Privacy Policy

対象サービス

本ポリシーは、NexA, LLCが提供するRepo Deck Watch（Wear OS）と、接続先のRepo Deck Cloudに適用されます。

処理するデータ

• Googleログインで提供されるアカウントID、氏名、メールアドレス
• 接続したMac／Gatewayの名前、接続状態、機能情報
• 会話タイトル、実行状態、進捗、エラーなどの運用メタデータ
• Fleet log archiveを管理者が有効にした場合の、時刻、level、source、category、action、redacted summary、fingerprint。会話本文、prompt、stack、evidence、repository path、credentialは対象外
• 時計で表示する直近メッセージ、時計から送信した指示、明示的に送信した利用フィードバック
• ownerが社内共有previewを確認して作成した、期限付き・recipient限定の会話snapshot、comment、review、activity
• 音声相談でAndroid音声認識から受け取った文字起こし、対象候補、質問、実行前proposal、確認状態
• 時計名、時計専用credentialの識別子、Firebase Installation ID、行動ログ用の疑似端末ID、作成・失効日時
• 同意した場合の行動ログ（画面・状態、semantic tap、通知・STT・TTSの成否、request latency、proposal／job状態、再接続・再試行・offline age、アプリ版）

音声とマイク

音声入力は利用者がWatchの「話す」を選んだ時だけAndroidの音声認識画面を開きます。Repo DeckアプリはRECORD_AUDIO権限を宣言せず、生音声を受信・保存しません。Android音声認識から返された文字だけをRepo Deck Cloudと選択したGatewayへ送り、質問、read-only回答、または実行前proposalの作成に使います。確認前の音声sessionはCloudのプロセスメモリで最長30分、確認tokenは最長5分です。確認後に開始したAgent会話は通常のRepo Deck会話として扱います。

行動ログ

初回の説明画面で同意した場合だけ、疑似端末ID付きの操作・診断eventをサービス改善と障害調査のために送ります。生音声、通常の文字起こし、会話本文、prompt、command、repo path、秘密情報は行動ログへ入れません。時計内の暗号化送信待ちqueueは最大500件・1MiB・14日です。Gatewayのraw eventは既定30日、日次aggregateは既定180日保持します。Watch設定で新規記録を停止し、時計内queueを消去できます。

保存と暗号化

時計専用tokenの平文はCloud DBへ保存せず、検証用ハッシュだけを保存します。時計上のtoken、一覧cache、未送信文字起こし、feedback、行動ログqueueはAndroid Keystoreの鍵で暗号化されます。完全な会話本文、prompt、AgentJob本体、Node-local raw logはCloud DBへ永続保存しません。履歴一覧のため、最大3件・各800文字の最新message previewなどの有界なindex行をCloud DBと認証済みBrowserのアカウント別cacheへ保存します。Fleet log archiveが有効な場合、Node-local error logを許可フィールドへ再構成してcredential、メール、端末pathをredactしたgzip objectをprivate R2 bucketへ保存し、Cloud DBにはobject receiptとfingerprint集計だけを保存します。redact済みobjectも機密として扱い、R2の公開URLとcustom domainが無効と確認できない場合は保存を停止します。匿名のobject取得API、署名URL、公開URLは提供しません。R2 objectの保持期間はbucket lifecycle policyを正本とし、expiryを設定しない運用ではアカウント削除または管理者の削除まで長期保持します。加えて、ownerがpreview確認後に明示作成した社内共有の有界・不変snapshotだけをCloud DBへ保存します。共有snapshotに添付本体は含めず、作成後の新しいmessageやlogは追加しません。詳細表示と操作は接続したMacが正本であり、通信中はCloudが中継します。通信はTLSで保護します。

利用目的

• 利用者本人のRepo Deck環境を時計へ表示するため
• 音声相談、実行前確認、明示承認後のAgent開始、既存会話への指示と停止操作を中継するため
• 認証、不正利用防止、障害調査、利用者が同意したサービス改善分析のため

共有

社内会話共有はownerが指定したGoogle認証済みemailだけが期限内に利用できます。匿名公開やURLを知るだけの閲覧はなく、第三者にはmetadataを含めnot foundとして応答します。ownerは即時revokeでき、reviewerはcomment・approve・changes requestedを送れます。作成・閲覧・comment・review・revokeはactorと時刻を秘密情報なしで記録し、ownerが確認できます。高確度のcredentialを検出したsnapshotは作成を拒否します。データを販売せず、広告目的の第三者提供を行いません。認証・ホスティングなどサービス提供に必要な委託先には、必要な範囲で処理を委託する場合があります。法令上必要な場合を除き、利用目的外で第三者へ提供しません。

失効・削除

時計の接続はRepo Deckマイページからいつでも失効できます。アカウントと関連データ全体の削除はデータ削除手順に従って依頼できます。

お問い合わせ

NexA, LLC
takemura@nex-a.net

English summary

Repo Deck Watch processes your account and Gateway status, operational conversation metadata, user-submitted text, and device identifiers to provide its monitoring, voice preview, and explicitly confirmed Agent controls. Repo Deck receives recognized text, not raw audio. When the Fleet log archive is enabled, allowlisted error events with known credential, email, and device-path patterns redacted may be retained as compressed objects in private R2 storage. Redaction is not treated as the access-control boundary: uploads stop unless both R2 public access paths are verified disabled, and no anonymous object download or public URL is provided. You can disable new Watch telemetry and clear its on-watch queue. We do not sell data or use it for advertising. Contact us to request account deletion, including associated Fleet archive objects.