Ruyaのセキュリティ

夢日記は、人が保管するものの中でも特に個人的なもののひとつです。それを保護することは、Ruyaの機能のひとつではなく、私たちが提供するすべての基盤となる前提です。このページでは、お客様のデータがどのように保護されているか、私たちが意図的に決して行わないこと、そしてセキュリティ上の問題を発見された場合の連絡方法について、わかりやすくご説明します。

データの保護方法

• 通信中の暗号化。 お使いのデバイスと当社サーバー間のすべての接続はTLS（HTTPS）を使用しています。Ruyaへの暗号化されていない通信経路は存在しません。
• 保存時の暗号化。 当社のデータベースとファイルストレージは保存時に暗号化されています。また、解釈の品質向上のために使用される個人的なコンテキストなど、特に機密性の高いデータは、アプリケーションレベルでAES-256により追加で暗号化されるため、生のデータベースエクスポートであっても内容を読み取ることはできません。
• パスワードは保存されません。 保存されるのは、お客様のパスワードの一方向bcrypt hashのみです。Ruyaの担当者が内容を確認することはできず、当社のデータベースから復元することもできません。
• 欧州連合内でホスティング。 Ruyaは、アイルランドにあるEUデータセンターのMicrosoft AzureおよびMongoDB Atlas上で運用されています。
• 不正利用対策。 サインインおよびアカウント関連の処理はCloudflare Turnstileによってボットから保護されており、当社のAPIではレート制限を適用しています。

あなたの夢は非公開のままです

あなたの日記は、あなただけのものです。私たちは、夢、日記、ライフイベントの内容を極めて機密性の高い情報として取り扱います。

• 分析サービスや広告事業者と共有しません。 日記の本文が分析サービスや広告サービスに送信されることはありません。利用状況の分析では、夢が保存された事実は確認できますが、その内容が共有されることはありません。
• Ruyaのスタッフはあなたの日記を閲覧できません。 社内サポートツールで表示されるのは、アカウント情報、サブスクリプション情報、およびエントリー数のみです。管理者が会員の日記を表示できる機能はありません。
• AIの学習には使用しません。 夢の解釈は、エンタープライズ契約に基づくAzure OpenAI上で実行されます。お客様のコンテンツがAIモデルの学習に使用されることはありません。
• 任意のアプリロック。 Face ID、Touch ID、またはデバイスのパスコードでモバイルアプリを保護できます。これにより、誰かにスマートフォンを貸した場合でも、日記の内容を非公開に保つことができます。

支払い

すべてのサブスクリプションは、AppleのApp Store、Google Play、またはWeb上では当社の決済パートナーであるRevenueCatおよびStripeによって処理されます。カード情報はこれらの提供事業者へ直接送信され、Ruyaのサーバーを経由することはなく、当社が保存することもありません。

お客様が管理できること

• いつでもアカウントを削除できます。 アカウントを削除すると、本番環境のシステムから日記および個人データが完全に削除されます。
• 個人的なコンテキストは任意です。 今後の解釈を改善するために解釈結果を保存するかどうかは、お客様ご自身で選択でき、いつでも無効にできます。
• 夢の記録を持ち出せます。 ご自身用のコピーが必要な場合は、いつでも美しくレイアウトされた夢日記の書籍形式でエクスポートできます。

セキュリティ上の問題の報告

完璧なシステムは存在せず、私たちはセキュリティ研究者の皆様の取り組みを大切にしています。Ruya のサービス - ruya.co、web.ruya.co、API、または iOS および Android アプリ - に脆弱性があると思われる場合は、問題の説明、再現手順、想定される影響を添えて [email protected] までメールでご連絡ください。

善意に基づいてご報告いただいた場合、私たちは次のことをお約束します。

• 3営業日以内にご報告を受領したことをご連絡します。
• 調査および修正の進捗について、適宜ご報告します。
• ご希望があれば、確認された報告について公に謝辞を掲載します。
• 本ポリシーに基づき善意に基づいて実施された調査については、法的措置を講じません。

その代わりに、以下の点をお願いします。

• テストはご自身が所有するアカウントに対してのみ実施し、他のメンバーのデータへのアクセス、変更、削除は行わないでください。
• Ruya またはそのメンバーに対して、サービス拒否攻撃、スパム、ソーシャルエンジニアリング攻撃を実施しないでください。
• 自動スキャンは低負荷で実施し、他のメンバーに影響を与えないようにしてください。
• 問題を公表する前に、私たちが修正するための合理的な時間を確保してください。
• 当社が利用しているサードパーティープラットフォーム（Apple、Google、Stripe、RevenueCat、Microsoft Azure、Cloudflare）の脆弱性は、それぞれの提供元へ直接ご報告ください。

現在、有償のバグバウンティプログラムは実施していませんが、有効な報告はすべて調査し、修正し、謝辞を掲載します。機械可読なセキュリティ連絡先は ruya.co/.well-known/security.txt で公開しています。

セキュリティに終わりはありません。私たちは定期的に取り組みを見直し、セキュリティプログラムの進化に合わせてこのページを更新します。最終更新: 2026年8月。