Emberford プライバシーポリシー / Privacy Policy

要点： Emberford の文書原本は、あなたが選択したローカルフォルダまたは Google Drive に保存されます。標準 AI に渡す本文・名前・タイトル等は、運営サーバーで一時的に処理され、Google Gemini へ送られます。標準 AI を使う意味検索を有効にすると、個別の質問への添付とは別に、対象文書の索引作成のための自動送信が行われます。アプリのサーバー処理は本文・質問・回答をデータベース等に永続保存しませんが、基盤ログや提供元の保持とは区別します。運営サーバーには会員認証情報や仮名化した利用量情報を保持します。Google Drive の原本の取込・保存は端末と Google の間で直接行われます。

1. 本アプリについて

Emberford は Markdown 形式の文書を作成・編集するためのローカルファーストなドキュメントアプリです。デスクトップ版（Tauri）と Web 版（https://emberford.app）を提供します。アプリ本体は無料で、有料サービスは AI のみです。文書原本はローカルフォルダ、またはあなたが接続したクラウドストレージに保存されます。AI 利用時の送信・処理と保持については第3・4・6節をご覧ください。

2. 収集・アクセスする情報

対象	内容	目的
文書データ	あなたが作成・編集する Markdown ファイルおよびその内容。	編集・表示・検索と、選択した原本への保存のため。あなたが選んだ原本に保存されます。
Google Drive 上のファイル（Drive 連携を有効にした場合のみ）	Googleの`https://www.googleapis.com/auth/drive`スコープを使用します。文書本文、添付ファイルの内容と、ファイル・フォルダのID、名前、種類、親フォルダ、更新日時、サイズ、版、チェックサム、ゴミ箱状態などのメタデータにアクセスします。原本操作は、あなたが Google Picker で選択したフォルダとその配下の Markdown、子フォルダ、Markdown 以外の添付・バイナリファイル、文書のまとまりを管理するファイルを扱います。全文検索・意味検索の文書対象が Markdown に限られることと、原本操作の対象は異なります。この権限は技術上Google Drive全体へのアクセスを許可するため、信頼できない端末では接続しないでください。	選択した Google Drive フォルダを原本として、ファイル・フォルダの列挙・読取・作成・保存・名前変更・移動・ゴミ箱への移動を行うため。
アプリ設定	テーマ、フォルダの選択、AI 設定などの設定値。	あなたの端末（ブラウザのローカルストレージ、または OS の設定領域）にのみ保存されます。

本アプリはGoogle連携においてdriveスコープを要求します。Web版では、接続したアカウントを次の認可時に示すヒントとしてGoogle Drive APIからメールアドレスを取得し、端末の原本設定に記憶します。デスクトップ版ではGoogle Driveのアカウント識別子を取得します。氏名・メールアドレス・プロフィール用の追加OAuthスコープは要求しません。広告目的の追跡や解析は行いません。

3. データの保存と送信

文書原本の保管と AI の一時処理は別です。 標準 AI のサーバー処理は本文・質問・回答を受け取り、解析・変換・中継しますが、それらをデータベース等に永続保存する処理はありません。運営サーバーには会員 UUID、メールアドレスの照合用指紋（秘密鍵を用いる HMAC）、セッションや CSRF 保護用の認証情報、標準 AI の利用上限を管理する仮名化した利用量情報、購読情報の写しを保持します。Emberford は読める会員メールアドレスを保存せず、ログインメールの送信時に一時的に扱います。基盤ログ、バックアップ、提供元での保持は第6節をご覧ください。
Google Drive の原本の取込・保存は、あなたの端末と Google のサーバー（googleapis.com）との間で直接行われ、Emberford はその通信を中継しません。取り込んだ文書を AI に渡す場合は、第4節の別経路で送信します。
Web版のDrive認証：短期アクセストークンはブラウザのタブのメモリ上だけで保持します。Driveの更新用トークンを取得・保存する仕組みはなく、必要時にGoogleの認可画面を通じてアクセストークンを再取得します。
デスクトップ版：更新用トークンと短期アクセストークンはあなたのOSのキーチェーン（資格情報ストア）に保存されます。
旧方式の Drive 認証情報：上記は現行の認証方式の説明です。旧方式には、運営の Cloudflare D1 に暗号化した Drive トークンと関連するアカウント・原本識別子、失効記録を保存する仕組みがありました。現行の公開 API は旧方式での新規取得・更新を提供しませんが、過去の保存データがすべて削除済みであることは確認できていません（第6節参照）。

4. 第三者への提供

Emberford はあなたのデータを販売・貸与しません。次の機能の利用・有効化や文書の表示に伴い、外部サービスへの送信が行われます。有効化した設定の復元や索引の更新では、送信のたびに個別操作を必要としない場合があります。

Google Drive： あなたが連携を有効にしたとき、あなた自身の Google アカウントに対して。
決済（Polar）：有料 AI の購入時には、決済事業者 Polar が請求のためにメールアドレスを保持します。Emberford と Polar は会員 UUID で会員と購読を照合します。
標準 AI（Emberford AI）：質問、会話履歴、文書の本文・名前・タイトル・見出し・断片、道具の実行結果など、AI に渡す情報は Emberford の運営サーバー（Cloudflare Worker）で一時処理され、Google Gemini へ送られます。生成・意味検索用の送信は、AI Gateway が設定されている場合はそれを経由し、未設定の場合は Worker から Google へ直接送信されます。運営サーバー自身は推論を行いません。サーバーによる処理と人による閲覧は別であり、この一時処理の説明は人的アクセスが一切ないことを保証するものではありません。利用上限の管理には、秘密鍵を使って仮名化したアカウント識別子、利用回数、処理量に応じて重みを付けたトークン利用量、予約音声秒数、期間・更新時刻を保存します。本文を含まないエラー情報や通信・利用量のメタデータも記録される場合があります。
意味検索の自動索引作成：標準 AI を使う意味検索を有効にすると、対象の Markdown 文書を分割した本文と名前・タイトルが、検索用の数値表現（埋め込み）を作るために上記の Worker 経由で Google Gemini へ送られます。個別の質問に添付した文書だけが対象とは限りません。有効な設定を起動時に復元するときや、原本の変更に伴う索引の保守時にも自動送信されます。検索時には検索文も送信されます。作成された索引・埋め込みは端末に保存されます。
リアルタイム音声：利用する場合は、運営サーバーが発行を仲介する使い捨てトークンで端末から Google Gemini へ直接接続し、音声は運営サーバーを経由しません。音声機能が文書を参照する道具を使う場合、その文書情報も Google へ直接送られます。文書の変更案などを標準 AI の生成で処理する場合は、上記の Worker 経由になります。
自分の API キー（BYOK）・ローカル AI： 設定で選べる任意経路として残ります。BYOK では API キーと送信内容を選んだ提供元へ直接送り、運営サーバーを経由しません。デスクトップ版のローカル AI（Ollama）では外部 AI へ送信しません。障害時に別の経路へ自動で切り替えることはありません。
画像・リンク等の補助通信：文書の表示時に外部画像 URL のサーバーへ要求する場合があります。文書内のリンクを開く場合は、その URL を外部ブラウザ等へ渡します。URL のパスやクエリに文書由来の情報が含まれる場合は、その情報も宛先へ渡ります。これらの宛先は Google や AI 提供元とは限らず、文書の内容により異なります。画像要求に Drive の認証トークンを自動付与する処理はありません。SDK・モデル・ランタイムの取得にも外部通信を使いますが、その取得要求に文書本文や Drive トークンを含める処理はありません。

Google のGemini API 有料サービス規約には、入力・応答を製品改善に使わないことと、不正利用防止等のために一定期間記録することが記載されています。これは Google の規約の説明であり、Emberford が提供元での学習不使用や無保持（ZDR）を独自に保証するものではありません。BYOK の取り扱いは、選んだ提供元とあなたの契約によります。

5. Google ユーザーデータの取り扱い（Limited Use）

Emberford が Google API から受け取る情報の使用および他アプリへの移転は、Google API Services User Data Policy（Limited Use の要件を含む）に準拠します。取得したファイルデータは、あなたが要求した機能（取込・保存・表示・整理、および第4節のAI機能）を提供する目的にのみ使用します。Google Driveから取り込んだ文書も、AIに渡す場合は第4節に記載した送信先と経路で扱います。

参照：Google API Services User Data Policy

6. データの保持・削除・連携解除

文書はあなたが原本として選んだローカルフォルダまたはGoogle Driveに存在し、あなたが削除するまで保持されます。
Google Drive 連携はいつでも解除できます。連携の取り消しは Google アカウントの「サードパーティによるアクセス」からも行えます。
Web 版のローカル設定・キャッシュはブラウザのサイトデータ削除で消去できます。
端末の検索索引：本文の検索用データ・埋め込みは端末に保持され、原本の削除・変更を検出したときの索引保守で更新・削除されます。原本とは別のデータであり、Web 版ではサイトデータの削除でも消去できます。
会員情報：利用中の会員情報には一律の自動失効期間はありません。アプリ内にアカウント削除機能はありません。すべての記録の削除は [email protected] へご依頼ください。認証の有効期間は、Web セッション30日、デスクトップのアクセストークン15分・更新用トークン30日（同一ログイン系列は最長90日）、メールログイン用リンク10分です。これは Drive トークンの期間ではありません。期限切れ・失効済みの認証行は日次処理で削除する設計であり、有効期間と実際の削除時刻は異なります。
ログアウト：この端末からのログアウトは、この端末の会員セッションのみを終了します。すべての端末からのログアウトは、この端末を含む全会員セッションを終了します。文書・会員情報・購読は削除しません。
購読の解約：Polar の購読管理から解約できます。通常の解約後も購読期限まで AI を利用できます。任意の返金は行いませんが、法令上の救済や Polar の予防返金等は妨げません。ログアウトは購読の解約にはなりません。
標準 AI 利用量：日・月の期間は UTC の日末・月末で区切ります。継続利用中は同じ利用量行の期間を更新し、両方の期間が期限切れになった行は日次処理の削除対象となります。削除の実行時刻は日次処理の稼働状況によります。
その他の会員関連記録：処理済みの決済通知は30日を保持期間とし、期限後の日次処理で削除する設計です。削除済み会員の復元を防ぐ記録は、設定したバックアップ最大保持日数に7日を加えた期間を保持します。バックアップ日数が未設定の場合、この削除記録には期限を設けません。
サーバーの一時処理・ログと外部サービス：本文・質問・回答をアプリのデータベース等に永続保存しないことは、基盤ログ・バックアップや外部提供元での無保持を保証しません。AI Gateway を使う要求では本文のログ収集とキャッシュを無効にする指定を送り、日替わりの仮名化したアカウント識別子をメタデータとして送ります。Cloudflare の実際のログ設定・保持期間、Google や BYOK 提供元、画像・リンク先の保持と人的アクセスは、それぞれの設定・規約・契約に依存します。
確認中の事項：旧方式の Drive トークン等の残存・失効・削除状況と保持期間、バックアップの実際の保持期間、日次削除処理の本番稼働、標準 AI 有効化時の Gateway 設定、基盤ログの設定・保持期間、運営および提供元での人的アクセスの運用は確認が必要です。本ポリシーは、これらが確認済みであることや、旧データの削除完了・一律の無保持を表明するものではありません。

7. 本ポリシーの変更

本ポリシーは必要に応じて改定されることがあります。重要な変更がある場合は、本ページの最終更新日を更新します。

8. お問い合わせ

本ポリシーおよびデータの取り扱いに関するお問い合わせは、以下までご連絡ください。
[email protected]

Summary: Original documents are stored in the local folder or Google Drive folder you choose. Content, names, titles and other information provided to Standard AI are temporarily processed by our server and sent to Google Gemini. Enabling semantic search with Standard AI triggers automatic transmission for indexing eligible documents, separately from attaching documents to individual questions. The application’s server processing does not persist content, questions or responses in databases or similar storage; infrastructure logs and provider retention are separate matters. Our server retains account authentication data and pseudonymous usage records. Importing and saving Drive originals takes place directly between your device and Google.

1. About the App

Emberford is a local-first document app for creating and editing Markdown documents. It is offered as a desktop app (Tauri) and a web app (https://emberford.app). The App itself is free; AI is the only paid service. Original documents are stored in a local folder or a cloud storage service you connect. See Sections 3, 4 and 6 for transmission, processing and retention when using AI.

2. Information We Access and Collect

Item	What	Purpose
Document data	The Markdown files and content you create and edit.	To edit, display, search and save documents in the source you choose.
Google Drive files (only if Drive is enabled)	Emberford requests Google’s `https://www.googleapis.com/auth/drive` scope. It accesses document and attachment content and metadata such as file and folder IDs, names, types, parent folders, modification times, sizes, versions, checksums and trash status. Source operations handle the folder you select with Google Picker and its Markdown documents, subfolders, non-Markdown attachments and binary files, and files that manage document collections. Limiting full-text and semantic search to Markdown documents does not limit all source operations to Markdown. The permission technically allows access across Google Drive, so do not connect from an untrusted device.	To list, read, create, save, rename, move and trash files and folders using the selected Google Drive folder as the source.
App settings	Preferences such as theme, folder selection and AI settings.	Stored only on your device (browser local storage or OS settings area).

For Google integration, the App requests the drive scope. The web app reads your email address through the Google Drive API and remembers it in local source settings as an account hint for subsequent authorization. The desktop app reads a Drive account identifier. The App does not request additional OAuth scopes for your name, email address or profile. Emberford does not perform advertising tracking or analytics.

3. Storage and Transmission

Storage of originals is separate from temporary AI processing. Standard AI server processing receives, parses, transforms and relays content, questions and responses, but does not persist them in databases or similar storage. Our server retains account UUIDs, email lookup fingerprints (HMACs using a secret key), session and CSRF authentication data, pseudonymous usage records to enforce Standard AI limits, and copies of subscription information. Emberford does not store readable account email addresses and handles them temporarily when sending login emails. See Section 6 for infrastructure logs, backups and provider retention.
Importing and saving Google Drive originals takes place directly between your device and Google’s servers (googleapis.com), without an Emberford relay. When imported documents are provided to AI, they are transmitted through the separate routes in Section 4.
Web app Drive authentication: A short-lived access token is held only in the browser tab’s memory. The App does not obtain or store a Drive refresh token; it obtains another access token through Google’s authorization interface when needed.
Desktop app: Refresh and short-lived access tokens are stored in your operating system’s keychain / credential store.
Legacy Drive credentials: The descriptions above cover the current authentication flow. A previous flow supported storage of encrypted Drive tokens, associated account and source identifiers, and revocation records in our Cloudflare D1 database. Current public APIs do not provide new token acquisition or renewal through that flow, but complete deletion of previously stored data has not been confirmed (see Section 6).

4. Sharing With Third Parties

Emberford does not sell or rent your data. Using or enabling the following features, or displaying documents, involves transmission to external services. Restoring enabled settings and updating indexes may trigger transmission without a separate action for each request.

Google Drive: to your own Google account, when you enable the integration.
Payments (Polar): When you purchase paid AI, payment provider Polar retains your email address for billing. Emberford and Polar match accounts and subscriptions using the account UUID.
Standard AI (Emberford AI): Information provided to AI, such as questions, conversation history, document content, names, titles, headings, excerpts and tool results, is temporarily processed by Emberford’s server (a Cloudflare Worker) and sent to Google Gemini. Generation and semantic-search requests use AI Gateway when configured; otherwise the Worker sends them directly to Google. Our server does not itself run inference. Server processing is distinct from human viewing; describing temporary processing does not guarantee that no human access ever occurs. To enforce usage limits, we store a keyed pseudonymous account identifier, request counts, token usage weighted by processing volume, reserved audio seconds, usage periods and update timestamps. Errors and communication or usage metadata without content may also be recorded.
Automatic semantic-search indexing: Enabling semantic search with Standard AI sends chunks of eligible Markdown documents and their names and titles through the Worker route above to Google Gemini to create numerical representations (embeddings) for search. This is not limited to documents attached to individual questions. Transmission also occurs automatically when enabled settings are restored at startup and when indexes are maintained following source changes. Search queries are transmitted when searching. Resulting indexes and embeddings are stored on your device.
Real-time audio: When used, your device connects directly to Google Gemini using a single-use token provisioned through our service; audio does not pass through our server. If the audio feature uses tools that access documents, that document information is also sent directly to Google. Processing through Standard AI generation, such as preparing document changes, uses the Worker route above.
Your own API key (BYOK) and local AI: these remain optional choices in settings. BYOK sends your API key and content directly to your chosen provider, without passing through Emberford’s server. Desktop local AI (Ollama) does not send content to an external AI provider. Failures do not automatically switch you to another route.
Images, links and auxiliary requests: Displaying a document may request an external image from the server specified by its URL. Opening a document link passes its URL to an external browser or similar handler. Document-derived information included in the URL path or query is also passed to that destination. Destinations depend on the document and are not limited to Google or AI providers. The App does not automatically attach Drive authentication tokens to image requests. Downloading SDKs, models and runtimes also involves external requests, but those download requests do not include document content or Drive tokens.

Google’s Gemini API Paid Services terms state that prompts and responses are not used to improve its products and may be logged for a limited period for abuse prevention and other specified purposes. This describes Google’s terms; Emberford does not independently guarantee that providers will not use data for training or will provide zero data retention (ZDR). BYOK data handling depends on your chosen provider and your agreement with it.

5. Google User Data (Limited Use)

Emberford’s use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements. File data obtained is used solely to provide the features you request (importing, saving, displaying and organizing your documents, and the AI features described in Section 4). Documents imported from Google Drive follow the destinations and transmission routes described in Section 4 when provided to AI.

Reference: Google API Services User Data Policy

6. Retention, Deletion and Revocation

Your documents exist in the local folder or Google Drive folder you select as the source and are retained until you delete them.
You can disconnect Google Drive at any time. You may also revoke access from your Google Account under third-party access.
Local settings and cache in the web app can be cleared by clearing the site’s data in your browser.
Device search indexes: Search data derived from content and embeddings are retained on your device and updated or deleted through index maintenance when source changes or deletions are detected. These are separate from originals and can also be removed by clearing site data in the web app.
Account information: Active account information has no single automatic expiry period. There is no in-app account deletion feature. To request deletion of all records, contact [email protected]. Authentication validity periods are: web sessions, 30 days; desktop access tokens, 15 minutes; desktop refresh tokens, 30 days (with a maximum of 90 days for the same login family); and email login links, 10 minutes. These are not Drive token lifetimes. Expired or revoked authentication rows are designed to be removed by daily cleanup. Validity and actual deletion time differ.
Signing out: Signing out of this device ends only its account session. Signing out of all devices ends every account session, including this device. Neither action deletes documents, account information or subscriptions.
Canceling a subscription: You can cancel through Polar’s subscription management. After ordinary cancellation, AI remains available until the subscription expires. No discretionary refunds are offered; statutory remedies and Polar’s preventative refunds and other legitimate actions remain available. Signing out does not cancel a subscription.
Standard AI usage: Daily and monthly windows end at the UTC day and month boundaries. Continued use updates the windows on the same usage row. Rows whose daily and monthly windows have both expired become eligible for daily cleanup. Actual deletion time depends on cleanup operation.
Other account records: Processed payment notifications have a 30-day retention period, with deletion designed to occur through daily cleanup after expiry. Records preventing deleted accounts from being restored are retained for the configured maximum backup retention period plus 7 days. If backup retention is not configured, these deletion records have no expiry.
Temporary server processing, logs and external services: Not persisting content, questions and responses in application databases or similar storage does not guarantee their absence from infrastructure logs, backups or external providers. Requests using AI Gateway specify that payload logging and caching be disabled and send a daily pseudonymous account identifier as metadata. Actual Cloudflare logging settings and retention, and retention and human access at Google, BYOK providers and image or link destinations, depend on their respective settings, terms and agreements.
Items requiring confirmation: The presence, revocation, deletion and retention of legacy Drive tokens and related data; actual backup retention; production operation of daily cleanup; Gateway configuration when Standard AI is enabled; infrastructure logging settings and retention; and human-access practices at Emberford and providers require confirmation. This policy does not represent these items as verified or claim complete deletion of legacy data or universal zero retention.

7. Changes to This Policy

We may revise this policy as needed. When we make material changes, we will update the effective date on this page.

8. Contact

For questions about this policy or our handling of data, contact us at:
[email protected]