USTY の安全のしくみ｜ふたりの記録の守り方

01

ふたりのやりとりが、届くまで

手紙・予定・きもち・安否など、相手に届けるものは、どれもこの道を通ります（アルバムの写真・動画は、下の2の道です）。

あなたのスマホ スマホの中で、鍵をかける
書いたものは、送る前にスマホの中で暗号にします。開ける鍵は、ふたりの手元にしかありません。
中継サーバー 封筒のまま、預かるだけ
サーバーは鍵を持っていないので、中身を開けられません。相手が受け取ったらすぐ消し、受け取られなくても30日で消えます。
最長30日
相手のスマホ 相手のスマホで、鍵を開ける
受け取ったスマホが、同じ鍵で開けます。途中で書きかえられたものは開けられないので、取り込みません。

図：あなたのスマホで封をした手紙が、中継サーバーを通って、相手のスマホで開くまで。サーバーには、開ける鍵がありません。

通知に、手紙や予定の中身は入れません

相手のスマホに出る通知（「〇〇から手紙が届きました」など）は、Apple・Google などの通知のしくみを通って届きます。入るのは、送った人の呼び名と「手紙が届きました」のような決まった文、「いまの私」の言葉などです。手紙の本文・予定名・答え・メモなどの中身は入れません。気になるときは、設定の「通知の中身を隠す」で、決まった文だけにできます。

鍵は、どこにある？

はじめの鍵は、招待リンクで手渡し
はじめの鍵は、あなたが LINE やカカオトークなどで相手に直接送る招待リンクにのせて渡します。鍵の部分は、サーバーに届かないようにしています。
つながったら、新しい鍵に替える
ふたりとも新しい鍵に切り替えるので、トークに残った招待リンクでは、もう何も読めず、つながることもできません。
鍵は、スマホの中の金庫に
鍵は、スマホの OS が用意する金庫に「このスマホだけ」の設定で置きます。スマホのバックアップで、ほかのスマホに移ることもありません。

機種変更の控え（引き継ぎコード）や、ログインして足したほかの端末への受け渡しも、スマホの中で封をしてから送るので、運営者は開けられません。

つながったあとは、設定の「つながり」に出る確認コード（6けたの数字）が、ふたりで同じかを確かめられます。同じなら、ちゃんとつながっています。

02

ふたりのアルバムの、写真と動画

写真と動画は大きいので、やりとりとは別の道を通ります。それでも、運営者にも、保管庫の会社にも、中身は見えません。

あなたのスマホ 1つずつ、別の鍵で封をする
写真・動画は、送る前にスマホの中で、1つずつ鍵をかけます。写真は、撮った場所などの情報を取りのぞいてから。
写真の保管庫 封をしたまま、しまっておく
暗号にした写真は、スマホから保管庫へ直接置きます。保管庫の会社も運営者も、中身を見られません。
相手のスマホ ふたりの鍵で、開ける
相手のスマホが、保管庫から受け取った写真を、ふたりの鍵で開けます。

運営者のサーバー 写真は通りません。するのは2つだけ

写真を置く・受け取るための、短い時間だけ使える住所を渡す
目録（どの写真か・撮った日・アルバムの名前など）を預かる。目録にも、ふたりの鍵で封をしてあります

サーバーで分かるのは、写真の数・大きさ・置いた日時だけです。

図：写真は、あなたのスマホから保管庫へ、封をしたまま直接。運営者のサーバーは、住所を渡して、封をした目録を預かるだけです。

消した写真すぐに保管庫から消えます。
つながりを解除30日は見る・保存・共有だけ、そのあとすべて消えます。
ふたりとも開かない400日たつと、すべて消えます。

03

どこに、何が、いつまで

USTY の情報の置き場所は、大きく3つです。いちばん多いのは、あなたのスマホの中だけにあるものです。

スマホの中だけ

運営者のサーバーには、読める形で送りません

ふたりの記録（予定・手紙・交換日記・答え・メモ・写真など）
ふたりの鍵・自分だけのメモの鍵
引き継ぎコードとあいことば
アプリのロックの暗証番号（元に戻せない形で）
生活費の目安・比べる表に入れた金額や条件
「訳を見る」で訳した文

相手に届けるときは、上の1の封筒にして中継します。

運営者のサーバー

必要なものだけを置き、期限が来たら自動で消します

ふたりのやりとり（封をしたもの）受け取られたら消える・最長30日
受け取り口（名前の付いていない番号・通知の宛先・言葉など）180日使われないと消える
ふたりのアルバムの目録（封をしたもの）解除して30日・400日開かないと消える
災害時のお知らせの宛先（オンにした人だけ。通知の宛先・地域・言葉）90日使われないと消える
引き継ぎの控え（作った人だけ。二重に封をした記録）最後に預けてから400日
アカウント（ログインした人だけ。変換した各社の番号・端末の一覧など）400日使われないと消える
通知が届いたかを確かめる受付番号（一部だけ）最長24時間
AI の機能を使った回数（回数だけ）その月・その日が過ぎたら消える
プレミアムをふたりで使うための番号（使う人だけ）400日確かめられないと消える
お問い合わせ・テストの申し込みで送った内容（送った人だけ。メールアドレスは書いた人だけ）対応・テストが終わってから1年以内
お問い合わせ・テストの申し込みの数（選んだ項目ごとの数だけ。だれのものかと結びつきません）日ごとの数は400日

アプリの「設定」→「サーバーにある情報」で、あなたの分の一覧を見て、その場で消せます。

使ったときだけ、外の会社へ

それぞれ、必要なものだけを渡します

AI の会社「訳を見る」「AI に聞く」で送った文・質問だけ。運営者のサーバーは訳を返したら残さず、AI の会社も30日以内に消して、学習に使いません。
写真の保管庫アルバムに入れた、封をした写真・動画だけ。消える時期は目録と同じです。
通知（Apple・Google など）通知の宛先と、決まった文の通知（呼び名・「いまの私」の言葉など）。手紙・予定・答えなどの中身は入れません。
ログイン（Apple・Google）ログインしたときだけ。名前・メールアドレスは求めません。
購入（App Store・Google Play など）プレミアムを買う・確かめるときだけ。お金のやりとりはストアが行い、運営者はカードの情報を受け取りません。
不具合の記録アプリが止まったときの、エラーの内容と場所・直前の操作（画面の名前など）・アプリの版・スマホの種類。リンクや記録の中身は送る前に取りのぞき、設定でオフにできます。
お問い合わせ受け付けと迷惑な送信の判定、返事のメール、返事の下書き（AI）。

送り先の会社の名前と一覧は、法律にしたがって「外部送信について」と「プライバシーポリシー」に書いています。

天気・災害・為替の情報は、運営者のサーバーが、気象庁・韓国気象庁・韓国の行政安全部・欧州中央銀行の公開の情報を読みに行きます。天気と災害の情報は、だれにでも同じものを届け、あなたの地域の分はスマホの中で選びます（下の7）。

04

運営者に、見えないもの・分かること

運営者にも見えないもの

やりとりの中身（手紙・予定・きもち・答え・交換日記・安否など）
アルバムの写真・動画と、その目録
ふたりの鍵
引き継ぎコード・あいことばと、預けた控えの中身
あなたの名前・メールアドレス（アプリは受け取りません。ログインしても同じです）
Apple・Google のパスワード（各社の画面で入れるので、USTY には届きません）
位置情報・連絡先（そもそも使いません）

運営者のサーバーで分かること

隠さずに書いておきます。

受け取り口（名前の付いていない番号）があること、そこに届いた日時・件数・大きさ。通知を鳴らした時刻も、短いあいだだけ置きます（中身は分かりません）
受け取り口とアルバムが最後に使われた日、アルバムの写真の数と大きさ
通知の文（呼び名と決まった文など）。届けるあいだサーバーを通りますが、残しません
「訳を見る」「AI に聞く」で送った文・質問。AI に渡すあいだサーバーを通りますが、残しません
災害時のお知らせをオンにした人の地域（都道府県、韓国は市・道の単位）と言葉
ログインした人の端末の一覧（自分で付けた端末の名前・種類・最後に使った日）
お問い合わせ・テストの申し込みで送ってくれた内容と、書いた人のメールアドレス（返事のため）。申し込みとお問い合わせの、選んだ項目ごとの数
サーバーの通信の記録。IP アドレス・日時・開いた住所・端末の種類が一時的に残ります。運営者は、これを個人と結びつけません

05

安心して使うために、できること

ふたりの記録はスマホの中にあるので、スマホの守り方も大切です。

ロックを解いたスマホを人に渡すと、アプリの中の記録が見えてしまいます。

スマホに画面ロックをかけて、USTY の「ロック」（顔・指紋・暗証番号）もオンに（設定 → ロック）。
つながる前の招待リンクを手に入れた人は、相手より先につながってしまうことがあります。

招待リンクは相手にだけ送り、つながったら確認コードがふたりで同じかを見てください。
引き継ぎコードとあいことばの両方を知られると、預けた控えを開けられてしまいます。

あいことばは長めにして、ほかで使っていないものに。コードとは別々の所に控えて、人に教えないでください。見られたかもしれないときは、新しいコードに変えてください。
ロック画面の通知は、まわりの人にも見えます。

気になるときは、設定の「通知の中身を隠す」をオンに。
古い OS には、知られた弱点が残っていることがあります。

スマホの OS と USTY は、新しい版にしておいてください。
USTY の運営者が、引き継ぎコード・あいことば・パスワードを聞くことはありません。

聞かれたら、それはにせものです。答えないでください。

06

USTY が使っていないもの

広告
広告は出さず、広告のための情報も集めません。
分析・追跡の部品
利用状況の分析や追跡のための部品（SDK）は入れていません。
位置情報
スマホの位置は読みません。安否の「いる場所」は、自分で選ぶ言葉だけです。
マイク・カメラ
どちらも使いません。
連絡先
電話帳は読みません。
写真フォルダ全体
読むのは、写真を選ぶ画面であなたが選んだものだけ。保存するときは書き込むだけです。
情報の販売
情報を売ったり、広告に使ったりしません。
追跡のクッキー
アプリにもこのサイトにも、広告や追跡のためのクッキー・識別子はありません。このサイトは、外のサーバーから何も読み込みません。

07

いまいる場所は、どこにも送りません

USTY は、スマホの位置（GPS など）を読みません。天気も、あなたがどこにいるかを運営者が知らなくても届くように作っています。

気象庁・韓国気象庁 公式の発表を読む
運営者のサーバーが、公開されている天気の発表を読みに行きます。
運営者のサーバー みんなに同じ1つのファイル
日本と韓国の地域ごとの天気を、1つのファイルにまとめます。だれが開いても中身は同じなので、どこの天気を見たかは、サーバーに届きません。
あなたのスマホ 街は、スマホの中で選ぶ
ファイルの中から、自分の街・相手の街・出張や旅行の行き先の分を、スマホの中で選んで出します。

図：天気は、運営者のサーバーから、みんなに同じものが届きます。あなたの街は、スマホの中で選びます。

ほかにも守っていること

災害の情報も、だれにでも同じものを届けます。あなたの地域の分は、スマホの中で選びます。
出張・旅行先の天気にした場所は、ほかの記録と同じく、スマホの中だけに置きます。相手には送りません。
災害時のお知らせをオンにした人は、お知らせを送るために、自分で選んだ地域（都道府県、韓国は市・道の単位）をサーバーに置きます（上の3）。いまいる場所に合わせて送ることはしません。
以前の版のアプリは、天気を出す地域のコードを付けて読みます。アプリを新しくすると、この形になります。

08

ログインしなくても、アプリの機能はぜんぶ使えます。Apple・Google でのログインは、iPad などほかの端末でも同じ記録を使いたいときと、スマホをなくしたときに記録を戻すためのものです。

Apple にも Google にも、名前とメールアドレスは求めず、「同じ人か」を確かめる番号だけを受け取ります。
その番号も、運営者だけが持つ鍵で、元に戻せない値に変えてから置きます。
パスワードは Apple・Google の画面で入れるので、USTY には届きません。
アカウントは、アプリの「アカウントと端末」か、このサイトの削除のページから、いつでも消せます。400日使われないと自動で消え、Apple でログインしていたときは、Apple のログインも取り消します。

09

法律と、約束を守るしくみ

電気通信事業の届出

ふたりのやりとりの中継は、法律（電気通信事業法）で「他人の通信のなかだち」にあたるため、2026年10月に、総務省（総合通信局）へ電気通信事業の届出を出しています。運営者には、通信の秘密を守ることと、検閲をしないことが求められています。USTY は中身を読めない作りですが、そのうえで、内容を見たり選んだりせず、中身を見る・選ぶ・記録するしくみも作りません。

変えるたびに、自動で確かめる

このページの約束の多くは、アプリやサーバーを変えるたびに、自動のテストで確かめています。たとえば、通知の文に手紙や予定などの中身が入らないこと、サーバーに置く期間がプライバシーポリシーと同じこと、広告・分析・追跡の部品や位置情報・カメラ・マイク・連絡先の部品が入っていないこと、サーバーの記録（ログ）に鍵や暗号文を書かないことです。

万一のときは

情報が漏れたおそれがあるときは、すぐに広がらないように止めて原因を調べ、法律にしたがって国に報告し、アプリの中のお知らせとこのサイトでお知らせします。

くわしく読む・消す・聞く

プライバシーポリシー外部送信についてアカウント・引き継ぎデータの削除お問い合わせ

このページは、2026年10月16日の時点のしくみです。しくみを変えるときは、このページも一緒に直します。

封をしたまま、相手のスマホまで。