プライバシーポリシー — スーパー動画編集動丸君
最終更新日: 2026年10月9日（0.4.27） 提供者: 株式会社カリロエ（KARIROE, K.K.）
この文書は、Microsoft Edge アドオンで配布する拡張機能 「スーパー動画編集動丸君」についてのプライバシーポリシーです。 同じ内容は、App Store（Safari）・Chrome ウェブストアで配布する 同じ拡張機能にも、そのまま当てはまります。
結論
読み込んだ動画・音声・書き出した動画が、このパソコンの外へ出ることはありません。 編集も書き出しも、すべてこのパソコンの中で終わります。
通信するのは 2 か所だけで、どちらも利用者が選んだときだけです。
- 書き出しのときに「証明（コンテンツ資格情報）を付ける」を利用者が選んだ場合に限り、 署名をもらうために当社のサーバーへ 1 回だけ通信します。 このとき送るのは 32 バイトのハッシュ（数字の列）だけで、 動画も、音声も、編集の内容も送りません。
- 「声から字幕を作る」を初めて使うときに、同意の画面で利用者が同意した場合に限り、 声を文字にするモデル（Whisper）を Hugging Face から受け取ります。 こちらからは何も送りません（ファイルを受け取るだけ）。音声は外へ出ません。 受け取ったモデルはこのブラウザの中に置き、2 回目からは通信しません。
どちらも既定では起きません。選ばなければ、通信は一切起きません。
利用者を識別する情報（アカウント・広告 ID・端末 ID のたぐい）は、 どの場面でも収集しません。アクセス解析・広告・利用統計も組み込んでいません。
受け取った情報の使い方（限定的な使用）
この拡張機能が受け取る情報（読み込んだ動画・音声と、証明の署名のときに送る 32 バイトのハッシュ）は、 この拡張機能の目的のためだけに使います。
- 目的の外に使いません。 目的は「動画の編集」と、利用者が選んだときの「証明の付与」だけです
- 売りません。 第三者に渡しません（署名のために当社のサーバーへハッシュを送ることを除きます。 法令で求められたときは、その範囲で対応します）
- 人が中身を読むことはありません
- 広告（個人に合わせたものを含む）、データの売買、信用・融資の判断には使いません
English: Information this extension receives (the video and audio you load, and the 32-byte hash sent only when you choose to sign) is used only for the extension's single purpose: editing videos and, when you choose it, attaching Content Credentials. It is not sold or transferred to third parties (except sending the hash to the KARIROE, K.K. signing server for the signature, or where required by law), no human reads it, and it is never used for advertising (including personalized advertising), sold to data brokers, or used to determine creditworthiness or for lending.
ストアごとの決まり
この拡張機能は、Microsoft Edge アドオン・App Store（Safari）・ Chrome ウェブストアで配布します。取り扱いは 3 つとも同じで、上に書いたとおりです。 ここには、それぞれのストアが求めている言い方を並べます。
Microsoft Edge アドオン
- 受け取る情報を売りません
- この拡張機能の目的の外に使いません
- 信用・融資の判断には使いません
- 収集する情報の区分（個人を特定する情報・健康・金融・認証・個人的な通信・位置・閲覧履歴・ 操作の記録・ウェブサイトの中身）は、どれも収集しません
Chrome ウェブストア（Limited Use）
この拡張機能が受け取る情報の利用は、Chrome ウェブストアの利用者データに関するポリシー （Chrome Web Store User Data Policy）の Limited Use（限定的な使用）の要件を含め、これに従います。
English: The use of information received by this extension will adhere to the Chrome Web Store User Data Policy, including the Limited Use requirements. Information the extension receives (the video and audio you load, and the 32-byte hash sent only when you choose to sign) is used only for the extension's single purpose: editing videos and, when you choose it, attaching Content Credentials. It is not transferred to third parties (except sending the hash to the KARIROE, K.K. signing server for the signature, or where required by law), no human reads it, and it is never used for advertising (including personalized advertising), sold to data brokers, or used to determine creditworthiness or for lending.
App Store（Safari）
Apple の「App のプライバシー」の意味でのデータの収集はありません。 署名のときに送る 32 バイトのハッシュは、署名を返すためだけに使い、サーバーに残しません。
1. 収集する情報
利用者を特定できる情報は、収集しません。
アクセス解析、広告、クラッシュレポート、利用統計のたぐいは一切組み込んでいません。
他の動画編集サービスにある「クラウドに保存」「共有リンクを作る」「SNS へ投稿」 といった、作品を外部へ預ける機能は、方針として実装していません。
証明の署名のときに送るもの（利用者が選んだときだけ）
| 送るもの | 中身 |
|---|---|
| ハッシュ | 32 バイト。署名の対象を表す数字の列。ここから動画は復元できません |
| アプリの名前と版 | 例: doumaru 0.3.0 |
| 合言葉 | 拡張機能に埋め込まれた文字列。利用者ごとには変わりません |
送らないもの: 動画・音声・画像・ファイル名・編集の内容・ タイムラインの中身・撮影情報（位置など）・アカウント情報。
送り先は株式会社カリロエのサーバー（Google Cloud Run、東京）です。 サーバーに残るのは、署名した時刻・アプリ名・証明書の通し番号だけです（送られたハッシュも残しません）。 IP アドレスは記録しない設定にしています（通信の性質上サーバーには届きますが、記録に残しません）。どの利用者かは分かりません。
素材の証明を調べるとき（通信しません）
読み込んだ動画に C2PA の証明が入っていれば、それを読んで検証し、 書き出す動画の証明に「材料」として引き継ぎます。
この検証は、すべてこのパソコンの中で終わります。 検証に使うソフト（Content Authenticity Initiative の c2pa-web）も、 信頼する発行元の一覧（C2PA 公式のトラストリストと当社のルート証明書）も 拡張機能に同梱しており、外部へは一切取りに行きません。
サーバー（Google Cloud Run、東京）に残るのは、 署名した時刻・アプリ名・発行した証明書の通し番号だけです。 どの利用者かは分かりません。
材料の証明から伏せるもの（通信しません）
材料の証明の中には、撮影場所（GPS）を含む撮影情報と、撮影したときの縮小画像が入っていることがあります。 そのまま引き継ぐと、書き出した動画を渡した相手にそこまで渡ってしまいます。そこで次のものを消してから引き継ぎます。
| 消すもの | 消す条件 |
|---|---|
| 撮影場所（GPS）の入った撮影情報 | いつでも（編集の内容にかかわらず） |
| 縮小画像・撮影情報 | 元の映像が隠れる編集をしたとき |
「元の映像が隠れる編集」とは、色の調整と回転・反転以外のすべてです（2026-09-23 に条件をそろえました）。 縮小画像には隠す前の顔や切り落とした部分が残っているので、迷うときは消す側に倒します。
- 消さない: 明るさ・彩度・色温度・LUT などの色の調整／全体の向きの回転・反転／ BGM・ナレーションなど「音だけの素材」を重ねただけのとき（0.4.19。絵は 1 画素も隠れないため）
- 消す: ぼかし・モザイク・塗りつぶし／切り抜き・縦型への自動変換／クロマキー・背景を抜く／人物だけ残す／ 文字・字幕・図形・単色を重ねる／画面に出るほかの素材を重ねる／大きさを変える／速さを変える／ 時間の範囲を削る・切り貼り／上のトラックで重ねる・不透明度・合成モード・クリップの回転や移動・ トランジション・逆再生・静止コマ
消し方は C2PA 2.2 §6.8 の「伏せる（redaction）」で、何をどこから消したかも証明に残します（c2pa.redacted）。 材料の署名はそのまま確かめられます。消す処理はすべてこのパソコンの中で終わり、外へは送りません。
字幕のモデルを受け取るとき（利用者が同意したときだけ）
「声から字幕を作る（AI）」は、OpenAI の Whisper というモデル（Hugging Face の Xenova が ONNX に変換したもの）を使って、 このパソコンの中で声を文字にします。モデルは大きい（ふつう 約 80MB・高精度 約 252MB）ので拡張機能には入れておらず、 初めて使うときに次の画面を出して、同意をいただいてから受け取ります。
| 項目 | 中身 |
|---|---|
| 受け取る先 | https://huggingface.co/Xenova/whisper-base（または whisper-small）。大きなファイルは Hugging Face の配信（*.hf.co）から届きます |
| 受け取るもの | モデルのファイル 7 つ。版（コミット）を固定し、受け取ったものは SHA-256 を確かめてから置きます（合わなければ捨てます） |
| 送るもの | ありません。 ファイルを受け取るための通常の通信だけです（その通信の性質上、IP アドレスとブラウザの種類は相手に届きます。Cookie は送りません） |
| 音声 | 外へ出ません。 文字にするのは拡張機能の中の Worker で、その Worker は外へ一切通信しない作りにしています |
| 置き場所 | このブラウザの中（拡張機能のキャッシュ doumaru-whisper-v1）。「モデルを消す」でいつでも消せます。拡張機能を削除しても消えます |
| 許し | 受け取る前に、ブラウザから huggingface.co と hf.co への通信を許すか尋ねられます（optional_host_permissions）。「モデルを消す」を押すと、この許しも返します |
Hugging Face 側での取り扱いは、Hugging Face のプライバシーポリシーによります。
なぜ通信が要るのか
証明の署名に使う秘密鍵を、拡張機能の中に置くわけにいかないためです。 鍵が配られてしまえば、誰でも「動丸君で作った」と偽れるようになり、 証明そのものに意味が無くなります。 鍵はサーバー（Google Cloud KMS）の中から出しません。
2. 動画・音声の扱い
読み込んだ動画は、ブラウザのメモリの中だけで扱います。
- 編集・プレビュー・書き出しは、すべてこのパソコンの中で行われます
- 動画そのものが保存されるのは、利用者が「書き出す」を押して保存したときだけです
- 保存先は利用者が選んだ場所です。提供者はその場所も中身も知りません
映像の圧縮にはブラウザの WebCodecs、音の合成には Web Audio を使っています。 どちらもブラウザに最初から入っている機能で、外部のサーバーとはやり取りしません。
学習済みモデル（AI）を使う機能（通信しません）
「顔を探して隠す（AI）」と「縦型（9:16）に自動で直す（AI）」は、学習済みのモデル（OpenCV の YuNet）を使って、このパソコンの中で顔を探します。 エフェクト「人物だけ残す（AI）」は、学習済みのモデル（MODNet）を使って、このパソコンの中で人物と背景を見分けます。 「声以外の雑音を減らす（学習型）」は、学習済みの雑音除去（RNNoise）を使って、このパソコンの中で音を処理します。 モデルも、それを動かす部品（onnxruntime-web）も拡張機能に同梱しており、外部へは一切取りに行きません。 映像を外へ送ることも、見つけた顔の情報を外へ送ることもありません。 Google の MediaPipe のように、使用状況を外部へ送る仕組みは使っていません。
3. 保存する設定
このブラウザの中に、次のものだけを保存します。
| 保存するもの | 置き場所 | 中身 |
|---|---|---|
| 自動保存 | ブラウザの保存領域（storage） | 編集の指示だけ（切る位置・文字・エフェクトの設定など）。数十 KB |
| 画面の並び | localStorage | 右の欄の列の数・並び順・畳んだ欄、欄の幅とタイムラインの高さ、「自動で収める」のオン・オフ。数百バイト |
| 動画ファイルの場所 | IndexedDB | 読み込んだ動画がどこにあるか（ブラウザの File System Access API のハンドル）と、突き合わせ用の鍵（ファイル名・大きさ・更新日時）。同じ鍵のファイルを別のフォルダでも読み込んだときは、その場所も控えます（1 つの鍵につき最大 5 か所）。1 件あたり数百バイト |
| 最近開いた作業ファイルの場所（0.4.16） | IndexedDB | 開いた・保存した .doumaru がどこにあるか（同じくハンドル）と、そのファイル名・開いた時刻。最大 10 件で、古いものから消えます。1 件あたり数百バイト |
動画そのものは保存しません。 7 分の動画で数百 MB あり、抱えるのが現実的でないためです。
動画ファイルの場所を覚えることについて
作業ファイル（.doumaru）を開くたびに動画を選び直すのは手間なので、 動画の「場所」だけをこのブラウザの中（IndexedDB）に覚えます。
- 覚えるのは場所（ハンドル）と突き合わせ用の鍵だけです。動画の中身は入れません
- 外へは送りません。 提供者はファイル名も置き場所も知りません
- 次に開くときは、ブラウザが「許可」を尋ねます。これはブラウザの決まりで、 何も押さずに読み込むことはできません（許可はセッションをまたいで残らないことがあります）
- 覚えていない動画・場所に見つからない動画・許可しなかった動画は、今までどおり「選ぶ」で指定できます
- 「選び直す」を押せば、別の動画に差し替えられます（そのとき覚える場所も入れ替わります）
- 同じ名前・大きさ・更新日時のファイルを別のフォルダでも読み込んだときは、 先に覚えた場所を消しません（0.4.15）。別のフォルダのものを黙って読み込まないよう、 開く画面に「同じ名前・大きさのファイルが複数あります」と出して、選べるようにしています
- 覚えていた場所に見つからない・中身が変わっていたときは、その場で忘れます（0.4.15）
この内容は他のパソコンへ同期されません。拡張機能を削除すれば一緒に消えます。
4. 権限について
manifest.json で求めているものは次のとおりです。
| 何のため | |
|---|---|
storage | このブラウザの中に、編集の指示を自動保存するため |
| （ホスト権限） | 求めていません。 証明の署名の通信は、署名のサーバーの側で拡張機能からの呼び出しを許しているため、ホスト権限なしで行えます |
optional_host_permissions: https://huggingface.co/*・https://*.hf.co/* | 字幕のモデルを受け取るため。最初は許されていません。 同意の画面で同意したときに、ブラウザの画面で尋ねてから許されます |
- ウェブページを読む権限（
activeTab/tabs/<all_urls>）は求めていません - 動画ファイルの場所を覚えるために、権限は増やしていません （
IndexedDBはブラウザに元からある入れ物で、権限が要りません。 動画を読むことを許すかどうかは、そのつどブラウザが利用者に尋ねます） - 上に書いた 2 つの場面のほかに、外へ通信するコードはありません
5. 作業ファイル（.doumaru）
「保存」で作られる .doumaru ファイルには、編集の指示だけが入ります。 動画は入りません。ファイル名（例: 旅行.mp4）と、その大きさ・更新日時は、 次に開くときの照合のために記録されます（上の「動画ファイルの場所を覚えること」で使います）。
このファイルは利用者のパソコンの中にあり、提供者へ送られることはありません。
上書き保存について（0.4.16）。「保存」を押すと、同じファイルへ上書きします。 そのために、その作業ファイルの場所をこのブラウザの中（IndexedDB）に覚えます。 書き込みはブラウザが許可を尋ねてから行い、書き終わるまで元のファイルを置き換えません （途中で失敗したら、元のファイルがそのまま残ります）。 覚えるのは場所と名前だけで、中身は入れず、外へも送りません。 showSaveFilePicker が使えないブラウザでは、今までどおりダウンロードで保存します。
5-2. ウェブ版について（2026年10月9日から）
動丸君は、インストールしないで使えるウェブ版も公開しています（https://callirrhoe.jp/app/doumaru-kun/editor/）。中身は拡張機能と同じで、扱い方も同じです。
- 読み込んだ動画・音声・写真と、書き出したファイルは、このブラウザの中だけで扱います。サーバーへは送りません
- 自動保存（編集の指示だけ）は、このブラウザの保存領域（localStorage）に置きます。端末の外へは出ません。消すときは、ブラウザの設定でこのサイトのデータを消してください
- 証明の署名を選んだときに送るもの、字幕のモデルを受け取るとき（同意のあとだけ）の通信は、拡張機能と同じです（上の「1. 収集する情報」）。ウェブ版では、ブラウザの許可の確認は出ません（同意は動丸君の画面で伺います）
- ページを開いたとき、ウェブサーバーには通常のアクセスの記録（IP アドレス・日時・ブラウザの種類など）が残ります。アクセス解析や広告の仕組みは、このページには入れていません
- ページは、通信先をこのサイト・当社の署名サーバー・字幕のモデルの受け取り先だけに限る設定（Content-Security-Policy）で配信しています
English: Doumaru-kun is also available as a web page that needs no installation (https://callirrhoe.jp/app/doumaru-kun/editor/). It is the same program and handles data the same way: media you load or export stays in your browser and is never uploaded; the autosave (edit instructions only) is kept in this browser's local storage; signing and the speech-to-text model download (only after you agree) work as described above. Opening the page leaves the usual access log entry on the web server. The page contains no analytics or advertising, and its Content-Security-Policy only allows connections to this site, our signing server and the model host.
6. 第三者提供
ありません。 そもそも情報を受け取っていません。
7. お子さまの利用について
年齢による制限は設けていませんが、そもそも個人情報を収集しません。
8. ポリシーの変更
内容を変えるときは、この文書の最終更新日を改めます。 外部送信を伴う機能を追加する場合は、追加前にこの文書を更新し、拡張機能の中でも説明します。 既定で通信を始めることはしません。
変更の履歴
| 日 | 何を変えたか |
|---|---|
| 2026-09-10 | 証明（C2PA）の署名を足した。利用者が選んだときだけ当社サーバーへ通信する。それまでは通信するコードが 1 行も無かった |
| 2026-09-21 | 学習済みモデルを使う機能を足した。顔の検出（YuNet）・人物の切り抜き（MODNet）は同梱で通信しない。声から字幕を作る（Whisper）のモデルだけは、同意をいただいたときに Hugging Face から受け取る（こちらからは何も送らない。音声は外へ出ない）。「ほかのどんなアドレスへも通信できません（ブラウザが拒みます）」という書き方を、実際の作りに合わせて「ほかに外へ通信するコードはありません」に直した |
| 2026-09-23 | 出す先を Edge・Safari・Chrome の 3 つにしたので、「ストアごとの決まり」の節を足した（Edge の 3 つの宣誓／Chrome の Limited Use の文言／Safari のデータ収集なし）。本文はブラウザを名指ししないまま。取り扱いの中身は変えていない |
| 2026-09-23 | Microsoft Edge アドオン向けに書き直した（Edge の規約 1.5.2「ポリシーは主に Microsoft Edge について書く」）。冒頭に対象のストアを書き、本文からブラウザの名前を外し、「限定的な使用」の節をブラウザを名指ししない約束にした。取り扱いの中身は 1 つも変えていない |
| 2026-09-22 | 利用者データの取り扱いについて、限定的な使用（Limited Use）の約束を明記した（日本語・英語）。取り扱いの中身は変えていない |
| 2026-09-23（0.4.15） | 同じ鍵（ファイル名・大きさ・更新日時）のファイルを別のフォルダでも読み込んだとき、先に覚えた場所を上書きしないようにした（別のフォルダのものを黙って読み込まないため）。控えは 1 つの鍵につき最大 5 か所。覚えていた場所に見つからないものは、その場で忘れる。取り扱い（外へ送らない・中身は入れない）は変えていません。あわせて、書き出しのために展開した音を、書き出しの後と作業ファイルを開くときに手放すようにした（パソコンの中のことで、外には関わりません） |
| 2026-09-23 | 作業ファイルを開くときに動画を選び直さなくて済むよう、動画ファイルの場所（File System Access API のハンドル）を IndexedDB に覚えるようにした。覚えるのは場所と突き合わせ用の鍵だけで、動画の中身は入れず、外へも送らない。拡張機能を削除すれば消える。権限は増やしていない（IndexedDB は権限が要らない） |
| 2026-09-23（0.4.19） | 音だけの素材（BGM・ナレーション）を重ねただけのときは、縮小画像・撮影情報を消さないようにした。絵が 1 画素も隠れないので、消す理由がない。画面に出る素材を重ねたときは、今までどおり消す。取り扱い（外へ送らない）は変えていない |
| 2026-09-23（0.4.14） | 材料の証明から縮小画像と撮影情報を消す条件を広げた（上の「材料の証明から伏せるもの」）。それまで見ていたのは masked・cropped・matte の 3 つ（ぼかし・モザイク・塗りつぶし／切り抜き／人物だけ残す）だけで、図形や単色で覆う・上のトラックで重ねる・文字を置く・大きさを変える、では消していなかった。色の調整と回転・反転以外はすべて消すようにした。取り扱い（外へ送らない）は変えていない |
| 2026-09-23（0.4.16） | 作業ファイルを上書き保存できるようにした（showSaveFilePicker）。あわせて、最近開いた作業ファイルの場所を IndexedDB に覚える（最大 10 件）。覚えるのは場所と名前だけで、中身は入れず、外へも送らない（動画の場所と同じ扱い）。書き込みの許可はブラウザが尋ねる。権限は増やしていない。取り扱いは変えていません |
9. お問い合わせ
株式会社カリロエ（KARIROE, K.K.） <info@callirrhoe.jp>