1. Who we are and what this policy covers

PTI Secure Connect ("Secure Connect" on your phone; "the app") is published by GVE Ltd. (GVE株式会社; corporation number 0100-01-187660), Kabuto-cho Kaisei Building Annex 4F, 13-1 Nihonbashi Kabuto-cho, Chuo-ku, Tokyo 103-0026, Japan ("GVE", "we"). This policy covers the app on iPhone and the GVE services you reach through it — today Comm, GVE's messaging service, which runs inside the app. It applies wherever you use the app.

2. The app creates no account

You cannot sign up in the app. Your organisation's registrars issue a Device Master Key to your iPhone in person (by card or QR code, approved by two registrars); the app installs that key in your iPhone's secure hardware and unlocks it with Face ID or Touch ID. Your account — your name and email in GVE's directory — is opened by the organisation that issued the key (we call it the Registrant), and closed by you in the app (section 8) or by that organisation. For Apple's App Review, a review page operated by GVE plays the registrar's part and issues a review key that GVE revokes when the review ends.

3. What we collect, and why

We collect only what the service needs to work. Nothing in the app is used for advertising, profiling or tracking.

What we do not collect. The app has no analytics, advertising, attribution or crash-reporting component, and it never asks for App Tracking Transparency because it tracks nothing. It does not read your contacts, your location, your health data or your photo library beyond the photos you choose to attach in Comm. The QR-code scanner runs entirely on your phone and sends nothing anywhere. The app reads your phone's name, model and iOS version only to show them to you on the Device Info screen; they are not sent to GVE. GVE's own services do not store your IP address; the cloud load balancer and firewall in front of them (operated by Amazon Web Services) may hold connection details, including the IP address, for a few hours for their own operation. The app itself sends no diagnostics to GVE or to anyone else; if you have turned on "Share with App Developers" in iOS Settings → Privacy & Security → Analytics & Improvements, Apple may share crash and usage statistics with GVE under Apple's own terms, and we do not combine them with anything above.

Permissions the app asks for, and only when needed: Face ID or Touch ID (to confirm it is you before your key is used); the camera (to scan QR codes when your key is issued, and to take photos and videos to share in Comm); the microphone (sound in a video you take to share in Comm); your photo library (to choose photos to share in Comm); NFC (to hold your iPhone near your organisation's card when a key is issued or received). You can withdraw the camera, microphone and photo-library permissions in iOS Settings, and the related Comm feature then does not work. Turning Face ID off for Secure Connect stops your key from being used at all, because the app has no passcode fallback. NFC is used only while you hold your iPhone to a card, in a system sheet you can cancel.

4. No tracking, no advertising, no sale of data

We do not track you across other apps or websites, we show no advertising, we do not sell personal data, and we do not share it with data brokers or advertising networks. There is no in-app purchase.

5. How your data is protected — and what is not end-to-end encrypted

Your Device Master Key is generated by GVE's Master KMS and installed on your iPhone. The phone's copy is protected by the iPhone's hardware-backed Keychain, is never exported from the phone, and is used only after Face ID or Touch ID. GVE keeps its own copy envelope-encrypted under keys held in a hardware security module, and uses it only to authenticate your phone and to establish your sessions; it is never exported or shared. Every request inside a session is sealed under per-request keys derived from a session key that GVE delivers to your phone encrypted under your device key; the few requests made outside a session (proving possession of a newly issued key, checking its status, removing this device) carry a proof sealed under the device key itself. All of this runs on top of TLS, and no password exists anywhere in the chain.

Comm is not end-to-end encrypted. Messages are encrypted in transit and at rest under keys held by GVE (envelope encryption rooted in a hardware key-management service); photos and files are stored in Amazon S3 under Amazon's server-side encryption, with keys that Amazon S3 manages. GVE's servers open message content in order to deliver it, to store it, to show you conversation history, and to notify you. This is a deliberate design — it is what makes official channels, moderation and account recovery possible — and it means GVE's systems, and the small number of GVE staff who operate them under access controls and audit logging, are technically able to read Comm content. We do so only to operate the service, to investigate a report you or another member make, or where the law requires it. Metadata (who talks to whom, when, how much) is likewise visible to GVE's systems.

6. Where your data is kept

GVE's services for the app and for Comm run on Amazon Web Services in the Asia Pacific (Tokyo) region, Japan. AWS hosts the data on GVE's behalf and does not use it for its own purposes. The App Store and TestFlight, through which the app is delivered, are operated by Apple under Apple's privacy terms. If you use the app from the European Economic Area or the United Kingdom, your data is transferred to and processed in Japan, which the European Commission and the United Kingdom have each recognised as providing an adequate level of data protection.

7. Who can see your data

• The members of the Comm channels you are in see your name, your profile photo and what you post there. Every member of your organisation's Comm can find your name and email in the member directory.
• Your organisation's registrars and administrators see your directory record and your devices' key state, because they issue and revoke keys and open and close accounts.
• GVE's operations staff, as described in section 5.
• Hosting providers (Amazon Web Services) process data on GVE's instructions, under terms that oblige them to protect it to at least the standard of this policy. No other third party receives personal data, and no message content leaves GVE's service.
• Authorities, where the law obliges us.

8. How long we keep it, and what happens when you leave

Remove this device (Settings → Remove this device, type REMOVE, Face ID) revokes your phone's key at GVE and deletes it from the phone. It deletes nothing else: your account, your name in the directory and your Comm content stay, so that a replacement phone can be issued a key against the same account. Removing needs a network connection, so a key that might still be live at GVE is never dropped silently.

Close your account is done in the app: Settings → Close your account → Close… → type CLOSE → Close account → Face ID. The app first asks GVE to suspend your account and, only once GVE has confirmed it, revokes this phone's key at GVE and deletes it from the phone (Face ID runs once more for the revocation). Closing needs a network connection, and nothing changes until GVE has confirmed the suspension; if GVE suspends the account but the key cannot be removed, the app tells you and Remove this device finishes the removal. On closure, at once:

• your account is suspended in GVE's directory: you can no longer use GVE apps with it, and only your organisation's registrars can reinstate it;
• this phone's key is revoked at GVE and deleted from the phone (a key on another of your phones is removed there with Remove this device, or revoked by your registrars).

Your name and email stay in the suspended directory record until you ask us (section 12) to replace them with placeholders.

What is retained after closure, and why. Messages, files and reactions you posted in Comm remain in the channels where you posted them, attributed to your Comm profile as it was when you closed, because other members' conversations and GVE's audit records refer to them and a conversation with a missing author cannot be served; they are kept for as long as the channel exists. Comm keeps its own copy of the display name you chose there and of the email it received when your profile was created, and this release does not anonymise that copy, so your Comm profile also still appears in Comm's member finder. If you want a different name on what you posted, change your display name in Comm before closing, or ask us (section 12). The revoked key record, the security and audit events (opaque identifiers only) and the directory's append-only change log (which never records the email address itself) are kept as audit records for as long as the integrity of the service and our legal obligations require; they are not used for anything else. Edge request records (which hold no IP address) are kept for a short fixed period and then deleted.

If you cannot use the app (lost phone, no access, the app withdrawn): ask your organisation's registrar to close your account, or contact us at the address in section 12; we verify the request with your organisation and close the account the same way. Anyone who held a review key for App Review can ask us (section 12) to close the account.

9. Your rights

You can see and correct your display name and profile photo in Comm, see this phone's key and session state in the app (Device Info), remove a device, and close your account as described in section 8. Where data-protection law gives you further rights — access, correction, erasure, restriction, portability, objection — you can exercise them through your organisation (which decides, as the Registrant, who holds a key) or by contacting us (section 12); we answer within one month. Where you are a member of a customer organisation, that organisation decides who is issued a key and when an account is closed, and GVE processes your data on its behalf and as the operator of the service; where GVE issued the key itself (GVE staff, App Review), GVE is responsible for the processing. You may lodge a complaint with your data-protection authority.

10. Children

The app is not directed at children and has no audience under 13 (or the age of digital consent where you live). Keys are issued only to adult employees and members of organisations on GVE OS.

11. Changes to this policy

We will post changes here with a new date, and tell your organisation's administrators of material changes before they take effect. The version in force is the one at https://gve.net/legal/privacy/.

12. Contact

GVE Ltd., Kabuto-cho Kaisei Building Annex 4F, 13-1 Nihonbashi Kabuto-cho, Chuo-ku, Tokyo 103-0026, Japan · support@gve.net · support page: https://gve.net/support/. We answer support requests within 24 hours.

1. GVEについて、このポリシーの対象

PTI Secure Connect（iPhoneでは「Secure Connect」。以下「本アプリ」）は、GVE株式会社（会社法人等番号0100-01-187660、〒103-0026 東京都中央区日本橋兜町13-1 兜町偕成ビル別館4F。以下「GVE」）が提供しています。このポリシーは、iPhone版の本アプリと、本アプリを通じて利用するGVEのサービスを対象とします。現時点では、本アプリの中で動くGVEのメッセージサービスCommがこれにあたります。このポリシーは、本アプリをどこで利用する場合にも適用されます。

2. 本アプリはアカウントを作成しません

本アプリで利用登録をすることはできません。組織のRegistrar（鍵の発行担当者）が、対面であなたのiPhoneにDevice Master Keyを発行します（カードまたはQRコードを使い、2名のRegistrarが承認します）。本アプリはその鍵をiPhoneのセキュアハードウェアに格納し、Face IDまたはTouch IDで鍵のロックを解除します。あなたのアカウント（GVEのディレクトリにあるあなたの氏名とメールアドレス）は、鍵を発行した組織が開設します。GVEはこの組織をRegistrantと呼びます。アカウントの閉鎖は、あなたが本アプリで行うか（第8節）、その組織が行います。AppleのApp Review（審査）では、GVEが運営する審査ページがRegistrarの役割を担い、審査用の鍵を発行します。GVEは審査が終わるとこの鍵を失効させます。

3. 収集する情報とその理由

GVEが収集するのは、サービスの動作に必要な情報だけです。本アプリのどの情報も、広告、プロファイリング、トラッキングには使いません。

収集しないもの。本アプリには、解析、広告、アトリビューション、クラッシュレポートのためのコンポーネントはありません。トラッキングを一切しないため、App Tracking Transparency（トラッキングの許可）を求めることもありません。連絡先、位置情報、健康に関するデータは読み取りません。写真ライブラリも、あなたがCommで添付するために選んだ写真以外は読み取りません。QRコードの読み取りはすべてiPhone上で行い、どこにも何も送信しません。本アプリがiPhoneの名前、機種、iOSのバージョンを読み取るのは、「Device Info」画面であなたに表示するためだけです。これらはGVEに送信しません。GVE自身のサービスは、あなたのIPアドレスを保存しません。ただし、その手前にあるクラウドのロードバランサーとファイアウォール（Amazon Web Servicesが運用）が、自らの運用のために、IPアドレスを含む接続の情報を数時間保持することがあります。本アプリ自体は、GVEにもほかの誰にも診断情報を送信しません。あなたがiOSの「設定 → プライバシーとセキュリティ → 解析および改善」で「App デベロッパと共有」をオンにしている場合は、Appleが自社の規約に基づいて、クラッシュと利用状況の統計をGVEに共有することがあります。GVEはこの統計を、上に挙げたどの情報とも組み合わせません。

本アプリが求める許可（必要なときにだけ求めます）。Face IDまたはTouch IDは、鍵を使う前に本人であることを確認するために使います。カメラは、鍵の発行時にQRコードを読み取るためと、Commで共有する写真や動画を撮るために使います。マイクは、Commで共有するために撮る動画の音声に使います。写真ライブラリは、Commで共有する写真を選ぶために使います。NFCは、鍵の発行時や受け取り時に、iPhoneを組織のカードにかざすために使います。カメラ、マイク、写真ライブラリの許可は、iOSの設定で取り消せます。取り消すと、関連するCommの機能は使えなくなります。Secure ConnectでFace IDをオフにすると、鍵はまったく使えなくなります。本アプリには、パスコードで代わりに認証する仕組みがないためです。NFCを使うのは、iPhoneをカードにかざしている間だけです。この操作は、iOSが表示する画面で行い、途中でキャンセルできます。

4. トラッキング、広告、データの販売はありません

GVEは、ほかのアプリやウェブサイトをまたいであなたをトラッキングしません。広告を表示せず、個人データを販売せず、データブローカーや広告ネットワークと共有することもありません。アプリ内課金はありません。

5. データの保護と、エンドツーエンド暗号化されていないもの

あなたのDevice Master Keyは、GVEのMaster KMSが生成し、あなたのiPhoneに格納されます。iPhone側の鍵は、ハードウェアで保護されたiPhoneのキーチェーンで守られ、iPhoneの外に書き出されることはありません。使われるのは、Face IDまたはTouch IDによる認証の後だけです。GVEは自らが持つ鍵の写しを、ハードウェアセキュリティモジュール（HSM）が保持する鍵でエンベロープ暗号化して保管しています。GVEがこの写しを使うのは、あなたのiPhoneを認証するときと、あなたのセッションを確立するときだけです。この写しを外部に書き出したり、共有したりすることはありません。セッション内のすべてのリクエストは、リクエストごとの鍵で暗号化され、署名されます。この鍵はセッション鍵から導出され、セッション鍵はGVEがあなたの端末鍵で暗号化してiPhoneに届けます。セッションの外で行う少数のリクエスト（新しく発行された鍵の所持の証明、鍵の状態の確認、この端末の削除）には、端末鍵そのもので暗号化して署名した証明を付けます。これらはすべてTLSの上で動作し、この連鎖のどこにもパスワードは存在しません。

Commはエンドツーエンド暗号化されていません。メッセージは、通信中も保存時も、GVEが保持する鍵で暗号化されます（ハードウェアの鍵管理サービスを起点とするエンベロープ暗号化）。写真とファイルは、Amazonのサーバー側暗号化を使ってAmazon S3に保存し、その鍵はAmazon S3が管理します。GVEのサーバーは、メッセージの配信、保存、会話履歴の表示、通知のために、メッセージの内容を復号します。これは意図した設計で、公式チャンネル、モデレーション、アカウントの復旧はこの設計によって可能になっています。同時に、この設計では、GVEのシステムと、アクセス制御と監査ログのもとでシステムを運用する少数のGVEスタッフが、技術的にはCommの内容を読める状態にあります。GVEが実際に内容を読むのは、サービスを運営するため、あなたやほかのメンバーからの通報を調べるため、または法律で求められる場合に限ります。メタデータ（誰が誰と、いつ、どれだけやり取りしたか）も同じく、GVEのシステムから見える状態にあります。

6. データの保管場所

本アプリとCommのためのGVEのサービスは、日本にあるAmazon Web Servicesのアジアパシフィック（東京）リージョンで動いています。AWSはGVEに代わってデータをホストし、そのデータを自らの目的には使いません。本アプリを配信するApp StoreとTestFlightは、Appleが自社のプライバシー規約のもとで運営しています。欧州経済領域または英国から本アプリを使う場合、あなたのデータは日本に移転され、日本で処理されます。日本は、欧州委員会と英国のそれぞれから、十分なデータ保護の水準にあると認められています。

7. データを閲覧できる人

• あなたが参加しているCommのチャンネルのメンバーは、あなたの名前、プロフィール写真、そのチャンネルへの投稿を見ることができます。あなたの組織のCommのメンバーは全員、メンバーディレクトリであなたの名前とメールアドレスを見つけることができます。
• あなたの組織のRegistrarと管理者は、ディレクトリにあるあなたの記録と、あなたの端末の鍵の状態を見ることができます。鍵の発行と失効、アカウントの開設と閉鎖を担当しているためです。
• GVEの運用スタッフ（第5節に記載のとおり）。
• ホスティング事業者（Amazon Web Services）は、GVEの指示に従ってデータを処理します。その契約条件は、少なくともこのポリシーと同じ水準でデータを保護することを事業者に義務づけています。ほかの第三者が個人データを受け取ることはなく、メッセージの内容がGVEのサービスの外に出ることもありません。
• 当局（法律で義務づけられている場合）。

8. 保管期間と、利用をやめるときの扱い

Remove this device（「Settings → Remove this device」を開き、REMOVEと入力してFace IDで認証）は、あなたのiPhoneの鍵をGVE側で失効させ、iPhoneから削除します。それ以外は何も削除しません。交換用のiPhoneに同じアカウントで鍵を発行できるように、アカウント、ディレクトリ上の名前、Commの内容は残します。削除にはネットワーク接続が必要です。そのため、GVE側でまだ有効な可能性がある鍵が、知らないうちに消えてしまうことはありません。

Close your accountは本アプリで行います。「Settings → Close your account → Close…」と進み、CLOSEと入力して「Close account」をタップし、Face IDで認証します。本アプリはまずGVEにアカウントの停止を求め、GVEが停止を確認してはじめて、このiPhoneの鍵をGVE側で失効させ、iPhoneから削除します（失効のために、Face IDの認証がもう一度あります）。閉鎖にはネットワーク接続が必要で、GVEが停止を確認するまでは何も変わりません。GVEがアカウントを停止したものの鍵を削除できなかった場合は、本アプリがその旨を表示します。その場合は「Remove this device」で削除を完了します。閉鎖すると、ただちに次のことが行われます。

• GVEのディレクトリで、あなたのアカウントが停止されます。このアカウントではGVEのアプリを使えなくなり、再開できるのはあなたの組織のRegistrarだけです。
• このiPhoneの鍵がGVE側で失効し、iPhoneから削除されます（ほかのiPhoneにある鍵は、そのiPhoneの「Remove this device」で削除するか、Registrarが失効させます）。

あなたの氏名とメールアドレスは、停止したディレクトリの記録に残ります。GVEに依頼すれば（第12節）、仮の文字列に置き換えます。

閉鎖後も残るものとその理由。あなたがCommに投稿したメッセージ、ファイル、リアクションは、投稿したチャンネルに、閉鎖した時点のあなたのCommプロフィールの名義のまま残ります。ほかのメンバーの会話とGVEの監査記録がこれらを参照しており、投稿者が欠けた会話は表示できないためです。これらは、そのチャンネルが存在する限り保管します。Commは、あなたがCommで選んだ表示名と、プロフィール作成時に受け取ったメールアドレスを、Comm自身の写しとして持っています。このリリースではこの写しを匿名化しないため、あなたのCommプロフィールはCommのメンバー検索にも引き続き表示されます。投稿に表示される名前を変えたい場合は、閉鎖の前にCommで表示名を変更するか、GVEに依頼してください（第12節）。失効した鍵の記録、セキュリティと監査のイベント（中身を読み取れないIDのみ）、ディレクトリの追記専用の変更履歴（メールアドレスそのものは決して記録しません）は、サービスの完全性とGVEの法的義務に必要な期間、監査記録として保管します。これらをほかの目的に使うことはありません。エッジのリクエスト記録（IPアドレスは含みません）は、短い一定期間保管したのち削除します。

本アプリを使えない場合（iPhoneの紛失、アクセスできない、本アプリの配信停止）は、組織のRegistrarにアカウントの閉鎖を依頼するか、第12節の連絡先からGVEに連絡してください。GVEはあなたの組織に依頼の内容を確認し、同じ方法でアカウントを閉鎖します。App Reviewのために審査用の鍵を持っていた方は、GVEにアカウントの閉鎖を依頼できます（第12節）。

9. あなたの権利

あなたは、Commで表示名とプロフィール写真を確認し、修正できます。また、本アプリの「Device Info」でこのiPhoneの鍵とセッションの状態を確認でき、第8節のとおり端末の削除とアカウントの閉鎖ができます。データ保護に関する法律がさらに権利（開示、訂正、消去、処理の制限、データポータビリティ、異議申し立て）を認めている場合は、あなたの組織（Registrantとして誰が鍵を持つかを決める組織）を通じて、またはGVEに連絡して（第12節）、その権利を行使できます。GVEは1か月以内に回答します。あなたが顧客組織のメンバーである場合、誰に鍵を発行するか、いつアカウントを閉鎖するかはその組織が決めます。GVEはその組織に代わって、またサービスの運営者として、あなたのデータを処理します。GVE自身が鍵を発行した場合（GVEのスタッフ、App Review）は、その処理の責任はGVEにあります。あなたは、管轄のデータ保護当局に苦情を申し立てることができます。

10. 子どもについて

本アプリは子どもを対象としておらず、13歳未満（またはお住まいの地域で定められたデジタル同意年齢未満）の方は対象外です。鍵は、GVE OSを利用する組織の成人の従業員とメンバーにだけ発行されます。

11. このポリシーの変更

このポリシーを変更するときは、新しい日付を付けてこのページに掲載します。重要な変更は、効力が生じる前にあなたの組織の管理者に知らせます。有効な版は、https://gve.net/legal/privacy/に掲載している版です。このポリシーは英語版を正本とします。日本語版は英語版の翻訳で、両者の内容が異なる場合は英語版が優先します。

12. 連絡先

GVE株式会社 〒103-0026 東京都中央区日本橋兜町13-1 兜町偕成ビル別館4F · support@gve.net · サポートページ：https://gve.net/support/。サポートへのお問い合わせには24時間以内に回答します。