Persona

Personaはお使いの端末で動作し、アカウントは不要です。任意のバグレポートを除き、個人情報や顔データ、Live2DやVRMなどのモデルを収集・アップロード・分析することはなく、利用状況の分析も行いません。アプリが開始する通信はアップデート確認と、無効にできるエラーレポートの送信です。その他の通信は、追加したコンテンツや接続したプラグインから発生します。詳しくは外部への通信を参照してください

• プロセスの分離：レンダラーはサンドボックス内で動作し、コンテキスト分離は有効、Node統合は無効です。アプリの他の部分へは、機能を限定した型付きブリッジだけを通じてアクセスします
• レンダラーからファイルシステムには触れられない：モデルやアセットのファイルは独自のpersona:プロトコルで提供され、不透明な識別子からファイルへ解決されます。包含チェックは、パス文字列の比較ではなくシンボリックリンクを辿って判定します。レンダラーが実際のパスを受け取ることはありません
• アセットのパスは許可制：シーンはレジストリIDでコンテンツを参照し、ネイティブのファイルダイアログかプラグインフォルダを通じて登録されたファイルだけが提供されます——つまり、レンダラーが書き込んだ設定が任意のパスを読み取り可能なURLに変えることはできません
• 設定はディスクに留まる：ウィンドウ位置、シーン、トラッキング設定、APIキーはローカルに保存され、トークンはOSの安全なストレージに保管されます。プラグインがAPI経由で保存したデータもローカルに留まり、キーごとに分離され、キーの失効とともに削除されます
• 診断ログはローカルに書かれる：エラーと警告はつねに設定フォルダのlogs/main.logへ記録され、勝手にアップロードされることはありません。報告に添付するかどうかはあなたが決めます。ウェブページレイヤーのURLはログに残りません——記録されるのはidとホスト名だけです。配信用オーバーレイのURLにはトークンが含まれていることが多いためです
• トラッキングデータはローカルネットワークから出ない：フェイストラッキングとポーズトラッキングのレシーバーは、ローカルネットワーク上の機器としか通信しません
• カメラとマイクの入力はアプリの外に出ない：ウェブカメラトラッキングとリップシンクは映像と音声をメモリ上で処理し、Personaがそれらを録画・録音したりアップロードしたりすることはありません。詳しくはカメラとマイクを参照してください
• プラグインAPIは既定でオフ：有効にしてもループバックのみを待ち受け、キーを要求します。ローカルネットワークからのアクセスを自分で許可したときにだけネットワークに出ます
• アップデート確認：Personaは起動時とバージョン番号をクリックしたときに、新しいビルドがあるかをdownloads.vrp.moeに問い合わせます。利用者に関する情報は一切送信されず、ダウンロードも本人が選ぶまで始まりません
• バグレポート：クラッシュとエラーが送信され、アプリの問題の調査に役立てられます。レポートの内容や、ウェブページのURLが含まれる可能性については下記を参照してください。設定のバグレポートを送信スイッチで完全にオフにできます

外部への通信

Personaの外部への通信を以下に示します。アップデート確認とエラーレポートはアプリが開始し、ウェブページや音声のリクエストは追加したコンテンツや接続したプラグインが開始します。各通信で扱うデータは次のとおりです：

インターフェイスのスクリプト、フォント、アイコンはすべてアプリに同梱され、ネットワークからの読み込みは不要です。リンクはシステムのブラウザで開きます。トラッキングとプラグインAPIは、設定された機器と直接通信します

ウェブカメラトラッキングとリップシンクはネットワーク通信を行いません。動作に必要なものはすべてアプリに同梱されています。ウェブカメラトラッキングはGoogleのMediaPipeライブラリを使っており、このライブラリはトラッキングモデルを読み込むたびにodml.pa.googleapis.comへ利用状況の統計を送信しようとします。Personaはこのリクエストを送信前にキャンセルします

アップデート確認

アップデート確認では、全ユーザーに共通の静的なリリースマニフェストを取得し、バージョンをローカルで比較します。リクエストにインストール識別子は含まれません。リリースノートも同じマニフェストに含まれるため、ダイアログを開く際の追加リクエストは不要です。インストーラーはアップデートを選んだあとにダウンロードされます

アップデート確認をオフにする設定はありません。止めるにはdownloads.vrp.moeをブロックするしかありません。Windowsの.msiインストールは自分自身を更新できないため、そもそも確認を行いません

バグレポート

レポートの送信先はSentryの米国リージョンのエンドポイントです（Sentryのプライバシーポリシーを参照）。レンダラーがSentryと直接やり取りすることはなく、イベントはまずメインプロセスへ渡ります。スイッチが確実に効くのはこのためです——バグレポートを送信がオフのときはレポーター自体が生成されないので、レンダラーのイベントも送信されません。この設定は起動時にsettings.jsonから読まれるため、オフにした効果は次回の起動から適用されます

レポートにアカウント、氏名、住所を明示的に付加することはなく、SDKのスクリーンショット機能も無効です。スタックトレースにホームフォルダを含めないよう、ファイルパスはアプリからの相対パスに書き換えられます。ただし、直近のアプリ動作の履歴には、ウェブページレイヤーのURLが含まれる場合があります。オーバーレイのURLにトークンなどの機密情報が含まれる場合は、バグレポートをオフにしてください

ユーザーが設定する接続

ウェブページレイヤーはブラウザセッションで動作し、直接ネットワークにアクセスするため、アクセス先のサイトにはIPアドレスが伝わります。Personaはこの通信を中継しません。セッションは隔離され、メモリ上にのみ保持され、アプリの終了時に破棄されます。すべての権限リクエストを拒否し、User-AgentにはChromeの識別情報とLAPLACE-Persona/<バージョン>トークンを使用します

speech.playは、プラグインAPIで音声を読み込むメソッドです。プラグインがhttps:のURLを渡すとPersonaがその音声を取りにいきます。data:audio/*はインラインのデータで、ネットワークには触れません

カメラとマイク

ウェブカメラトラッキングとリップシンクは既定でオフです。オンにすると、カメラの映像とマイクの音声をアプリ内のメモリ上で処理します。Personaが映像や音声を録画・録音、保存、アップロードすることはなく、プラグインAPIに渡すことも、マイクの音声をスピーカーから再生することもありません。使うのはそこから得た数値——カメラからは頭の姿勢、表情、手と体の動き、マイクからは音量と母音の口の形——だけで、これらの数値も保存しません

設定には、選んだカメラとマイク、およびそのオプションが保存されます。ウェブカメラトラッキングのキャリブレーションは保存されません。音声の調整でも録音は残りません。2秒ずつの録音から残すのは分析フレームごとに12個のスペクトル係数（MFCC）だけで、保存するとマイク名とともに設定フォルダのsettings.jsonへ書き込まれます。プロファイルはマイクごとに1つです。これは声から求めた調整用のデータであり、録音ではありません。プロファイルをリセットで選択中のマイクのプロファイルを削除するまで、このコンピュータ上（とそのフォルダのバックアップ）に残ります。ほかのマイクのプロファイルには影響しません

ウェブカメラトラッキングを有効化をオフにするとカメラは解放されます。マイクは、リップシンクを有効にするがオンの間、または有効なオートメーションにマイク音量のトリガーがある間は使われ続けます。このトリガーはリップシンクがオフでも音を拾います。アクセスを完全に止めるには、OSのプライバシー設定（ある場合）でPersonaのカメラまたはマイクの許可を取り消してください

承認したプラグインAPIのクライアントは、ウェブカメラトラッキングとリップシンクのオン・オフ、マイクの一覧の取得、トラッキング値とマイク音量のリアルタイムな読み取りができますが、映像・音声・調整データには触れられません。任意のバグレポートにはネイティブクラッシュのメモリダンプが含まれる場合があり、クラッシュ時にメモリ上にあったカメラやマイクのデータが一切含まれないとは主張しません

LAPLACE Persona Tracker（iOS）

このセクションは、iPhone・iPad向けアプリLAPLACE Persona Trackerのプライバシーポリシーです。アプリはAppleのARKitフェイストラッキング（TrueDepth API）を使い、コンピュータ上のLAPLACE Personaでアバターを動かします。アカウント登録やサインインは不要で、LAPLACEのサーバーには何も送信しません。上記で説明しているデスクトップアプリのアップデート確認とバグレポートは、iOSアプリでは動作しません。

アプリが収集する顔データ

許可を得たうえで、アプリはARKitと前面カメラ（TrueDepthカメラを搭載した端末ではTrueDepthカメラ）を使い、端末上で次の顔データを収集します：

• 目、眉、口、舌の動きなど、52個の表情の数値
• 頭の回転と位置、顔を検出できているかどうか
• 顔のジオメトリと目の位置（画面にプレビューを描くためだけに使用）
• Calibrateをタップした場合は、ニュートラルな頭の姿勢1件（回転の4つの値と位置の3つの値）

アプリがカメラ映像、動画、深度データを記録・保存・送信することはなく、顔データをLAPLACEのサーバーや第三者に送ることもありません。

顔データの利用目的

顔データを使うのは、リアルタイムのプレビューの表示、キャリブレーションした姿勢をニュートラルにすること、そして選択したコンピュータ上のLAPLACE Personaでアバターを動かすこと（そこで設定した、トラッキングで動くオートメーションを含む）だけです。本人確認、認証、広告、マーケティング、分析、プロファイリング、データマイニング、モデルの学習に使うことはありません。

同意

アプリがカメラを使う前と、ローカルネットワークにアクセスする前に、iOSが許可を求めます。顔データが端末の外に出るのは、Connectをタップしてコンピュータを選んだあとだけです。アプリはそのコンピュータを記憶し、アプリを開いている間は、切断するまで顔データを送り続けます。

アプリがそれ以外の許可（マイク、写真、連絡先、位置情報へのアクセスなど）を求めることはありません。カメラの許可がなければ、顔をトラッキングできません。ローカルネットワークの許可がなくてもプレビューは動きますが、顔データはコンピュータに届きません。

同意はいつでも取り消せます：

• Change → Disconnectで顔データの送信を止め、コンピュータの記憶を消去します。プレビューはそのまま動きます
• iOSの「設定」でアプリの「カメラ」をオフにすると、フェイストラッキングが止まります
• Calibrateの隣にある円形矢印のボタン、Reset Calibrationで、保存したニュートラルな姿勢を削除します

共有と第三者

アプリが顔データを送るのは、あなたが選択した、LAPLACE Personaを実行しているコンピュータだけです。送るのは52個の表情の数値、頭の回転と位置、顔を検出できているかどうかで、プロトコルとシーケンスの情報が付きます。画像、動画、深度データ、顔のジオメトリ、目の位置は一切送りません。LAPLACE Personaも同じLAPLACEのアプリで、これらの数値を本ポリシーに従い、保存せずメモリ上でのみ扱います。コンピュータを探すためにアプリが送る探索のブロードキャストに含まれるのは端末の機種名（iPhoneなど）で、顔データは含まれません。

iOSアプリは第三者のSDK、分析、広告、クラッシュレポートを一切含まず、顔データを第三者と共有することもありません。顔データを販売したり、広告プラットフォーム、分析事業者、データブローカー、情報再販業者に提供したりすることもありません。

コンピュータ側でトラッキング値を外部に渡せるLAPLACE Personaの任意機能は、既定でオフのプラグインAPIだけです。これを有効にしてクライアントを承認すると、そのクライアントはトラッキング値をリアルタイムに読み取れますが、画像や顔のジオメトリには触れられません。そのソフトウェアはあなた自身が選んだもので、受け取ったデータにはそのソフトウェアのプライバシー方針が適用されます。

顔データの保存場所

トラッキング中、顔データはメモリ上にのみ保持されます。保持されるのはiPhoneまたはiPadと、それを受け取るコンピュータです。どちらのアプリも履歴を保存しません。iOSアプリが保存する顔データはキャリブレーションしたニュートラルな姿勢だけで、端末内のアプリ設定に保存されます。アプリがこれを同期することはありませんが、バックアップの設定によっては、iOSがiCloudバックアップやコンピュータ上のバックアップに含めることがあります。LAPLACEがそれらのバックアップにアクセスすることはできません。

保持と削除

• リアルタイムの顔データは、それを使うアプリの実行中だけメモリ上にあり、そのアプリの終了時に解放されます
• キャリブレーションしたニュートラルな姿勢は、Reset Calibrationをタップするか、キャリブレーションをやり直して上書きするか、アプリを削除するまで保持されます。iOSの「Appを取り除く」では残り、端末のバックアップ内のコピーはそのバックアップを削除するまで残ります

LAPLACEは顔データを一切保持していません。プライバシーに関するご依頼はs@laplace.liveまでご連絡ください。

その他のデータ

ニュートラルな姿勢のほかにアプリが保存するのは、接続先コンピュータの名前とIPアドレス、Save EnergyとNormalized Face Meshの2つの設定だけです。これらはニュートラルな姿勢と同じアプリ設定に保存され、設定を変更するかアプリを削除するまで残ります。Change → Disconnectを使うと、コンピュータの記憶が消去されます。アプリが氏名やメールアドレスなどの連絡先を尋ねることはなく、他社のアプリやウェブサイトをまたいで追跡することも、顔データを他の情報源の情報と組み合わせることもありません。

セキュリティ

アプリがトラッキング値を送るのは、あなたが選んだコンピュータのアドレスだけです。このアドレスは自分のローカルネットワーク内にあることを前提としており、接続にはiOSのローカルネットワークの許可が必要です。通信は暗号化されていないため、信頼できるネットワークでご利用ください。