Persona

LAPLACE Personaはローカルファーストのデスクトップアプリケーションです。現行バージョンにはユーザーアカウントシステムが存在せず、任意のエラーレポートを除き、個人を特定できる情報、フェイストラッキングデータ、Live2D/VRMモデルファイル、行動トラッキングの収集やアップロードは一切行われません。アプリ自体が自律的に送信する外部リクエストはバージョン更新の確認およびエラー診断レポート（設定で無効化可能）に限られます。その他の通信はすべてユーザー自身が追加したレイヤーコンテンツや接続中の外部プラグインから発生します。詳細は外部リクエスト一覧を参照してください。

• プロセスレベルのサンドボックス分離：レンダラープロセスは厳格に制限されたサンドボックス内で動作し、Context Isolationが有効化され、Node.js統合は完全に無効化されています。ホワイトリスト化された型安全なIPCブリッジ経由でのみメインプロセスと通信します。
• ファイルシステムへの直接アクセスの遮断：モデルおよびメディア素材は、不透明な識別子（Opaque Identifiers）を用いてカスタムプロトコルpersona:経由で安全に提供されます。カーネルレベルでシンボリックリンクのディレクトリ包含関係を厳格に検証し、レンダラープロセスにローカルの絶対パスが渡ることはありません。
• 素材パスのホワイトリスト登録：シーンは登録レジストリIDによってのみアセットを参照します。システムのネイティブファイル選択ダイアログまたはプラグインディレクトリから明示的に登録されたパスのみが提供され、設定変更によって任意のローカルファイルが読み出される危険性を排除しています。
• 設定と認証情報のローカル保持：ウィンドウ状態、シーン構成、トラッキング設定、およびAPI認証情報はすべてローカルディスクに保存されます。機密トークンはOS標準の安全な資格情報ストア（Keychain / Credential Manager）に保管されます。プラグインがAPI経由で書き込む保存データもローカルに保持され、APIキーごとに厳格に分離され、キーの失効と同時に消去されます。
• 診断ログのローカル限定保存：実行ログとエラー警告はローカル設定フォルダ内のlogs/main.logにのみ記録され、自動送信されることはありません。ログには個人情報が含まれる場合があるため、開発者から求められたときにのみ共有し、公開の場には投稿しないでください。WebレイヤーのURLはログ内でサニタイズされ、IDとホスト名のみが記録されるため、配信オーバーレイのトークン流出を防ぎます。
• バージョン履歴のローカル限定保存：モデルでバージョン履歴をオンにすると、保存したバージョンはローカル設定フォルダ内のhistory/フォルダにのみ保存され、送信されることはありません。PersonaがこれらのGitリポジトリをプッシュ・フェッチすることはなく、コミットの作成者は常にLAPLACE Personaで、OSのユーザー名は記録されません。
• トラッキングデータのローカルネットワーク限定：顔認識およびモーショントラッキングの受信機能はローカルネットワーク（LAN）内のデバイスとのみ通信し、インターネットへ送信されることはありません。
• カメラ・マイク入力の完全揮発性：カメラ映像およびマイク音声はリアルタイムな特徴量抽出のためだけにメモリ上で処理されます。生の映像や音声が録画、保存、または外部送信されることは一切ありません。詳細はカメラとマイクを参照してください。
• プラグインAPIの既定無効化：プラグインAPIは初期状態で無効化されています。有効化時もローカルループバックアドレスにのみバインドされ、APIキーによる認証が必須となります。ユーザーが手動でローカルネットワークアクセスの許可を有効にしない限り、外部デバイスからの接続は拒否されます。
• 透過的な更新確認とカタログ取得：起動直後およびユーザーがバージョン表示をクリックした際にdownloads.vrp.moeへ静的なバージョンマニフェストを問い合わせるほか、コントロールパネルを開いた際や更新確認時にmarketplace.laplace.liveから公式コンテンツカタログを取得します。いずれのリクエストにもデバイス固有の識別子、ユーザー情報、インストール済み一覧は含まれず、アプリのインストーラーやカタログのアセットアーカイブはユーザーが明示的にダウンロードまたは更新を実行した場合にのみdownloads.vrp.moeから取得されます。
• 制御可能な診断レポート：重大なアプリクラッシュや未処理の例外は診断のためSentryに報告されます。設定のエラーレポートを送信をオフにすることで、レポート機能を完全に停止できます。

外部リクエスト一覧アンカーリンクをコピー

Personaから外部へ送信されるリクエストの仕様は以下のとおりです。更新確認およびエラーレポートはアプリ自身により発行され、Webレイヤーおよび音声リクエストはユーザーが読み込んだコンテンツや認証済みプラグインから発生します。

UIのレンダリングスクリプト、フォントアセット、アイコンはすべてアプリパッケージ内に同梱されており、外部ネットワークから取得する必要はありません。ドキュメントリンクはシステムの既定ブラウザで開かれます。トラッキング機能およびプラグインAPIは設定されたローカルポートを介してデバイスと直接通信します。

Webカメラトラッキングとマイクによるリップシンクはインストール後、完全にオフライン環境で動作します。Webカメラトラッキングはdownloads.vrp.moeからオンデマンドで取得されるGoogleのMediaPipeアドオン（SHA-256検証済み）を利用していますが、同ライブラリが初期化時にodml.pa.googleapis.comへ送信しようとするテレメトリ通信はPersonaのネットワーク層で強制遮断され、データ漏洩を防止しています。

更新確認アンカーリンクをコピー

更新確認はすべてのユーザーに対して同一の静的JSONマニフェストを取得し、バージョンの比較判定はローカル側で行われます。リクエストにはハードウェア固有の識別子やユーザー情報は含まれません。更新ログも同マニフェストに含まれるため詳細ダイアログの表示に追加通信は不要であり、インストーラーは更新ボタンをクリックした後にのみダウンロードされます。

アプリ内に更新確認自体を無効化する設定項目はありませんが、ネットワークファイアウォールでdownloads.vrp.moeをブロックすることで通信を抑止できます。Windows版の企業向け.msiパッケージは自動更新機能が除外されているため、更新確認リクエストは発生しません。

エラーレポートアンカーリンクをコピー

診断レポートは米国に所在するSentryのエンドポイントに集約されます。詳細はSentryプライバシーポリシーを参照してください。レンダラープロセスで発生した例外はメインプロセスによってサニタイズされた上で送信されます。エラーレポートを送信をオフにすると、Sentryクライアントは登録解除され、一切のイベント送信が停止します。この設定はsettings.jsonに保存され、次回起動時より完全に反映されます。

レポートにはユーザー名、アカウント識別子、個人ファイルパスなどの情報は含まれず、画面キャプチャ機能も無効化されています。スタックトレース内のファイルパスはアプリルートからの相対パスに正規化され、ユーザーディレクトリ構造の漏洩を防ぎます。直近の操作履歴にレイヤー操作が記録される場合があるため、配信オーバーレイのURLに認証トークンが含まれている場合はエラーレポートをオフに設定することを推奨します。

ユーザー設定による外部通信アンカーリンクをコピー

Webレイヤーはサンドボックス化された独立したブラウザセッション内で実行され、ページは外部サーバーと直接通信を行います。Personaはこの通信のプロキシを行いません。セッション環境はメモリ上にのみ保持され、アプリ終了時に破棄されます。カメラ、マイク、位置情報などのシステム権限リクエストはすべて強制拒絶されます。User-Agentヘッダーには標準的なChrome識別子に加えてLAPLACE-Persona/<バージョン>が付与されます。

speech.playではプラグインから任意の音声を再生できます。https:プロトコルのURLが指定された場合は外部からダウンロード再生され、data:audio/*形式のインラインBase64データが指定された場合はネットワークを介さずローカルメモリ内でデコード再生されます。

カメラとマイクアンカーリンクをコピー

Webカメラトラッキングおよびマイクによるリップシンクはデフォルトで無効になっています。有効化された場合でも、映像フレームと音声データはリアルタイムな特徴量抽出のためだけにローカルメモリ上で演算処理されます。Personaは生の映像や音声を録画・保存・アップロードすることはなく、プラグインAPIに生データを公開したりスピーカーからマイク音声を再生したりすることもありません。システムが利用するのは頭部姿勢、表情ブレンドシェイプ、骨格座標、音量デシベル値などの算出された数値のみであり、これらも保存されません。

アプリ設定には選択したハードウェアのデバイス識別子と感度パラメータのみが保存されます。Webカメラのリアルタイムキャリブレーション値はディスクに保存されません。マイクの音声キャリブレーションにおいても生の録音データは保持されず、2秒間のサンプル音声から短時間フーリエ変換により抽出された各フレーム12次のメル周波数ケプストラム係数（MFCC）のみが設定フォルダ内のsettings.jsonに保存されます。このスペクトル特徴量はローカル環境にのみ保存され、ユーザーがプロファイルをリセットを実行することで完全に消去されます。

Webカメラトラッキングを有効にするをオフにすると、カメラのハードウェアハンドルは即座に解放されます。リップシンクを有効にするがオンになっているか、またはアクティブなオートメーションにマイク音量トリガーが設定されている場合、マイクの入力待機状態が維持されます。システムレベルで完全にアクセスを遮断したい場合は、OSのプライバシー設定よりカメラまたはマイクのアクセス許可を取り消してください。

認可されたプラグインAPIクライアントはトラッキング機能のオン・オフ切り替え、音声デバイスの列挙、およびリアルタイムなトラッキング数値や音量値の購読が可能ですが、生の映像や音声ストリームにアクセスすることはできません。稀なネイティブクラッシュ発生時、任意のエラーレポートによって生成されるメモリダンプに一時的なメモリ断片が含まれる可能性があります。

LAPLACE Persona Tracker（iOS）アンカーリンクをコピー

本節はiPhoneおよびiPad向けモバイルアプリLAPLACE Persona Trackerのプライバシーポリシーです。本アプリはApple ARKitのフェイストラッキング機能（TrueDepth API）を利用し、PC上で稼働するLAPLACE Persona内のアバターを高精度に操作するためのモーションデータを送信します。アプリにアカウント機能はなく、登録やログインも不要で、LAPLACEのサーバーへデータを送信することもありません。デスクトップ版の更新確認およびエラーレポート機能はiOSアプリには含まれていません。

アプリが収集する顔データアンカーリンクをコピー

システムのカメラ権限取得後、アプリは前面のTrueDepthカメラとARKitを用いて以下のトラッキングパラメータをローカルで算出・取得します。

• 52項目の標準ブレンドシェイプ表情係数（視線、眉、口、舌の動き）
• 3次元空間における頭部の回転クォータニオン、位置座標ベクトル、および顔認識フラグ
• 顔のトポロジーメッシュおよび視線原点座標（画面上のリアルタイムプレビュー描画にのみ使用）
• キャリブレーションタップ時に生成される基準姿勢データ（回転係数4値および位置座標3値）

アプリはカメラの生映像、録画ストリーム、または深度マップデータを記録、保存、あるいは送信することは一切なく、顔データをLAPLACEのサーバーや第三者機関へ送信することもありません。

顔データの利用目的アンカーリンクをコピー

顔データはアプリ画面上でのデバッグワイヤーフレーム表示、基準ニュートラル姿勢のキャリブレーション、およびローカルネットワーク経由で指定PC上のLAPLACE Persona内のアバターを駆動する目的でのみ使用されます。顔データが生体認証、個人識別、広告配信、プロファイリング、データマイニング、または機械学習モデルの訓練に使用されることはありません。

権限と明示的同意アンカーリンクをコピー

アプリがカメラハードウェアにアクセスし、ローカルネットワークを検索する前に、iOS標準のアクセス許可ダイアログが表示されます。ユーザーが接続をタップして接続先PCを選択するまで、顔データが端末の外へ送信されることはありません。選択されたPCの接続設定は保存され、アプリがフォアグラウンドで開いている間データが継続してストリーミングされます。

アプリはマイク、写真ライブラリ、連絡先、位置情報などの不要な権限を要求しません。カメラ権限がない場合はトラッキングが動作せず、ローカルネットワーク権限がない場合は画面上のプレビュー表示のみが機能し、PCへデータは送信されません。

同意はいつでも取り消すことができます。

• 変更 → 接続解除をタップすると、遠隔へのデータ送信が即座に停止し、接続情報がクリアされます（画面上のプレビューは継続）。
• iOSの「設定」よりアプリの「カメラ」権限をオフにすると、フェイストラッキングが直ちに停止します。
• もう一度キャリブレーションをタップすると保存済みの基準姿勢が置き換わり、アプリを削除すると消去されます。個別のリセット機能はなく、アプリがこの姿勢をiPhoneの外へ送信することもありません。

第三者提供とデータ共有アンカーリンクをコピー

アプリはユーザーが明示的に指定したLAPLACE Persona稼働中のPCに対してのみトラッキングデータを送信します（52項目のブレンドシェイプ値、頭部姿勢座標、顔認識フラグ、プロトコルシーケンス情報）。画像データ、動画フレーム、深度情報、顔メッシュモデルなどは送信されません。PC上のLAPLACE Personaは本プライバシーポリシーに準拠し、データをメモリ上でのみ処理し、ディスクに保存することはありません。PC検出のためのUDPブロードキャストにはデバイス名（iPhoneなど）のみが含まれ、顔データは含まれません。

iOSアプリにはサードパーティ製SDK、広告トラッカー、アクセス解析ツール、クラッシュ報告ライブラリなどは一切組み込まれておらず、データブローカーや広告事業者と顔データを共有・販売することはありません。

PC側においては、ユーザーが手動でプラグインAPIを有効化し特定のクライアントを認可した場合にのみ外部ツールへ数値が中継されます。その際のデータ取り扱いは各サードパーティツールのプライバシーポリシーに準拠します。

顔データの保存場所と保持期間アンカーリンクをコピー

トラッキングの実行中、顔データはモバイル端末および受信側PCの揮発性メモリ（RAM）上でのみ保持され、トラッキング履歴などのログは保存されません。iOSアプリがローカルに保存する唯一の顔関連データは、キャリブレーションされた基準姿勢パラメータのみであり、アプリのローカル設定に保存されます。このデータがクラウド同期されることはありませんが、暗号化されたiCloudバックアップやFinderバックアップに含まれる場合があります。LAPLACEがこれらのバックアップにアクセスすることはできません。

保持期間と消去アンカーリンクをコピー

• リアルタイムトラッキングデータ：アプリの動作およびトラッキング中のみメモリ上に保持され、アプリの終了またはプロセスの停止に伴い完全に破棄されます。
• キャリブレーション基準姿勢：再キャリブレーションで置き換えるか、アプリを削除するまでローカルに保持されます（個別のリセット機能はありません）。iOSの「Appを取り除く」機能を利用した場合は保持されます。

LAPLACEのサーバー側には顔データは一切保存されません。プライバシーに関するお問い合わせはs@laplace.liveまでご連絡ください。

その他の設定データアンカーリンクをコピー

基準姿勢データに加え、アプリは直近に接続したPCのホスト名およびIPアドレス、ならびに省電力モードおよび正規化フェイスメッシュの設定状態をローカルに保存します。氏名、メールアドレスなどの個人情報は収集せず、複数アプリ間のトラッキングや外部データソースとの統合は行いません。

通信セキュリティアンカーリンクをコピー

フェイストラッキングデータはユーザーが指定したローカルIPアドレス宛てにプライベートネットワーク（LAN/Wi-Fi）を通じて直接送信されます。UDP通信は平文で行われるため、信頼できる安全なプライベートネットワーク環境でのみご利用ください。