要点

GravesMail はローカル優先のメールクライアントです。あなたのメールは、あなたのコンピューターにダウンロードされ、そこにとどまります。私は、あなたのメールを保存、閲覧、処理するサーバーを運用していません。個人情報を収集しません。広告を表示しません。データを販売しません。あなたのメールに関する情報が、あなたのコンピューターの外に出ることはありません。メールサーバーを使うのは、あなたのメールの受信と送信のときだけです。

GravesMail が保存するデータ

すべてのデータは、ユーザープロファイル内にローカルで保存されます。Windows では %LocalAppData%\GravesMail、macOS、Linux、iOS、Android ではそれぞれのプラットフォームで相当する場所です。保存されるものとその理由は、次のとおりです。

暗号化されたデータベース。メールと、それに付随するデータのほぼすべては、全体が暗号化された 1 つのデータベースに収められています。すべてのメッセージ、件名、差出人、添付ファイルに加え、連絡先、カレンダー、署名、クイックルールと詳細ルール、安全リストとブロックリスト、差出人のレピュテーション、スパムフィルターの学習内容、調整済みのしきい値、セキュリティ設定です。これらは以前、データベースの横に置かれた個別のファイルでしたが、データベースに統合され、保護が強化されました。デバイスの外に移動したわけではありません。データの保存場所は何も変わっておらず、変わったのはローカルでの保存方法だけです。

データベースの外に置かれるファイル。データベースを開く前に必要になるか、データベースが失われても残らなければならないためです。

• データベースキー — デバイス自身のセキュアキーストア（Windows では DPAPI、macOS/iOS ではキーチェーン、Android では Keystore、Linux ではシステムのシークレットストア）に保管されます。自らが解錠するデータベースの中に置くことはできません。
• 保存されたアカウント資格情報 — IMAP/SMTP のパスワードと OAuth2 トークン。デバイスキーで暗号化され、意図的にメールデータベースとは別に保管されます。
• bmk.wrap — バックアップマスターキーのラップされたコピー。データベースの中ではなく、バックアップと一緒に置かれます。バックアップは、まさにそのデータベースが失われても残るために存在するからです。
• PGP 鍵リング — 標準のディスク上の形式で保管されます。秘密鍵リングは、専用のラップ用キーで保護されます。
• backups/ — 暗号化されたバックアップファイル（.gravesmail-backup）。バックアップマスターキーによる AES-256 暗号化
• バックアップカタログ — バックアップの内容をすぐに閲覧するための、ローカルのメタデータ索引（送信されることはありません）
• 削除ログ — 復旧用に保持される、削除されたメッセージの内容（保持期間は 30～365 日の範囲で変更可能）

アプリに同梱されるファイル（基準スパムモデル、基準 YARA ルール、地理情報の参照テーブル）は、プログラムの資産であり、あなたのデータではありません。これらは更新時に置き換えられ、バックアップの対象外です。

このディレクトリの外にデータが保存されることはありません。リモートサーバーにデータが保存されることもありません。

GravesMail が決して収集しないデータ

• メールアドレス — あなたのものも、あなたにメールを送る人のものも
• メールの内容 — 件名、メッセージ本文、添付ファイルのいずれも
• 差出人または受信者の情報
• パスワードまたは資格情報
• 連絡先リスト
• カレンダーのイベント
• IP アドレス
• あなたの名前、所在地、その他の身元を特定できる情報
• 利用パターン — アプリを開く頻度、どのメールを読むか、メッセージをどう操作するかを、私は追跡しません
• クラッシュレポートや診断情報 — 自動的に送信されるものは一切ありません
• インストールまたは登録のデータ — 作成するアカウントがありません

バックアップのプライバシー

GravesMail は、ローカルプロファイル全体の暗号化バックアップを作成します。

• スケジュールおよび手動のデバイスローカルバックアップ（完全および差分）は、GravesMail が生成して管理するバックアップマスターキーで AES-256 暗号化されます。キーが平文で保存されることは決してありません。保管されるのはラップされたコピーだけで、デバイスのセキュアキーストア（そのため日常のバックアップにパスワードは不要です）と、あなたが一度だけ設定する復旧用パスフレーズの両方でラップされます。復旧用パスフレーズは任意ではなく必須であり、これがあるからこそ、新しいデバイスや交換したデバイスでバックアップを復元できます。私がキーやパスフレーズを受け取ることは決してなく、どちらについても、あなたの代わりに復旧することはできません。
• ポータブルパスワードバックアップ（「ファイル」→「ポータブルパスワードバックアップ…」）は、あなたが選ぶパスワードで封印され、600,000 回の反復による PBKDF2-SHA256 の鍵ストレッチングを使用します。そのパスワードを失うと、バックアップは開けません。そのように設計しており、私を含め、誰にも開けません。
• バックアップのメタデータカタログはローカルに保存され、送信されることは決してありません。これにより、バックアップ全体を復号しなくても、バックアップの内容をすぐに閲覧できます。
• 操作前スナップショットは、破壊的な操作（クイックルールのスキャン、一括消去、ゴミ箱を空にする）の前に、安全策として作成されます。

すべてのバックアップファイルは、あなた自身がほかの場所にコピーしない限り、あなたのコンピューターにとどまります。ポータブルパスワードバックアップには、保存されたアカウントのパスワードや、メールを解錠する鍵を含め、プロファイル全体が入っており、それを保護するのはあなたが選んだパスワードだけです。ファイルは安全な場所に保管してください。

クイックルールのプライバシー

クイックルールのデータは、ローカルの暗号化データベースに保存されます。ルールがスパムトラップに取り分けたメッセージ、その一致リスト、ルールの定義そのものが、あなたのコンピューターの外に出ることは決してありません。ルールを削除するか、ルールが捕捉したものを一括消去すると、そのデータはローカルデータベースから完全に削除されます。

資格情報の保存方法

GravesMail は、どのデバイスでも、あなたのメールと個人データのすべてを保存時に暗号化します。暗号化キーは、デバイス自身のセキュアキーストアに保管されます。Windows では DPAPI、macOS と iOS ではキーチェーン、Android では Keystore、Linux ではシステムのシークレットストアです。そのため、データはあなたのデバイスでしか読めません。メールの資格情報を保存した場合、それらも同じ方法で暗号化され、同じコンピューター上で、保存したのと同じユーザーによってのみ復号できます。

GravesMail が、ログインの目的でメールプロバイダーのメールサーバーに送信する場合を除き、あなたの資格情報をいかなるサーバーにも送信することは決してありません。

OAuth2 認証を使う Microsoft/Outlook アカウントでは、GravesMail は標準の Microsoft ID プラットフォームのフローを使用します。認証トークンは、同じ暗号化を使ってローカルに保存されます。GravesMail が、あなたの Microsoft アカウントのパスワードにアクセスすることはありません。

位置情報の判定はローカルで行われます

GravesMail は、スパム判定の手がかりの 1 つとして、受信メールの地理的な発信元を調べます。この参照は、アプリに組み込まれた国と IP 範囲の対応表を使って、すべてあなたのデバイス上で行われます。DNS クエリも、外部 API の呼び出しも、サードパーティーの参照サービスもありません。位置情報を判定するために、メッセージのメタデータがどこかに送信されることは決してありません。

IP 位置情報データは DB-IP（db-ip.com）提供、CC BY 4.0 ライセンス。

外部画像のブロックとトラッキングピクセルからの保護

外部画像は既定でブロックされます。差出人に、あなたの IP アドレス、メールを開いたこと、その日時、使用したデバイスを知られないようにするためです。

トラッキングピクセル（開封通知による追跡のためだけに使われる、目に見えない 1×1 の画像）は、別途検出され、除去されます。この 2 つは独立した設定なので、トラッカーを読み込まずに画像だけを読み込めます。

エンドツーエンド暗号化（OpenPGP）

GravesMail は、エンドツーエンドで暗号化および署名されたメールのための標準 OpenPGP に対応しています。すべてはあなたのデバイス上で行われます。鍵はローカルで生成され、秘密鍵があなたのマシンの外に出ることは決してなく、暗号化と復号はアプリが行います。鍵の預託（エスクロー）も、鍵サーバーへのアップロードもなく、経路上に私のサービスは存在しません。私はあなたの鍵のコピーを持っておらず、あなたの暗号化メールを読むことはできません。

PGP が隠すもの: メッセージ本文と添付ファイル。

PGP が隠さないもの: 件名、To/From/Cc、メッセージが送信された日時。これらは平文のまま送られ、あなたのプロバイダーを含むメールインフラから見える状態のままです。これは PGP/MIME 自体の制約であり、Proton を含め、それを実装するすべてのクライアントに共通します。GravesMail が解決できるものではなく、解決できるかのようにほのめかすつもりもありません。

PGP は、送信経路上のメールを、傍受やメールプロバイダーから保護します。フォレンジック対策のツールではありません。復号されたメッセージは、オフラインで検索したり読んだりできるよう、GravesMail のローカルの暗号化データベースにキャッシュされます。つまり、ディスク上では PGP ではなく、デバイスの暗号化によって保護されます。

秘密鍵を失うと、その鍵あてに暗号化されたメールは永久に復旧できなくなります。私があなたの代わりに復旧することはできません。預託されたコピーは存在しないからです。これは、ほかの誰にもあなたのメールを読めないようにしているのと同じ設計上の判断です。

パスワード保護されたメール

「パスワード保護（鍵は不要）」を使ってメッセージを送信すると、メッセージ本文とすべての添付ファイルは、メッセージが送り出される前に、あなたのデバイス上で標準の AES-256 ZIP に暗号化されます。封印はローカルで行われます。そのために私やほかのサービスに何かがアップロードされることはなく、経路上にサーバーは存在しません。

パスワードはあなただけのものです。GravesMail はパスワードを一度だけ表示し、メールで送ることも、保存することも、送信することも決してありません。私はそのコピーを持っておらず、あなたが送ったものを開く手段もありません。パスワードは、電話、テキストメッセージ、暗号化されたチャットなど、別の手段で受信者に伝えてください。

保護はパスワードがすべてであり、ほかには何もありません。有効期限も、遠隔からの取り消しもありません。どちらもサーバーが必要であり、私は意図的にサーバーを運用していないからです。どのメールでも同じですが、メッセージの件名、To/From、送信のタイミングは平文のまま送られます。

もう 1 つ、制約があります。あとで気付くより、私から聞いておくべきことなので、はっきり述べます。ZIP 形式が暗号化するのはファイルの内容であり、アーカイブの構造ではありません。メッセージを傍受した人は、中にあるファイルの数や、おおよそのサイズとタイムスタンプを見ることができます。ただし、ファイル名は中立的な仮の名前に置き換えられているので見えず、内容も見えません。そのメタデータだけで、秘密にしておく必要のあることが誰かに伝わってしまうのであれば、この機能はそのメッセージに適した手段ではありません。

5 つのプラットフォーム向けビルド

• Windows — Microsoft Store 版のビルドは Microsoft によって署名されています
• Linux — 近日公開
• macOS — 近日公開
• iOS — 近日公開
• Android — 近日公開

5 つのプラットフォームはすべて、プライバシーに関して同一の特性を持ちます。データを外部に送信するプラットフォームや、プライバシーに関して異なる動作をするプラットフォームはありません。プラットフォームによって実際に異なる機能が 1 つありますが、それはプライバシー上の制約ではなく、検出上の制約です。「システム AV」保護レイヤーは、Windows ではインストール済みのウイルス対策ソフトを使用し、macOS、Linux、モバイルでは利用できません。その場合は、実行していないスキャンを行ったかのように見せるのではなく、「利用不可」と報告します。

サードパーティーのサービス

GravesMail が接続するのは、あなたのメールプロバイダー（暗号化された TLS/SSL 接続を使用）と、Microsoft アカウントの場合に OAuth2 認証で使う Microsoft ID プラットフォームだけです。GravesMail は、広告ネットワーク、アナリティクスサービス、クラッシュレポートサービス、トラッキングプラットフォームを一切使用しません。

購入

Microsoft Store を通じた GravesMail の購入は、Microsoft によって処理されます。GravesWare, LLC は、支払いカードの詳細情報を受け取ることも、保存することもありません。

いつでも確認できます

データベース、バックアップファイル、削除ログはすべて、あなたの管理下にある通常のローカルファイルです。あなたのディスク上の、あなたのユーザープロファイル内にあり、見ることも、コピーすることも、削除することもできます。あなたが確認できないサービスの中に隠されているものは何もなく、外部に勝手に通信するものもありません。

お子様のプライバシー

GravesMail は、13 歳未満のお子様を含め、誰からも、いかなる情報も故意に収集しません。GravesMail は既定で個人情報を収集しないため、お子様のプライバシーに特有のリスクをもたらすことはありません。

このポリシーの変更

このプライバシーポリシーが更新された場合、変更内容は、新しい「最終更新日」とともにこのページに掲載されます。GravesMail はメールアドレスや連絡先情報を収集しないため、変更を直接お知らせすることはできません。このページを定期的に確認することをお勧めします。

お問い合わせ

まとめ