プライバシーポリシー

最終更新日: 2026年8月11日

要点だけ言うと。 Lollyで作成したドキュメント、画像、動画、ファイルは すべてお使いのデバイス内にとどまります。通常利用にアカウントは不要で、アプリ自体による クッキーもなく、コードベースのどこにもアナリティクスやトラッカーは存在しません。「データを 利用していない」という建前ではなく、ソースコードに実際に存在しないのです。ソフトウェアが 何らかの形でネットワークと通信する場合の例外は、短く完結したリストとして存在し、その すべてを以下で具体的に説明します。何が、誰に、いつ送られるかです。個人情報が関わる 唯一の例外は、あなたが明示的に開始するサインインです。このドキュメントに書かれていない ことは起こりません。

このポリシーの対象範囲

Lollyはオープンソースソフトウェアです - エンジン、複数のアプリシェル(web、デスクトップ、モバイル、CLI)、そしてブラウザ拡張機能から成り、誰でも実行できます。このポリシーは2つの部分から構成されます:

• ソフトウェア自体: どこで動作していても、お客様のデータに対して何を行い、何を行わないか。これはコードの性質によるものなので、私たち自身によるものであれ他の誰によるものであれ、Lollyのすべてのデプロイメントに当てはまります。
• lolly.tools(SUSEが運用するリファレンスデプロイメント): 任意のサーバー側コンポーネントを実行する際の具体的な選択(何を、どれだけの期間、誰がログに記録するか)。

セルフホスト版またはエンタープライズ版のLollyインスタンスをご利用の場合、以下のソフトウェアの挙動は引き続き適用されますが、サーバー側に関する事項 - レンダーエンドポイント、MCPサーバー、運用している場合はContent Credentials認証局 - については、SUSEではなくそのインスタンスの運用者が責任を負います。運用者独自のポリシーについては運用者にお問い合わせください。Lollyの運用に何が伴うかについては導入とガバナンスをご覧ください。

アプリ: デバイスに残るもの

Lollyのweb、デスクトップ、モバイル各シェルは、レンダーエンジン全体をクライアント側で実行します。ツールを開く、入力する、プレビューする、書き出す - これらはすべてお使いのデバイス上で行われます。サーバーは一切関与せず、一度読み込まれればアプリはオフラインでも動作します。

アプリはクッキーを一切設定しません。 動作のために、アプリは少量のデータをお使いのデバイス上にのみ保持し、送信することはありません:

• インターフェース設定 - テーマ、言語、サウンド設定、サイドバー/ズームのサイズ、並び替えや表示の選択、確認済みのオンボーディングのヒントなど - localStorageに保存され、アプリの起動が完了する前から利用できます。
• ツールカタログとアセットプレビューのオフラインキャッシュ - これにより、接続がなくてもギャラリーが機能します。
• ローカルの利用カウンター - プロフィールカードの統計情報(書き出し回数、使用したツールなど)用です。localStorage内の小さく制限されたデータであり、私たちが読み取ることも、どこかに送信することもありません。
• ご自身のドキュメント、保存済みセッション、アップロードしたアセットやフォント - お使いのデバイス上のIndexedDBに保存され、アップロードされることも、ご本人以外が読み取ることもありません。

これらのデータはいかなる形でも共有・販売されることも、お客様を特定したり追跡したりするために使用されることもありません。同意すべき対象はありません。データ収集自体が行われていないためで、これは何がどこに保持されているかをお知らせする通知に過ぎません。Profile → Clear all my dataからいつでもすべてを消去できるほか、ブラウザでサイトのストレージを消去することでも可能です。(ePrivacy指令 Art. 5(3)により、要求されたサービスに厳密に必要なストレージには同意は不要で、必要なのは透明性のみです。それは本書とアプリ内通知が果たしている役割です。)

signed by Lollyvector SVG2026-08-24自分で確認するGet the signed file14 paths~2.0k nodes39 groups28 KBsigned by Lollyvector SVG2026-08-24自分で確認するGet the signed file14 paths~2.0k nodes39 groups29 KB

このデータのバックアップ - Export my data & render everythingによって生成されるlolly-backupバンドル - は、お客様がご自身で保持・管理するファイルです。ご自身でどこかに送信しない限り、当社のサーバーに触れることは一切ありません。詳細はデータ転送をご覧ください。

デバイス上のユーティリティ

一部のツール - Strip Hidden Data、Compress PDF、その他「Runs on your device」バッジが付いたツール - は、お客様が指定したファイルに対して動作します。ファイルはブラウザ内のメモリに読み込まれ、ローカルで変換され、ダウンロードとして返されます。アップロード先となるサーバーがそもそも存在しないため、ファイルがアップロードされることは一切ありません。これらのユーティリティはオフラインで動作し、出力には当社の透かしやメタデータは一切含まれません - そのほとんどの目的はリスクを加えることではなく、データを除去・保護することです。

signed by Lollyvector SVG2026-08-24自分で確認するGet the signed file1 path7 nodes3 KBsigned by Lollyvector SVG2026-08-24自分で確認するGet the signed file1 path7 nodes3 KB

アプリがネットワークと通信するすべてのケース

以下の表は、アプリがネットワーク経由で取得または送信するすべての内容を網羅した完全なリストです。ここに記載されていないことは、アプリでは行われません。

この表にある固定ホストはすべて、ブラウザが強制するアプリの Content-Security-Policyの完全な許可リストでもあります。したがってこの表は、コードが今日何をしているかの 説明であるだけでなく、ブラウザがアプリに課す境界そのものでもあります。 将来何らかの変更が別のホストへ接続しようとしても、それは黙って許されるのではなくブロックされます。 1行だけ意図的な例外があり、そのセル自体にそう書かれています。 Send to LinkedInはデスクトップアプリのみに存在するため、Webアプリのポリシーはその2つのホストのどちらも記載していません - Webアプリはたとえコードがそうしようとしても、それらに到達できません。 さらに2行には固定ホストがありません。 使用の瞬間にアドレスを選ぶ、ツールにキャプチャさせるURLと、シェルを向ける先の リモートインスタンスです。どちらもポリシーには含まれず、アドレスを入力して実行した時にのみ発生します。 オプションの機能をどれも使いたくないデプロイメント(たとえば自前のフォントを持つエンタープライズインスタンス)は、 それらのホストをポリシーから取り除けば、該当機能は外部へ接続しようとするのではなく フェイルクローズ(機能停止)します。

これらのいずれも、お客様のドキュメント、プロジェクト、セッション、アップロードしたファイルをどこかに送信することはありません。これらは(ツール、フォント、モデルなどを)デバイスへ届けるために存在するのであって、デバイスから何かを送信するためのものではありません。以下のセクションで明示的に述べる例外を除きます。

削除した機能について。 Verifyは、ファイルの署名鍵をDNSで公開する方式であるSEAL署名を検証できます。ブラウザはDNSクエリを発行できないため、web実装ではその照会をサードパーティのDNS over HTTPSリゾルバ経由で行う必要があり、これによりそのリゾルバの運用者に、確認対象のドメインとお客様のIPアドレスの両方が見えてしまいます。以前はCloudflareのリゾルバを使用していました。現在は使用しておらず、代替もありません: webアプリは現在いかなるリゾルバも指定しないため、ここでのSEAL検証はネットワークリクエストを一切発生させません。SEALレコードに鍵がインラインで含まれるファイルは、引き続き完全にオフラインで検証できます。鍵がDNSにあるファイルは代わりに「no key resolver」と報告され、それらはデスクトップアプリまたはコマンドラインアプリで確認できます。これらのアプリはお使いのマシンを通じてネイティブにDNSを解決し、サードパーティは一切関与しません。

signed by Lollyvector SVG2026-08-24自分で確認するGet the signed file10 paths~7.6k nodes14 groups84 KBsigned by Lollyvector SVG2026-08-24自分で確認するGet the signed file10 paths~7.6k nodes14 groups84 KB これはご自身で確認できます: このページのこの主張および他のすべての主張について、grepで検証可能なチェックが、実際のコマンドと期待される出力とともに自分で確認するに掲載されています。

ホットリンクレンダーURL

現在lolly.toolsでは無効になっています。 https://lolly.tools/tool/<tool-id>.<ext>形式のURLは現時点ではすべて404を返します。以下のセクションでは、運用者がこの機能を有効にした場合の動作と、私たちがまだ有効にしていない理由を説明します。このサービスがSUSE運用のインフラに移行した時点でここでも有効化される予定であり、その際にはこの注記も更新されます。

アプリ自体は完全にお使いのデバイス上に留まります。それとは別に、運用者はホットリンクレンダーURL(/tool/<tool-id>.<ext>?<inputs>)を有効にできます。これにより、共有されたLollyリンクをREADME、wiki、ダッシュボードなどにライブ画像として表示できます。このURLを取得すると、URLに書き込まれた入力値とともに公開ツール・カタログデータをレンダリングするようサーバーに要求します。

• アカウントもクッキーも状態保存もありません。 エンドポイントは匿名で、 デバイス上の情報は一切読み取られません。ドキュメント、セッション、アップロードは ブラウザの外に出ることがなく、これらのリンクに含まれることはあり得ません。
• ただしURL自体は記録されます。 URLのクエリ文字列はリクエスト行の 一部であるため、リクエストされたすべてのパスと同様に、ホスティングプラットフォームの 通常のアクセスログに残ります。リンクの入力に誰かの名前やメールアドレス - 名札や メール署名など - が含まれる場合、そのテキストはそのままログに残り、ポリシーの 文言をどう工夫してもそれは変わりません。この機能がデフォルトでオンではなくオフに なっているのは、まさにこの理由からです。
• いずれにせよ入力内容は構造上公開されています - それはリンクの 作成者がURLに入力した内容そのものであり、リンクが届く相手なら誰でも読めます。 共有リンクに秘密情報を含めないでください。Lollyは機密性の高いコンテンツ向けに リンクの暗号化を提供しています。
• レスポンスは他の公開画像と同様にキャッシュされ、レート制限され、 検索エンジンがレンダリング結果をインデックスしないようnoindexが付与されます。

Lollyをセルフホストしていて、公開レンダー面を持ちたくない場合は、LOLLY_DISABLE_RENDER_GET=1を設定してください - これはlolly.tools自身が現在行っていることでもあります - これにより、これらのURLはすべて404を返すようになります。

MCPサーバー(任意、AIエージェント向け)

LollyはModel Context Protocol経由でAIエージェントからアクセスすることもできます - これは運用者が運用するエンドポイントです(lolly.toolsも1つを運用しており、完全にエアギャップされた環境を含め、誰でも自分自身でセルフホストできます)。これはレンダーパスと同じアカウント不要の姿勢を共有しつつ、ファイルのバイト列を必然的に扱う3つのツールを備えています:

• lolly_transform(呼び出し元エージェントに代わり、デバイス上のユーティリティをサーバー側で実行)、lolly_verify(Content Credentialsを確認)、lolly_redact(画像やPDFの一部を黒塗りにする)はいずれも、呼び出し元からファイルのバイト列を受け取ります。これらはプロセス内、メモリ上で処理され、結果は同じ呼び出しの中で返されます - ファイルがディスクに書き込まれることはなく、リクエスト完了後に保存されることもありません。
• それ以外のすべてのツール - lolly_render、lolly_build_url、lolly_list_tools、lolly_describe_tool - はパラメータのみ(テキスト、数値、色、URL、カタログアセットID)で動作し、ホットリンクレンダーURLが受け取るのと同じ入力です。
• アクセスは、運用者が信頼するクライアントに発行する共有トークン、またはステートレスなOAuth 2.1のいずれかによって行われます: 共有シークレットに対して検証される短命の署名付きトークンであり、サーバー側には何も保存されず、トークン自体がログやレンダーURLに書き込まれることもありません。

Content Credentials アイデンティティ(ご自身で開始するサインイン)

Lollyは書き出したファイルに暗号学的なContent Credentialを封入でき、それによりファイルがLollyを離れて以降改変されていないことを誰でもオフラインで検証できます。ここまではデフォルトで有効かつ完全にローカルです - 署名鍵はお使いのデバイス上で生成され、署名自体もオフラインで行われます。登録(enrolment)を行わない場合、その鍵は使い捨てです: 書き出しごとに新しい鍵ペアが生成され、その書き出しとともに破棄されます。登録すると鍵は永続的なものになり、取り出し不可能(non-extractable)な形で生成されます - Lolly自身のコードであってもそれを読み取ることはできず、署名を依頼できるのみです。いずれの場合も、鍵がお使いのデバイスから外に出ることは一切ありません。このセクションでは、その上にある唯一の任意ステップを扱います: 検証済みアイデンティティを登録することで、書き出しファイルに匿名の鍵の代わりに"Verified - signed by \<your email\>"と表示されるようになります。登録をスキップした場合、このセクションの内容はお客様には一切適用されず、個人データがお使いのデバイスから出ることもありません。

signed by Lollyvector SVG2026-08-24自分で確認するGet the signed file21 paths~10k nodes16 groups112 KBsigned by Lollyvector SVG2026-08-24自分で確認するGet the signed file21 paths~10k nodes16 groups112 KB

登録を行った場合、正確には以下のことが起こります:

1. サインイン方法を選択します - GitHub、Google、SUSE(id.suse.com)、またはメールで届くリンクのいずれかです。3つのOIDCプロバイダーについては、そのプロバイダー自身のログインページにリダイレクトされ、そこでは当社ではなくそのプロバイダーのプライバシーポリシーが適用されます。Lollyの証明書サービスが受け取るのは、検証済みのメールアドレスとプロバイダー名のみです。メールリンクの場合、入力したアドレスはその1通のリンクを届けるためだけに、トランザクショナルメールAPIであるResendに渡されます。
2. 短命のクッキーがリダイレクトを保護します。 これは、Lollyシステム全体で設定される唯一のクッキーです: lolly_ca_state、HttpOnly、スコープは/api/ca、有効期限は10分以内です。追跡用の識別子ではなくランダムな値を保持し、OAuthリダイレクトが偽造されるのを防ぐためだけに存在します。サインインが完了すると同時に消去されます。
3. お客様のIPアドレスは、悪用防止のため一時的に使用されます(サインインエンドポイントの悪用、たとえば1つのスクリプトが受信箱をスパムしたりメールの割り当てを使い果たしたりするのを防ぐため) - サーバーメモリ内にのみ、約1分間のスライディングウィンドウで保持され、ログに書き込まれたりどこかに永続化されたりすることはありません。
4. 証明書サービスは短命の証明書を発行します(7日、30日、90日、365日のいずれかをお客様が選択でき、運用者のポリシーによって上限が設定されます)。これは、検証済みのメールアドレスを、お使いのデバイス上で生成された鍵ペアの公開側に結び付けます。秘密鍵側はブラウザから一切出ません。
5. 発行に関する記録は一切残りません。 証明書サービスは発行ログを一切保持しません: メールアドレスも、プロバイダーも、シリアル番号も、タイムスタンプも記録されません。データベースも、ログの一行も、webhookもありません。お客様のメールアドレスは、お使いのデバイスが受け取る証明書に書き込まれるのに必要なだけの間だけリクエスト内に存在し、その後は当社側から完全に消え去ります。
6. その後は、証明書の有効期間全体にわたって再びオフラインで署名が行われます。 ファイルの書き出しが証明書サービスに接続することは一切なく、接続するのは登録時のみです。

トレードオフを率直に述べます。 このサービスの以前のバージョンでは、誤発行や侵害された証明書を追跡できるよう、発行のたびにログを記録していました。私たちはそれを削除しました。そのログが、Lolly全体の中で個人データがサーバー上に留まる唯一の場所だったためで、注意深く保持するよりも、そもそも保持しないほうを選びました。その代償として失われるのはサーバー側の追跡可能性です: 証明書が悪用された場合、誰がそれを取得したかを調べることはできません。証明書は設計上短命です - 7日から365日の間でお客様が選択でき、運用者によって上限が設定されます - そして自動的に失効することが、私たちが代わりに依拠する緩和策です。監査ログを義務として必要とするセルフホスト運用者は、独自にログを追加でき、そうすることでそのデータの管理者(controller)となります。

ブラウザ拡張機能

Lolly URL Screenshotブラウザ拡張機能は、いかなる個人データも収集、保存、送信しません。解析も、追跡も、リモートサーバーもありません。

動作内容。 Lolly webアプリにURLのスクリーンショットを依頼すると、拡張機能はそのページを一時的なバックグラウンドタブで開き、DevTools Protocolを使ってお使いのブラウザ内でキャプチャし、画像をアプリに返してタブを閉じます。すべてはお使いのデバイスとネットワーク上でローカルに行われます。

データ。

• 私たちは何も収集しません。 この拡張機能にはサーバーがなく、独自のネットワークリクエストも一切行いません。
• キャプチャした画像は同じブラウザ内のLollyアプリに直接渡され、拡張機能によってアップロードされることはありません。
• キャプチャするURLは、その1回のスクリーンショットのためにその1つのページを読み込むためだけに使用されます。ログに記録されることも共有されることもありません。

権限。

• debugger - DevTools Protocol経由でレンダリング済みページをキャプチャするため(Lollyデスクトップアプリが使用するのと同じ仕組みです)。
• tabs - ページを読み込む一時的なタブを開閉するため。
• ホストアクセス(<all_urls>) - キャプチャ対象として選択するページはどのサイトであってもよいためです。Chromeはインストール時にこれを広範な権限の警告として表示します。この拡張機能は、お客様が指定したURLにのみアクセスします。

これらの権限はいずれも、依頼されたその1回のキャプチャを超えて、お客様の閲覧内容を読み取ったり、監視したり、送信したりするために使用されることはありません。

インフラストラクチャのログ

他のあらゆるwebサイトと同様、lolly.toolsを支えるサーバー - そして他のあらゆるLollyデプロイメントを支えるサーバー - は、リクエストが到達するたびに標準的なwebサーバーのアクセスログを生成します: IPアドレス、リクエストされたパス、タイムスタンプ、ユーザーエージェントです。これはホスティングにおける基本的な挙動であり、Lollyが上乗せしているものではありません。また、お客様のドキュメントの中身が含まれることは一切ありません。そもそもそれらがサーバーに到達することがないためです。唯一意図的な例外は、MCPのlolly_transform、lolly_verify、lolly_redact呼び出しに明示的に渡すファイルで、これは前述の通りメモリ内で処理され、ディスクやログに書き込まれることは一切ありません。

Lolly自身のコードは、これらのログに何も書き込みません。 MCPサーバーにはログ出力文が一切含まれていません。証明書サービスが出力するのは、いずれも失敗時に限られる、意図的に情報を削ぎ落とした正確に2行のみです: 送信失敗のステータスコード(受信者アドレスは含まない)と、エラーメッセージ(スタックトレースやURLは含まない。スタックには登録トークンが含まれる可能性があるためです)。ログのそれ以外の部分はすべてホスティングプラットフォームのものであり、当社のものではありません。

lolly.toolsについては、ホスティングはVercelであり、アクセスログの保持期間は当社のプランにおけるVercel自身のプラットフォームデフォルトに従います。私たちはログドレイン、長期的なログのエクスポート、解析や監視製品の追加設定を一切行っていません。これらのログのコピーを私たち自身で保持することもないため、お客様のためにログを検索する手段も私たちにはありません - 詳細はお客様の権利をご覧ください。

法的根拠、保持期間、提供先

ここではほぼ何も処理されないため、法的根拠が必要になる場面もほとんどありません。完全を期すため、その一覧をすべて示します。

提供先。 データ提供先のカテゴリーは、当社のホスティングプロバイダー(Vercel Inc.)と - メールでのサインインオプションを利用する場合に限り - トランザクションメールプロバイダー(Resend)です。GitHub、Google、またはSUSE(id.suse.com)でサインインする場合、あなたはそれらのプロバイダーとそれぞれ独自のプライバシーポリシーのもとで直接やり取りします。それらのプロバイダーは、検証済みのメールアドレスのみを当社に伝え、それ以外は伝えません。当社は個人データを他の誰とも共有せず、データの販売や広告の実施、ユーザーのプロファイリングも行いません。

EEA域外への移転。 VercelとResendは米国企業です。lolly.toolsのファンクションコンピュートはVercelのフランクフルト(fra1)リージョンに固定されており、処理はEU域内で行われますが、両社は米国に本社を置く事業者であるため、処理者としてデータへの米国からのアクセスが生じる可能性があります。これらの移転は、欧州委員会の標準契約条項(SCC)および/またはEU-USデータプライバシーフレームワークに基づいており、各プロバイダーのデータ処理契約に定められています。いずれのプロバイダーに届く個人データも - 1通のメッセージ送信のために渡されるメールアドレスと、通常のアクセスログに限られる - 非常に限定的であるため、それに伴うリスクも相応に小さいものです。

自動化された意思決定。 一切行っていません。プロファイリングも、法的またはそれに準ずる重大な影響を及ぼす自動化された意思決定(第22条)も存在しません。

児童のプライバシー

Lollyは、アプリの通常の利用において、年齢を問わず、いかなる個人情報も意図的に収集することはありません - 収集するものが何もないからです。唯一、個人情報(メールアドレス)が取得される場面は、上記で説明したContent Credentialsの登録であり、これは児童を対象としたものでも、児童向けに意図されたものでもありません。

お客様の権利

Lollyが扱うものはほぼすべてお使いの端末にのみ保存されるため、データ保護法が「お客様の権利」と呼ぶもの - アクセス、訂正、削除、ポータビリティ - のほとんどは、誰かに依頼するまでもなく、あなた自身がすぐに行えることです。あなたのデータはブラウザのストレージ内に、確認・エクスポート(上記のExport my data & render everything)・削除(Profile → Clear all my data)が可能な形で存在しています。

正式には、GDPR第15条から第22条に基づき、あなたには個人データにアクセスする権利、それを訂正する権利、それを消去する権利、その処理を制限または異議を申し立てる権利(正当な利益に基づく処理への異議申し立てを含む)、データポータビリティの権利、そして - 処理が同意に基づく場合には - いつでもその同意を撤回する権利があります。同意の撤回は、撤回前に行われた処理の適法性には影響しません。

これらの権利を当社に対して行使する際の、正直なところをお伝えします。当社はもはや発行ログを保持していないため、当社には照会・訂正・エクスポート・削除できる、あなたに関する個人データが一切ありません。当社に何を保有しているか問い合わせいただいた場合、正直な回答は「何もありません」であり、当社はそのままお伝えします。唯一存在するカテゴリーは、IPアドレスに紐づくホスティングのアクセスログで、これは当社のホスティングプロバイダーがそのデフォルトの保持期間のもとで保有しています。当社にはそれらを検索したり選択的に削除したりする手段はなく、そのことも取り繕わずにお伝えします。実際にあなたのものであるデータはすべてお使いの端末上にあり、誰かに許可を求めることなく、すでに読み取り・エクスポート・破棄が可能です。

苦情を申し立てる権利があります。 当社によるデータの取り扱いが不適切であるとお考えの場合、データ保護監督機関に苦情を申し立てることができます - EU域内であれば、あなたの居住国、勤務地、または侵害が発生したと考えられる場所の監督機関です(第77条)。当社の主監督機関は、ドイツ・アンスバッハのBayerisches Landesamt für Datenschutzaufsicht(BayLDA)です。まず当社に連絡する必要はありませんが、問題を是正する機会をいただければ幸いです。

当社はデータを販売しません。そもそも販売できるデータがありません。

本ポリシーの変更

このドキュメントが更新されるたびに、冒頭の日付が変更されます。端末から送出される内容や保持内容を変更するような改定は、無言の編集ではなく、ここに専用の行として記載されます - 何が変更されたかを確認したい場合は、(下記の方法で)お問い合わせいただくか、公開ソースと比較してください。

責任者と連絡先

lolly.toolsのデータ管理者は以下のとおりです。

SUSE Software Solutions Germany GmbH Frankenstraße 146 90461 Nürnberg Germany

SUSEはデータ保護責任者(DPO)を任命しており、privacy@suse.comで連絡できます。上記「お客様の権利」に基づく正式な要求には、このアドレスをご利用ください。

Lolly自体について - その仕組みや、ある挙動がそうなっている理由、あるいは本ドキュメントの訂正など - については、Andy Fitzsimon(fitzy@suse.com)までご連絡ください。

セルフホスト版またはエンタープライズ版のLollyインスタンスについては、それを運用している側にご連絡ください。運用者が自らのデプロイメントに対するデータ管理者となります。SUSEおよびLollyオープンソースプロジェクトは、自らが運用していないデプロイメントのデータを一切保有しません。