Clientsの信頼設計。

招待を承諾しただけでは、連絡は始まりません。

secure room の準備、鍵の確認、支払い状態など、 必要な確認がそろってからメッセージを送れるようになります。

Clients は、メッセージ本文や秘密鍵をサーバーに保存しない設計を前提にしています。

ただし、「サーバーは何も見ない」とは説明しません。連絡を届けるために必要な情報と、見えないようにする情報を分けて伝えます。

連絡先をまとめて取り込むのではなく、必要な相手にだけ招待を渡します。

相談者、依頼者、顧問先、支援者、関係者。大切な連絡は、広げるより先に、相手を絞ることから始まります。

Clients は、パスワードを覚えて入力する前提ではなく、passkey を使って本人の端末操作で入る流れを重視します。

端末を変える場合やアクセスを失った場合は、安全のための確認や待機時間が必要になることがあります。

改造端末や危険な端末状態では、利用を制限することがあります。

便利さよりも、大切な連絡を未確認の状態で扱わないことを優先します。

Safety Mode / Panic Lock は、画面に出る情報やアクセスの露出を減らすための機能です。

ただし、魔法のようにすべてを隠す機能ではありません。スクリーンショットや画面共有など、端末側で起きる情報露出も、OS が許す範囲で減らします。

Clients は、誰が送ったかをサーバー側で直接結びつけにくくするための送信設計を採用します。

通信元と中身の結びつきも、できるだけ弱める方向で設計しています。ただし、匿名性を保証するものではありません。

相手を探すために、連絡先をそのまま預けることは避けるべきです。

Clients は、連絡先や相手探しでも、できるだけプライバシーを守る方法を重視します。

困ったことが起きたとき、すべてをそのまま送る必要はありません。

Clients は、必要な範囲だけを選び、期限つきの暗号化された報告パッケージとして扱う考え方を採用します。

あとで確認が必要になったときのために、記録を整理しやすい形式を用意します。

ただし、それが法的な結果を保証するものではありません。

Privacy Nutrition Label では、サーバーが扱う情報と、見えないようにする情報を分けて説明します。

強い言葉で安心させるのではなく、見える範囲を言葉で確認できるようにします。

アプリが従うべき方針は、ただ書いて終わりではありません。

古い方針や誤った状態で動かないようにします。

Clients の支払いは、secure room を用意する professional account 側で管理されます。

招待された client invitee が、招待された secure room に参加・返信するために支払う必要はありません。