ファイルの保存先と、処理する企業。削除で消えるもの。まだ提供していないもの。
録音はHTTPSで送られ、ドイツのHetznerにある自社サーバーに保存されます。音声認識とAI機能は名前を挙げたパートナーが担当し、そのすべてをサブプロセッサー一覧に載せています。録音を販売することはなく、自社のコードがモデルの学習に使うこともありません。録音もアカウント全体も、いつでもご自身で削除できます。
このページは、読んで確かめられるように書いています。ここに書いてある内容と製品の実際の動作が合わない場合は、[email protected]までお知らせください。法的な文面はプライバシーポリシーにあります。
審査で通常求められるものは、すべて公開しています。あらゆる管理策とその根拠をまとめたトラストセンター、事前に回答を用意したセキュリティ質問票、SozAIでのAIの使い方、サブプロセッサー一覧、そして、EUの標準契約条項を含み、法人利用に自動的に適用されるデータ処理契約書です。
録音と、そこから作られたものはすべて、ドイツにあるHetznerの自社サーバーに置かれます。 Hetznerのデータセンターパークは、ISO/IEC 27001:2022の認証を受けています。 この認証はHetznerのものであり、SozAI自身は認証を取得していません。
すべてのアプリと拡張機能のすべての接続は、HTTPS(TLS 1.2または1.3)を使います。サイトの前段にはCloudflareがあり、通信はCloudflareのエッジで復号され、サーバーへ向かう途中で再び暗号化されます。サーバー側のディスク暗号化は自社では行っていません。毎晩のデータベースバックアップは、サーバーを出る前にサーバー上で暗号化されます。
音声は、録音またはアカウントを削除するまで、自社のサーバーに残ります。ただし、アプリで「文字起こしの30日後」または「文字起こしの直後」に削除するよう選んだ場合は、その時点で削除されます。文字起こしのテキストが自動で削除されることはありません。
保存先はドイツですが、処理はパートナーが行い、その最大手は米国にあります。アップロードしたファイルとアプリで録音した音声は、すべて音声認識のためにAssemblyAIの米国エンドポイントへ送られます。次の表は、操作ごとにどのパートナーが何を受け取るかを示しています。各社のプライバシーページへのリンクを付けた全一覧は、/subprocessors/にあります。
| 操作 | 処理する企業 | 受け取る内容 |
|---|---|---|
| ファイルをアップロードする、またはアプリで録音する | AssemblyAI(米国) | 音声。話者とタイムスタンプ付きのテキストが返されます。 |
| YouTubeのリンクを貼る | Google Gemini API | リンクと当社の指示。ユーザーの音声は含まれません。 |
| 要約、ノート、フラッシュカード、クイズ、文字起こしの翻訳、チャットの回答を求める | OpenRouter。リクエストはAnthropic、Google、xAIのモデルに渡されます(フォールバックはDeepSeek) | 文字起こしのテキスト。ソースとして追加したPDFのページや写真も含まれます |
| ノートへ音声入力する、またはVoice Translateを使う | お使いのスマートフォンのシステムを通じた、AppleまたはGoogleの音声認識 | 音声入力した音声 |
| 購読する | AppleまたはGoogle、およびRevenueCat | 購入のレシート、購読の状態、アプリのユーザーID、メールアドレス |
| アプリからサポートに連絡する | Telegram(サポートの受信箱があります) | メッセージとメールアドレス。アプリのバージョンも付きます |
アプリは、Google Firebaseを通じてプッシュ通知も送り、インストールや購入などのアプリのイベントを広告効果の測定のためにMetaへ送ります。録音と文字起こしは、これらのイベントに含まれません。
録音もアカウント全体も、どのアプリからでも、またweb.sozai.appから、ご自身で削除できます。サポートに連絡する必要はありません。
録音を削除すると、その音声ファイルが自社のサーバーから消え、そこから作られたものもすべて消えます。文字起こし、要約、ノート、フラッシュカード、クイズ、翻訳、チャットのメッセージが対象です。残るものは2つです。その録音についてノートに自分で書いたメモと、空のチャットスレッドです。アカウントを削除すると、そのメモを含め、アカウントに属するものがすべて消えます。Appleでサインインしていた場合は、Appleのサインイントークンも取り消します。
知っておいていただきたい制限が3つあります。
サインインの方法は3つです。Google、Apple、または、メールで届く6桁のコード(有効期間は3分)。SozAIにはパスワードがないので、漏れたり使い回されたりするパスワードもありません。スマートフォンのアプリは、メールアドレスなしのゲストとしても始められますが、Webアプリでは必ずサインインが求められます。SozAIにサインインできる場所では、1つのアカウントがどこでも使えます。
独立した二要素認証の設定はありません。GoogleまたはAppleのアカウントで二要素認証を有効にしていれば、SozAIへのサインインもそれで守られます。
セキュリティの確認は、足りない点が書いてあるほど早く進みます。そこで、書き出しておきます。
sozai.app/tools/のクイズ・フラッシュカードのツールと要約ツールは、アカウント不要で、結果はブラウザ内に保存されます。問題やカードを作るために、貼り付けたテキスト、または選んだYouTube動画やPDFのテキストを、OpenRouter経由で無料のAIモデルに送ります。無料モデルの提供元は、受け取った内容を各社の規約のもとで保存したり利用したりする場合があります。機密情報は貼り付けず、その場合はアプリをお使いください。
ツールでファイルを文字起こしするときは、最初の5分間の音声をAssemblyAIに送り、処理が終わるとそのジョブを削除します。
件名に「Security」と入れて、[email protected]までメールをお送りください。見つけたこと、再現手順、SozAIのどの部分に関わるかをお書きください。通常は1営業日以内に返信します。公開される前に、修正する猶予をいただけると助かります。また、検証の際に他の人のデータへアクセスしないでください。報奨金付きのバグバウンティは実施していません。
回答
こちらへ届く途中と返送の途中については、はい。すべての接続でHTTPS(TLS 1.2または1.3)を使っています。サーバー上では、文字起こしのために自社のサーバーと音声認識のパートナーが音声を読み取る必要があるため、当社から見えなくすることはできません。サーバーのディスク暗号化は行っていません。毎晩のデータベースバックアップは、サーバーを出る前に暗号化され、鍵は当社の手元に残ります。
録音とアカウントデータは、ドイツのHetznerにある自社サーバーに保存されます。音声は一度だけEUの外に出ます。音声認識がAssemblyAIの米国エンドポイントで動くためです。AI機能は、文字起こしのテキストをOpenRouterと、その先のモデル提供元に送ります。各パートナーとその所在地は、サブプロセッサーのページに載せています。
使っていませんし、販売もしていません。SozAIのコードには、録音や文字起こしをモデルの学習に送る処理がありません。音声認識の提供元やAIモデルの提供元など、録音を処理するパートナーはそれぞれの規約で動いており、ご自身で読めるように、サブプロセッサーのページから各社へリンクしています。サイトの無料ツールは無料モデルを使うため、その提供元は受け取った内容を保持する場合があります。
音声ファイルと、そこから作られたものはすべて、すぐに自社のサーバーから消えます。ノートに自分で書いたメモは、削除するまで残ります。データベースの暗号化されたコピーは、バックアップに最大12か月残ることがあります。音声認識のパートナー側のコピーは、そのパートナー自身の保持規約に従います。現時点では、そのパートナーへ削除リクエストを送っていません。
どちらもありません。事業提携契約(BAA)は結びませんし、SOC 2レポートもないため、患者情報にSozAIは向きません。講義や研究インタビューには問題なく使えます。臨床の現場では、録音とノートを端末内に置く姉妹アプリのnotavikをご検討ください。借りているデータセンターはISO/IEC 27001の認証を受けていますが、その認証はHetznerのものです。
まだ対応していません。サインインは、GoogleまたはAppleのアカウント、あるいはメールで届く6桁のコード(有効期間は3分)で行います。SozAI独自のパスワードはありません。GoogleまたはAppleのアカウントで二要素認証を使っていれば、SozAIへのサインインもそれで守られます。シングルサインオンとチームの管理者ロールは現時点ではありません。チームで必要な場合は、[email protected]までお知らせください。
バッジは付けていません。バッジは何の証明にもならないからです。確認できる事実をお伝えします。データはドイツに保存され、処理する企業はすべて公開リストに載っており、文字起こしの書き出しも、録音やアカウント全体の削除も、ご自身でできます。音声認識は米国で行われます。当社のデータ処理契約書にはEUの標準契約条項が含まれ、法人利用に自動的に適用されます。
