not stored with your account.
• Install referrer (Android): The click identifier and campaign labels Google Play passes on when you install after tapping one of our ads. See Section 10.
• Phone change records: Records made when you move to a new phone (transfer code, backup restore, or a code from your partner's phone). See Section 7.

2. How We Use Information

We use the information we collect to:

• Provide and maintain the messaging service between you and your partner
• Enforce storage quotas and usage limits
• Deliver push notifications (if enabled by you)
• Move your pair to a new phone
• Display curated advertisements to free-plan users
• Measure the effectiveness of our own ads (Android, Section 10)
• Detect unauthorized access and keep the service secure
• Detect and clean up dormant accounts
• Improve the service through aggregated, anonymous analytics

3. Data Encryption

Veil encrypts the following content on your device before sending it to the server:

• Text messages
• Photos and videos (chat, album, and calendar)
• Album comments
• Calendar plans (titles and comments)
• Profile images
• Link previews (the title, description, and preview image of links you send) (version 3.0.0 and later)
• Push notification payloads

The encryption key is created on your device from information unique to your couple, and the key itself is never sent to the server. The server stores encrypted data. This design does not, however, guarantee that we could not reproduce the key. In our normal operations, we do not access the contents of encrypted content.

Notification previews: When you send a text message, its opening (up to 30 characters) is also encrypted with a separate notification key and stored, for display in a notification. Only when the recipient has set Notification detail to "Full" does our server decrypt it and include it in the notification. It is not used under "Restricted" (the default).

Link previews (version 3.0.0 and later): When you send a message containing a link and link previews are turned on, your device requests that page directly from the linked website to create the preview. The website receives your device's IP address and an ordinary web request, just as if you had opened the link yourself. Veil's servers do not receive the link or the page. The preview is encrypted on your device like your messages. You can turn this off in Settings → Privacy → Link previews. The recipient's device contacts the website only when they tap the link.

Chat background images are stored only on your device and are never uploaded to any server.

4. Calls (version 3.0.0 and later)

This section applies to Veil version 3.0.0 and later.

Veil provides voice and video calls between you and your partner. Calls work differently from everything else in the App, so they are described separately here.

• Call audio and video are never stored on our servers. Calls are not recorded, not transcribed, and no copy of a call exists anywhere in our systems.
• Call media is encrypted between the two devices. The audio and video of a call travel directly between your device and your partner's device, encrypted (DTLS-SRTP) with keys generated on the two devices. Those keys never leave the devices and we do not hold them, so we cannot decrypt call media — including when the call has to be relayed, as described below. The information used to match those keys is, however, part of the call set-up data described next, which passes through our servers.
• Call set-up information does pass through our servers. For a call to ring at all, the two devices exchange signalling data through us: which call it is, whether it is voice or video, its state (ringing, connected, ended), and the network addresses needed to connect. This means we can see that a call took place between two accounts and how long it lasted. What we cannot see is anything that was said or shown during it.
• On a direct connection, your partner's device learns your IP address, and your device learns theirs. This is inherent to peer-to-peer calling: it is the trade-off that keeps the conversation itself off our servers.
• When a direct connection is not possible — which is common on mobile networks — the call is carried by a relay server. The relay forwards already-encrypted packets and cannot decrypt them, so a relayed call is no less private than a direct one; only the route is longer.
• Quality measurements. Each call attempt records content-free operational data: whether it connected, how long it lasted, why it ended, which connection type was used, packet loss and jitter, together with the device platform, App version, and two-letter device language. These records contain no user ID, no couple ID, no call ID, and no free-text field, so they cannot be linked to you, to your partner, or to one another.
• Missed calls appear in your chat as a plain line showing a time and nothing else — no caller name, no call type, no duration. Calls are not written into your phone's own call history.

A note on wording. We do not use the term "end-to-end encrypted" for any feature, including calls. Call audio and video are encrypted between the two devices as described above and we do not hold the keys, but call set-up passes through our servers and there is currently no way for you to verify your partner's key directly. Stored content such as messages, photos, videos, and comments is encrypted on your device before it is sent, as described in section 3, but its key is derived from your couple's identifier.

5. Data Sharing

We do not sell your personal information. The following businesses handle information to provide the service:

• Google (Firebase): Stores data, provides authentication, and delivers push notifications. Stored content is encrypted as described in Section 3.
• RevenueCat: Manages subscription status (Section 11).
• Google Ads: Receives only the Android ad-measurement data (Section 10).
• Call relay service (version 3.0.0 and later): When a direct connection between the two devices is not possible, a call may be carried by a third-party relay service. The relay handles encrypted call packets only and has no access to their contents (Section 4).

We do not view the contents of your content in our normal operations.

6. Legal Requests

We may disclose data in our possession — such as encrypted metadata, account creation date, and last login time — in response to valid court orders, warrants, or other legal requests from competent authorities.

Because messages, photos, videos, album comments, and other content are stored on our servers in a form encrypted on your device, we can only disclose such content in encrypted form.

If we receive a report of suspected child sexual abuse material (CSAM), we will report it to the U.S. National Center for Missing & Exploited Children (NCMEC) or other relevant authorities.

7. Moving to a New Phone

• Transfer code: A code made on your old phone works only until it expires (5 minutes). When it was used and the new account that used it are recorded.
• Backup: The backup file is saved on your device and encrypted with a passphrase you choose. Neither the file nor the passphrase is ever sent to us. To confirm a restore, only a hash (a one-way value) of a secret inside the file is registered on our server.
• Partner approval (backups made before 3.0.0): The short message (up to 100 characters) and the device type you enter when requesting a restore are stored on our server unencrypted, so your partner can see them.
• A code from your partner's phone: The code, who issued it, and the new account that used it are recorded.
• After a phone change, your previous account IDs remain in the pair's records so your subscription history carries over.

8. Data Storage

• Data is stored on Firebase (Google Cloud) servers, mainly in Japan (Tokyo region); some processing takes place on servers in the United States.
• Media files are stored in Firebase Storage in encrypted form.
• Metadata (timestamps, file sizes, etc.) is stored unencrypted for service operation.
• Ads, offers, and App settings are delivered from our own server in Japan. The App sends its platform and version, and the gender and region used to choose ads.
• For security, we keep records of access to data (when, which account, and which data — never the content itself) for one year.

9. Data Retention and Deletion

• You can delete individual messages, album items, and comments at any time.
• You can also delete content shared by your partner.
• Disconnecting from your partner preserves shared data for potential reconnection.
• Accounts that have not opened the App for about 12 months may be deleted automatically, together with the pair's shared data. An account is not deleted while the partner keeps using the App or while Premium is active.

10. Advertising

• Free-plan users may see curated advertisements.
• We do not use programmatic ad networks (such as AdMob or Meta Audience Network).
• All advertisements are manually selected by the operator.
• In-app advertisements do not track your behavior or collect personal information.

Ad measurement (Android): To understand whether our own advertising is effective, the Android version of Veil records a small amount of information about how the App was installed.

• If you install Veil from Google Play after tapping one of our ads, Google Play passes a click identifier (such as a Google Click ID) and campaign labels to the App. Veil reads this once at first launch and stores it with your anonymous user ID. If you did not come from one of our ads, nothing meaningful is recorded.
• The click identifier is linked only to two events: completing pairing with your partner, and buying or renewing Premium. We report these events, with the purchase amount, to Google Ads to learn which ads led to real use.
• Messages, photos, videos, comments, profile images, and other content are never involved. Google Ads receives only the click identifier, the event type, the time, and the purchase amount.
• The click identifier is deleted 120 days after it is recorded. After that, only anonymous aggregates (for example, pairings per campaign) remain.
• Veil contains no third-party advertising or analytics SDK. This measurement runs on our own code and servers.
• The iOS version of Veil does not record install referrer information.

11. Subscriptions

• Subscription purchases are processed through the Apple App Store (iPhone) or Google Play (Android).
• Payment information is managed by Apple or Google; the operator neither receives nor stores it.
• Subscription status is managed through RevenueCat, a third-party subscription management service. RevenueCat receives your anonymous user ID and purchase information from Apple or Google, but does not access encrypted content.

12. Children's Privacy

Veil is intended for users aged 16 and older. We do not knowingly collect information from anyone under 16. If we learn that a user is under 16, we will immediately suspend the account and delete all associated data.

If you are a parent or guardian and believe your child has used Veil, please contact us at support@yotsubanet.org and we will take appropriate action.

13. Security

We take the following reasonable measures to protect your data:

• Content is encrypted on your device before transmission
• All data transfers use secure HTTPS connections
• App access requires a PIN or biometric authentication
• Optional screenshot protection
• Records of access to data are kept and suspicious access is monitored

14. Your Rights

You have the right to:

• Delete your content at any time
• Disconnect from your partner
• Request deletion of your account by contacting us

15. Changes to This Policy

We may update this Privacy Policy from time to time. The latest version is always available within the App and on our website.

16. Contact

For questions about this Privacy Policy, contact us at support@yotsubanet.org. We aim to respond to all inquiries promptly.

プライバシーポリシー

バージョン 2.4（2026年10月23日 施行）

1. 収集する情報

Veilはサービス提供に必要な最小限の情報のみを収集します：

• 匿名認証： 初回利用時にランダムなユーザーIDが生成されます。メールアドレス、電話番号、個人情報は不要です。
• 暗号化コンテンツ： メッセージ、写真、動画、アルバムコメント、プロフィール画像、カレンダーの予定は端末上で暗号化されてからサーバーに送信されます。
• 端末情報： サービス改善と分析のため、端末のプラットフォーム（iOS/Android）、選択言語、アプリが対応している機能の種類が保存されます。
• FCMトークン： プッシュ通知を有効にした場合、通知配信のためデバイストークンが保存されます。
• 利用データ： メッセージ数、ストレージ使用量、通話回数（バージョン 3.0.0 以降）、最終ログイン日時がクォータ管理と休眠アカウント検出のために記録されます。
• 広告の選定に使う情報： 初回に選んだ性別（「指定しない」も選べます）と地域。広告とおすすめ情報を選ぶために当社のサーバーへ送られ、アカウントとは紐づけて保存しません。
• インストール参照元（Android）： 当社の広告をタップしてインストールした場合に Google Play から渡されるクリック識別子とキャンペーンのラベル。第 10 節を参照。
• 機種変更の情報： 機種変更（引き継ぎコード、バックアップからの復元、パートナーの端末からの招き直し）を行ったときの記録。第 7 節を参照。

2. 情報の利用目的

収集した情報は以下の目的で利用します：

• あなたとパートナー間のメッセージングサービスの提供・維持
• ストレージクォータと利用制限の管理
• プッシュ通知の配信（有効にした場合）
• 機種変更の手続き
• 無料プランユーザーへのキュレーション広告の表示
• 当社の広告の効果測定（Android、第 10 節）
• 不正なアクセスの検出とセキュリティの維持
• 休眠アカウントの検出とクリーンアップ
• 集計された匿名データによるサービス改善

3. データの暗号化

Veilは以下のコンテンツを端末上で暗号化してからサーバーに送信します：

• テキストメッセージ
• 写真・動画（チャット、アルバム、カレンダー）
• アルバムコメント
• カレンダーの予定（タイトル・コメント）
• プロフィール画像
• リンクのプレビュー（送信したリンクのタイトル・説明・プレビュー画像）（バージョン 3.0.0 以降）
• プッシュ通知のペイロード

暗号鍵はカップル固有の情報から端末上で作られ、鍵そのものがサーバーに送信されることはありません。サーバーには暗号化されたデータが保存されます。ただし、この仕組みは当社が鍵を再現できないことを保証するものではありません。当社は通常運用において、暗号化されたコンテンツの内容にアクセスしません。

通知のプレビュー： テキストメッセージを送ると、通知に表示するための冒頭部分（最大30文字）が、通知専用の鍵で別に暗号化されて保存されます。受け取る人が通知の詳細度を「フル」にしている場合に限り、当社のサーバーがこれを復号して通知に載せます。「制限」（初期設定）の場合は使われません。

リンクのプレビュー（バージョン 3.0.0 以降）： リンクを含むメッセージを送信し、リンクのプレビューがオンの場合、プレビューを作成するためにお使いの端末がリンク先のウェブサイトへ直接ページを要求します。そのウェブサイトには、ご自身でリンクを開いた場合と同様に、端末の IP アドレスと通常のウェブリクエストが届きます。Veil のサーバーがリンクやページを受け取ることはありません。プレビューはメッセージと同様に端末で暗号化されます。この機能は「設定」→「プライバシー」→「リンクのプレビュー」でオフにできます。受信者の端末がウェブサイトに接続するのは、受信者がリンクをタップしたときだけです。

チャット背景画像は端末にのみ保存され、サーバーにアップロードされることはありません。

4. 通話（バージョン 3.0.0 以降）

この節は、バージョン 3.0.0 以降の Veil に適用されます。

Veilはあなたとパートナーの間で音声通話・ビデオ通話を提供します。通話は本アプリの他の機能とは仕組みが異なるため、ここで独立して説明します。

• 通話の音声・映像がサーバーに保存されることはありません。 録音・録画も文字起こしも行わず、通話の複製は当社のシステムのどこにも存在しません。
• 通話の音声・映像は、2台の端末の間で暗号化されます。 通話の中身はあなたの端末とパートナーの端末の間を直接流れ、2台の端末がそれぞれ生成した鍵で暗号化（DTLS-SRTP）されます。この鍵は端末の外に出ず当社は保有しないため、当社が通話の中身を復号することはできません。後述の中継経由の場合も同様です。ただし、鍵の照合に使う情報は次項の接続情報に含まれ、当社のサーバーを経由します。
• 一方、通話の接続情報（シグナリング）は当社のサーバーを経由します。 着信を鳴らすために、2台の端末は「どの通話か」「音声かビデオか」「状態（呼び出し中・通話中・終了）」「接続に必要なネットワーク情報」を当社経由でやり取りします。つまり当社には、2つのアカウントの間で通話が行われた事実と、その通話時間は分かります。分からないのは、その通話で話された内容・映された映像です。
• 直接接続（P2P）の場合、パートナーの端末にあなたのIPアドレスが伝わります（逆も同様です）。これはP2P通話に共通する性質であり、会話そのものをサーバーに通さないことの引き換えです。
• 直接接続ができない場合（モバイル回線ではよくあります）、通話は中継サーバーを経由します。中継サーバーは暗号化されたままのパケットを転送するだけで復号はできないため、中継された通話のプライバシーが下がることはありません。経路が長くなるだけです。
• 品質の計測。 通話ごとに、内容を含まない運用データを記録します：接続できたか、通話時間、終了理由、使用した接続方式、パケットロスとジッター、および端末プラットフォーム・アプリバージョン・端末の言語（2文字）です。この記録にはユーザーID・カップルID・通話ID・自由記述欄のいずれも含まれないため、あなた個人や特定の通話に結び付けることはできません。
• 不在着信は、チャット内に時刻だけの1行として表示されます（発信者名・通話種別・通話時間は表示されません）。通話がスマートフォン本体の通話履歴に残ることもありません。

表現についての補足。 当社は、通話を含むいずれの機能についても「エンドツーエンド暗号化」という語を使いません。通話の音声・映像は上記のとおり2台の端末の間で暗号化され、当社は鍵を保有しませんが、通話の接続情報は当社のサーバーを経由し、利用者が相手の鍵を直接確認する仕組みは現在ありません。また、メッセージ・写真・動画・コメントなど保存されるコンテンツは、第 3 節のとおり送信前に端末上で暗号化されますが、その鍵はカップルの識別子から派生したものです。

5. データの共有

お客様の個人情報を販売することはありません。サービスの提供のため、次の事業者が情報を扱います：

• Google（Firebase）： データの保存、認証、プッシュ通知の配信を行うサービスです。保存されるコンテンツは第 3 節のとおり暗号化されています。
• RevenueCat： サブスクリプションの状態を管理します（第 11 節）。
• Google 広告： Android の広告効果測定のデータのみを報告します（第 10 節）。
• 通話の中継サービス（バージョン 3.0.0 以降）： 2台の端末が直接接続できない場合、通話は第三者の中継サービスを経由することがあります。中継サービスが扱うのは暗号化された通話パケットのみで、その内容にアクセスすることはできません（第 4 節）。

当社が通常運用でコンテンツの内容を見ることはありません。

6. 法的要請への対応

当社は、有効な裁判所命令、令状、その他の法的要請を管轄当局から受けた場合、保有するデータ（暗号化されたメタデータ、アカウント作成日時、最終ログイン日時等）を開示することがあります。

メッセージ、写真、動画、アルバムコメント等のコンテンツは端末上で暗号化された状態でサーバーに保存されているため、当社が開示できるのは暗号化された形式のデータのみです。

児童性的虐待コンテンツ（CSAM）の疑いがある報告を受けた場合は、米国 NCMEC（National Center for Missing & Exploited Children）等の関係機関に通報します。

7. 機種変更

• 引き継ぎコード： 古い端末で発行したコードは、有効期限（5分）の間だけ使えます。使われた日時と、使った新しいアカウントが記録されます。
• バックアップ： バックアップファイルはあなたの端末に保存され、あなたが決めたパスフレーズで暗号化されます。ファイルとパスフレーズが当社に送られることはありません。復元の確認のため、ファイルに含まれる合言葉のハッシュ値（元に戻せない形）だけがサーバーに登録されます。
• パートナーの承認（3.0.0 より前のバックアップ）： 復元を申請するときに入力するひとこと（100字まで）と端末の種類は、パートナーに見せるため暗号化せずにサーバーに保存されます。
• パートナーの端末からの招き直し： 発行したコード、発行した人、使った新しいアカウントが記録されます。
• 機種変更の後も、以前のアカウントIDは、サブスクリプションの履歴を引き継ぐためにペアの記録として残ります。

8. データの保存

• データはFirebase（Google Cloud）のサーバーに保存されます。主に日本（東京リージョン）に保存されますが、一部の処理は米国のサーバーで行われます。
• メディアファイルは暗号化された状態でFirebase Storageに保存されます。
• メタデータ（タイムスタンプ、ファイルサイズなど）はサービス運用のために暗号化されずに保存されます。
• 広告、おすすめ情報、アプリの設定値は、日本にある当社のサーバーから配信されます。その際、アプリの種類とバージョン、広告の選定に使う性別と地域が送られます。
• セキュリティのため、データへのアクセス記録（いつ、どのアカウントが、どのデータにアクセスしたか。コンテンツの内容は含みません）を1年間保存します。

9. データの保持と削除

• メッセージ、アルバムアイテム、コメントはいつでも個別に削除できます。
• パートナーが共有したコンテンツも削除できます。
• パートナーとの接続解除後も、再接続の可能性のため共有データは保持されます。
• 最後にアプリを開いてから約12か月間使われていないアカウントは、そのペアの共有データとともに自動的に削除される場合があります。パートナーがアプリを使い続けている場合や、プレミアムをご利用中の場合は削除されません。

10. 広告

• 無料プランのユーザーにはキュレーションされた広告が表示される場合があります。
• プログラマティック広告ネットワーク（AdMob、Meta Audience Networkなど）は使用しません。
• すべての広告は運営者が手動で選定しています。
• アプリ内の広告は、ユーザーの行動を追跡したり、個人情報を収集したりしません。

広告効果の測定（Android）： 当社自身の広告が効果を上げているかを把握するため、Android 版の Veil はアプリのインストール経路に関する少量の情報を記録します。

• 当社の広告をタップした後に Google Play から Veil をインストールした場合、Google Play はクリック識別子（Google Click ID など）とキャンペーンのラベルをアプリに渡します。Veil は初回起動時に一度だけこれを読み取り、匿名ユーザー ID と紐づけて保存します。当社の広告経由でない場合、意味のある情報は記録されません。
• クリック識別子は、パートナーとのペアリング成立時、および Premium サブスクリプションの購入・更新時の 2 つのイベントにのみ紐づけます。これらのイベントを、購入金額とともに Google 広告に報告し、どの広告が実際の利用につながったかを把握します。
• メッセージ、写真、動画、コメント、プロフィール画像、その他のコンテンツは一切関与しません。Google 広告が受け取るのは、クリック識別子、イベントの種類、日時、購入金額のみです。
• クリック識別子は記録から 120 日後に削除されます。それ以降は、匿名の集計データ（例: キャンペーンごとのペアリング数）のみが残ります。
• Veil はサードパーティの広告・分析 SDK を含みません。この測定は当社自身のコードとサーバーで行っています。
• iOS 版の Veil は、インストール参照元の情報を記録していません。

11. サブスクリプション

• サブスクリプションの購入はApple App Store（iPhone）またはGoogle Play（Android）を通じて処理されます。
• 決済情報はAppleまたはGoogleが管理しており、運営者は決済情報を受け取らず、保存もしません。
• サブスクリプション状態はサードパーティのサブスクリプション管理サービスであるRevenueCatを通じて管理されます。RevenueCatは匿名ユーザーIDとAppleまたはGoogleからの購入情報を受け取りますが、暗号化されたコンテンツにはアクセスしません。

12. 児童のプライバシー

Veilは16歳以上の方を対象としています。16歳未満の方から意図的に情報を収集することはありません。16歳未満のユーザーが判明した場合は、即座にアカウントを停止し、関連するすべてのデータを削除します。

保護者の方でお子様がVeilを使用したと思われる場合は、support@yotsubanet.org までご連絡ください。適切な措置を講じます。

13. セキュリティ

データ保護のために以下の合理的な措置を講じています：

• 送信前に端末上でコンテンツを暗号化
• すべてのデータ転送に安全なHTTPS接続を使用
• アプリアクセスにPINまたは生体認証を要求
• オプションのスクリーンショット防止機能
• データへのアクセス記録の保存と、不審なアクセスの監視

14. お客様の権利

お客様には以下の権利があります：

• コンテンツをいつでも削除する権利
• パートナーとの接続を解除する権利
• お問い合わせによりアカウントの削除を要求する権利

15. ポリシーの変更

このプライバシーポリシーは随時更新される場合があります。最新版は常にアプリ内およびウェブサイトで確認できます。

16. お問い合わせ

このプライバシーポリシーに関するご質問は、support@yotsubanet.org までご連絡ください。すべてのお問い合わせに速やかに対応するよう努めます。