1What we don’t receive

• A phone number, email address or any government ID number for signing up or signing in (if you email us, we do receive that email — section 2)
• Your address book, location, or advertising identifier
• Your recovery phrase. The 18 words are shown once on your device for you to write on paper. They aren’t sent to us, and they aren’t kept in the app, in Apple’s or Google’s cloud, or in backups. We keep only values derived from them that can’t be turned back into the phrase (section 2)
• Your PIN itself (we keep only a derived value used to check it — section 2)
• The secret in an invite link, a fam QR code, a fam link or a request link you send to a member to ask to join. It sits after the # in the link, so it never reaches the server. The app derives from it the number of a one-time mailbox and a key; the server sees the mailbox number, not whose link it is
• Which web addresses you preview (your own device fetches the link preview directly — section 3)
• Payment details such as your card number or Apple ID (Krypton+ payments are handled by the app store — section 2)
• The sound of your calls (it travels encrypted between the two devices — section 4)

Permissions the app asks for (all optional)

Camera

When you scan a fam QR code or an invite QR code. What the camera sees is read only on your device; it isn’t saved or sent.

Photos

When you choose photos or videos for a post or your profile, and when you save a photo or video to your photo library (saving asks only for permission to add). Only what you choose is resized and sealed on your device before upload.

Microphone

When you make or answer a call with someone in your fam. The sound isn’t recorded or stored.

Notifications

To receive notifications.

Clipboard

Only when you tap “Continue with my invite” on the first screen or “Open a link you got” on your QR screen, the app reads the clipboard to find a Krypton link and opens it in the app. Until you tap, the first screen checks only whether the clipboard holds any text, not what it says. What’s on the clipboard isn’t sent to us. On iPhone, the system may ask whether to allow pasting.

If you don’t allow a permission, you can still use everything in Krypton except that feature, and you can turn permissions off at any time in your device settings. The app doesn’t ask for location or contacts access.

2What the servers know

Our servers don’t store relationships between members. Who is fam with whom, who invited or backed whom, and who sent a post, chat, card, note, call or notification to whom are kept on members’ devices; deliveries go through mailboxes. This section lists what the servers do store (they need it for the service to work, and it isn’t sealed), what they no longer store, and what they can see only as it happens. Emails to us, in the last row, come to our mailbox rather than the servers.

What the servers store

Account number

A random number created when you join. It isn’t tied to your name.

Public keys

Your account’s signing and encryption public keys (the encryption key has two parts, X25519 and ML-KEM-768 — section 15), a second signing public key (ML-DSA-65) kept for later use, and each device’s public key and certificate.Sign-in, checking who sent something, sealing things to you

Membership

Pending, active or suspended; your role (founder, Krypton team, member and so on); the order in which you became a member; the 30-day period in which you joined, signed by the server so other members’ apps can tell whether you joined as a new neighbor (section 6); whether you joined with an invitation ticket or through the Krypton team; your Krypton+ periods — the period you bought and any period given by a founder (who gave it is in the staff action log, section 8).Joining, deciding Krypton+ features (number of photos, video length, original quality, scheduled posts, calls)

Tickets

How many tickets of each kind your account received in each 30-day period — invitation tickets (5 a period, or 50 with Krypton+) and tickets that count new mailboxes, posts and photo uploads. A ticket is issued blind, so the server can’t later tell whose ticket is being used. When one is used, the server keeps a mark that it has been used, with its kind and period but no account and no date.The 30-day invitation limit, limits on posts and uploads, stopping mass creation

Mailboxes

Mailboxes are numbers worked out from a secret that only the two people in a pair (or the people in a chat) share; they aren’t tied to accounts, and the numbers change every 30 days. For each mailbox: the sealed notes in it (padded to set sizes), the hour each note was put in, the week the mailbox was made and last used, and a check value for the key needed to put notes in (only people who share the secret can). To stop abuse, the servers also keep daily counts per network area — the first part of the IP address mixed with a key that changes every day, not the IP address itself — for today and yesterday only.Delivering posts, chats, cards, notes, fam requests, call rings and alerts without the servers storing sender or recipient

Mailbox wake-ups

For each mailbox your device asks us to wake it for: a value made from the mailbox number, a random topic name, the kind of wake-up (such as post, chat or call) and the language. No account number and no push token are stored with them, except one iPhone call token per device, kept for the one mailbox that device uses for incoming calls and encrypted with a key the server holds. Google delivers the wake-ups by topic (section 10).Notifications

Posts and notes

Sealed, with no author field. Stored with each: a check value for a secret only the author’s device holds (it lets the author edit or delete without saying who they are), the kind of item, whether chat is closed, the disappearing time, the scheduled time (to the minute), when it was made, edited and deleted (to the hour), the number of photos, video length and whether original quality is used (to check Krypton+ limits), and the week the author’s device last renewed it (section 7). Who it was sent to, whose page a note is on, and who can open it are not stored.Delivery, editing and deleting, scheduled and disappearing posts, the 180-day renewal

Chats

Each chat is a room with a random label. The servers know which post a room belongs to (so, how many rooms a post has), and for each sealed line its size class, the hour it was put in and its order. Who wrote each line and who is in the room are not stored.Delivering replies only to the people in a chat, closing chats, clearing old chats

Photos, videos and files

Sealed files with random names, their size and kind, check values for the secrets needed to receive, keep and delete them, the day they were stored and the week they were last renewed. They aren’t tied to an account or to a post.Storing and delivering files

Your card

Which of Fam only or Everyone you chose for your card, and when you last changed it. A card set to Everyone is stored under your account number, sealed with the key every member holds (section 3). A card set to Fam only is stored sealed at a random location that isn’t tied to your account, with its size class and the week it last changed; the keys and the location reach your fam through mailboxes.Giving your card only to the range you chose

Sealed backups

Your fam list, the keys to posts you received, your blocks and your own posts’ secrets live on your device. So that you don’t lose them with your phone, your device backs them up to us sealed with your own key: monthly parts (the month, a size class and the hour last changed) and a fam-list bundle (a size class and the hour last changed). We can’t open them.Restoring your fam and received posts after recovery

Recovery

A backup of your private keys, sealed with a key that can be made only from your recovery phrase together with the server’s half; the server’s half; a check value for a lookup value made from your phrase (so a new phone can find your account from the phrase — the phrase itself and the lookup value aren’t stored); a value derived from your PIN to check it, with the number of wrong tries and any lock; and the status of a recovery in progress (the account, when it started and when the 48-hour wait ends). Recovery alerts go to all your devices.Getting your account back on a new phone. The server alone can’t open the backup; your phrase is needed

Requests to the Krypton team

The requesting account, an introduction sealed so only the team account’s key can open it, status and expiry (7 days), and signs used to spot abuse of sign-up — how many accounts were started from the same place on the same day, and how long it took from creating the account to sending the request. The Krypton team runs the service, so when the team lets someone in, the servers know that the team brought that person in.Screening requests to the Krypton team

Sign-up start records

When someone starts signing up: a check value made by mixing the first part of their IP address with a key that changes every day (not the IP address itself), and how many sign-ups were started with that check value that day. No account number or time is recorded. Records older than two days are deleted automatically every day.Stopping mass account creation, screening requests to the Krypton team

Reports and staff actions

Who reported, which post, chat room or person, for which reason, and the report’s status; the report itself, sealed so only our staff can open it (section 8); once staff confirm from the author’s signature who wrote a reported item, that author’s account; actions taken and notices sent to members.Handling reports and appeals

Notifications

Your device’s push token for notifications that go to your account (such as recovery alerts and notices from us), device type, notification language (Korean, English, Japanese), and which kinds you have turned on (chats, screenshots and saved photos, requests). A log of wake-ups sent (the topic mixed with a daily key, the kind and the time — no account), kept for two days. Notifications about a request to recover your account can’t be turned off.

Devices

Each device’s last sign-in time and whether it has been removed.

Krypton+ purchases

If you buy Krypton+: the store (Apple or Google), transaction number, product, the end of the current period (a lifetime pass has no end), when it was refunded or cancelled, and whether it was a live or test purchase. When you buy, your account number is attached to the transaction so the purchase the store confirms can be linked to your account. Payment details such as your card number or Apple ID are handled by the store; we don’t receive them.Working out your Krypton+ period and reflecting renewals and refunds, stopping one purchase being used by another account, keeping transaction records as the law requires

Emails to us

When you email support@krypton.today or privacy@krypton.today: your email address, the message and anything attached (such as proof that you hold rights, or screenshots that identify a post). The same applies to infringement or removal requests from people who aren’t members.Answering questions; handling appeals, infringement, removal, withdrawal and data-rights requests

What the servers don’t store

• Who is fam with whom; fam requests, introductions and their answers; who used whose QR code or fam link; who blocked whom. These are on your device and in your sealed backup.
• Who invited or backed whom. Joining uses anonymous tickets: the server checks that a ticket is valid and unused, not who gave it. The Backers on your card are proven by signatures your devices exchange. The exception is people the Krypton team lets in (see above).
• Who sent a post, reply, card, note, post passed to fam, heart, call ring, screenshot or save alert, or past posts to whom. The sender’s account and signature are sealed inside.
• Who is in a chat, and who invited whom into it.
• Whose page a note is on.
• Your Fam groups. They exist only on your device.

What the servers can see as it happens

“Not stored” isn’t the same as “never seen”. Even though the records above don’t contain relationships, the servers — and anyone who watches requests as they arrive or holds the platform logs (kept for 7 days, section 4) — can see the following at the moment it happens.

• Connections. The IP address and time of every request.
• Timing. If your app signs in and, from the same IP address at about the same time, puts notes into mailboxes or collects them, those mailboxes can be linked to your account. Joining works the same way: the invitation passes through one mailbox, so someone who watches requests or holds the platform logs could link the member who invited you to your joining. A request link you send to a member works the same way: the member who opens it can be linked to you. The stored records don’t show who brought whom in; connection logs and live requests could. Your app waits a few seconds to minutes between these steps, which blurs this but doesn’t prevent it.
• Batches. A device collects several mailboxes, posts, photos or cards in one request. While it does, the server sees that they belong to one recipient (not who). Posting to your whole fam sends notes in small batches spread over minutes, and each batch is visible as a batch as it arrives. The order in which rows were written also remains inside the database and its backups, even though stored times are rounded.
• Uploads. When your app gets a pass to upload a post or a photo, it is signed in, so the server sees at that moment that your account is uploading something of a given size — not who it’s for.
• Calls. During a call both devices are signed in to the same live channel, so the server sees which two accounts are on a call at that moment. It doesn’t record calls.
• Push. Apple and Google know which device a push token belongs to, and Google knows which device subscribes to which wake-up topic. Someone holding both our records and Google’s could link a device’s topics to its account.
• Reports. A report links the reporter to what they reported (section 8).

3What we store sealed

These are sealed on your device and then sent to us. Neither the servers nor our staff hold the keys to open them.

• Your card — your name, bio, profile photo and Backers. The Backers come with signatures that prove them: the first is the member who let you in, and the second is the first person other than them you became fam with, shown with a signature from you both that you are fam. If you are a Krypton+ member, your card also shows that (not your period or payments)
• Posts, replies, notes, chat lines, photos, videos and files (files are stored as ciphertext). The sender’s account and signature are sealed inside
• Link previews — made by the writer’s device and sealed with the post
• Fam requests — the shared secret for the pair, signatures, your card and a small profile photo, sealed so only the person you ask can open them
• Your card and small photo attached to your QR code or fam link — sealed with a key made from the secret after the # in the link, so only members who open the link can open them
• A request link you send to a member to ask to join — a note with your name, bio, account number and public keys, signed with your account key and sealed with a key made from the secret after the # in the link, in a one-time mailbox. Only people who have the link can open it. The servers don’t record who asked or who received it
• Invitation bundles — what the member who lets you in gives your new device (their signature on your key, their chain of Backers, the member key and your ticket), passed device to device through a mailbox
• The reason written when passing a post to fam, and the names of the people a post passed to you came through — the person passing it seals them with that post’s key. Only people who receive the post can open them
• Who invited whom to a chat, and the list of people in it — lines sealed inside that chat. Only the people in the chat can open them
• Your sealed backups (section 2) — only your own key opens them
• Your recovery backup — only a key made from your recovery phrase together with the server’s half opens it
• The name, one-line introduction and “who will you use it with” in a request to the Krypton team — only the team account’s key can open them (on the team’s device, or in a staff-console page where that key has been unlocked)
• The line carried in a chat notification — only the recipient’s device can open it
• Reports — sealed by the reporter’s device so only our staff can open them (section 8)
• Device names

What sealing doesn’t mean

• Recipients can read it. A post opens on each recipient’s device and may stay there. Recipients who are Krypton+ members can save photos and videos to their photo library, and saved copies are outside the seal.
• Reports are opened to us. The reporter opens that post, chat line or card to us (section 8).
• The Krypton team reads requests sent to it. The team opens the name, introduction and “who will you use it with” in the request and decides whether to accept (section 8).
• A card set to Everyone is visible to every member. By default your card is set to Fam only: its keys go only to your fam, one by one, through your pair mailboxes. If you choose Everyone on My page, your card is also sealed with a key every member holds (the member key), so anyone who becomes a member can see it. The servers know which you chose (section 2).
• Metadata isn’t sealed. The servers know what’s in section 2. Posts and notes are padded to set sizes to hide their length, but the size of photo and video files is visible.

When a link preview is made, the writer’s device connects to that site directly, so the site sees the writer’s connection. Recipients’ devices don’t contact the site unless they tap the link. For a YouTube video, the writer’s device fetches its title and thumbnail from YouTube, and a recipient’s device connects to YouTube (youtube-nocookie.com) only when they tap ▶ — YouTube then sees that device’s IP address and the video.

4Records created automatically

• IP addresses — we don’t record them in our database or server function logs. The exceptions are the daily counts in section 2 (sign-up starts and mailbox use per network area): the first part of the IP address is mixed with a value used only that day and kept for at most two days. Whoever holds the secret behind that daily value could work out the network area (not the full address) from a count. IP addresses, request times and request addresses do appear in the platform logs of Supabase, our server provider (request addresses can contain account numbers or mailbox numbers), and are deleted after 7 days. Cloudflare processes IP addresses while delivering photos, videos and web pages and while relaying calls; those records follow Cloudflare’s privacy policy and the periods Cloudflare sets. Observability logs for the Cloudflare Worker in front of file storage are turned off.
• Wake-up log, last sign-in per device, sign-up start records, mailbox counts — section 2

The “new message” and “typing” signals in an open chat pass through the server (Supabase Realtime) on a channel named from that chat’s secret, sealed with a key from the same secret. Anyone who has the chat’s secret — the people in the chat — can receive them. When the people in a chat change, the chat gets a new secret. The signals themselves aren’t kept.

Calls are one-to-one voice calls with someone in your fam. The two devices set up the call through a live channel named from their shared secret and seal the setup messages to each other. The sound is encrypted between the two devices and travels directly between them or, when a network needs it, through Cloudflare’s relay (TURN), which sees the two IP addresses but not the sound. We don’t record calls or keep a call history on the servers.

The app contains no analytics, advertising or crash-reporting tools.

5Purposes and legal bases

We use personal data only for the purposes below. For each purpose we list the information used and the legal basis.

Providing the service

Joining (a member’s invite link, a request link you send to a member, requests to the Krypton team), sign-in, delivering posts, replies, chats, photos and videos, calls, adding fam (including in person by QR code) and introductions, passing posts to fam, inviting fam to a chat, sharing past posts with new fam, scheduled posts, disappearing posts, recoveryInformation used — account number and public keys, membership, tickets, mailboxes and wake-ups, post, chat and file records, sealed content, sealed backups, your card setting, devices, recoveryLegal basis — performance of a contract (Korea’s Personal Information Protection Act (PIPA) Art. 15(1)(iv); GDPR Art. 6(1)(b))

Notifications

Telling you something is waiting, a new chat, someone new in your fam, an incoming call, a screen capture attempt, that your photo or video was saved, or a request to recover your account. Notifications carry no names or content.Information used — push tokens, mailbox wake-ups, device type, notification language, notification settings, wake-up logLegal basis — performance of a contract (PIPA Art. 15(1)(iv); GDPR Art. 6(1)(b))

Providing Krypton+

Confirming purchases, reflecting renewals, cancellations and refunds, stopping one purchase being used by another account, managing Krypton+ given by a founder, deciding limits on number of photos, video length, original quality, scheduled posts and callsInformation used — Krypton+ purchase records, membership and Krypton+ periodsLegal basis — performance of a contract (PIPA Art. 15(1)(iv); GDPR Art. 6(1)(b))

Safety and operations

Handling reports, restricting accounts, stopping mass creation of accounts and mailboxes, screening requests to the Krypton team, keeping a log of staff actions, answering questions and handling appealsInformation used — reports and staff actions, sign-up start records, mailbox counts, tickets, screening signs on requests to the Krypton team, staff action log, emails to usLegal basis — legitimate interests (PIPA Art. 15(1)(vi); GDPR Art. 6(1)(f)): protecting members and the service from abuse

What the law requires

Keeping purchase records, responding to legal requests, reporting child sexual abuse material, handling removal requests for infringing posts, withdrawals and data-rights requestsInformation used — Krypton+ purchase records, the information in section 2, report copies, emails to usLegal basis — legal obligation (PIPA Art. 15(1)(ii); GDPR Art. 6(1)(c))

We don’t use personal data for any other purpose, such as advertising, sale or profiling.

• We don’t process any information on the basis of consent. The camera, photos, microphone and notifications are used only when you allow them on your device, and you can turn them off at any time in your device settings.
• The information in section 2 is needed for the service (Krypton+ purchases only if you buy, and emails only if you send them). Without it you can’t use Krypton.
• You can object to processing based on legitimate interests (section 13).

We don’t receive or separately collect sensitive information such as health, beliefs or political opinions. The servers don’t store who is linked with whom, and know nothing of people’s professions or the nature of their relationships.

6What other members see

Fam

Your card — name, bio, Backers, profile photo and, if you are a Krypton+ member, that you are — and the posts you share with “Fam”.

All members (card set to Everyone)

If you choose Everyone with the small button at the top left of your card on My page (Fam only · Everyone), every member sees your card with a blurred (mosaic) profile photo. Your full photo opens only for your fam. The default is Fam only (founders start with Everyone). If you go back to Fam only, your device seals your card again with new keys and the copy sealed with the member key is deleted. What was already seen while it was set to Everyone can’t be undone (section 15).

People who open your card

Your Backers, and the signatures that prove them. When their app checks that you’re a real member, it also sees your chain of Backers (your Backers’ Backers, and so on).

New neighbors

From the 1,001st member on, someone who joins through a member’s invite link is a new neighbor until their second Backer is filled — that is, until they become fam with someone other than the member who let them in. Members’ apps tell this from the card and the server’s signature on the joining period (section 2), and don’t accept invitations, posts passed to fam, introductions or chat invitations from a new neighbor. People who joined before the 1,001st member, and people let in by the founder or the Krypton team, are full members from the start.

The page owner’s fam (notes)

A note you leave on another member’s page is seen by that member and their fam — your name is sealed in with it. Your device seals it only to the page owner and you; the owner’s device then seals it again to their fam. When someone stops being the owner’s fam or is blocked, the owner’s device stops sealing new notes to them; what was already seen can’t be undone. A note the owner hid stays hidden even if the writer deletes it and writes again. It’s fam only, whatever the owner’s card is set to. The owner can hide or delete notes on their page.

Chosen recipients

The post and a “Selected” mark showing it was sent to them in particular. They can’t see who else received it. The author sees the list of recipients.

New fam

Up to 100 of the posts you shared with “Fam” in the last 30 days. You can turn this off with “Show my past posts” in Settings; the setting stays on your device.

People in a chat

A reply to a post is seen only by the people in that chat. At first that’s the author and the person replying; if someone in the chat invites someone in their fam, the invited person sees the post and the replies from when they joined. People in a chat see who’s in it, who invited whom, and who joined or left. Anyone who leaves or is removed keeps the replies they received while they were in it. Only the author knows who sent a heart to the post.

People a post is passed to

If a recipient passes your post to someone in their fam, that person sees it too. They also see the names of the people the post came through — names sealed and attached by whoever passed it to them. Posts sent to chosen people and “Only me” posts can’t be passed to fam.

The owner of a screen

If you try to capture someone’s chat, page or post, they get a notification and your name appears in their updates.

Authors (saving)

If you save a photo or video from a feed post to your photo library, the author gets a notification and your name appears in their updates. Saving chat photos doesn’t notify anyone.

People you ask to join your fam

The person you send a fam request to sees your card and a small profile photo, even if your card is set to Fam only. Members who open your QR code or fam link see the same.

People who get your request link

Whoever has the request link you send to a member — anyone it’s passed on to — can open your name, bio, account number and public keys. If a member taps “I know them”, they become your first Backer; otherwise nothing is sent back.

People in a chat, and owners you alert

The people in a chat with you, and the owner of a post whose photo or video you save or of a screen you capture, see your card even if they’re outside the range you chose.

Your fam link

A fam link you send works once, within 24 hours: the first member who opens it becomes your fam without you confirming. Sending the link is your consent. You’re told, and you can remove them.

Fam who relay a request

If you ask someone who isn’t your fam to join your fam because you share someone in your fam, the device of that shared fam passes your request on automatically. That person’s device therefore knows that you asked whom (it can’t open the request).

The Krypton team

If you ask the Krypton team to join, the team sees the name, introduction and “who will you use it with” in your request (section 8).

By default your card is visible only to your fam, but if you choose Everyone or ask someone outside your fam to join your fam, others see it too. Don’t put sensitive things such as health or beliefs on your card. For posts, you choose who sees them with the audience setting (fam, chosen people, only me).

7Retention and deletion

Each kind of information is kept for the period below and deleted when that period ends. Cleanup runs automatically once a day.

Notes in mailboxes

Until the recipient’s device confirms it has them, and at most 90 days. A mailbox that has had nothing put in it for 70 days is removed.

Mailbox wake-ups

100 days unless your device renews them

Daily counts (sign-up starts, mailbox use per network area)

Today’s and yesterday’s only (older ones are deleted automatically every day)

Posts, notes and their photos and videos

Until the author deletes them or deletes their account. The author’s device renews them in the background; anything no device of the author has renewed for 180 days — for example because the phone was lost and not recovered, or the app hasn’t been opened in that time — is deleted automatically. Your app renews them about once a month while it’s used, so they are deleted between 150 and 180 days after the app was last opened. A deleted post’s empty record (with no content) is removed after 7 days.

Disappearing posts

24 hours (from when the post appears if chosen when writing, or from when it’s chosen later). Recipients’ apps hide it at that time; the servers delete it within the following hour. Its photo and video files are deleted by the author’s device, and in any case under the 180-day rule.

Chats

While the post exists. A chat with no new line for 365 days is removed, and the chats of a deleted post are removed 30 days after it’s deleted.

Uploaded files not kept

A photo or file that the uploading device doesn’t confirm within 7 days is removed

Fam-only card locations

An earlier version of your card is removed within 14 days of a new one; a location not refreshed for 90 days is removed

Sealed backups

While your account exists (monthly parts older than 24 months are retired). Deleted with your account

Sign-in challenges

1 day after expiry

Accounts that never finish joining

A pending account that hasn’t joined within 30 days is deleted (unless it has an open request to the Krypton team)

Request links

The note in a request link’s mailbox is deleted after 30 days, and the requester’s device puts it in again every 7 days. The link closes when you join or cancel it, and ends with the pending account if that is deleted after 30 days (any remaining note is deleted within 30 days)

Requests to the Krypton team

30 days after the request ends

Recovery requests

30 days after the request ends; daily counts of recovery lookups, two days

Wake-up log

Two days

Handled reports

Once handling is finished and 180 days have passed since the report (open reports are kept; reports the law requires us to keep — for example, those reported to the U.S. NCMEC, for 1 year from that report — are kept for that period)

Actions and notices

Actions we took on an account and the notices we sent about them — 3 years from the action

Staff action log

Kept unalterable for 3 years from the action, then deleted

Krypton+ purchase records

5 years from the transaction (the period Korea’s Act on the Consumer Protection in Electronic Commerce sets for payment records). Records of a pass still in use (a lifetime pass that hasn’t ended) are kept for as long as that account exists.

Emails to us

3 years after we finish handling them (the period Korea’s Act on the Consumer Protection in Electronic Commerce sets for complaint and dispute records)

Everything else

While you use your account. What is deleted and what remains after you delete it is set out in section 12.

When a retention period ends or the purpose is fulfilled, we delete the information without delay. We delete the database rows and remove photo and video files from storage so they can’t be restored. Deleted information stays in the production database’s daily backups for up to 7 days before it’s gone (backups are used only to recover from failures). Records kept because the law requires it — purchase records, actions and notices, reports under legal hold — are stored apart from other information, keep the account number only as a number, and are used only for that purpose.

8Reports and what we can open

We can’t see posts as they are shared, and we have built nothing that would let us. Instead, when someone reports, the reporter’s device opens the reported item to us: it seals the item exactly as its author signed it, so that only our staff can open it.

We look at reported items to deal with breaches of our terms and unlawful content, and to take the action the law requires (section 5 — legitimate interests and legal obligation).

A reported post, reply or chat line

We see it as it was when reported, with its author’s signature, and the photos and videos referenced inside it (if the files still exist). From the signature we learn which account wrote it; the server checks the signature again before recording that account with the report. For a chat line, the reporter’s app also sends how many people are in the chat; we treat this as a hint, since it isn’t signed. If the post later disappears or is deleted, the sealed copy from the time of the report stays with the report.

A reported person

We see that person’s card as the reporter’s device opened it (name, bio, blurred photo) and, for a card set to Fam only, where it’s stored, so we can check the reporter didn’t make it up. The full photo isn’t sent.

A request to the Krypton team

The team account’s key (on the team’s device or in the staff console) unseals the name, one-line introduction and “who will you use it with”, and the team also sees how many accounts were started from the same place on the same day and how long it took from creating the account to sending the request. The team uses this to decide whether to accept. When a new request arrives, we email staff only the number of waiting requests and the staff-console address — no names or introductions.

Metadata we see alongside

The account numbers of the reporter and the reported person, the reason and the time. For each account: status, role, joining period, member number, Krypton+ period, number of devices and number of reports. No names. We don’t see how many fam or Backers someone has — the servers don’t store it.

What a report links

A report records that the reporter reported that post, chat room or person. A report about a chat line also links the reporter — and, once confirmed, the author — to that chat room. If a chat has two people or fewer, the app warns the reporter that the other person may be able to tell who reported.

Staff action log

Who took which action (holding or removing a post, holding a chat, suspending, lifting a suspension, handling a report, a founder giving or withdrawing Krypton+), on which account or item, when, and with what note — kept for 3 years from the action so it can’t be changed or deleted (section 7).

What we don’t see

Posts that weren’t reported, and that person’s other posts and chats

We can hold or remove a reported post or chat even before its author is confirmed. People who received a held post can tell it’s being held rather than deleted. When we remove photos or videos, we keep an evidence copy with the report for the report’s retention period. When we take action and know the author, we tell them the reason (until in-app notices are ready, they can ask support@krypton.today). We don’t tell them who reported. Appeals follow the process in section 6 of the Terms of use.

Because we can open report copies, they may be provided together with the report record when there is a legal request (section 9).

Handled reports are deleted once handling is finished and 180 days have passed since the report (open reports are kept; reports the law requires us to keep — for example, those reported to the U.S. NCMEC, for 1 year from that report — are kept for that period; section 7). The reporter’s account number stays on the record, so misuse of reporting is visible.

9Disclosure to third parties

We don’t sell personal data or hand it to other companies for advertising or marketing. We disclose it only in these cases.

• Legal requirements — we check that a request follows the procedure the law requires, such as a warrant, and provide only what is needed. All we can provide is what the servers store (section 2), what the platform logs still hold (section 4) and report copies opened to us (section 8). The servers don’t store who is fam with whom, who brought whom in, or who sent what to whom, so we have no such records to hand over, and we can’t open other sealed content. What the servers see only as it happens (section 2) isn’t stored, but it could be recorded if the law required us to. Where the law allows, we tell the member concerned.
• Reporting child sexual abuse material — if we find child sexual abuse material, we report it as the law requires to the U.S. National Center for Missing & Exploited Children (NCMEC) and the relevant authorities, together with the content and related account information.
• Imminent danger — when there is a clear and imminent risk to someone’s life or safety, we give the relevant authorities, such as the police, only what is needed to prevent it.
• Krypton+ payments — when a member buys Krypton+, their account number (a random number) is passed with the transaction to the store that processes the payment (currently Apple; Google Play payments on Android are still being prepared). From the store we receive only the transaction number, product, period and whether it was refunded. The store handles payment details under its own privacy policy.

10Service providers

We use the companies below to run the service. They handle sealed ciphertext, the information in section 2, and connection details while delivering data.

Supabase, Inc.

Database, server functions, Realtime (live signals in chats and setting up calls)

Cloudflare, Inc.

Storing and delivering photo and video files (ciphertext) — R2 and Workers. Delivering the krypton.today website and the invite, QR and fam link pages — Pages. Relaying call audio when a network needs it, and helping devices find a path to each other — Realtime (TURN and STUN); the audio stays encrypted. Forwarding email sent to support@ and privacy@krypton.today to our mailbox — Email Routing

Zoho Corporation

Our mailbox — stores the questions and requests emailed to support@ and privacy@krypton.today

Apple Inc.

Delivering iPhone notifications to your account (Apple Push Notification service) and ringing incoming calls (PushKit). We pass the device token and the notification text, which carries no names or content. Chat and call notifications also carry a line sealed so only the recipient’s device can open it; Apple sees only ciphertext. Apple knows which device a token belongs to.

Google LLC

Delivering Android notifications to your account, and mailbox wake-ups on iPhone and Android by topic (Firebase Cloud Messaging). We pass the device token or a random topic name and notification text with no names or content; for wake-ups we pass no account number. Google knows which device a token belongs to and which device subscribes to which topic.

We have data processing agreements with these companies so that they don’t use the information outside the work we give them and protect it to a standard equal to or higher than this policy. They pass work on to other companies only as those agreements allow. If the companies we use change, we’ll update this policy and let you know.

Krypton+ payments are processed by the store under its own responsibility, so they are covered in section 9 rather than here.

11International transfers

While you use the service, information is transferred over the network, whenever needed, to the countries below to be stored and processed. All transfers use encrypted connections (HTTPS).

Fantagram, Inc.

• CountryUnited States, South Korea
• When and howWhen our staff sign in to the staff console over an encrypted connection to run the service and handle reports
• ItemsInformation in section 2, report copies, requests to the Krypton team
• PurposeRunning the service, handling reports, reviewing join requests
• RetentionSection 7
• Contactprivacy@krypton.today

Supabase, Inc.

• CountryStored in Seoul, South Korea (AWS); the company is in the United States. Server functions run, only while processing, in the Supabase region closest to where you use the app, which is in one of these countries: South Korea, Japan, Singapore, India, Australia, the United States, Canada, Brazil, Ireland, the United Kingdom, France, Germany or Switzerland.
• When and howEvery time you use the app, over an encrypted connection
• ItemsInformation in sections 2 and 3 (section 3 as ciphertext)
• PurposeDatabase, server functions, live signals
• RetentionSection 7 (deleted information stays in backups for up to 7 more days)
• Contactprivacy@supabase.com

Cloudflare, Inc.

• CountryFiles are stored in a data center Cloudflare places in the Asia-Pacific region (Cloudflare doesn’t disclose the country and doesn’t guarantee the region) and delivered through Cloudflare data centers worldwide close to the user; calls are relayed through the Cloudflare data center closest to the callers. Headquarters in the United States
• When and howWhen you upload or download photos and videos, when you open krypton.today, and during calls that need a relay
• ItemsPhoto and video ciphertext, encrypted call audio, IP addresses while delivering
• PurposeStoring and delivering files, providing the website, relaying calls
• RetentionFiles as in section 7; call audio isn’t stored; access records for the period Cloudflare sets
• Contactprivacyquestions@cloudflare.com

Apple Inc.

• CountryUnited States
• When and howWhen we send a notification or ring a call on an iPhone, and when you buy Krypton+
• ItemsDevice token, notification text with no names or content, the sealed line in chat and call notifications, and the account number attached to a Krypton+ purchase (section 9)
• PurposeiPhone notifications and calls, linking Krypton+ payments to your account
• RetentionWhile delivering for notifications; transaction records under Apple’s privacy policy
• ContactApple privacy contact

Google LLC

• CountryUnited States
• When and howWhen we send a notification to an Android device, and when a mailbox wake-up goes to an iPhone or Android device
• ItemsDevice token or random topic name, notification text with no names or content
• PurposeAndroid notifications, mailbox wake-ups
• RetentionWhile delivering; topic subscriptions until the device removes them
• ContactGoogle privacy contact form

Cloudflare, Inc. (Email Routing)

• CountryCloudflare data centers around the world, near the sender. Headquartered in the United States
• When and howWhen you email support@ or privacy@krypton.today, while it is forwarded to our mailbox
• ItemsSender’s email address, the name and content you write in the email
• PurposeForwarding questions and requests to our mailbox
• RetentionHandled only while forwarding, not stored. Delivery logs for the period Cloudflare sets
• Contactprivacyquestions@cloudflare.com

Zoho Corporation

• CountryUnited States
• When and howWhen a question or request arrives in our mailbox
• ItemsSender’s email address, the name and content you write in the email
• PurposeAnswering questions and requests
• RetentionSection 7
• Contactprivacy@zohocorp.com

Google LLC (Google Fonts)

• CountryUnited States
• When and howSent directly by your browser when you open krypton.today
• ItemsIP address, browser information, requested address
• PurposeLoading the website’s fonts
• RetentionAs set out in Google’s privacy policy
• ContactGoogle privacy contact form

We can’t provide the service without these transfers. If you don’t want them, you can stop them by deleting your account (section 12).

EU and UK — South Korea is a country the EU and the UK recognize as providing an adequate level of data protection. Transfers to other countries rely on safeguards such as adequacy decisions or the EU Standard Contractual Clauses; you can ask for a copy at privacy@krypton.today.

Japan — our agreements require the receiving companies to take measures to the standard Japanese law requires. On request, we’ll tell you what those measures are and give you information about each country’s regime (for country regimes, see the Japanese Personal Information Protection Commission’s survey, 外国における個人情報の保護に関する制度等の調査).

12Deleting your account

This is how to delete a Krypton account (operated by Fantagram, Inc.). Delete it yourself under Delete account at the bottom of Settings in the app. If you haven’t finished joining (your request or application is pending, or it was declined) or your account is suspended, Delete account is at the bottom of the screen the app shows you instead. It works only on the device that holds your account key. It can’t be undone.

Deleting your account doesn’t cancel an auto-renewing subscription in the app store. Cancel it first in your device’s store subscription settings (Manage subscription in Krypton’s Settings). Krypton+ applies only to the one account that bought it, so when you delete your account any remaining period (including a lifetime pass) can’t be moved to another account or restored.

Your device deletes your content first

The servers don’t know which posts are yours, so your device does this. When you delete your account in the app, before the account itself is deleted, your device deletes from our servers every post, note, chat line, photo, video and file you wrote and your card, and tells the people who received them so that their apps delete them too. Your account is deleted only after the servers confirm this is done. If the connection drops, the screen stays on deleting until it can finish.

What is deleted

• Your posts, replies, notes, chat lines and their photos, videos and files, and your card (as above)
• Your account record itself — account number, public keys, membership and member number, Krypton+ periods (including any given by a founder) and ticket counts
• Devices and push tokens, your recovery setup, recovery requests, your sealed backups, notification settings, and your requests to the Krypton team

What is ended

• Your fam see your account as gone, and their apps remove you from their fam
• Your device closes the mailboxes and wake-ups it can

What remains

Records kept for legal and operational reasons

Krypton+ purchase records (5 years from the transaction; once your account is deleted, this applies to lifetime pass records too), actions we took on your account and the notices we sent (3 years), reports (180 days, or longer if the law requires), the staff action log (3 years) and emails to us (3 years after handling). These keep your account number as a number only; the account record they referred to is gone.

Mailboxes and wake-ups

They aren’t tied to your account, so we can’t find them to delete them. What your device couldn’t close is removed when its period in section 7 ends (90 and 100 days).

Chat lines your device couldn’t find

For example very old lines in a chat where you wrote more than 2,000 — they stay sealed until that chat is cleared (365 days after its last line).

What went to others

Recipients’ apps delete your posts when they receive your device’s notice; an app that isn’t opened within 90 days, or an earlier version of the app, may not. Copies recipients saved to their photo library, and screenshots, can’t be recalled. Replies others wrote to you remain theirs.

If you can’t use the app

If you no longer have a device with your account key, recover your account on a new phone with your recovery phrase and PIN, and then delete it — everything above is then deleted in the same way. If you can’t recover it, email privacy@krypton.today. We don’t collect names or emails, so if we can’t confirm you own the account we can’t delete it. Even when we delete an account this way, we can’t delete its posts, notes and photos, because the servers don’t know which are yours; they’re deleted automatically once no device of yours has renewed them for 180 days (section 7). They stay sealed until then — we can’t open them.

13Your rights and how to use them

You have the right to access, correct and delete your personal data and to ask us to stop processing it. In the EU and UK you also have the rights to restrict processing, to data portability, to object to processing based on legitimate interests, and to complain to a supervisory authority.

In the app

• Edit your profile, edit posts (up to 10 minutes after posting) or delete them, make a post disappear, close a chat, leave a chat or remove people from one (authors)
• Remove people from your fam, block someone, turn off “Show my past posts”, make a new recovery phrase
• Turn off notifications by type (chats, screenshots and saved photos, requests), Manage subscription
• Delete your account (section 12)

By contacting us

• Where — privacy@krypton.today. Requests are free.
• Verification — we don’t know your name or email, so we verify requests with a signature made with that account’s key. If you lost your device, recover your account with your recovery phrase first and then make the request. If we can’t verify you, we may be unable to act on the request, to the extent the law allows.
• Representatives — someone may make a request on your behalf. We need your authorization and a signature made with your account’s key to verify you.
• Access and copies — we can’t open sealed content, and the servers don’t know which posts are yours, so we provide what the servers store about your account (section 2). You can see your posts and other sealed content yourself in the app.

How quickly we answer

We answer within 10 days of receiving a request. If we can’t do it in that time, we tell you why and when we will (for EU and UK residents, within the one month the law sets).

We don’t make automated decisions without human involvement that significantly affect members’ rights.

Where to get help

If you don’t get an answer or think we handled a request wrongly, you can ask the bodies below for help.

• Personal Information Dispute Mediation Committee (Korea) 1833-6972 (kopico.go.kr)
• Personal Information Infringement Report Center (Korea) 118 (privacy.kisa.or.kr)
• Supreme Prosecutors’ Office (Korea) 1301 (spo.go.kr)
• Korean National Police Agency 182 (ecrm.police.go.kr)
• EU and UK residents — the supervisory authority where you live
• Residents of Japan — the Personal Information Protection Commission (個人情報保護委員会)

14Children

Krypton is a service for people aged 18 and over. We don’t knowingly collect personal data from anyone under 18, including children under 14, and members who invite others must not bring in anyone under 18. If we learn that someone under 18 has joined, we close the account and delete that information. If you know of such a case, please tell us at privacy@krypton.today.

15Security and its limits

Organizational measures

• We limit the people who handle personal data to a minimum number of staff. Staff access is granted through staff-console accounts kept separate from app accounts, with two exceptions: requests to the Krypton team are opened with the team account’s key (on the team’s device, or in the staff console — the console unlocks the team key, locked with a passphrase staff set, only inside that page; the server holds only the locked key and knows neither the passphrase nor the unlocked key), and Krypton+ is given or withdrawn from the founder’s app.
• Changes our staff make (holding or removing posts, suspending, lifting a suspension, handling reports, giving or withdrawing Krypton+) are kept for 3 years in a log that can’t be changed or deleted (section 7).

Technical measures

• Posts, profiles, chats and files are sealed on your device (end-to-end). Your account’s private keys stay in your device’s secure storage.
• Relationships aren’t stored on the servers (section 2). Deliveries go into mailboxes that only the people who share a secret can put notes into, and collecting them doesn’t require signing in. Stored times are rounded to the hour or week, and notes are sent in small batches spread over seconds to minutes, so stored records can’t easily be lined up by time.
• Protection against future quantum computers. Every outer layer that hands keys to a recipient — fam requests and the notes that set up each pair’s shared secret, sealed backups, recovery, invitation bundles, the member key and reports — is sealed with both X25519 and ML-KEM-768 (FIPS 203). Data collected today would need both to be broken to open. Posts and chats inside pair mailboxes are wrapped with the pair’s 256-bit shared secret, which is itself exchanged this way. The limits are listed below.
• Only server functions can use the database (row-level access control). File names are random, and receiving, keeping or deleting a file needs its own secret.
• All traffic uses encrypted connections (HTTPS).
• The staff key that opens reports stays on staff devices and is never sent to the server.
• Recovery needs both your recovery phrase (18 words, 192 bits) and your PIN. Five wrong PINs lock recovery for 24 hours. A recovery takes effect only after 48 hours, during which all your devices are alerted and you can cancel it from your old device.
• Notifications carry no names or content.
• App screens can’t be captured or recorded by default, including the screen that shows your recovery phrase.
• The production database is backed up daily (kept for 7 days).
• Records that are no longer needed are deleted after set periods (section 7).

Physical measures

Our servers are in Supabase (AWS) and Cloudflare data centers and are covered by those companies’ physical security controls.

The wider environment

We handle personal data in the United States and South Korea (staff, database); in Japan, Singapore, India, Australia, Canada, Brazil, Ireland, the United Kingdom, France, Germany and Switzerland, where server functions may run; and in the data center Cloudflare places in the Asia-Pacific region (Cloudflare doesn’t disclose the country). We take security measures after understanding each country’s data protection regime (section 11).

What we can’t prevent

• Someone photographing the screen with another device
• Recipients saving photos and videos to their own photo library (for feed posts the author is notified; for chat photos no one is)
• A recipient copying what they received elsewhere
• Linking by network and timing — someone who watches requests as they happen or holds the platform logs can link mailboxes, uploads, calls and joining to accounts by IP address and time (section 2). We don’t route requests through a relay that hides IP addresses.
• Protections that run on devices — blocking, the limit on how many times a post can be passed to fam, and one note per person on a page are enforced by the receiving members’ apps, not by the servers. A modified app can ignore them on its own side. Someone you blocked can still put notes into a mailbox; your app discards them.
• Someone collecting the cards members can see — we can slow this down, not stop it entirely
• The key every member holds (the member key) is shared by all members, so someone who gets hold of one member’s device together with a copy of the server data could read every card set to Everyone
• Changing who sees your card, or removing someone from your fam, doesn’t undo what they already saw. Someone you removed can still fetch the earlier version of your card until it’s removed (within 14 days), and the photos in posts they already received
• Your recovery phrase — anyone who has your phrase and PIN can take over your account after 48 hours unless you cancel from a device you still have. A photo of the phrase kept in a cloud service, together with a copy of the server data, would open your keys. If you lose both your phrase and every device, neither you nor we can restore your account
• A pair’s shared secret doesn’t change over time — if the shared secret between you and someone in your fam leaks, the sealed notes for that pair still on our servers (up to 90 days) could be opened
• Limits of quantum protection — signatures are still Ed25519, which a future quantum computer could forge (it couldn’t open past sealed content). We already create an ML-DSA-65 signing key for every account and plan to switch on dual signatures before practical quantum computers are expected. The ML-KEM and ML-DSA software we use hasn’t yet been independently audited. The anonymous tickets used for joining could be forged by a quantum computer, though not linked to who received them. The inner key envelopes inside pair mailboxes use X25519 behind the 256-bit shared secret. Transport encryption (TLS) depends on our platforms. None of this changes the metadata in section 2

16Tracking, ads and cookies

The app contains no analytics, advertising or crash-reporting tools. It doesn’t read advertising identifiers, doesn’t combine your data with other companies’ data, and shows no ads. We don’t let other companies collect members’ activity through the app or the website. Because we don’t track you, we don’t respond differently to a browser’s “Do Not Track” signal.

krypton.today uses no cookies. Only your chosen language is kept in browser storage (localStorage), and it isn’t personal data. It’s removed when you clear site data in your browser settings. Fonts are loaded from Google Fonts, so when you open a page your browser sends your IP address, browser information and the requested address to Google LLC (United States) (purpose: loading fonts; Google’s privacy policy applies).

The invite, QR and fam link pages don’t send the secret after the # in the link to the server; the page reads it only in your browser and hands it to the app. When you tap “Get the app” or “Open in the app” on an invite link page, the page puts that invite link on your clipboard so you can continue after installing the app; the app reads it only when you tap (section 1). The website is provided by Cloudflare, which sees access records (section 4). A YouTube video in a post plays from youtube-nocookie.com only when you tap ▶ (section 3).

17Privacy officer and contact

Operator

Fantagram, Inc. · 131 Continental Dr., Suite 305, Newark, DE 19713, U.S.A.

Representative

Kim Han Seok (CEO)

Phone

+1 (909) 529-1617

Privacy officer

William Yang (COO)

Privacy contact

privacy@krypton.today (privacy questions, exercising your rights, complaints)

Other questions

support@krypton.today

18Changes to this policy

If we change this policy, we’ll tell you what is changing and when it takes effect, in the app and on this page, 7 days before it takes effect — or 30 days before for changes that are less favorable to you. Earlier versions will remain available on this page.

Until the official launch (public release on the App Store), changes take effect as soon as we publish them. The 7-day and 30-day notice applies from the version we confirm at launch.

This version: v2.0 · announced 2026-10-19 · effective 2026-10-20 (first published 2026-10-03). Until 2026-10-19, v1.3 (effective 2026-10-12) applies; before that, v1.2 (effective 2026-10-10) and v1.0 (effective 2026-10-08) applied. Each earlier version lists what it changed. v1.1, announced on 2026-10-09, never took effect.

Corrected on 2026-10-20: accounts that haven’t finished joining and suspended accounts can also delete themselves in the app (section 12).

What changes from v1.3:

• The servers no longer store relationships — who is fam with whom, fam requests and introductions, who invited or backed whom, who sent what to whom, who is in a chat, whose page a note is on, or blocks. We list what the servers still store, what they see only as it happens, and the exception for people the Krypton team lets in (sections 1, 2, 5 and 9).
• New records, none tied to relationships: mailboxes and their daily counts, mailbox wake-ups, tickets, sealed backups of your fam list and received posts, and authorless post, chat and file records (sections 2, 3 and 7).
• Joining is by a member’s invite link, or a request link you send to a member, with anonymous tickets; new neighbors; your card’s Backers are proven by signatures your devices exchange (sections 2, 3 and 6). Card settings are now Fam only and Everyone (Up to 2nd is gone); cards show a Krypton+ mark; fam requests and links carry a small photo; a fam link works for the first member who opens it; a fam who passes on a request knows who asked whom (sections 3 and 6).
• Recovery now uses a recovery phrase you write on paper and your PIN, with a 48-hour wait. There are no longer people in your fam who hold key pieces (sections 1, 2 and 15).
• Deleting your account: your device deletes everything you wrote from the servers and from recipients’ apps before the account is deleted, and the account record itself is now deleted. Posts no device of yours renews for 180 days are deleted automatically (sections 7 and 12).
• Reports: the reporter’s device sends the item as its author signed it; we confirm the author from the signature; what a report links; recipients can tell a post is held (section 8).
• Retention periods for the new records, and periods for actions and notices (3 years) and reports (180 days); the wake-up log is kept two days (section 7).
• The clipboard: an invite link page puts the invite link on your clipboard when you tap “Get the app” or “Open in the app”, and the app reads it only when you tap (sections 1 and 16).
• Calls and the microphone permission, Cloudflare’s call relay, and Google delivering mailbox wake-ups on iPhone too (sections 1, 4, 10 and 11). YouTube playback (sections 3 and 16).
• Protection against future quantum computers, and its limits (section 15).
• We now say “pass to fam” instead of “pass along” where that is what we mean. The meaning hasn’t changed.
• We now say “Backer” instead of “backer”; the Korean and Japanese versions use “Backer” too. The meaning hasn’t changed.

This policy is available in Korean, English and Japanese. If the versions differ, the English version prevails.

1받지 않는 정보

• 가입·로그인에 쓰는 전화번호·이메일 주소, 주민등록번호 등 신원을 확인하는 번호 (메일로 문의하면 그 메일은 받습니다 — 2절)
• 기기의 주소록, 위치, 광고 식별자
• 복구 문구. 단어 18개는 종이에 적도록 기기에 한 번만 보여 줍니다. 우리에게 보내지 않고, 앱·Apple이나 Google의 클라우드·백업에도 남기지 않습니다. 문구에서 뽑은, 문구로 되돌릴 수 없는 값만 받습니다(2절)
• PIN 그 자체 (확인용으로 섞은 값만 받습니다 — 2절)
• 초대 링크·Fam 맺기 QR·Fam 링크·회원에게 보내는 가입 요청 링크의 비밀. 링크의 # 뒤에 있어 서버로 오지 않습니다. 앱이 그 비밀에서 일회 우편함의 번호와 열쇠를 뽑고, 서버는 우편함 번호만 볼 뿐 누구의 링크인지는 모릅니다
• 링크 미리보기를 만들 때 어떤 주소를 열었는지 (쓰는 사람의 기기가 그 사이트에 직접 접속합니다 — 3절)
• 카드 번호, Apple ID 같은 결제 정보 (Krypton+ 결제는 스토어가 다룹니다 — 2절)
• 통화의 소리 (두 기기 사이에서 암호화되어 오갑니다 — 4절)

앱이 묻는 권한 (모두 선택)

카메라

Fam 맺기 QR이나 초대 QR을 찍을 때. 찍은 화면은 기기 안에서만 읽고, 저장하거나 보내지 않습니다.

사진

글·프로필에 붙일 사진·영상을 고를 때, 그리고 사진·영상을 사진첩에 저장할 때(저장에는 쓰기 권한만 묻습니다). 고른 것만 기기에서 줄이고 봉인한 뒤 올립니다.

마이크

Fam과 통화를 걸거나 받을 때. 소리는 녹음하거나 저장하지 않습니다.

알림

알림을 받을 때.

클립보드

첫 화면의 [받은 초대로 들어가기]나 내 QR 화면의 [받은 링크 열기]를 누를 때만 클립보드를 읽어, 그 안의 Krypton 링크를 앱에서 엽니다. 누르기 전에는 첫 화면이 클립보드에 글이 있는지만 확인하고 내용은 읽지 않습니다. 클립보드의 내용은 우리에게 보내지 않습니다. iPhone은 붙여넣기를 허용할지 물을 수 있습니다.

허락하지 않아도 그 기능 말고는 Krypton을 쓸 수 있고, 권한은 기기 설정에서 언제든 끌 수 있습니다. 위치·주소록 권한은 묻지 않습니다.

2서버가 아는 정보

서버는 회원 사이의 관계를 저장하지 않습니다. 누가 누구와 Fam인지, 누가 누구를 초대하거나 Backer가 되었는지, 누가 누구에게 글·대화·명함·지인평·통화·알림을 보냈는지는 회원의 기기가 가지고, 배달은 우편함으로 합니다. 이 절에는 서버가 저장하는 것(서비스가 돌아가는 데 필요하며 봉인되지 않습니다), 더는 저장하지 않는 것, 그리고 그 순간에만 보는 것을 적습니다. 마지막 줄의 문의·요청 메일은 서버가 아니라 우리 메일함으로 옵니다.

서버가 저장하는 것

계정 번호

가입할 때 만드는 무작위 번호. 이름과 이어져 있지 않습니다.

공개 열쇠

계정의 서명·암호화 공개 열쇠(암호화 열쇠는 X25519와 ML-KEM-768 두 부분입니다 — 15절), 나중에 쓰려고 둔 두 번째 서명 공개 열쇠(ML-DSA-65), 기기별 공개 열쇠와 기기 인증서.로그인, 누가 보냈는지 확인, 나에게 봉인할 때

가입 상태

가입 대기·회원·정지 여부, 역할(창립자·Krypton 팀·회원 등), 회원이 된 순서, 가입한 30일 기간 — 다른 회원의 앱이 낯선 이웃으로 들어왔는지 가릴 수 있게 서버가 서명합니다(6절), 초대 표로 들어왔는지 Krypton 팀을 거쳐 들어왔는지, Krypton+ 기간 — 직접 산 기간과 창립자가 준 기간(누가 줬는지는 운영자 작업 기록에 — 8절).가입 절차, Krypton+ 기능(사진 수·영상 길이·원본 화질·예약 전송·통화) 판정

표

계정이 30일 기간마다 받은 표의 종류별 수 — 초대 표(기간마다 5장, Krypton+는 50장)와, 새 우편함·글·사진 올리기를 세는 표. 표는 보이지 않게(블라인드) 발급해, 서버는 나중에 쓰이는 표가 누구의 것인지 모릅니다. 표가 쓰이면 다시 쓰지 못하게 쓰였다는 표시만 종류·기간과 함께 남기고, 계정과 날짜는 남기지 않습니다.30일 초대 한도, 글·올리기 한도, 마구 만들기 막기

우편함

우편함은 쌍을 이룬 두 사람(또는 한 대화에 있는 사람들)만 나눈 비밀에서 뽑은 번호이며, 계정과 이어지지 않습니다. 번호는 30일마다 바뀝니다. 우편함마다: 그 안의 봉인된 쪽지(정해진 크기로 채움), 쪽지마다 넣은 시(時), 우편함을 만든 주와 마지막으로 넣은 주, 넣는 데 필요한 열쇠의 확인값(비밀을 나눈 사람만 넣을 수 있습니다). 남용을 막으려고 네트워크 구역별 하루 셈도 둡니다 — IP 주소의 앞부분을 날마다 바뀌는 열쇠로 섞은 값(IP 주소 자체가 아닙니다)으로, 오늘과 어제 치만.보낸 사람과 받는 사람을 서버에 남기지 않고 글·대화·명함·지인평·Fam 신청·통화 울림·알림을 배달하기

우편함 깨우기

기기가 깨워 달라고 등록한 우편함마다: 우편함 번호에서 만든 값, 무작위 토픽 이름, 깨움의 종류(글·대화·통화 등), 언어. 계정 번호와 알림 토큰은 함께 두지 않습니다 — 예외는 기기마다 통화를 받는 데 쓰는 우편함 하나에 두는 아이폰 통화 토큰 하나로, 서버가 가진 열쇠로 암호화해 둡니다. 토픽 깨우기는 Google이 전달합니다(10절).알림

글·지인평

봉인되어 있고 쓴 사람 칸이 없습니다. 함께 두는 것: 쓴 사람의 기기만 가진 비밀의 확인값(쓴 사람이 누구인지 밝히지 않고 고치고 지울 수 있게), 항목의 종류, 대화를 막았는지, 사라지는 때, 예약한 때(분 단위), 만든 때·고친 때·지운 때(시 단위), 사진 수·영상 길이·원본 화질 여부(Krypton+ 한도 확인용), 쓴 사람의 기기가 마지막으로 연장한 주(7절). 누구에게 보냈는지, 지인평이 누구의 페이지에 달렸는지, 누가 열 수 있는지는 저장하지 않습니다.배달, 고치기·지우기, 예약 전송과 사라지는 글, 180일 연장

대화

대화마다 무작위 표지를 단 방이 있습니다. 서버는 방이 어느 글의 대화인지(그래서 글 하나에 방이 몇 개인지)와, 봉인된 줄마다 크기 단계·넣은 시·차례를 압니다. 줄마다 쓴 사람과 방에 있는 사람은 저장하지 않습니다.답을 대화에 있는 사람에게만 배달하기, 대화 막기, 오래된 대화 정리

사진·영상·파일

무작위 이름의 봉인된 파일과 그 크기·종류, 받기·지키기·지우기에 필요한 비밀의 확인값, 저장한 날, 마지막으로 연장한 주. 계정이나 글과 이어지지 않습니다.파일 보관과 전달

명함

명함 공개 범위를 ‘Fam만’·‘전체 공개’ 가운데 무엇으로, 언제 마지막으로 골랐는지. ‘전체 공개’ 명함은 계정 번호 아래에, 모든 회원이 가진 열쇠로 봉인해 둡니다(3절). ‘Fam만’ 명함은 계정과 이어지지 않은 무작위 위치에 봉인해 두고 크기 단계와 마지막으로 고친 주만 함께 둡니다 — 열쇠와 위치는 우편함으로 Fam에게 갑니다.명함을 고른 범위에만 내주기

봉인된 백업

Fam 목록, 받은 글의 열쇠, 차단 목록, 내 글의 비밀은 기기에 있습니다. 폰과 함께 잃지 않도록 기기가 이를 내 열쇠로 봉인해 우리에게 백업합니다 — 달마다의 조각(달·크기 단계·마지막으로 고친 시)과 Fam 목록 묶음(크기 단계·마지막으로 고친 시). 우리는 열 수 없습니다.되찾은 뒤 Fam과 받은 글을 되살리기

되찾기

내 개인 열쇠의 보관본 — 복구 문구와 서버 반쪽이 함께 있어야만 만들 수 있는 열쇠로 봉인합니다, 서버 반쪽, 문구에서 뽑은 찾기 값의 확인값(새 폰이 문구로 계정을 찾을 수 있게 — 문구와 찾기 값 자체는 저장하지 않습니다), PIN을 확인하는 섞은 값과 틀린 횟수·잠긴 때, 진행 중인 되찾기의 상태(계정, 시작한 때, 48시간 기다림이 끝나는 때). 되찾기 알림은 내 모든 기기에 갑니다.새 폰에서 계정을 되찾기. 서버 혼자서는 보관본을 열 수 없고, 복구 문구가 있어야 합니다

Krypton 팀 요청

요청한 계정, 팀 계정의 열쇠로만 여는 봉인된 소개, 상태와 만료(7일), 가입 남용을 가리는 표시 — 같은 날 같은 곳에서 시작한 계정 수, 계정을 만들고 요청하기까지 걸린 시간. Krypton 팀은 서비스를 운영하는 주체이므로, 팀이 받아들인 사람은 팀이 들였다는 것을 서버가 압니다.Krypton 팀 요청 판별

가입 시작 기록

가입을 시작할 때의 접속 IP 앞부분을 날마다 바뀌는 열쇠로 섞은 확인값(IP 자체가 아닙니다)과, 그날 그 확인값으로 시작한 횟수. 계정 번호와 시각은 남기지 않습니다. 이틀이 지난 기록은 매일 자동으로 지웁니다.계정을 마구 만드는 것 막기, Krypton 팀 요청 판별

신고와 운영 조치

누가 어느 글·대화방·사람을 어떤 사유로 신고했는지와 처리 상태, 운영자만 열 수 있게 봉인된 신고 자체(8절), 운영자가 쓴 사람의 서명으로 신고된 것을 쓴 사람을 확인하면 그 계정, 한 조치와 회원에게 보낸 통지.신고와 이의 처리

알림

계정으로 가는 알림(되찾기 알림, 우리가 보내는 통지 등)을 위한 기기의 알림 토큰, 기기 종류, 알림 언어(한국어·English·日本語), 켜 둔 알림 종류(대화·캡처·사진 저장·요청). 보낸 깨움의 기록(토픽을 그날 열쇠로 섞은 값·종류·시각 — 계정 없음)은 이틀 둡니다. 계정을 되찾으려는 요청의 알림은 끌 수 없습니다.

기기

기기별 마지막 로그인 시각, 해제 여부.

Krypton+ 구매

Krypton+를 산 경우의 스토어(Apple·Google), 거래 번호, 상품, 이번 기간의 끝(평생 이용권은 끝이 없음), 환불·취소된 때, 운영·시험 구분. 구매할 때 계정 번호를 거래에 함께 실어, 스토어가 확인해 준 구매를 계정에 잇습니다. 카드 번호·Apple ID 같은 결제 정보는 스토어가 다루고 우리는 받지 않습니다.Krypton+ 기간 계산과 갱신·환불 반영, 같은 구매를 다른 계정이 쓰지 못하게, 법이 정한 거래 기록 보존

문의·요청 메일

support@krypton.today·privacy@krypton.today로 보낸 메일의 보낸 사람 이메일 주소, 내용, 붙인 자료(권리자임을 보이는 자료, 글을 특정할 화면 등). 회원이 아닌 사람이 보낸 권리 침해·삭제 요청도 같습니다.문의에 답하기, 이의·권리 침해·삭제·청약철회·권리 행사 요청 처리

서버가 저장하지 않는 것

• 누가 누구와 Fam인지, Fam 신청·소개와 그 답, 누가 누구의 QR·Fam 링크를 썼는지, 누가 누구를 차단했는지. 이것은 내 기기와 봉인된 백업에 있습니다.
• 누가 누구를 초대하거나 Backer가 되었는지. 가입은 익명 표로 합니다 — 서버는 표가 맞고 아직 쓰이지 않았는지만 보고, 누가 준 표인지는 보지 않습니다. 명함의 Backer는 기기끼리 주고받은 서명으로 증명합니다. 예외는 Krypton 팀이 받아들인 사람입니다(위).
• 누가 누구에게 글·답·명함·지인평·건넨 글·공감·통화 울림·캡처나 저장 알림·지난 글을 보냈는지. 보낸 사람의 계정과 서명은 봉인 안에 있습니다.
• 대화에 누가 있는지, 누가 누구를 대화에 초대했는지.
• 지인평이 누구의 페이지에 달렸는지.
• Fam 그룹. 이 기기에만 있습니다.

서버가 그 순간에 보는 것

‘저장하지 않는다’는 ‘보지 못한다’와 같지 않습니다. 위의 기록에 관계가 없어도, 서버는 — 그리고 들어오는 요청을 지켜보거나 플랫폼 기록(7일 보관, 4절)을 가진 사람은 — 일어나는 순간에 다음을 볼 수 있습니다.

• 접속. 요청마다의 IP 주소와 시각.
• 시각. 앱이 로그인한 뒤 같은 IP 주소에서 비슷한 때에 우편함에 쪽지를 넣거나 꺼내면, 그 우편함이 내 계정과 이어질 수 있습니다. 가입도 같습니다 — 초대가 우편함 하나를 거치므로, 요청을 지켜보거나 플랫폼 기록을 가진 사람은 나를 초대한 회원과 내 가입을 이을 수 있습니다. 회원에게 보내는 가입 요청 링크도 같아서, 그 링크를 연 회원과 나를 이을 수 있습니다. 서버에 저장된 기록에는 누가 누구를 들였는지가 없지만, 접속 기록과 실시간 요청으로는 알 수 있습니다. 앱은 이 단계들 사이를 몇 초에서 몇 분 띄워 흐리게 하지만, 막지는 못합니다.
• 묶음. 기기는 여러 우편함·글·사진·명함을 한 요청으로 꺼냅니다. 그 순간 서버는 그것들이 한 사람이 받는 것이라는 것을 봅니다(누구인지는 아닙니다). Fam 모두에게 글을 쓰면 쪽지를 몇 분에 걸쳐 작은 묶음으로 나눠 보내지만, 묶음 하나하나는 들어올 때 묶음으로 보입니다. 저장한 시각은 깎아 두어도, 행이 쓰인 차례는 데이터베이스와 그 백업 안에 남습니다.
• 올리기. 앱이 글이나 사진을 올릴 통행증을 받을 때는 로그인한 상태라, 서버는 그 순간 내 계정이 어느 크기의 무언가를 올린다는 것을 봅니다 — 누구에게 가는지는 아닙니다.
• 통화. 통화하는 동안 두 기기가 로그인한 채 같은 실시간 채널에 있어, 서버는 그 순간 어느 두 계정이 통화 중인지 봅니다. 통화를 기록하지는 않습니다.
• 알림. Apple과 Google은 알림 토큰이 어느 기기의 것인지 알고, Google은 어느 기기가 어느 깨움 토픽을 구독하는지 압니다. 우리 기록과 Google의 기록을 함께 가진 사람은 한 기기의 토픽들을 그 계정에 이을 수 있습니다.
• 신고. 신고는 신고한 사람과 신고된 것을 잇습니다(8절).

3봉인된 채 보관하는 정보

아래는 기기에서 봉인한 뒤 서버에 보냅니다. 서버와 운영자에게는 이를 여는 열쇠가 없습니다.

• 명함 — 이름, 한 줄 소개, 프로필 사진, Backer. Backer에는 이를 증명하는 서명이 함께 실립니다: 첫째 Backer는 나를 들인 회원, 둘째 Backer는 그 사람 말고 처음으로 Fam이 된 사람이며 두 사람이 Fam이라는 두 사람의 서명이 함께 보입니다. Krypton+ 회원이면 그 사실도 명함에 실립니다(기간·결제 내역은 아닙니다)
• 글, 답, 지인평, 대화의 말, 사진, 영상, 파일 (파일은 암호문 그대로 저장소에 둡니다). 보낸 사람의 계정과 서명은 봉인 안에 있습니다
• 링크 미리보기 — 쓰는 사람의 기기가 만들어 글과 함께 봉인합니다
• Fam 신청 — 그 쌍의 비밀, 서명, 내 명함과 작은 프로필 사진을 신청받는 사람만 열도록 봉인합니다
• 내 QR 코드·Fam 링크에 붙이는 내 명함과 작은 사진 — 링크의 # 뒤에만 있는 비밀에서 뽑은 열쇠로 봉인해, 링크를 연 회원만 엽니다
• 회원에게 보내는 가입 요청 링크의 쪽지 — 내 이름·한 줄 소개·계정 번호·공개 열쇠를 계정 열쇠로 서명하고, 링크의 # 뒤에만 있는 비밀에서 뽑은 열쇠로 봉인해 일회 우편함에 둡니다. 링크를 가진 사람만 엽니다. 누가 요청했고 누가 받았는지는 서버에 적지 않습니다
• 초대 꾸러미 — 나를 들이는 회원의 기기가 새 기기에 주는 것(내 열쇠에 대한 그 회원의 서명, 그 회원의 Backer 사슬, 회원 열쇠, 내 표). 우편함을 거쳐 기기에서 기기로 갑니다
• 글을 건넬 때 적은 이유와, 건네받은 글이 거쳐 온 사람의 이름 — 건네는 사람이 그 글의 열쇠로 봉인합니다. 그 글을 받은 사람만 엽니다
• 대화에 누가 누구를 초대했는지와 대화에 있는 사람의 명단 — 그 대화 안에 봉인한 줄. 대화에 있는 사람만 엽니다
• 봉인된 백업(2절) — 내 열쇠로만 엽니다
• 되찾기 보관본 — 복구 문구와 서버 반쪽이 함께 있어야 만드는 열쇠로만 엽니다
• Krypton 팀에게 요청할 때 쓰는 이름·한 줄 소개·누구와 쓸지 — 팀 계정의 열쇠로만 엽니다(팀 기기, 또는 운영자 페이지에서 그 열쇠를 푼 화면)
• 대화 알림에 실리는 한 줄 — 받는 사람의 기기만 풉니다
• 신고 — 신고한 사람의 기기가 운영자만 열 수 있게 봉인합니다(8절)
• 기기 이름

봉인이 뜻하지 않는 것

• 받은 사람은 읽습니다. 글은 받은 사람의 기기에서 열리고 그 기기에 남을 수 있습니다. Krypton+ 회원인 받은 사람은 사진·영상을 사진첩에 저장할 수 있고, 저장된 사본은 봉인 밖에 있습니다.
• 신고하면 운영자가 봅니다. 신고한 사람이 그 글·대화의 말·명함을 운영자에게 열어 줍니다(8절).
• Krypton 팀에게 요청하면 팀이 읽습니다. 그 요청에 쓴 이름·소개·누구와 쓸지를 팀이 열어 보고 받을지 정합니다(8절).
• 전체 공개한 명함은 회원이면 누구나 봅니다. 명함은 기본으로 ‘Fam만’이며, 그 열쇠는 쌍 우편함으로 Fam 한 사람 한 사람에게만 갑니다. 내 페이지에서 ‘전체 공개’로 고르면 모든 회원이 가진 열쇠(회원 열쇠)로도 봉인되어, 회원이 된 사람은 누구나 볼 수 있습니다. 어느 범위를 골랐는지는 서버가 압니다(2절).
• 겉 정보는 봉인되지 않습니다. 2절의 정보는 서버가 압니다. 글과 지인평은 길이를 감추려 크기 단위로 채워 봉인하지만, 사진·영상 파일의 크기는 드러납니다.

링크 미리보기를 만들 때 쓰는 사람의 기기가 그 사이트에 직접 접속하므로, 그 사이트는 쓰는 사람의 접속을 봅니다. 받는 사람의 기기는 링크를 누르기 전까지 그 사이트에 접속하지 않습니다. YouTube 영상이면 쓰는 사람의 기기가 YouTube에서 제목과 썸네일을 받고, 받는 사람의 기기는 ▶를 누를 때만 YouTube(youtube-nocookie.com)에 접속합니다 — 그때 YouTube는 그 기기의 IP 주소와 영상을 봅니다.

4자동으로 남는 기록

• 접속 IP 주소 — 우리 데이터베이스와 서버 함수 기록에는 남기지 않습니다. 예외는 2절의 하루 셈(가입 시작, 네트워크 구역별 우편함 사용)으로, IP 주소의 앞부분을 그날만 쓰는 값으로 섞어 두고 길어야 이틀 둡니다. 그 하루 값의 바탕이 되는 비밀을 가진 사람은 셈에서 네트워크 구역(주소 전체는 아닙니다)을 되짚을 수 있습니다. 서버를 제공하는 Supabase의 플랫폼 기록에는 접속 IP와 요청 시각·주소가 남고(요청 주소에는 계정 번호나 우편함 번호가 들어 있을 수 있습니다) 7일 뒤 지워집니다. Cloudflare는 사진·영상과 웹페이지를 전달하고 통화를 중계하며 접속 IP를 처리하고, 이 기록은 Cloudflare의 개인정보 처리방침과 Cloudflare가 정한 기간을 따릅니다. 파일 저장소 앞의 Cloudflare Worker 관측 기록은 꺼 두었습니다.
• 깨움 기록, 기기별 마지막 로그인 시각, 가입 시작 기록, 우편함 셈 — 2절

대화 화면에서 오가는 ‘새 말’과 ‘쓰는 중’ 신호는 서버(Supabase Realtime)를 거치되, 그 대화의 비밀에서 이름을 뽑은 채널로, 같은 비밀에서 뽑은 열쇠로 봉인해 오갑니다. 그 대화의 비밀을 가진 사람 — 대화에 있는 사람 — 이 받을 수 있습니다. 대화에 있는 사람이 바뀌면 대화는 새 비밀을 씁니다. 신호 자체는 남지 않습니다.

통화는 Fam과의 일대일 음성 통화입니다. 두 기기는 쌍 비밀에서 이름을 뽑은 실시간 채널로 통화를 맺고, 맺는 말은 서로에게 봉인해 주고받습니다. 소리는 두 기기 사이에서 암호화되어 곧바로, 또는 네트워크가 필요로 하면 Cloudflare의 중계(TURN)를 거쳐 오갑니다 — 중계는 두 IP 주소는 보지만 소리는 보지 못합니다. 서버는 통화를 기록하지 않고 통화 내역도 두지 않습니다.

앱에는 분석 도구, 광고 도구, 오류 수집 도구가 들어 있지 않습니다.

5이용 목적과 법적 근거

개인정보는 아래 목적으로만 씁니다. 목적마다 쓰는 정보와 그 근거를 함께 적습니다.

서비스 제공

가입(회원의 초대 링크, 회원에게 보내는 가입 요청 링크, Krypton 팀 요청), 로그인, 글·답·대화·사진·영상의 전달, 통화, Fam 맺기(만나서 QR 포함)와 소개, 건네기, 대화에 Fam 초대, 새 Fam에게 지난 글 이어 주기, 예약 전송, 사라지는 글, 되찾기쓰는 정보 — 계정 번호·공개 열쇠, 가입 상태, 표, 우편함과 깨우기, 글·대화·파일의 기록, 봉인된 내용, 봉인된 백업, 명함 공개 범위, 기기, 되찾기근거 — 계약 이행(개인정보 보호법 제15조 제1항 제4호, GDPR 제6조 제1항 (b))

알림

나를 기다리는 일, 새 대화, 새 Fam, 걸려 온 통화, 화면 캡처 시도, 내 사진·영상이 저장됨, 계정을 되찾으려는 요청을 알리기. 알림에는 이름도 내용도 싣지 않습니다.쓰는 정보 — 알림 토큰, 우편함 깨우기, 기기 종류, 알림 언어, 알림 설정, 깨움 기록근거 — 계약 이행(개인정보 보호법 제15조 제1항 제4호, GDPR 제6조 제1항 (b))

Krypton+ 제공

구매 확인, 갱신·해지·환불 반영, 같은 구매를 다른 계정이 쓰지 못하게 하기, 창립자가 준 Krypton+ 관리, 사진 수·영상 길이·원본 화질·예약 전송·통화 한도 판정쓰는 정보 — Krypton+ 구매 기록, 가입 상태와 Krypton+ 기간근거 — 계약 이행(개인정보 보호법 제15조 제1항 제4호, GDPR 제6조 제1항 (b))

안전과 운영

신고 처리, 이용 제한, 계정과 우편함을 마구 만드는 것 막기, Krypton 팀 요청 판별, 운영자 작업 기록, 문의에 답하고 이의를 처리하기쓰는 정보 — 신고와 운영 조치, 가입 시작 기록, 우편함 셈, 표, Krypton 팀 요청의 판별 표시, 운영자 작업 기록, 문의·요청 메일근거 — 정당한 이익(개인정보 보호법 제15조 제1항 제6호, GDPR 제6조 제1항 (f)): 회원과 서비스를 남용에서 지키기 위해

법이 요구하는 일

구매 기록 보존, 법에 따른 요청에 답하기, 아동 성착취물 신고, 권리 침해 글의 삭제 요청·청약철회·개인정보 권리 행사 처리쓰는 정보 — Krypton+ 구매 기록, 2절의 정보, 신고 사본, 문의·요청 메일근거 — 법적 의무(개인정보 보호법 제15조 제1항 제2호, GDPR 제6조 제1항 (c))

이 밖의 목적(광고, 판매, 프로필 분석 등)으로는 쓰지 않습니다.

• 동의를 받아 처리하는 정보는 없습니다. 카메라·사진·마이크·알림은 기기에서 허락한 때만 쓰며, 기기 설정에서 언제든 끌 수 있습니다.
• 2절의 정보는 서비스에 꼭 필요합니다(Krypton+ 구매는 산 사람만, 문의·요청 메일은 보낸 사람만). 주지 않으면 Krypton을 쓸 수 없습니다.
• 정당한 이익에 근거한 처리에는 반대할 수 있습니다(13절).

우리는 건강·신념·정치적 견해 같은 민감한 정보를 받거나 따로 모으지 않습니다. 서버는 누가 누구와 이어져 있는지를 저장하지 않으며, 그 사람의 직업이나 관계의 성격도 모릅니다.

6다른 회원에게 보이는 것

Fam

명함 — 이름, 한 줄 소개, Backer, 프로필 사진, Krypton+ 회원이면 그 사실 — 과, 공개 범위 ‘Fam’으로 쓴 나의 글.

모든 회원(전체 공개한 명함)

내 페이지 명함 왼쪽 위의 작은 알약(Fam만·전체 공개)에서 ‘전체 공개’를 고르면 모든 회원이 흐린(모자이크) 프로필 사진과 함께 내 명함을 봅니다. 원본 사진은 Fam에게만 열립니다. 기본은 ‘Fam만’입니다(창립자는 ‘전체 공개’로 시작합니다). ‘Fam만’으로 되돌리면 기기가 새 열쇠로 명함을 다시 봉인하고, 회원 열쇠로 봉인한 사본은 지워집니다. 전체 공개였던 동안 이미 본 것은 되돌릴 수 없습니다(15절).

내 명함을 여는 사람

내 Backer와, 이를 증명하는 서명. 그 사람의 앱은 내가 진짜 회원인지 확인할 때 내 Backer 사슬(Backer의 Backer…)도 봅니다.

낯선 이웃

1,001번째 회원부터는 회원의 초대 링크로 들어온 사람이 둘째 Backer가 채워질 때까지 — 곧 들인 회원 말고 다른 사람과 Fam이 될 때까지 — 낯선 이웃입니다. 회원의 앱은 명함과, 가입한 기간에 대한 서버의 서명(2절)으로 이를 가리고, 낯선 이웃이 보낸 초대·건넨 글·소개·대화 초대를 받지 않습니다. 1,001번째 회원 전에 들어온 사람과, 창립자나 Krypton 팀이 들인 사람은 처음부터 정식 회원입니다.

페이지 주인의 Fam(지인평)

내가 다른 회원의 페이지에 남긴 지인평은 그 페이지의 주인과 주인의 Fam이 봅니다 — 쓴 사람의 이름도 함께 봉인되어 갑니다. 내 기기는 주인과 나에게만 봉인하고, 주인의 기기가 주인의 Fam에게 다시 봉인합니다. 주인과 Fam이 끊기거나 차단된 사람에게는 주인의 기기가 새로 봉인하지 않습니다. 이미 본 것은 되돌릴 수 없습니다. 주인이 숨긴 지인평은 쓴 사람이 지우고 다시 써도 숨긴 채로 남습니다. 주인의 명함 공개 범위와 상관없이 Fam만입니다. 주인은 자기 페이지의 지인평을 숨기거나 지울 수 있습니다.

골라서 받은 사람

나에게만 온 글이라는 ‘골라서’ 표시와 그 글. 그 글을 받은 다른 사람은 보이지 않습니다. 글쓴이는 받은 사람 목록을 봅니다.

새 Fam

내가 최근 30일 동안 공개 범위 ‘Fam’으로 쓴 글을 최대 100개까지 봅니다. 설정의 ‘내 지난 글 보여 주기’로 끌 수 있고, 이 설정은 기기에 있습니다.

대화에 있는 사람

글에 단 답은 그 대화에 있는 사람만 봅니다. 처음에는 글쓴이와 답한 사람 둘이고, 대화에 있는 사람이 자기 Fam을 초대하면 초대된 사람도 그 글과 들어온 뒤의 답을 봅니다. 대화에 있는 사람은 누가 함께 있는지, 누가 누구를 초대했는지, 누가 들어오고 나갔는지를 봅니다. 나가거나 내보내진 사람은 있던 동안 받은 답을 계속 봅니다. 글에 보낸 공감(하트)은 글쓴이만 압니다.

건네받은 사람

받은 사람이 자기 Fam에게 글을 건네면, 건네받은 사람도 그 글을 봅니다. 건네받은 사람은 그 글이 거쳐 온 사람의 이름도 봅니다 — 건넨 사람이 봉인해 실은 이름입니다. 골라서 보낸 글과 나만 보기 글은 건넬 수 없습니다.

화면의 주인

내가 다른 사람의 대화·페이지·글을 캡처하려 하면, 그 사람에게 알림이 가고 그 사람의 새 소식에 내 이름이 보입니다.

글쓴이(저장)

내가 피드 글의 사진·영상을 사진첩에 저장하면, 글쓴이에게 알림이 가고 그 사람의 새 소식에 내 이름이 보입니다. 대화 사진 저장은 알리지 않습니다.

내가 Fam을 청한 사람

내가 Fam 신청을 보낸 사람은 명함을 ‘Fam만’으로 두었어도 내 명함과 작은 프로필 사진을 봅니다. 내 QR 코드·Fam 링크를 연 회원도 같습니다.

내 가입 요청 링크를 받은 사람

내가 회원에게 보낸 가입 요청 링크를 가진 사람은 — 링크가 전달되면 누구나 — 내 이름·한 줄 소개·계정 번호·공개 열쇠를 엽니다. 회원이 [알아요]로 받아 주면 그 회원이 첫째 Backer가 되고, 받지 않으면 아무것도 돌아오지 않습니다.

대화에 함께 있는 사람, 알림을 받는 주인

함께 대화에 있는 사람, 내가 사진·영상을 저장하거나 화면을 캡처한 글·화면의 주인은 공개 범위 밖이어도 내 명함을 봅니다.

내 Fam 링크

내가 보낸 Fam 링크는 24시간 안에 한 번만 쓰입니다 — 그 링크를 먼저 연 회원 한 사람이 내 확인 없이 Fam이 됩니다. 링크를 보낸 것이 동의입니다. 나에게 알려지고, 끊을 수 있습니다.

신청을 옮겨 준 Fam

Fam이 아닌 사람에게, 함께 아는 Fam이 있어서 Fam을 청하면, 그 함께 아는 Fam의 기기가 내 신청을 저절로 옮겨 줍니다. 그래서 그 사람의 기기는 내가 누구에게 신청했는지 압니다(신청 안쪽은 열지 못합니다).

Krypton 팀

Krypton 팀에게 가입을 요청하면, 팀이 그 요청의 이름·소개·누구와 쓸지를 봅니다(8절).

명함은 기본으로 Fam에게만 보이지만, ‘전체 공개’로 고르거나 Fam 밖의 사람에게 Fam을 청하면 그 밖의 사람도 봅니다. 건강·신념처럼 민감한 내용은 명함에 쓰지 마십시오. 글은 공개 범위(Fam·골라서·나만)로 볼 사람을 정할 수 있습니다.

7보관 기간과 파기

정보마다 아래 기간 동안 두고, 기간이 지나면 지웁니다. 정리는 매일 한 번 자동으로 돕니다.

우편함의 쪽지

받는 사람의 기기가 받았다고 확인할 때까지, 길어야 90일. 70일 동안 아무것도 넣지 않은 우편함은 지웁니다.

우편함 깨우기

기기가 연장하지 않으면 100일

하루 셈(가입 시작, 네트워크 구역별 우편함 사용)

오늘과 어제 치만 (그보다 지난 것은 매일 자동으로 지웁니다)

글·지인평과 그 사진·영상

쓴 사람이 지우거나 계정을 없앨 때까지. 쓴 사람의 기기가 뒤에서 기한을 연장하며, 쓴 사람의 어느 기기도 180일 동안 연장하지 않은 것은 — 예를 들어 폰을 잃고 되찾지 않았거나 그동안 앱을 열지 않았을 때 — 자동으로 지웁니다. 앱은 쓰는 동안 한 달에 한 번쯤 연장하므로, 앱을 마지막으로 연 뒤 150~180일 사이에 지워집니다. 지운 글의 빈 기록(내용 없음)은 7일 뒤 지웁니다.

사라지는 글

24시간 (쓸 때 고르면 나타난 때부터, 나중에 고르면 그때부터). 받은 사람의 앱은 그때 감추고, 서버는 그 뒤 한 시간 안에 지웁니다. 사진·영상 파일은 쓴 사람의 기기가 지우며, 어떤 경우에도 180일 규칙으로 지워집니다.

대화

그 글이 있는 동안. 365일 동안 새 말이 없는 대화는 지우고, 지운 글의 대화는 글을 지운 뒤 30일에 지웁니다.

지키지 않은 올린 파일

올린 기기가 7일 안에 확인하지 않은 사진·파일은 지웁니다

‘Fam만’ 명함의 위치

새 판을 올리면 옛 판은 14일 안에 지우고, 90일 동안 다시 넣지 않은 위치는 지웁니다

봉인된 백업

계정이 있는 동안(24개월이 지난 달 조각은 은퇴시킵니다). 계정을 없애면 함께 지웁니다

로그인 확인값

만료 뒤 1일

가입을 마치지 않은 계정

30일 안에 가입을 마치지 않은 대기 계정은 지웁니다(Krypton 팀에게 보낸 요청이 열려 있으면 둡니다)

가입 요청 링크

요청 링크 우편함의 쪽지는 30일 뒤 지워지고, 요청한 사람의 기기가 7일마다 새로 넣습니다. 가입을 마치거나 요청을 취소하면 링크를 닫고, 대기 계정이 30일 뒤 지워지면 링크도 끝납니다(남은 쪽지는 30일 안에 지워집니다)

Krypton 팀 요청

요청이 끝나고 30일

되찾기 요청

요청이 끝나고 30일. 되찾기 찾기의 하루 셈은 이틀

깨움 기록

이틀

처리한 신고

처리가 끝났고 신고한 지 180일이 지나면 (처리 전인 신고는 남습니다. 법이 보존을 요구하는 신고 — 예: 미국 NCMEC에 알린 것은 알린 날부터 1년 — 는 그 기간 동안 둡니다)

조치와 통지

계정에 한 조치와 그에 대해 보낸 통지 — 조치한 날부터 3년

운영자 작업 기록

조치한 날부터 3년 동안 고칠 수 없게 남기고, 그 뒤 지웁니다

Krypton+ 구매 기록

거래로부터 5년 (전자상거래법이 정한 대금 결제 기록 보존 기간). 다만 아직 쓰고 있는 이용권(끝나지 않은 평생 이용권)의 기록은 그 계정이 있는 동안 둡니다.

문의·요청 메일

처리를 마친 날부터 3년 (전자상거래법이 정한 소비자 불만·분쟁 처리 기록 보존 기간)

그 밖의 정보

계정을 쓰는 동안. 계정을 없앤 뒤 지우는 것과 남는 것은 12절에 적었습니다.

보관 기간이 끝나거나 목적을 이루면 지체 없이 지웁니다. 데이터베이스의 행을 지우고 사진·영상 파일은 저장소에서 지워, 다시 되살릴 수 없게 합니다. 지운 정보는 운영 데이터베이스의 매일 백업에 최대 7일 남았다가 사라집니다(백업은 장애 복구에만 씁니다). 법령 등 때문에 보관하는 기록 — 구매 기록, 조치와 통지, 법적 보존이 걸린 신고 — 은 다른 정보와 나눠 두고, 계정 번호는 번호로만 남기며, 그 목적에만 씁니다.

8신고와 운영자 열람

운영자는 올라오는 글을 볼 수 없고, 볼 수 있게 하는 장치도 두지 않았습니다. 대신 신고할 때 신고하는 사람의 기기가 그 대상을 운영자에게 열어 줍니다 — 쓴 사람이 서명한 그대로를 운영자만 열 수 있게 봉인해 보냅니다.

운영자가 신고된 것을 보는 것은 약관 위반과 불법 정보에 대응하고 법이 요구하는 조치를 하기 위해서입니다(5절 — 정당한 이익·법적 의무).

글·답·대화의 말을 신고하면

운영자는 신고 시점의 그것을 쓴 사람의 서명과 함께, 그 안에 실린 사진·영상(파일이 아직 있으면)과 함께 봅니다. 서명으로 어느 계정이 썼는지 알게 되고, 서버는 그 계정을 신고에 적기 전에 서명을 다시 확인합니다. 대화의 말이면 신고하는 앱이 그 대화의 사람 수도 함께 보내는데, 서명되지 않은 값이라 참고로만 씁니다. 글이 나중에 사라지거나 지워져도, 신고 시점의 봉인본은 신고 기록과 함께 남습니다.

사람을 신고하면

운영자는 신고한 사람의 기기가 연 그대로의 그 사람의 명함(이름·소개·흐린 사진)과, ‘Fam만’ 명함이면 그 명함이 놓인 위치를 받아 신고한 사람이 지어낸 것이 아닌지 확인합니다. 원본 사진은 가지 않습니다.

Krypton 팀에게 요청하면

팀 계정의 열쇠로(팀 기기 또는 운영자 페이지에서) 봉인을 풀어 이름·한 줄 소개·누구와 쓸지를 보고, 같은 날 같은 곳에서 시작한 계정 수와 계정을 만들고 요청하기까지 걸린 시간을 함께 봅니다. 팀은 이를 보고 받을지 정합니다. 새 요청이 오면 운영자에게 건수와 운영자 페이지 주소만 담은 메일을 보냅니다 — 이름·소개는 메일에 싣지 않습니다.

운영자가 함께 보는 겉 정보

신고한 사람과 신고된 사람의 계정 번호, 사유, 시각. 계정마다 상태·역할·가입한 기간·회원 번호·Krypton+ 기간·기기 수·신고 수. 이름은 없습니다. Fam 수나 Backer 수는 보지 못합니다 — 서버가 저장하지 않습니다.

신고가 잇는 것

신고는 신고한 사람이 그 글·대화방·사람을 신고했다는 것을 남깁니다. 대화의 말을 신고하면 신고한 사람이 — 그리고 확인된 뒤에는 쓴 사람도 — 그 대화방과 이어집니다. 대화에 있는 사람이 둘 이하면, 앱이 상대가 누가 신고했는지 알 수 있다고 신고하는 사람에게 알립니다.

운영자 작업 기록

누가 언제 어떤 조치(글 가리기·내리기, 대화 가리기, 정지·해제, 신고 처리, 창립자의 Krypton+ 주기·취소)를 어느 계정·대상에 했는지와 그 메모를, 조치한 날부터 3년 동안 고치거나 지울 수 없게 남깁니다(7절).

보지 않는 것

신고되지 않은 글, 신고된 글이 아닌 그 사람의 다른 글과 대화

신고된 글·대화는 쓴 사람이 확인되기 전에도 가리거나 내릴 수 있습니다. 가린 글을 받은 사람은 그 글이 지워진 것이 아니라 가려졌다는 것을 알 수 있습니다. 사진·영상을 내릴 때는 증거 사본을 신고와 함께 신고의 보관 기간 동안 둡니다. 조치를 하고 쓴 사람을 알면, 그 사람에게 사유를 알립니다(앱 안 통지가 준비되기 전에는 support@krypton.today로 물으면 답합니다). 누가 신고했는지는 알리지 않습니다. 이의는 이용약관 6절의 절차를 따릅니다.

신고 사본은 운영자가 열 수 있으므로, 법에 따른 요청이 있으면 신고 기록과 함께 제공될 수 있습니다(9절).

처리한 신고는 처리가 끝났고 신고한 지 180일이 지나면 지웁니다(처리 전인 신고는 남습니다. 법이 보존을 요구하는 신고 — 예: 미국 NCMEC에 알린 것은 알린 날부터 1년 — 는 그 기간 동안 둡니다. 7절). 신고한 사람의 계정 번호가 기록에 남으므로 신고를 남용하면 드러납니다.

9제3자 제공

개인정보를 팔거나 광고·마케팅 목적으로 다른 회사에 넘기지 않습니다. 다음 경우에만 제공합니다.

• 법령에 따른 요구 — 영장 등 법이 정한 절차를 갖춘 요청인지 확인한 뒤 필요한 만큼만 줍니다. 줄 수 있는 것은 서버가 저장하는 정보(2절), 플랫폼 기록에 아직 남은 것(4절), 신고로 운영자에게 열린 사본(8절)뿐입니다. 서버는 누가 누구와 Fam인지, 누가 누구를 들였는지, 누가 누구에게 무엇을 보냈는지를 저장하지 않으므로 그런 기록은 줄 것이 없고, 그 밖의 봉인된 내용은 우리도 열 수 없습니다. 서버가 그 순간에만 보는 것(2절)은 저장하지 않지만, 법이 요구하면 기록될 수 있습니다. 법이 허용하는 범위에서 해당 회원에게 알립니다.
• 아동 성착취물 신고 — 아동 성착취물을 발견하면 법에 따라 미국 NCMEC(실종·착취 아동 센터)와 관계 기관에 신고하며, 그 콘텐츠와 관련 계정 정보를 함께 보냅니다.
• 급박한 위험 — 사람의 생명·신체에 급박한 위험이 분명할 때, 그 위험을 막는 데 필요한 만큼만 수사기관 등 관계 기관에 알립니다.
• Krypton+ 결제 — 회원이 Krypton+를 살 때는 결제를 처리하는 스토어(지금은 Apple이며, Android의 Google Play 결제는 준비 중입니다)에 계정 번호(무작위 번호)가 거래와 함께 전달됩니다. 우리는 스토어에서 거래 번호·상품·기간·환불 여부만 받습니다. 스토어는 자기 개인정보 처리방침에 따라 결제 정보를 다룹니다.

10처리 위탁

서비스를 돌리는 데 아래 회사에 일을 맡깁니다. 이들이 다루는 것은 봉인된 암호문, 2절의 정보, 그리고 전달 중의 접속 정보입니다.

Supabase, Inc.

데이터베이스, 서버 함수, Realtime(대화의 실시간 신호와 통화 맺기)

Cloudflare, Inc.

사진·영상 파일(암호문) 저장과 전달 — R2와 Workers. krypton.today 웹사이트와 초대·QR·Fam 링크 페이지 전달 — Pages. 네트워크가 필요로 할 때 통화 소리 중계와, 기기들이 서로 닿을 길 찾기 — Realtime(TURN·STUN), 소리는 암호화된 채입니다. support@·privacy@krypton.today로 오는 메일을 우리 메일함으로 넘기기 — Email Routing

Zoho Corporation

우리 메일함 — support@·privacy@krypton.today로 받은 문의·요청 메일을 보관합니다

Apple Inc.

계정으로 가는 아이폰 알림 전달(Apple Push Notification service)과 걸려 온 통화 울리기(PushKit). 기기 토큰과 알림 문구를 넘깁니다. 문구에는 이름도 내용도 없습니다. 대화·통화 알림에는 받는 사람의 기기만 풀 수 있게 봉인한 한 줄이 함께 실리고, Apple은 그 암호문만 봅니다. Apple은 토큰이 어느 기기의 것인지 압니다.

Google LLC

계정으로 가는 안드로이드 알림 전달과, 아이폰·안드로이드의 우편함 깨우기를 토픽으로 전달(Firebase Cloud Messaging). 기기 토큰이나 무작위 토픽 이름과, 이름·내용 없는 알림 문구를 넘기며, 깨우기에는 계정 번호를 넘기지 않습니다. Google은 토큰이 어느 기기의 것인지, 어느 기기가 어느 토픽을 구독하는지 압니다.

우리는 이 회사들과 데이터 처리 계약을 맺어, 맡긴 일 밖에서는 정보를 쓰지 않고 이 방침과 같거나 그 이상의 수준으로 보호하게 합니다. 다른 회사에 다시 맡기는 것도 그 계약이 정한 대로만 합니다. 맡기는 회사가 바뀌면 이 방침을 고쳐 알립니다.

Krypton+ 결제는 스토어가 자기 책임으로 처리하므로 위탁이 아니라 9절에 적습니다.

11국외 이전

서비스를 쓰는 동안 정보는 네트워크를 통해 수시로 아래 나라로 옮겨져 보관·처리됩니다. 옮길 때는 모두 암호화된 연결(HTTPS)을 씁니다.

Fantagram, Inc.

• 나라미국·대한민국
• 언제·어떻게운영자가 운영과 신고 처리를 위해 암호화된 연결로 운영자 페이지에 접속할 때
• 항목2절의 정보, 신고 사본, Krypton 팀 요청
• 목적서비스 운영, 신고 처리, 가입 요청 확인
• 보유 기간7절
• 연락처privacy@krypton.today

Supabase, Inc.

• 나라대한민국 서울(AWS)에 보관, 운영사는 미국. 서버 함수는 앱을 쓰는 곳과 가장 가까운 Supabase 지역에서 처리하는 동안만 실행되며, 그 나라는 대한민국·일본·싱가포르·인도·호주·미국·캐나다·브라질·아일랜드·영국·프랑스·독일·스위스 가운데 하나입니다.
• 언제·어떻게앱을 쓸 때마다 암호화된 연결로
• 항목2절·3절의 정보(3절은 암호문)
• 목적데이터베이스, 서버 함수, 실시간 신호
• 보유 기간7절 (지운 정보는 백업에 최대 7일 더)
• 연락처privacy@supabase.com

Cloudflare, Inc.

• 나라파일 저장은 Cloudflare가 아시아·태평양 지역에 두는 데이터센터(Cloudflare는 그 나라를 밝히지 않으며, 지역도 보장하지 않습니다), 전달은 이용자와 가까운 전 세계의 Cloudflare 데이터센터, 통화 중계는 통화하는 사람과 가까운 Cloudflare 데이터센터. 본사는 미국
• 언제·어떻게사진·영상을 올리고 받을 때, krypton.today를 열 때, 중계가 필요한 통화 중에
• 항목사진·영상 파일의 암호문, 암호화된 통화 소리, 전달 중의 접속 IP
• 목적파일 저장·전달, 웹사이트 제공, 통화 중계
• 보유 기간파일은 7절, 통화 소리는 저장하지 않음, 접속 기록은 Cloudflare가 정한 기간
• 연락처privacyquestions@cloudflare.com

Apple Inc.

• 나라미국
• 언제·어떻게아이폰에 알림을 보내거나 통화를 울릴 때, Krypton+를 살 때
• 항목기기 토큰, 이름·내용 없는 알림 문구, 대화·통화 알림의 봉인된 한 줄, Krypton+를 살 때 거래에 싣는 계정 번호(9절)
• 목적아이폰 알림과 통화, Krypton+ 결제를 계정에 잇기
• 보유 기간알림은 전달하는 동안, 거래 기록은 Apple의 개인정보 처리방침을 따릅니다
• 연락처Apple 개인정보 문의

Google LLC

• 나라미국
• 언제·어떻게안드로이드에 알림을 보낼 때, 아이폰·안드로이드에 우편함 깨우기를 보낼 때
• 항목기기 토큰이나 무작위 토픽 이름, 이름·내용 없는 알림 문구
• 목적안드로이드 알림, 우편함 깨우기
• 보유 기간전달하는 동안, 토픽 구독은 기기가 지울 때까지
• 연락처Google 개인정보 문의 양식

Cloudflare, Inc. (Email Routing)

• 나라이용자와 가까운 전 세계의 Cloudflare 데이터센터. 본사는 미국
• 언제·어떻게support@·privacy@krypton.today로 메일을 보낼 때, 우리 메일함으로 넘기는 동안
• 항목보낸 사람의 메일 주소, 메일에 적은 이름과 내용
• 목적문의·요청 메일을 우리 메일함으로 넘기기
• 보유 기간넘기는 동안만 다루고 보관하지 않습니다. 전달 기록은 Cloudflare가 정한 기간
• 연락처privacyquestions@cloudflare.com

Zoho Corporation

• 나라미국
• 언제·어떻게문의·요청 메일이 우리 메일함에 들어올 때
• 항목보낸 사람의 메일 주소, 메일에 적은 이름과 내용
• 목적문의·요청에 답하기
• 보유 기간7절
• 연락처privacy@zohocorp.com

Google LLC (Google Fonts)

• 나라미국
• 언제·어떻게krypton.today를 열 때 브라우저가 직접
• 항목접속 IP, 브라우저 정보, 요청 주소
• 목적웹사이트 글꼴 받기
• 보유 기간Google의 개인정보 처리방침을 따릅니다
• 연락처Google 개인정보 문의 양식

이 이전 없이는 서비스를 제공할 수 없습니다. 원하지 않으면 계정을 없애 이전을 멈출 수 있습니다(12절).

EU·영국 — 대한민국은 EU와 영국이 개인정보 보호 수준이 적정하다고 인정한 나라입니다. 그 밖의 나라로 옮길 때는 적정성 결정이나 EU 표준계약조항 같은 보호 장치를 쓰며, 그 사본은 privacy@krypton.today로 요청할 수 있습니다.

일본 — 받는 회사들이 일본 법이 요구하는 수준의 조치를 하도록 계약으로 정했습니다. 요청하면 그 내용과 각 나라 제도에 관한 정보를 알려 드립니다(나라별 제도는 일본 個人情報保護委員会의 ‘外国における個人情報の保護に関する制度等の調査’).

12계정 삭제

Krypton(운영: Fantagram, Inc.) 계정을 없애는 방법입니다. 앱의 설정 맨 아래 계정 없애기에서 직접 지웁니다. 가입을 아직 마치지 않았거나(요청·가입 신청을 기다리는 중이거나 거절된 때) 이용이 정지된 계정은 앱이 대신 보여 주는 화면 맨 아래에 계정 없애기가 있습니다. 계정 열쇠가 있는 그 기기에서만 할 수 있습니다. 되돌릴 수 없습니다.

계정을 없애도 스토어의 자동 갱신 구독은 저절로 해지되지 않습니다. 먼저 기기의 스토어 구독 설정(Krypton 설정의 [구독 관리])에서 해지하십시오. Krypton+는 산 계정 하나에만 적용되므로, 계정을 없애면 남은 기간(평생 이용권 포함)은 다른 계정으로 옮기거나 되살릴 수 없습니다.

기기가 먼저 내 것을 지웁니다

서버는 어느 글이 내 것인지 모르므로, 이 일은 기기가 합니다. 앱에서 계정을 없애면, 계정을 지우기 전에 기기가 내가 쓴 글·지인평·대화의 말·사진·영상·파일과 내 명함을 서버에서 모두 지우고, 받은 사람들의 앱에서도 지워지도록 알립니다. 서버에서 지워졌다는 확인이 끝나야 계정이 지워집니다. 연결이 끊기면 끝날 수 있을 때까지 화면이 ‘지우는 중’에 머뭅니다.

지우는 것

• 내가 쓴 글·답·지인평·대화의 말과 그 사진·영상·파일, 내 명함(위와 같이)
• 계정 기록 자체 — 계정 번호, 공개 열쇠, 가입 상태와 회원 번호, Krypton+ 기간(창립자가 준 것 포함), 표의 수
• 기기와 알림 토큰, 되찾기 준비, 되찾기 요청, 봉인된 백업, 알림 설정, Krypton 팀에게 보낸 요청

끝나는 것

• 내 Fam의 앱에 내 계정이 없어진 것으로 보이고, 그 앱들이 나를 Fam에서 뺍니다
• 기기가 닫을 수 있는 우편함과 깨우기를 닫습니다

남는 것

법령과 운영 때문에 보관하는 기록

Krypton+ 구매 기록(거래로부터 5년 — 계정을 없앤 뒤에는 평생 이용권의 기록도 같습니다), 내 계정에 한 조치와 보낸 통지(3년), 신고(180일, 법이 요구하면 더 길게), 운영자 작업 기록(3년), 문의·요청 메일(처리를 마친 날부터 3년). 이 기록들은 계정 번호를 번호로만 남기고, 그 번호가 가리키던 계정 기록은 없습니다.

우편함과 깨우기

계정과 이어져 있지 않아 우리가 찾아 지울 수 없습니다. 기기가 닫지 못한 것은 7절의 기간이 지나면 지워집니다(90일·100일).

기기가 찾지 못한 대화의 말

예를 들어 내가 2,000줄 넘게 쓴 대화의 아주 오래된 말 — 그 대화가 정리될 때까지(마지막 말 뒤 365일) 봉인된 채 남습니다.

다른 사람에게 간 것

받은 사람의 앱은 내 기기의 알림을 받으면 내 글을 지웁니다. 90일 안에 열지 않은 앱이나 이전 판의 앱은 지우지 못할 수 있습니다. 받은 사람이 사진첩에 저장한 사본과 화면 캡처는 되돌릴 수 없습니다. 다른 사람이 나에게 쓴 답은 그 사람의 것으로 남습니다.

앱을 쓸 수 없을 때

계정 열쇠가 있는 기기가 없으면 새 폰에서 복구 문구와 PIN으로 계정을 되찾은 뒤 지우십시오 — 그러면 위와 같이 모두 지웁니다. 되찾을 수 없으면 privacy@krypton.today로 요청하십시오. 우리는 이름·이메일을 받지 않아 계정 주인임을 확인할 수 없으면 지울 수 없습니다. 이렇게 계정을 지워도 그 계정의 글·지인평·사진은 지울 수 없습니다 — 서버는 어느 것이 내 것인지 모릅니다. 내 어느 기기도 180일 동안 연장하지 않으면 자동으로 지워지며(7절), 그때까지는 우리가 열 수 없는 암호문으로 남습니다.

13이용자의 권리와 행사 방법

자기 개인정보를 열람하고, 고치고, 지우고, 처리를 멈추라고 요구할 권리가 있습니다. EU·영국 이용자는 처리를 제한하라고 요구할 권리, 이동권, 정당한 이익에 근거한 처리에 반대할 권리, 감독기관에 민원을 낼 권리도 있습니다.

앱에서 바로

• 프로필 고치기, 글 고치기(올린 뒤 10분까지)·지우기, 사라지는 글로 바꾸기, 대화 막기, 대화에서 나가기·참가자 내보내기(글쓴이)
• Fam 끊기, 차단, ‘내 지난 글 보여 주기’ 끄기, 새 복구 문구 만들기
• 알림 종류별 끄기(대화·캡처·사진 저장·요청), [구독 관리]
• 계정 없애기(12절)

연락해서 요청하기

• 보내는 곳 — privacy@krypton.today. 요청은 무료입니다.
• 본인 확인 — 우리는 이름·이메일을 모르므로 그 계정의 열쇠로 한 서명으로 확인합니다. 기기를 잃었다면 복구 문구로 계정을 되찾은 뒤 요청하십시오. 확인할 수 없으면 법이 허용하는 범위에서 요청을 처리하지 못할 수 있습니다.
• 대리인 — 대리인도 요청할 수 있습니다. 회원 본인의 위임과, 본인 확인을 위한 그 계정 열쇠의 서명이 필요합니다.
• 열람·사본 — 봉인된 내용은 우리가 열 수 없고, 서버는 어느 글이 내 것인지도 모르므로, 서버가 내 계정에 대해 저장하는 정보(2절)를 드립니다. 내 글과 그 밖의 봉인된 내용은 앱에서 직접 볼 수 있습니다.

답하는 기한

요청을 받으면 10일 안에 답합니다. 그 안에 하기 어려우면 까닭과 언제까지 할지 알립니다(EU·영국 거주자에게는 법이 정한 1개월 안).

우리는 사람의 개입 없이 회원의 권리에 중대한 영향을 주는 자동화된 결정을 하지 않습니다.

도움을 받을 수 있는 곳

답을 받지 못했거나 처리가 부당하다고 느끼면 아래 기관에 도움을 청할 수 있습니다.

• 개인정보분쟁조정위원회 1833-6972 (kopico.go.kr)
• 개인정보침해신고센터 118 (privacy.kisa.or.kr)
• 대검찰청 1301 (spo.go.kr)
• 경찰청 182 (ecrm.police.go.kr)
• EU·영국 거주자 — 거주국 감독기관
• 일본 거주자 — 個人情報保護委員会

14아동

Krypton은 만 18세 이상을 위한 서비스입니다. 만 14세 미만 아동을 포함해 18세 미만의 개인정보를 알면서 받지 않으며, 초대하는 회원도 18세 미만을 들이지 않아야 합니다. 18세 미만이 가입한 것을 알게 되면 계정을 닫고 그 정보를 지웁니다. 그런 경우를 알게 되면 privacy@krypton.today로 알려 주십시오.

15안전 조치와 그 한계

관리적 조치

• 개인정보를 다루는 사람을 최소한의 운영자로 한정합니다. 운영자 권한은 앱 계정과 따로 둔 운영자 페이지 계정으로 줍니다. 예외는 둘입니다 — Krypton 팀 요청은 팀 계정의 열쇠로 열어 봅니다(팀 기기, 또는 운영자 페이지 — 운영자 페이지는 운영자가 정한 암호로 잠근 팀 열쇠를 그 화면 안에서만 풀고, 서버에는 잠긴 열쇠만 있어 서버는 암호도 풀린 열쇠도 모릅니다), Krypton+를 주고 취소하는 일은 창립자 앱에서 합니다.
• 운영자가 바꾼 것(글 가리기·내리기, 정지·해제, 신고 처리, Krypton+ 주기·취소)은 3년 동안 고칠 수도 지울 수도 없는 기록으로 남깁니다(7절).

기술적 조치

• 글·프로필·대화·파일은 기기에서 봉인합니다(종단 간 봉인). 계정의 개인 열쇠는 기기의 보안 저장소에만 있습니다.
• 관계를 서버에 저장하지 않습니다(2절). 배달은 비밀을 나눈 사람만 넣을 수 있는 우편함으로 하고, 꺼낼 때는 로그인하지 않습니다. 저장하는 시각은 시·주 단위로 깎고, 쪽지는 몇 초에서 몇 분에 걸쳐 작은 묶음으로 나눠 보내, 저장된 기록을 시각으로 맞춰 보기 어렵게 합니다.
• 앞으로의 양자 컴퓨터에 대한 대비. 받는 사람에게 열쇠를 건네는 바깥 층 — Fam 신청과 쌍마다의 비밀을 나누는 쪽지, 봉인된 백업, 되찾기, 초대 꾸러미, 회원 열쇠, 신고 — 은 모두 X25519와 ML-KEM-768(FIPS 203)을 함께 써서 봉인합니다. 오늘 모아 둔 데이터를 열려면 둘을 모두 깨야 합니다. 쌍 우편함 안의 글과 대화는 이 방식으로 나눈 쌍의 256비트 비밀로 감쌉니다. 한계는 아래에 적었습니다.
• 데이터베이스는 서버 함수만 쓰도록 막습니다(행 단위 접근 통제). 파일 이름은 무작위이고, 파일을 받고·지키고·지우려면 각각의 비밀이 있어야 합니다.
• 모든 통신은 암호화된 연결(HTTPS)로 오갑니다.
• 신고를 여는 운영자 열쇠는 운영자 기기에만 두고 서버로 보내지 않습니다.
• 되찾기에는 복구 문구(단어 18개, 192비트)와 PIN이 모두 있어야 합니다. PIN을 다섯 번 틀리면 24시간 잠깁니다. 되찾기는 48시간이 지나야 이루어지고, 그동안 내 모든 기기에 알림이 가며 옛 기기에서 취소할 수 있습니다.
• 알림에는 이름도 내용도 싣지 않습니다.
• 앱 화면은 기본으로 캡처·녹화되지 않습니다. 복구 문구를 보여 주는 화면도 같습니다.
• 운영 데이터베이스는 매일 백업합니다(7일 보관).
• 필요 없어진 기록은 기간이 지나면 지웁니다(7절).

물리적 조치

서버는 Supabase(AWS)와 Cloudflare의 데이터센터에 있으며, 그 회사들의 물리적 보안 통제를 받습니다.

외부 환경

우리는 미국·대한민국(운영자, 데이터베이스), 서버 함수가 실행될 수 있는 일본·싱가포르·인도·호주·캐나다·브라질·아일랜드·영국·프랑스·독일·스위스, 그리고 Cloudflare가 아시아·태평양 지역에 두는 데이터센터(나라는 Cloudflare가 밝히지 않습니다)에서 개인정보를 다루며, 각 나라의 개인정보 보호 제도를 파악한 뒤 안전 조치를 합니다(11절).

막지 못하는 것

• 다른 기기의 카메라로 화면을 찍는 것
• 받은 사람이 사진·영상을 자기 사진첩에 저장하는 것 (피드 글이면 글쓴이에게 알리고, 대화 사진은 알리지 않습니다)
• 글을 받은 사람이 그 내용을 다른 곳에 옮기는 것
• 네트워크와 시각으로 잇기 — 요청을 그 순간 지켜보거나 플랫폼 기록을 가진 사람은 IP 주소와 시각으로 우편함·올리기·통화·가입을 계정에 이을 수 있습니다(2절). 우리는 요청을 IP 주소를 가리는 중계로 보내지 않습니다.
• 기기에서 지키는 것 — 차단, 글을 건넬 수 있는 횟수의 한도, 한 페이지에 한 사람 지인평 하나는 받는 회원의 앱이 지키며 서버가 막지 않습니다. 고친 앱은 자기 쪽에서 이를 무시할 수 있습니다. 내가 차단한 사람도 우편함에 쪽지를 넣을 수는 있고, 내 앱이 버립니다.
• 회원이 볼 수 있는 명함을 누군가 모아 가는 것 — 늦출 수는 있어도 완전히 막지는 못합니다
• 모든 회원이 여는 열쇠(회원 열쇠)는 회원 모두가 가지므로, 회원 한 사람의 기기와 서버 데이터의 사본을 함께 손에 넣은 사람은 전체 공개한 명함을 모두 읽을 수 있습니다
• 명함 공개 범위를 바꾸거나 Fam을 끊어도, 그 사람이 이미 본 것은 되돌릴 수 없습니다. 끊긴 사람은 옛 판 명함이 지워질 때까지(14일 안) 그것을 받을 수 있고, 이미 받은 글의 사진도 그렇습니다
• 복구 문구 — 내 문구와 PIN을 가진 사람은 내가 아직 가진 기기에서 취소하지 않으면 48시간 뒤 계정을 넘겨받을 수 있습니다. 문구를 찍은 사진을 클라우드에 두면, 그 사진과 서버 데이터의 사본으로 내 열쇠가 열립니다. 문구와 모든 기기를 함께 잃으면 나도 우리도 계정을 되찾을 수 없습니다
• 쌍의 비밀은 시간이 지나도 바뀌지 않습니다 — 나와 Fam 한 사람 사이의 비밀이 새면, 서버에 아직 남은 그 쌍의 봉인된 쪽지(최대 90일)가 열릴 수 있습니다
• 양자 대비의 한계 — 서명은 아직 Ed25519이며, 앞으로의 양자 컴퓨터는 이를 위조할 수 있습니다(지난 봉인을 열지는 못합니다). 계정마다 ML-DSA-65 서명 열쇠를 이미 만들어 두었고, 실용적인 양자 컴퓨터가 나올 것으로 보이기 전에 두 서명을 함께 쓰도록 켤 계획입니다. 우리가 쓰는 ML-KEM·ML-DSA 소프트웨어는 아직 독립 감사를 받지 않았습니다. 가입에 쓰는 익명 표는 양자 컴퓨터로 위조될 수 있습니다(누가 받은 표인지 잇는 것은 아닙니다). 쌍 우편함 안의 열쇠 봉투는 256비트 쌍 비밀 뒤에서 X25519를 씁니다. 전송 구간 암호화(TLS)는 플랫폼에 달려 있습니다. 이것들 모두 2절의 겉 정보를 바꾸지 않습니다

16추적·광고·쿠키

앱에는 분석·광고·오류 수집 도구가 없습니다. 광고 식별자를 읽지 않고, 다른 회사의 데이터와 이어 붙이지 않으며, 광고를 보여 주지 않습니다. 다른 회사가 앱이나 웹사이트를 통해 회원의 활동을 모아 가도록 허락하지 않습니다. 우리는 추적을 하지 않으므로, 브라우저의 ‘추적 안 함(Do Not Track)’ 신호에 따라 다르게 동작하지 않습니다.

krypton.today는 쿠키를 쓰지 않습니다. 고른 언어만 브라우저 저장소(localStorage)에 남으며 개인정보가 아닙니다. 브라우저 설정에서 사이트 데이터를 지우면 사라집니다. 글꼴을 Google Fonts에서 받아 오므로, 페이지를 열 때 브라우저가 접속 IP·브라우저 정보·요청 주소를 Google LLC(미국)에 보냅니다(목적: 글꼴 받기, Google의 개인정보 처리방침을 따릅니다).

초대·QR·Fam 링크 페이지는 링크의 # 뒤에 있는 비밀을 서버로 보내지 않고, 페이지 안에서만 읽어 앱으로 넘깁니다. 초대 링크 페이지에서 [앱 받기]·[앱에서 열기]를 누르면, 앱을 깐 뒤 이어 갈 수 있게 페이지가 그 초대 링크를 클립보드에 둡니다. 앱은 누를 때만 읽습니다(1절). 웹사이트는 Cloudflare가 제공하며, Cloudflare가 접속 기록을 봅니다(4절). 글 속 YouTube 영상은 ▶를 누를 때만 youtube-nocookie.com에서 재생합니다(3절).

17개인정보 보호책임자와 연락처

운영 주체

Fantagram, Inc. · 131 Continental Dr., Suite 305, Newark, DE 19713, U.S.A.

대표자

Kim Han Seok (CEO)

전화

+1 (909) 529-1617

개인정보 보호책임자

William Yang (COO)

연락처

privacy@krypton.today (개인정보 문의·권리 행사·고충)

서비스 문의

support@krypton.today

18이 방침의 변경

이 방침을 바꾸면 바뀌는 내용과 시행일을 시행 7일 전에, 이용자에게 불리하게 바뀌면 30일 전에 앱과 이 페이지에서 알립니다. 지난 판은 이 페이지에서 볼 수 있게 둡니다.

정식 출시(App Store 공개) 전 시험 기간에는 판을 바꾸면 곧바로 적용합니다. 7일·30일 전 알림은 정식 출시 때 확정하는 판부터 지킵니다.

이 판: v2.0 · 2026-10-19 공고 · 시행 2026-10-20 (처음 게시 2026-10-03). 2026-10-19까지는 v1.3(시행 2026-10-12)을, 그보다 앞서는 v1.2(시행 2026-10-10)와 v1.0(시행 2026-10-08)을 따랐습니다. 지난 판마다 그 판에서 바뀐 것을 적어 두었습니다. 2026-10-09에 알린 v1.1은 시행되지 않았습니다.

2026-10-20 바로잡음: 가입을 아직 마치지 않은 계정과 이용이 정지된 계정도 앱에서 스스로 지울 수 있습니다(12절).

v1.3에서 바뀌는 것:

• 서버가 관계를 더는 저장하지 않습니다 — 누가 누구와 Fam인지, Fam 신청·소개, 누가 누구를 초대하거나 Backer가 되었는지, 누가 누구에게 무엇을 보냈는지, 대화에 누가 있는지, 지인평이 누구의 페이지에 달렸는지, 차단. 서버가 아직 저장하는 것, 그 순간에만 보는 것, Krypton 팀이 받아들인 사람이라는 예외를 적었습니다(1·2·5·9절).
• 관계와 이어지지 않은 새 기록: 우편함과 그 하루 셈, 우편함 깨우기, 표, Fam 목록과 받은 글의 봉인된 백업, 쓴 사람 없는 글·대화·파일 기록(2·3·7절).
• 가입은 회원의 초대 링크나 내가 회원에게 보내는 가입 요청 링크와, 익명 표로 합니다. 낯선 이웃, 명함의 Backer를 기기끼리 주고받은 서명으로 증명하는 것(2·3·6절). 명함 공개 범위는 ‘Fam만’·‘전체 공개’ 둘입니다(‘Fam의 Fam까지’ 없앰). 명함에 Krypton+ 표시, Fam 신청·링크에 작은 사진, Fam 링크는 먼저 연 회원이 Fam이 됨, 신청을 옮겨 준 Fam은 누가 누구에게 신청했는지 앎(3·6절).
• 되찾기는 종이에 적는 복구 문구와 PIN, 48시간 기다림으로 합니다. 열쇠 조각을 맡는 Fam은 없어졌습니다(1·2·15절).
• 계정 삭제: 계정을 지우기 전에 기기가 내가 쓴 것을 서버와 받은 사람의 앱에서 모두 지우고, 계정 기록 자체도 지웁니다. 내 어느 기기도 180일 동안 연장하지 않은 글은 자동으로 지웁니다(7·12절).
• 신고: 신고하는 기기가 쓴 사람이 서명한 그대로를 보내고, 서명으로 쓴 사람을 확인합니다. 신고가 잇는 것, 받은 사람이 가려진 글을 알 수 있음(8절).
• 새 기록의 보관 기간, 조치·통지(3년)와 신고(180일)의 기간, 깨움 기록은 이틀(7절).
• 클립보드: 초대 링크 페이지는 [앱 받기]·[앱에서 열기]를 누를 때 초대 링크를 클립보드에 두고, 앱은 누를 때만 읽음(1·16절).
• 통화와 마이크 권한, Cloudflare의 통화 중계, 아이폰의 우편함 깨우기도 Google이 전달함(1·4·10·11절). YouTube 재생(3·16절).
• 앞으로의 양자 컴퓨터에 대한 대비와 그 한계(15절).
• ‘대부’를 ‘Backer’로 부릅니다(일본어판은 ‘推薦人’ 대신 ‘Backer’, 영어판은 backer 대신 Backer). 뜻은 그대로입니다.

이 방침은 한국어·영어·일본어로 제공됩니다. 뜻이 서로 다르면 영어판을 따릅니다.

1受け取らない情報

• 登録・ログインに使う電話番号・メールアドレス、マイナンバーなど本人を確認する番号（メールでお問い合わせいただいた場合、そのメールは受け取ります — 2）
• 端末の連絡先、位置情報、広告識別子
• 復旧フレーズ。18個の単語は、紙に書き留めるために端末で一度だけ表示します。私たちには送られず、アプリにも、Apple や Google のクラウドにも、バックアップにも残しません。フレーズから作った、フレーズに戻せない値だけを受け取ります（2）
• PIN そのもの（照合用に変換した値だけを受け取ります — 2）
• 招待リンク・Famの QR コード・Famのリンク・メンバーに送る登録のリクエストリンクの秘密。リンクの # の後ろにあるため、サーバーには届きません。アプリはその秘密から使い捨ての郵便受けの番号と鍵を作り、サーバーは郵便受けの番号を見るだけで、誰のリンクかは分かりません
• リンクのプレビューを作るときにどのアドレスを開いたか（書く人の端末がそのサイトに直接アクセスします — 3）
• カード番号や Apple ID などの決済情報（Krypton+ の決済はストアが扱います — 2）
• 通話の音声（ふたつの端末の間で暗号化されて行き来します — 4）

アプリが求める許可（すべて任意）

カメラ

Famの QR コードや招待の QR コードを読み取るとき。カメラに映ったものは端末の中だけで読み取り、保存も送信もしません。

写真

投稿やプロフィールに付ける写真・動画を選ぶとき、そして写真・動画を写真アプリに保存するとき（保存では追加の許可だけを求めます）。選んだものだけを端末で縮小し、封をしてからアップロードします。

マイク

Famと通話をかけるとき・受けるとき。音声は録音も保存もしません。

通知

通知を受け取るとき。

クリップボード

最初の画面の「届いた招待で入る」や、自分の QR 画面の「受け取ったリンクを開く」を押したときだけクリップボードを読み、その中の Krypton のリンクをアプリで開きます。押す前は、最初の画面はクリップボードに文字があるかどうかだけを確かめ、中身は読みません。クリップボードの中身は私たちに送りません。iPhone では貼り付けを許可するか尋ねられることがあります。

許可しなくても、その機能以外の Krypton は使えます。許可は端末の設定でいつでもオフにできます。位置情報・連絡先の許可は求めません。

2サーバーが知っている情報

サーバーはメンバーどうしの関係を保存しません。誰と誰がFamか、誰が誰を招待してBackerになったか、誰が誰に投稿・会話・名刺・ひとこと・通話・通知を送ったかはメンバーの端末が持ち、配送は郵便受けを通ります。ここでは、サーバーが保存しているもの（本サービスが動くために必要で、封をしていません）、もう保存しないもの、そしてその瞬間にだけ見えるものを説明します。最後の行のお問い合わせ・ご請求のメールは、サーバーではなく私たちのメールボックスに届きます。

サーバーが保存しているもの

アカウント番号

登録時に作るランダムな番号。名前とは結びついていません。

公開鍵

アカウントの署名用・暗号化用の公開鍵（暗号化用の鍵は X25519 と ML-KEM-768 のふたつの部分からなります — 15）、のちに使うために置いておく2つめの署名用公開鍵（ML-DSA-65）、端末ごとの公開鍵と端末証明書。ログイン、送り主の確認、あなた宛てに封をするとき

登録状態

登録待ち・メンバー・停止の別、役割（創設者・Kryptonチーム・メンバーなど）、メンバーになった順番、登録した30日の期間 — ほかのメンバーのアプリが新しいご近所さんとして入ったかどうかを見分けられるよう、サーバーが署名します（6）、招待チケットで入ったかKryptonチームを通じて入ったか、Krypton+ の期間 — ご自身で購入した期間と、創設者が付与した期間（誰が付与したかは運営者の作業記録に — 8）。登録の手続き、Krypton+ の機能（写真の枚数・動画の長さ・元の画質・予約投稿・通話）の判定

チケット

アカウントが30日の期間ごとに受け取ったチケットの種類ごとの数 — 招待チケット（期間ごとに5枚、Krypton+ は50枚）と、新しい郵便受け・投稿・写真のアップロードを数えるチケット。チケットは中身が見えない形（ブラインド）で発行するため、サーバーはあとで使われるチケットが誰のものか分かりません。使われたチケットには、二度使えないように「使用済み」の印だけを種類・期間とともに残し、アカウントと日付は残しません。30日の招待の上限、投稿・アップロードの上限、大量作成の防止

郵便受け

郵便受けは、ペアになったふたり（または一つの会話にいる人たち）だけが共有する秘密から作った番号で、アカウントとは結びついていません。番号は30日ごとに変わります。郵便受けごとに：中の封をしたメモ（決まったサイズまで埋めたもの）、メモごとに入れた時刻（時単位）、郵便受けを作った週と最後に入れた週、入れるのに必要な鍵の照合値（秘密を共有する人だけが入れられます）。不正利用を防ぐため、ネットワークの区域ごとの1日の数も置きます — IP アドレスの前半を毎日変わる鍵で混ぜた値（IP アドレスそのものではありません）で、今日と昨日の分だけです。送り主と受け取る人をサーバーに残さずに、投稿・会話・名刺・ひとこと・Famの申し込み・通話の呼び出し・通知を届けるため

郵便受けの呼び起こし

端末が呼び起こしを登録した郵便受けごとに：郵便受けの番号から作った値、ランダムなトピック名、呼び起こしの種類（投稿・会話・通話など）、言語。アカウント番号と通知トークンは一緒に置きません — 例外は、端末ごとに着信に使う郵便受けひとつに置く iPhone の通話用トークンひとつで、サーバーが持つ鍵で暗号化して置きます。トピックの呼び起こしは Google が届けます（10）。通知

投稿・ひとこと

封をしてあり、書いた人の欄はありません。あわせて置くもの：書いた人の端末だけが持つ秘密の照合値（誰かを明かさずに編集・削除するため）、項目の種類、会話を閉じているか、消える日時、予約した日時（分単位）、作成・編集・削除の日時（時単位）、写真の枚数・動画の長さ・元の画質かどうか（Krypton+ の上限の確認用）、書いた人の端末が最後に延長した週（7）。誰に送ったか、ひとことがどのページに書かれたか、誰が開けるかは保存しません。配送、編集・削除、予約投稿と消える投稿、180日の延長

会話

会話ごとにランダムな印の付いた部屋があります。サーバーは、部屋がどの投稿の会話か（つまり投稿ひとつに部屋がいくつあるか）と、封をした行ごとのサイズの段階・入れた時刻（時単位）・順番を知っています。行ごとの書いた人と、部屋にいる人は保存しません。返信を会話にいる人だけに届けること、会話を閉じること、古い会話の整理

写真・動画・ファイル

ランダムな名前の封をしたファイルと、そのサイズ・種類、受け取り・保持・削除に必要な秘密の照合値、保存した日、最後に延長した週。アカウントや投稿とは結びついていません。ファイルの保存と配信

名刺

名刺の公開範囲を「Famのみ」「全体に公開」のどちらにしたかと、最後に選んだ日時。「全体に公開」の名刺は、全メンバーが持つ鍵で封をしてアカウント番号の下に置きます（3）。「Famのみ」の名刺は、アカウントに結びつかないランダムな場所に封をして置き、サイズの段階と最後に変えた週だけをあわせて置きます — 鍵と場所は郵便受けを通じてFamに届きます。名刺を選んだ範囲にだけ届けるため

封をしたバックアップ

Famの名簿、受け取った投稿の鍵、ブロックの一覧、自分の投稿の秘密は端末にあります。スマホと一緒に失わないよう、端末がそれらをあなた自身の鍵で封をして私たちにバックアップします — 月ごとのかけら（月・サイズの段階・最後に変えた時刻）と、Famの名簿のまとまり（サイズの段階・最後に変えた時刻）。私たちには開けません。取り戻したあとにFamと受け取った投稿を戻すため

取り戻す方法

あなたの秘密鍵の控え — 復旧フレーズとサーバーの半分がそろって初めて作れる鍵で封をします、サーバーの半分、フレーズから作った検索用の値の照合値（新しいスマホがフレーズからアカウントを見つけられるように — フレーズと検索用の値そのものは保存しません）、PIN を照合する値と間違えた回数・ロックした日時、進行中の取り戻しの状況（アカウント、始めた日時、48時間の待ち時間が終わる日時）。取り戻しの通知はあなたのすべての端末に届きます。新しいスマホでアカウントを取り戻すため。サーバーだけでは控えを開けず、復旧フレーズが必要です

Kryptonチームへのリクエスト

リクエストしたアカウント、チームのアカウントの鍵でしか開けない封をした自己紹介、状態と有効期限（7日）、登録の不正利用を見分けるための印 — 同じ日に同じ場所から始めたアカウントの数、アカウントを作ってからリクエストするまでにかかった時間。Kryptonチームは本サービスを運営する主体のため、チームが受け入れた人については、チームが招き入れたことをサーバーが知っています。Kryptonチームへのリクエストの見分け

登録開始の記録

登録を始めたときの IP アドレスの前半を、毎日変わる鍵で混ぜて作った確認値（IP アドレスそのものではありません）と、その日その確認値で登録を始めた回数。アカウント番号と日時は残しません。2日を過ぎた記録は、毎日自動で削除します。アカウントの大量作成の防止、Kryptonチームへのリクエストの見分け

通報と運営の措置

誰がどの投稿・会話の部屋・人をどの理由で通報したかと、その処理状況、運営者だけが開けるよう封をした通報そのもの（8）、運営者が書いた人の署名で通報されたものを書いた人を確かめたときはそのアカウント、とった措置とメンバーに送ったお知らせ。通報と異議の処理

通知

アカウントに届く通知（取り戻しの通知、私たちからのお知らせなど）のための端末の通知トークン、端末の種類、通知の言語（韓国語・英語・日本語）、オンにしている通知の種類（会話・キャプチャ・写真の保存・お願い）。送った呼び起こしの記録（トピックをその日の鍵で混ぜた値・種類・日時 — アカウントなし）は2日置きます。アカウントを取り戻そうとする依頼の通知はオフにできません。

端末

端末ごとの最後のログイン日時、解除したかどうか。

Krypton+ の購入

Krypton+ を購入した場合のストア（Apple・Google）、取引番号、商品、今の期間の終わり（「永久」には終わりがありません）、返金・取り消しの日時、本番・テストの別。購入のときにアカウント番号を取引に載せ、ストアが確認した購入をアカウントに結びつけます。カード番号や Apple ID などの決済情報はストアが扱い、私たちは受け取りません。Krypton+ の期間の計算と更新・返金の反映、同じ購入をほかのアカウントが使えないようにするため、法律が定める取引記録の保存

お問い合わせ・ご請求のメール

support@krypton.today・privacy@krypton.today に送られたメールの送信者のメールアドレス、内容、添付資料（権利者であることを示す資料、投稿を特定する画面など）。メンバーでない方からの権利侵害・削除の依頼も同じです。お問い合わせへの回答、異議・権利侵害・削除・撤回・開示等の請求の処理

サーバーが保存しないもの

• 誰と誰がFamか、Famの申し込み・紹介とその返事、誰が誰の QR コード・Famのリンクを使ったか、誰が誰をブロックしたか。これらはあなたの端末と、封をしたバックアップにあります。
• 誰が誰を招待してBackerになったか。登録は匿名のチケットで行います — サーバーはチケットが正しく、まだ使われていないかだけを確かめ、誰が渡したチケットかは見ません。名刺のBackerは、端末どうしでやりとりした署名で証明します。例外はKryptonチームが受け入れた人です（上記）。
• 誰が誰に投稿・返信・名刺・ひとこと・手渡した投稿・共感・通話の呼び出し・キャプチャや保存の通知・過去の投稿を送ったか。送り主のアカウントと署名は封の中にあります。
• 会話に誰がいるか、誰が誰を会話に招待したか。
• ひとことがどのページに書かれたか。
• Famのグループ。この端末にだけあります。

サーバーがその瞬間に見るもの

「保存しない」は「見えない」と同じではありません。上の記録に関係が含まれていなくても、サーバーは — そして届くリクエストを見ている人や、プラットフォームの記録（7日間保存、4）を持つ人は — その瞬間に次のことを見ることができます。

• 接続。 リクエストごとの IP アドレスと日時。
• タイミング。 アプリがログインしたあと、同じ IP アドレスから同じころに郵便受けにメモを入れたり取り出したりすると、その郵便受けがあなたのアカウントと結びつけられることがあります。登録も同じです — 招待はひとつの郵便受けを通るため、リクエストを見ている人やプラットフォームの記録を持つ人は、あなたを招待したメンバーとあなたの登録を結びつけられます。メンバーに送る登録のリクエストリンクも同じで、そのリンクを開いたメンバーとあなたを結びつけられます。サーバーに保存された記録には誰が誰を招き入れたかはありませんが、接続の記録とリアルタイムのリクエストからは分かります。アプリはこれらの手順の間を数秒から数分あけてぼかしますが、防ぐことはできません。
• まとまり。 端末は複数の郵便受け・投稿・写真・名刺をひとつのリクエストで取り出します。その瞬間、サーバーはそれらがひとりの受け取るものだと分かります（誰かは分かりません）。Fam全員に投稿すると、メモを数分かけて小さなまとまりに分けて送りますが、まとまりの一つひとつは届くときにまとまりとして見えます。保存する日時を丸めていても、行が書かれた順番はデータベースとそのバックアップの中に残ります。
• アップロード。 アプリが投稿や写真をアップロードする許可を受け取るときはログインしているため、サーバーはその瞬間、あなたのアカウントがあるサイズの何かをアップロードしていることを見ます — 誰に届くかは見ません。
• 通話。 通話中はふたつの端末がログインしたまま同じリアルタイムのチャンネルにいるため、サーバーはその瞬間、どのふたつのアカウントが通話しているかを見ます。通話を記録はしません。
• 通知。 Apple と Google は通知トークンがどの端末のものかを知っており、Google はどの端末がどの呼び起こしのトピックを購読しているかを知っています。私たちの記録と Google の記録の両方を持つ人は、ひとつの端末のトピックをそのアカウントに結びつけられます。
• 通報。 通報は、通報した人と通報されたものを結びつけます（8）。

3封をしたまま保管する情報

次のものは端末で封をしてからサーバーに送ります。サーバーにも運営者にも、それを開く鍵はありません。

• 名刺 — 名前、自己紹介、プロフィール写真、Backer。Backerには、それを証明する署名が一緒に載ります：1人目のBackerはあなたを招き入れたメンバー、2人目はその人以外で最初にFamになった人で、ふたりがFamであることを示すふたりの署名が一緒に見えます。Krypton+ メンバーなら、そのことも名刺に載ります（期間や支払いの内容ではありません）
• 投稿、返信、ひとこと、会話のメッセージ、写真、動画、ファイル（ファイルは暗号文のまま保存します）。送り主のアカウントと署名は封の中にあります
• リンクのプレビュー — 書く人の端末が作り、投稿と一緒に封をします
• Famの申し込み — そのペアの秘密、署名、あなたの名刺と小さなプロフィール写真を、申し込まれた人だけが開けるように封をします
• 自分の QR コード・Famのリンクに付ける名刺と小さな写真 — リンクの # の後ろにだけある秘密から作った鍵で封をし、リンクを開いたメンバーだけが開けます
• メンバーに送る登録のリクエストリンクのメモ — 名前・自己紹介・アカウント番号・公開鍵をアカウントの鍵で署名し、リンクの # の後ろにだけある秘密から作った鍵で封をして、使い捨ての郵便受けに置きます。リンクを持つ人だけが開けます。誰がリクエストし誰が受け取ったかはサーバーに記録しません
• 招待のパッケージ — あなたを招き入れるメンバーの端末が新しい端末に渡すもの（あなたの鍵へのそのメンバーの署名、そのメンバーのBackerのつながり、会員の鍵、あなたのチケット）。郵便受けを通じて端末から端末へ届きます
• 投稿を手渡すときに書いた理由と、手渡された投稿が経由してきた人の名前 — 手渡す人がその投稿の鍵で封をします。その投稿を受け取った人だけが開けます
• 会話に誰が誰を招待したかと、会話にいる人の名簿 — その会話の中に封をした行。会話にいる人だけが開けます
• 封をしたバックアップ（2） — あなた自身の鍵だけで開けます
• 取り戻しの控え — 復旧フレーズとサーバーの半分がそろって作れる鍵だけで開けます
• Kryptonチームへのリクエストに書く名前・ひとこと自己紹介・誰と使うか — チームのアカウントの鍵でしか開けません（チームの端末、または運営者ページでその鍵を開いた画面）
• 会話の通知に載る一行 — 受け取る人の端末だけが開けます
• 通報 — 通報した人の端末が、運営者だけが開けるように封をします（8）
• 端末の名前

封をしても変わらないこと

• 受け取った人は読めます。 投稿は受け取った人の端末で開かれ、その端末に残ることがあります。Krypton+ メンバーである受け取った人は写真・動画を写真アプリに保存でき、保存された写しは封の外にあります。
• 通報されると運営者が見ます。 通報した人がその投稿・会話のメッセージ・名刺を運営者に開きます（8）。
• Kryptonチームへのリクエストはチームが読みます。 リクエストに書いた名前・自己紹介・誰と使うかをチームが開いて見て、承認するかどうかを決めます（8）。
• 「全体に公開」にした名刺はメンバーなら誰でも見られます。 名刺は標準では「Famのみ」で、その鍵はペアの郵便受けを通じてFamの一人ひとりにだけ届きます。マイページで「全体に公開」にすると、全メンバーが持つ鍵（会員の鍵）でも封をし、メンバーになった人は誰でも見られます。どちらを選んだかはサーバーが知っています（2）。
• 外側の情報は封をしていません。 2 の情報はサーバーが知っています。投稿とひとことは長さが分からないよう決まったサイズまで埋めて封をしますが、写真・動画ファイルのサイズは分かります。

リンクのプレビューを作るとき、書く人の端末がそのサイトに直接アクセスするため、そのサイトには書く人のアクセスが残ります。受け取る人の端末は、リンクを押すまでそのサイトにアクセスしません。YouTube の動画では、書く人の端末が YouTube からタイトルとサムネイルを受け取り、受け取る人の端末は ▶ を押したときだけ YouTube（youtube-nocookie.com）にアクセスします — そのとき YouTube はその端末の IP アドレスと動画を知ります。

4自動的に残る記録

• IP アドレス — 私たちのデータベースとサーバー関数の記録には残しません。例外は 2 の1日の数（登録開始、ネットワークの区域ごとの郵便受けの利用）で、IP アドレスの前半をその日だけ使う値と混ぜて置き、長くても2日で消します。その日の値のもとになる秘密を持つ人は、数からネットワークの区域（アドレス全体ではありません）を割り出せます。サーバーを提供する Supabase のプラットフォームの記録には IP アドレスとリクエストの日時・アドレスが残り（リクエストのアドレスにはアカウント番号や郵便受けの番号が含まれることがあります）、7日後に削除されます。Cloudflare は写真・動画とウェブページを配信し、通話を中継する際に IP アドレスを処理し、その記録は Cloudflare のプライバシーポリシーと Cloudflare が定める期間に従います。ファイル保存の手前にある Cloudflare Worker の監視記録は切っています。
• 呼び起こしの記録、端末ごとの最後のログイン日時、登録開始の記録、郵便受けの数 — 2

会話の画面でやりとりされる「新しいメッセージ」と「入力中」の合図は、サーバー（Supabase Realtime）を通りますが、その会話の秘密から名前を作ったチャンネルで、同じ秘密から作った鍵で封をして届きます。その会話の秘密を持つ人 — 会話にいる人 — が受け取れます。会話にいる人が変わると、会話は新しい秘密を使います。合図そのものは残りません。

通話はFamとの一対一の音声通話です。ふたつの端末はペアの秘密から名前を作ったリアルタイムのチャンネルで通話をつなぎ、つなぐためのやりとりは互いに封をして送り合います。音声はふたつの端末の間で暗号化され、直接、またはネットワークが必要とするときは Cloudflare の中継（TURN）を通って行き来します — 中継はふたつの IP アドレスは見ますが、音声は見ません。サーバーは通話を記録せず、通話の履歴も置きません。

アプリには分析ツール、広告ツール、クラッシュ収集ツールは入っていません。

5利用目的と法的根拠

個人情報は次の利用目的のためだけに使います。目的ごとに、使う情報とその根拠をあわせて記載します。

サービスの提供

登録（メンバーの招待リンク、メンバーに送るリクエストリンク、Kryptonチームへのリクエスト）、ログイン、投稿・返信・会話・写真・動画の配送、通話、Famになること（会って QR コードでつながる場合を含む）と紹介、手渡す、会話へのFamの招待、新しいFamに過去の投稿を見せること、予約投稿、消える投稿、取り戻す方法使う情報 — アカウント番号・公開鍵、登録状態、チケット、郵便受けと呼び起こし、投稿・会話・ファイルの記録、封をした内容、封をしたバックアップ、名刺の公開範囲、端末、取り戻す方法根拠 — 契約の履行（韓国個人情報保護法第15条第1項第4号、GDPR 第6条第1項（b））

通知

確認を待っていること、新しい会話、新しいFam、着信、画面キャプチャの試み、あなたの写真・動画が保存されたこと、アカウントを取り戻そうとする依頼を知らせるため。通知には名前も内容も載せません。使う情報 — 通知トークン、郵便受けの呼び起こし、端末の種類、通知の言語、通知の設定、呼び起こしの記録根拠 — 契約の履行（韓国個人情報保護法第15条第1項第4号、GDPR 第6条第1項（b））

Krypton+ の提供

購入の確認、更新・解約・返金の反映、同じ購入をほかのアカウントが使えないようにすること、創設者が付与した Krypton+ の管理、写真の枚数・動画の長さ・元の画質・予約投稿・通話の上限の判定使う情報 — Krypton+ の購入記録、登録状態と Krypton+ の期間根拠 — 契約の履行（韓国個人情報保護法第15条第1項第4号、GDPR 第6条第1項（b））

安全と運営

通報の処理、利用制限、アカウントと郵便受けの大量作成の防止、Kryptonチームへのリクエストの見分け、運営者の作業記録、お問い合わせへの回答と異議の処理使う情報 — 通報と運営の措置、登録開始の記録、郵便受けの数、チケット、Kryptonチームへのリクエストの見分けの印、運営者の作業記録、お問い合わせ・ご請求のメール根拠 — 正当な利益（韓国個人情報保護法第15条第1項第6号、GDPR 第6条第1項（f））：メンバーと本サービスを不正利用から守るため

法律が求めること

購入記録の保存、法律にもとづく求めへの対応、児童性的虐待コンテンツの通報、権利を侵害する投稿の削除依頼・申込みの撤回・開示等の請求の処理使う情報 — Krypton+ の購入記録、2 の情報、通報の控え、お問い合わせ・ご請求のメール根拠 — 法的義務（韓国個人情報保護法第15条第1項第2号、GDPR 第6条第1項（c））

これ以外の目的（広告、販売、プロファイリングなど）には使いません。

• 同意にもとづいて取り扱う情報はありません。カメラ・写真・マイク・通知は端末で許可したときだけ使い、端末の設定でいつでもオフにできます。
• 2 の情報は本サービスに欠かせません（Krypton+ の購入は購入した人だけ、お問い合わせ・ご請求のメールは送った人だけ）。提供いただけない場合は Krypton を使えません。
• 正当な利益にもとづく取り扱いには異議を述べることができます（13）。

私たちは、健康・信条・政治的意見などの要配慮個人情報を受け取ったり、別に集めたりしません。サーバーは誰と誰がつながっているかを保存せず、その人の職業や関係の性質も知りません。

6ほかのメンバーに見えるもの

Fam

名刺 — 名前、自己紹介、Backer、プロフィール写真、Krypton+ メンバーならそのこと — と、公開範囲「Fam」で書いたあなたの投稿。

すべてのメンバー（全体に公開した名刺）

マイページの名刺の左上にある小さなボタン（Famのみ・全体に公開）で「全体に公開」を選ぶと、すべてのメンバーがぼかした（モザイクの）プロフィール写真とともにあなたの名刺を見ます。元の写真はFamにだけ開きます。標準は「Famのみ」です（創設者は「全体に公開」から始まります）。「Famのみ」に戻すと、端末が新しい鍵で名刺に封をし直し、会員の鍵で封をした写しは削除されます。全体に公開していた間にすでに見られたものは元に戻せません（15）。

あなたの名刺を開く人

あなたのBackerと、それを証明する署名。その人のアプリは、あなたが本当のメンバーかを確かめるときに、あなたのBackerのつながり（BackerのBacker…）も見ます。

新しいご近所さん

1,001人目のメンバーからは、メンバーの招待リンクで入った人は、2人目のBackerが埋まるまで — つまり招き入れたメンバー以外の人とFamになるまで — 新しいご近所さんです。メンバーのアプリは名刺と、登録した期間へのサーバーの署名（2）からこれを見分け、新しいご近所さんからの招待・手渡された投稿・紹介・会話への招待を受け取りません。1,001人目より前に入った人と、創設者やKryptonチームが招き入れた人は、はじめから正会員です。

ページの持ち主のFam（ひとこと）

ほかのメンバーのページに書いたひとことは、そのページの持ち主と持ち主のFamが見ます — 書いた人の名前も一緒に封をして届きます。あなたの端末は持ち主と自分にだけ封をし、持ち主の端末が持ち主のFamに封をし直します。持ち主とFamを解除した人やブロックされた人には、持ち主の端末が新しく封をしません。すでに見られたものは元に戻せません。持ち主が非表示にしたひとことは、書いた人が削除して書き直しても非表示のままです。持ち主の名刺の公開範囲にかかわらずFamだけです。持ち主は自分のページのひとことを非表示にしたり削除したりできます。

選んで受け取った人

自分にだけ届いた投稿であることを示す「選んで」の印と、その投稿。その投稿を受け取ったほかの人は見えません。投稿者は受け取った人の一覧を見ます。

新しいFam

あなたが最近30日に公開範囲「Fam」で書いた投稿を、最大100件まで見ます。設定の「これまでの投稿を見せる」でオフにでき、この設定は端末にあります。

会話にいる人

投稿への返信は、その会話にいる人だけが見ます。はじめは投稿者と返信した人のふたりで、会話にいる人が自分のFamを招待すると、招待された人もその投稿と、入ってからの返信を見ます。会話にいる人は、誰が一緒にいるか、誰が誰を招待したか、誰が入り退出したかを見ます。退出した人・外された人は、いた間に受け取った返信をそのまま見られます。投稿への共感（ハート）は投稿者だけが知ります。

手渡された人

受け取った人が自分のFamに投稿を手渡すと、手渡された人もその投稿を見ます。手渡された人は、その投稿が経由してきた人の名前も見ます — 手渡した人が封をして載せた名前です。選んで送った投稿と「自分だけ」の投稿は手渡せません。

画面の持ち主

あなたが他の人の会話・ページ・投稿をキャプチャしようとすると、その人に通知が届き、その人の新着にあなたの名前が表示されます。

投稿者（保存）

あなたがフィード投稿の写真・動画を写真アプリに保存すると、投稿者に通知が届き、その人の新着にあなたの名前が表示されます。会話の写真の保存は知らせません。

Famを申し込んだ相手

Famの申し込みを送った相手は、あなたが名刺を「Famのみ」にしていても、あなたの名刺と小さなプロフィール写真を見ます。あなたの QR コード・Famのリンクを開いたメンバーも同じです。

登録のリクエストリンクを受け取った人

あなたがメンバーに送った登録のリクエストリンクを持つ人は — リンクが転送されれば誰でも — あなたの名前・自己紹介・アカウント番号・公開鍵を開けます。メンバーが「知っています」で受け入れると、そのメンバーが1人目のBackerになります。受け入れなければ何も返りません。

一緒に会話にいる人、知らせを受ける持ち主

一緒に会話にいる人、写真・動画を保存した投稿や、キャプチャした画面の持ち主は、公開範囲の外でも自分の名刺を見ます。

あなたのFamのリンク

あなたが送ったFamのリンクは24時間のうちに1回だけ使えます — そのリンクを最初に開いたメンバーひとりが、あなたの確認なしにFamになります。リンクを送ったことが同意です。あなたに知らされ、解除できます。

申し込みを取り次いだFam

Famでない人に、共通のFamがいるためにFamを申し込むと、その共通のFamの端末があなたの申し込みを自動で取り次ぎます。そのためその人の端末は、あなたが誰に申し込んだかを知ります（申し込みの中身は開けません）。

Kryptonチーム

Kryptonチームに参加をリクエストすると、チームがそのリクエストの名前・自己紹介・誰と使うかを見ます（8）。

名刺は標準ではFamにだけ見えますが、「全体に公開」にしたり、Famの外の人にFamを申し込んだりすると、それ以外の人も見ます。健康や信条のような配慮の必要な内容は名刺に書かないでください。投稿は公開範囲（Fam・選んで・自分だけ）で見る人を決められます。

7保存期間と削除

情報ごとに次の期間だけ保存し、期間が過ぎたら削除します。整理は毎日一回自動で行います。

郵便受けのメモ

受け取る人の端末が受け取ったと確かめるまで、長くても90日。70日間なにも入れられていない郵便受けは削除します。

郵便受けの呼び起こし

端末が延長しなければ100日

1日の数（登録開始、ネットワークの区域ごとの郵便受けの利用）

今日と昨日の分だけ（それより前のものは毎日自動で削除します）

投稿・ひとこととその写真・動画

書いた人が削除するか、アカウントを削除するまで。書いた人の端末がバックグラウンドで期限を延長し、書いた人のどの端末も180日間延長しなかったものは — たとえばスマホをなくして取り戻さなかったときや、その間アプリを開かなかったとき — 自動で削除します。アプリは使っている間、およそ月に一度延長するため、最後にアプリを開いてから150〜180日の間に削除されます。削除した投稿の空の記録（内容なし）は7日後に削除します。

消える投稿

24時間（書くときに選べば表示された時から、あとで選べばその時から）。受け取った人のアプリはその時に隠し、サーバーはそのあと1時間以内に削除します。写真・動画ファイルは書いた人の端末が削除し、いずれにしても180日のルールで削除されます。

会話

その投稿がある間。365日間新しいメッセージのない会話は削除し、削除された投稿の会話は投稿の削除から30日後に削除します。

保持されなかったアップロード

アップロードした端末が7日以内に確かめなかった写真・ファイルは削除します

「Famのみ」の名刺の場所

新しい版を置くと前の版は14日以内に削除し、90日間置き直されなかった場所は削除します

封をしたバックアップ

アカウントがある間（24か月を過ぎた月のかけらは引退させます）。アカウントを削除すると一緒に削除します

ログインの確認値

期限切れから1日

登録を終えなかったアカウント

30日以内に登録を終えなかった登録待ちのアカウントは削除します（Kryptonチームへのリクエストが開いていれば残します）

登録のリクエストリンク

リクエストリンクの郵便受けのメモは30日後に削除し、リクエストした人の端末が7日ごとに入れ直します。登録を終えるかリクエストを取り消すとリンクを閉じ、登録待ちのアカウントが30日後に削除されるとリンクも終わります（残ったメモは30日以内に削除します）

Kryptonチームへのリクエスト

リクエストが終わってから30日

取り戻す依頼

依頼が終わってから30日。取り戻しの検索の1日の数は2日

呼び起こしの記録

2日

処理済みの通報

処理が終わり、通報から180日が過ぎたとき（処理前の通報は残ります。法律が保存を求める通報 — 例：米国 NCMEC に通報したものは通報から1年 — はその期間残します）

措置とお知らせ

アカウントにとった措置と、それについて送ったお知らせ — 措置の日から3年

運営者の作業記録

措置の日から3年間、変更できない形で残し、その後削除します

Krypton+ の購入記録

取引から5年（韓国の電子商取引消費者保護法が定める代金決済記録の保存期間）。ただし、まだ使っている利用権（終わっていない「永久」）の記録は、そのアカウントがある間は残します。

お問い合わせ・ご請求のメール

対応を終えた日から3年（韓国の電子商取引消費者保護法が定める苦情・紛争処理記録の保存期間）

その他の情報

アカウントを使っている間。アカウントを削除した後に削除するものと残るものは 12 に記載しています。

保存期間が終わったとき、または目的を果たしたときは、遅滞なく削除します。データベースの行を消し、写真・動画ファイルは保存先から消して、元に戻せないようにします。削除した情報は、本番データベースの毎日のバックアップに最大7日残ったあと消えます（バックアップは障害からの復旧にだけ使います）。法令などのために保存する記録 — 購入記録、措置とお知らせ、法的な保存がかかった通報 — は、ほかの情報と分けて置き、アカウント番号は番号としてだけ残し、その目的にだけ使います。

8通報と運営者による閲覧

運営者は投稿を見ることができず、見られるようにする仕組みも置いていません。そのかわり、通報のときに通報する人の端末がその対象を運営者に開きます — 書いた人が署名したそのままを、運営者だけが開けるように封をして送ります。

運営者が通報されたものを見るのは、規約違反や違法な情報に対応し、法律が求める措置をとるためです（5 — 正当な利益・法的義務）。

投稿・返信・会話のメッセージを通報すると

運営者は、通報した時点のそれを書いた人の署名とともに、その中に載っている写真・動画（ファイルがまだあれば）とともに見ます。署名からどのアカウントが書いたかが分かり、サーバーはそのアカウントを通報に記録する前に署名をもう一度確かめます。会話のメッセージなら、通報するアプリがその会話の人数も送りますが、署名されていない値のため参考にだけ使います。あとで投稿が消えたり削除されたりしても、通報時点の封をした控えは通報の記録とともに残ります。

人を通報すると

運営者は、通報した人の端末が開いたままのその人の名刺（名前・自己紹介・ぼかした写真）と、「Famのみ」の名刺ならその名刺が置かれた場所を受け取り、通報した人が作り上げたものでないかを確かめます。元の写真は送られません。

Kryptonチームにリクエストすると

チームのアカウントの鍵で（チームの端末または運営者ページで）封を開いて名前・ひとこと自己紹介・誰と使うかを見て、同じ日に同じ場所から始めたアカウントの数と、アカウントを作ってからリクエストするまでにかかった時間もあわせて見ます。チームはこれを見て承認するかどうかを決めます。新しいリクエストが届くと、運営者に件数と運営者ページのアドレスだけを書いたメールを送ります — 名前・自己紹介はメールに載せません。

あわせて見る外側の情報

通報した人と通報された人のアカウント番号、理由、日時。アカウントごとの状態・役割・登録した期間・会員番号・Krypton+ の期間・端末の数・通報の数。名前はありません。Famの数やBackerの数は見えません — サーバーが保存していません。

通報が結びつけるもの

通報は、通報した人がその投稿・会話の部屋・人を通報したことを残します。会話のメッセージを通報すると、通報した人が — そして確かめたあとは書いた人も — その会話の部屋と結びつきます。会話にいる人がふたり以下なら、相手に誰が通報したか分かるかもしれないことを、アプリが通報する人に知らせます。

運営者の作業記録

誰がいつ、どのアカウント・対象にどんな措置（投稿の非表示・削除、会話の非表示、停止・解除、通報の処理、創設者による Krypton+ の付与・取り消し）をしたかとそのメモを、措置の日から3年間、変更も削除もできない形で残します（7）。

見ないもの

通報されていない投稿、その人のほかの投稿や会話

通報された投稿・会話は、書いた人を確かめる前でも非表示にしたり削除したりできます。非表示にした投稿を受け取った人は、その投稿が削除されたのではなく非表示にされたことが分かります。写真・動画を削除するときは、証拠の控えを通報とともに通報の保存期間のあいだ残します。措置をとり、書いた人が分かっているときは、その人に理由を知らせます（アプリ内のお知らせが整うまでは support@krypton.today へのお問い合わせにお答えします）。誰が通報したかは知らせません。異議は利用規約 6の手続きに従います。

通報の控えは運営者が開けるため、法律にもとづく求めがあれば、通報の記録とともに提供されることがあります（9）。

処理済みの通報は、処理が終わり、通報から180日が過ぎたら削除します（処理前の通報は残ります。法律が保存を求める通報 — 例：米国 NCMEC に通報したものは通報から1年 — はその期間残します。7）。通報した人のアカウント番号は記録に残るため、通報を濫用すれば分かります。

9第三者提供

個人情報を売ったり、広告・マーケティングの目的でほかの会社に渡したりしません。次の場合にだけ提供します。

• 法令にもとづく求め — 令状など法律が定める手続きを備えた求めかを確かめたうえで、必要な分だけ提供します。提供できるのはサーバーが保存している情報（2）、プラットフォームの記録にまだ残っているもの（4）、通報によって運営者に開かれた控え（8）だけです。サーバーは誰と誰がFamか、誰が誰を招き入れたか、誰が誰に何を送ったかを保存していないため、そうした記録は提供するものがなく、それ以外の封をした内容は私たちにも開けません。サーバーがその瞬間にだけ見るもの（2）は保存していませんが、法律が求めれば記録されることがあります。法律が許す範囲で、該当するメンバーに知らせます。
• 児童性的虐待コンテンツの通報 — 児童性的虐待コンテンツを見つけたときは、法律にもとづき米国の NCMEC（全米行方不明・被搾取児童センター）と関係機関に通報し、そのコンテンツと関連するアカウントの情報をあわせて送ります。
• 差し迫った危険 — 人の生命・身体に差し迫った危険が明らかなときは、それを防ぐのに必要な範囲でのみ、警察などの関係機関に知らせます。
• Krypton+ の決済 — メンバーが Krypton+ を購入するときは、決済を処理するストア（現在は Apple で、Android の Google Play 決済は準備中です）に、アカウント番号（ランダムな番号）が取引とともに渡ります。私たちがストアから受け取るのは、取引番号・商品・期間・返金の有無だけです。ストアは自らのプライバシーポリシーにもとづいて決済情報を扱います。

10委託先

本サービスの運営のため、次の会社に業務を委託しています。これらの会社が扱うのは、封をした暗号文、2 の情報、そして配信中の接続情報です。

Supabase, Inc.

データベース、サーバー関数、Realtime（会話のリアルタイムの合図と通話の接続）

Cloudflare, Inc.

写真・動画ファイル（暗号文）の保存と配信 — R2 と Workers。krypton.today のウェブサイトと、招待・QR・Famのリンクのページの配信 — Pages。ネットワークが必要とするときの通話の音声の中継と、端末どうしがつながる経路の検索 — Realtime（TURN・STUN）、音声は暗号化されたままです。support@・privacy@krypton.today に届くメールを当社のメールボックスへ転送 — Email Routing

Zoho Corporation

当社のメールボックス — support@・privacy@krypton.today で受け取ったお問い合わせ・ご請求のメールを保管します

Apple Inc.

アカウントに届く iPhone の通知の配信（Apple Push Notification service）と着信の呼び出し（PushKit）。端末のトークンと通知の文面を渡します。文面には名前も内容もありません。会話・通話の通知には受け取る人の端末だけが開ける一行が一緒に載り、Apple が見るのは暗号文だけです。Apple はトークンがどの端末のものかを知っています。

Google LLC

アカウントに届く Android の通知の配信と、iPhone・Android の郵便受けの呼び起こしのトピックでの配信（Firebase Cloud Messaging）。端末のトークンまたはランダムなトピック名と、名前も内容もない通知の文面を渡し、呼び起こしにはアカウント番号を渡しません。Google はトークンがどの端末のものか、どの端末がどのトピックを購読しているかを知っています。

私たちはこれらの会社とデータ処理契約を結び、委託した業務の外では情報を使わず、このポリシーと同等以上の水準で保護させています。ほかの会社への再委託も、その契約が定めるとおりにだけ行います。委託先が変わるときは、このポリシーを改めてお知らせします。

Krypton+ の決済はストアが自らの責任で処理するため、委託ではなく 9 に記載しています。

11外国への移転

本サービスを使う間、情報はネットワークを通じて随時、次の国に移転し、保存・処理されます。移転にはすべて暗号化された接続（HTTPS）を使います。

Fantagram, Inc.

• 国米国・大韓民国
• 時期・方法運営者が運営と通報の処理のため、暗号化された接続で運営者ページにアクセスするとき
• 項目2 の情報、通報の控え、Kryptonチームへのリクエスト
• 目的本サービスの運営、通報の処理、参加リクエストの確認
• 保存期間7 に記載のとおり
• 連絡先privacy@krypton.today

Supabase, Inc.

• 国大韓民国ソウル（AWS）に保存、運営会社は米国。サーバー関数は処理の間だけ、アプリを使う場所に最も近い Supabase の地域で実行され、その国は大韓民国・日本・シンガポール・インド・オーストラリア・米国・カナダ・ブラジル・アイルランド・英国・フランス・ドイツ・スイスのいずれかです。
• 時期・方法アプリを使うたびに、暗号化された接続で
• 項目2・3 の情報（3 は暗号文）
• 目的データベース、サーバー関数、リアルタイムの合図
• 保存期間7 に記載のとおり（削除した情報はバックアップに最大7日長く残ります）
• 連絡先privacy@supabase.com

Cloudflare, Inc.

• 国ファイルの保存は Cloudflare がアジア太平洋地域に置くデータセンター（Cloudflare は国を公表しておらず、地域も保証していません）、配信は利用者に近い世界各地の Cloudflare データセンター、通話の中継は通話する人に近い Cloudflare データセンター。本社は米国
• 時期・方法写真・動画をアップロード・ダウンロードするとき、krypton.today を開くとき、中継が必要な通話の間
• 項目写真・動画ファイルの暗号文、暗号化された通話の音声、配信中の IP アドレス
• 目的ファイルの保存・配信、ウェブサイトの提供、通話の中継
• 保存期間ファイルは 7 のとおり、通話の音声は保存しません。アクセス記録は Cloudflare が定める期間
• 連絡先privacyquestions@cloudflare.com

Apple Inc.

• 国米国
• 時期・方法iPhone に通知を送るとき・通話を鳴らすとき、Krypton+ を購入するとき
• 項目端末のトークン、名前も内容もない通知の文面、会話・通話の通知の封をした一行、Krypton+ 購入時に取引に載せるアカウント番号（9）
• 目的iPhone の通知と通話、Krypton+ の決済をアカウントに結びつけること
• 保存期間通知は配信の間、取引記録は Apple のプライバシーポリシーに従います
• 連絡先Apple のプライバシーに関する問い合わせ

Google LLC

• 国米国
• 時期・方法Android に通知を送るとき、iPhone・Android に郵便受けの呼び起こしを送るとき
• 項目端末のトークンまたはランダムなトピック名、名前も内容もない通知の文面
• 目的Android の通知、郵便受けの呼び起こし
• 保存期間配信の間。トピックの購読は端末が外すまで
• 連絡先Google のプライバシーに関する問い合わせフォーム

Cloudflare, Inc.（Email Routing）

• 国送信者に近い世界各地の Cloudflare データセンター。本社は米国
• 時期・方法support@・privacy@krypton.today にメールを送るとき、当社のメールボックスへ転送する間
• 項目送信者のメールアドレス、メールに書いた名前と内容
• 目的お問い合わせ・ご請求のメールを当社のメールボックスへ転送
• 保存期間転送する間だけ扱い、保存しません。配信の記録は Cloudflare が定める期間
• 連絡先privacyquestions@cloudflare.com

Zoho Corporation

• 国米国
• 時期・方法お問い合わせ・ご請求のメールが当社のメールボックスに届くとき
• 項目送信者のメールアドレス、メールに書いた名前と内容
• 目的お問い合わせ・ご請求への回答
• 保存期間7 に記載のとおり
• 連絡先privacy@zohocorp.com

Google LLC（Google Fonts）

• 国米国
• 時期・方法krypton.today を開くとき、ブラウザが直接
• 項目IP アドレス、ブラウザの情報、リクエストしたアドレス
• 目的ウェブサイトのフォントの読み込み
• 保存期間Google のプライバシーポリシーに従います
• 連絡先Google のプライバシーに関する問い合わせフォーム

これらの移転なしには本サービスを提供できません。望まない場合は、アカウントを削除して移転を止めることができます（12）。

EU・英国 — 大韓民国は、EU と英国が十分な水準の個人情報保護を認めた国です。それ以外の国へ移転するときは、十分性認定や EU 標準契約条項などの保護措置を用い、その写しは privacy@krypton.today に請求できます。

日本 — 移転先の会社が日本の法律の求める水準の措置を講じるよう、契約で定めています（基準適合体制）。ご請求があれば、その内容と各国の制度に関する情報をお知らせします（国ごとの制度は、個人情報保護委員会「外国における個人情報の保護に関する制度等の調査」）。

12アカウントの削除

Krypton（運営：Fantagram, Inc.）のアカウントを削除する方法です。アプリの設定の一番下にあるアカウントを削除から、ご自身で削除します。登録がまだ終わっていない（リクエストや登録の申請を待っている、または断られた）アカウントや利用停止中のアカウントは、アプリが代わりに表示する画面の一番下にアカウントを削除があります。アカウントの鍵があるその端末でのみ行えます。元に戻せません。

アカウントを削除しても、ストアの自動更新サブスクリプションは自動では解約されません。 先に端末のストアのサブスクリプション設定（Krypton の設定の「サブスクリプションを管理」）で解約してください。Krypton+ は購入したひとつのアカウントにだけ適用されるため、アカウントを削除すると残りの期間（「永久」を含む）はほかのアカウントに移すことも、元に戻すこともできません。

端末が先にあなたのものを削除します

サーバーはどの投稿があなたのものか知らないため、これは端末が行います。アプリでアカウントを削除すると、アカウントそのものを削除する前に、端末があなたが書いた投稿・ひとこと・会話のメッセージ・写真・動画・ファイルとあなたの名刺をサーバーからすべて削除し、受け取った人のアプリでも削除されるよう知らせます。サーバーで削除されたことが確かめられてから、アカウントが削除されます。接続が切れた場合は、終えられるまで画面が「削除中」のままになります。

削除するもの

• あなたが書いた投稿・返信・ひとこと・会話のメッセージと、その写真・動画・ファイル、あなたの名刺（上記のとおり）
• アカウントの記録そのもの — アカウント番号、公開鍵、登録状態と会員番号、Krypton+ の期間（創設者が付与したものを含む）、チケットの数
• 端末と通知トークン、取り戻す方法の準備、取り戻す依頼、封をしたバックアップ、通知の設定、Kryptonチームへのリクエスト

終わるもの

• あなたのFamのアプリには、あなたのアカウントがなくなったと表示され、そのアプリがあなたをFamから外します
• 端末が閉じられる郵便受けと呼び起こしを閉じます

残るもの

法令と運営のために保存する記録

Krypton+ の購入記録（取引から5年 — アカウントを削除した後は「永久」の記録も同じです）、あなたのアカウントにとった措置と送ったお知らせ（3年）、通報（180日、法律が求める場合はそれより長く）、運営者の作業記録（3年）、お問い合わせ・ご請求のメール（対応を終えた日から3年）。これらの記録はアカウント番号を番号としてだけ残し、その番号が指していたアカウントの記録はありません。

郵便受けと呼び起こし

アカウントと結びついていないため、私たちが探して削除することはできません。端末が閉じられなかったものは、7 の期間が過ぎると削除されます（90日・100日）。

端末が見つけられなかった会話のメッセージ

たとえば、あなたが2,000行を超えて書いた会話のとても古いメッセージ — その会話が整理されるまで（最後のメッセージから365日）封をしたまま残ります。

ほかの人に届いたもの

受け取った人のアプリは、あなたの端末からの知らせを受け取るとあなたの投稿を削除します。90日以内に開かれなかったアプリや以前の版のアプリは、削除できないことがあります。受け取った人が写真アプリに保存した写しや画面キャプチャは取り戻せません。ほかの人があなたに書いた返信は、その人のものとして残ります。

アプリを使えないとき

アカウントの鍵がある端末がない場合は、新しいスマホで復旧フレーズと PIN を使ってアカウントを取り戻してから削除してください — そうすれば上のとおりすべて削除します。取り戻せない場合は privacy@krypton.today にご請求ください。私たちは名前やメールアドレスを受け取っていないため、アカウントの持ち主であることを確認できなければ削除できません。この方法でアカウントを削除しても、そのアカウントの投稿・ひとこと・写真は削除できません — サーバーはどれがあなたのものか知りません。あなたのどの端末も180日間延長しなければ自動で削除され（7）、それまでは私たちには開けない暗号文として残ります。

13利用者の権利と開示等の請求の手続き

ご自身の個人情報の開示・訂正・削除・利用停止を求める権利があります。EU・英国の方には、取り扱いの制限を求める権利、データポータビリティの権利、正当な利益にもとづく取り扱いに異議を述べる権利、監督機関に苦情を申し立てる権利もあります。

アプリで直接

• プロフィールの編集、投稿の編集（投稿後10分まで）・削除、消える投稿への切り替え、会話を閉じる、会話から退出する・参加者を外す（投稿者）
• Famの解除、ブロック、「これまでの投稿を見せる」のオフ、新しい復旧フレーズを作る
• 通知の種類ごとのオフ（会話・キャプチャ・写真の保存・お願い）、サブスクリプションを管理
• アカウントの削除（12）

開示等の請求の手続き

• 請求先 — privacy@krypton.today。手数料はかかりません。
• 本人確認 — 私たちは名前もメールアドレスも知らないため、そのアカウントの鍵による署名で確認します。端末をなくした場合は、復旧フレーズでアカウントを取り戻してからご請求ください。確認できない場合は、法律が許す範囲で請求に応じられないことがあります。
• 代理人 — 代理人による請求もできます。ご本人の委任と、本人確認のためのそのアカウントの鍵による署名が必要です。
• 開示・写し — 封をした内容は私たちには開けず、サーバーはどの投稿があなたのものかも知らないため、サーバーがあなたのアカウントについて保存している情報（2）をお渡しします。あなたの投稿やそのほかの封をした内容は、アプリで直接ご覧いただけます。

回答の期限

ご請求を受けてから10日以内に回答します。その間に対応が難しい場合は、理由といつまでに対応するかをお知らせします（EU・英国にお住まいの方には、法律が定める1か月以内）。

私たちは、人の関与なしに、メンバーの権利に重大な影響を与える自動化された決定を行いません。

相談できる窓口

回答がない、または処理が不当だと感じた場合は、次の機関に相談できます。

• 日本にお住まいの方 — 個人情報保護委員会
• 韓国：個人情報紛争調整委員会 1833-6972（kopico.go.kr）
• 韓国：個人情報侵害申告センター 118（privacy.kisa.or.kr）
• 韓国：大検察庁 1301（spo.go.kr）
• 韓国：警察庁 182（ecrm.police.go.kr）
• EU・英国にお住まいの方 — お住まいの国の監督機関

14子ども

Krypton は18歳以上の方のためのサービスです。14歳未満の子どもを含め、18歳未満の方の個人情報を知りながら受け取ることはしません。招待するメンバーも、18歳未満の方を招き入れてはいけません。18歳未満の方の登録が分かった場合は、アカウントを閉じてその情報を削除します。そのような場合に気づいたら、privacy@krypton.today にお知らせください。

15安全管理措置とその限界

組織的・人的安全管理措置

• 個人情報を扱う人を最小限の運営者に限ります。運営者の権限は、アプリのアカウントとは別の運営者ページのアカウントで与えます。例外はふたつです — Kryptonチームへのリクエストはチームのアカウントの鍵で開きます（チームの端末、または運営者ページ — 運営者ページは運営者が決めたパスフレーズで鍵をかけたチームの鍵をその画面の中だけで開き、サーバーには鍵のかかった鍵しかなく、サーバーはパスフレーズも開いた鍵も知りません）。Krypton+ の付与・取り消しは創設者のアプリで行います。
• 運営者が変更したこと（投稿の非表示・削除、停止・解除・通報の処理、Krypton+ の付与・取り消し）は、3年間、変更も削除もできない記録に残します（7）。

技術的安全管理措置

• 投稿・プロフィール・会話・ファイルは端末で封をします（エンドツーエンド）。アカウントの秘密鍵は端末の安全な保存領域にだけあります。
• 関係をサーバーに保存しません（2）。配送は秘密を共有する人だけが入れられる郵便受けを通り、取り出すときはログインしません。保存する日時は時・週の単位に丸め、メモは数秒から数分かけて小さなまとまりに分けて送るため、保存された記録を日時で照らし合わせにくくしています。
• 将来の量子コンピューターへの備え。 受け取る人に鍵を渡す外側の層 — Famの申し込みとペアごとの秘密を共有するメモ、封をしたバックアップ、取り戻す方法、招待のパッケージ、会員の鍵、通報 — は、すべて X25519 と ML-KEM-768（FIPS 203）を併用して封をします。今日集められたデータを開くには、その両方を破る必要があります。ペアの郵便受けの中の投稿と会話は、この方法で共有したペアの256ビットの秘密で包みます。限界は下に記載しています。
• データベースはサーバー関数だけが使えるようにしています（行単位のアクセス制御）。ファイルの名前はランダムで、ファイルの受け取り・保持・削除にはそれぞれの秘密が必要です。
• 通信はすべて暗号化された接続（HTTPS）で行います。
• 通報を開く運営者の鍵は運営者の端末にだけ置き、サーバーには送りません。
• 取り戻すには復旧フレーズ（18個の単語、192ビット）と PIN の両方が必要です。PIN を5回間違えると24時間ロックされます。取り戻しは48時間が過ぎてから有効になり、その間あなたのすべての端末に通知が届き、以前の端末から取り消せます。
• 通知には名前も内容も載せません。
• アプリの画面は標準でキャプチャ・録画できません。復旧フレーズを表示する画面も同じです。
• 本番データベースは毎日バックアップします（7日間保存）。
• 必要なくなった記録は期間が過ぎたら削除します（7）。

物理的安全管理措置

サーバーは Supabase（AWS）と Cloudflare のデータセンターにあり、これらの会社の物理的なセキュリティ管理を受けています。

外的環境の把握

私たちは、米国・大韓民国（運営者、データベース）、サーバー関数が実行されることのある日本・シンガポール・インド・オーストラリア・カナダ・ブラジル・アイルランド・英国・フランス・ドイツ・スイス、そして Cloudflare がアジア太平洋地域に置くデータセンター（国は Cloudflare が公表していません）で個人情報を取り扱い、各国の個人情報保護の制度を把握したうえで安全管理措置を講じています（11）。

防げないこと

• 別の端末のカメラで画面を撮ること
• 受け取った人が写真・動画を自分の写真アプリに保存すること（フィード投稿なら投稿者に知らせ、会話の写真は知らせません）
• 投稿を受け取った人が内容をほかの場所に写すこと
• ネットワークと日時による結びつけ — リクエストをその瞬間に見ている人やプラットフォームの記録を持つ人は、IP アドレスと日時から郵便受け・アップロード・通話・登録をアカウントに結びつけられます（2）。私たちはリクエストを IP アドレスを隠す中継に通していません。
• 端末で守るもの — ブロック、投稿を手渡せる回数の上限、ひとつのページにひとりひとつのひとことは、受け取るメンバーのアプリが守り、サーバーは止めません。改変したアプリは自分の側でこれを無視できます。ブロックした人も郵便受けにメモを入れることはでき、あなたのアプリが捨てます。
• メンバーが見られる名刺を誰かが集めること — 遅らせることはできても、完全には防げません
• 全メンバーが開ける鍵（会員の鍵）はメンバー全員が持っているため、メンバーひとりの端末とサーバーのデータの写しを両方手に入れた人は、全体に公開した名刺をすべて読めます
• 名刺の公開範囲を変えたりFamを解除したりしても、その人がすでに見たものは元に戻せません。解除された人は、前の版の名刺が削除されるまで（14日以内）それを受け取ることができ、すでに受け取った投稿の写真も同じです
• 復旧フレーズ — あなたのフレーズと PIN を持つ人は、あなたがまだ持っている端末から取り消さなければ、48時間後にアカウントを引き継げます。フレーズを撮った写真をクラウドに置くと、その写真とサーバーのデータの写しであなたの鍵が開きます。フレーズとすべての端末を両方失うと、あなたにも私たちにもアカウントを取り戻せません
• ペアの秘密は時間がたっても変わりません — あなたとFamひとりの間の秘密が漏れると、サーバーにまだ残っているそのペアの封をしたメモ（最大90日）が開かれるおそれがあります
• 量子への備えの限界 — 署名はまだ Ed25519 で、将来の量子コンピューターはこれを偽造できます（過去の封を開けるわけではありません）。アカウントごとに ML-DSA-65 の署名用の鍵をすでに作っており、実用的な量子コンピューターが現れると見込まれる前に、ふたつの署名を併用するよう切り替える予定です。私たちが使う ML-KEM・ML-DSA のソフトウェアは、まだ独立した監査を受けていません。登録に使う匿名のチケットは量子コンピューターで偽造されうるものの、誰が受け取ったチケットかを結びつけることはできません。ペアの郵便受けの中の鍵の封筒は、256ビットのペアの秘密の内側で X25519 を使います。通信経路の暗号化（TLS）はプラットフォームに依存します。これらはいずれも 2 の外側の情報を変えるものではありません

16トラッキング・広告・クッキー

アプリには分析・広告・クラッシュ収集のツールがありません。広告識別子を読まず、ほかの会社のデータと結びつけず、広告も表示しません。ほかの会社がアプリやウェブサイトを通じてメンバーの行動を集めることを許していません。私たちはトラッキングをしないため、ブラウザの「トラッキング拒否（Do Not Track）」の信号によって動作を変えることはありません。

krypton.today はクッキーを使いません。選んだ言語だけがブラウザの保存領域（localStorage）に残り、これは個人情報ではありません。ブラウザの設定でサイトのデータを消すとなくなります。フォントを Google Fonts から読み込むため、ページを開くとブラウザが IP アドレス・ブラウザの情報・リクエストしたアドレスを Google LLC（米国）に送ります（目的：フォントの読み込み。Google のプライバシーポリシーに従います）。

招待リンク・QR・Famのリンクのページは、リンクの # の後ろにある秘密をサーバーに送らず、ページの中だけで読み取ってアプリに渡します。招待リンクのページで「アプリを入手」「アプリで開く」を押すと、アプリを入れたあと続けられるよう、ページがその招待リンクをクリップボードに置きます。アプリは押したときだけ読みます（1）。ウェブサイトは Cloudflare が提供しており、Cloudflare がアクセス記録を見ます（4）。投稿の中の YouTube の動画は、▶ を押したときだけ youtube-nocookie.com から再生します（3）。

17個人情報の責任者・お問い合わせ・苦情の申出先

運営者

Fantagram, Inc. · 131 Continental Dr., Suite 305, Newark, DE 19713, U.S.A.

代表者

Kim Han Seok（CEO）

電話

+1 (909) 529-1617

個人情報の責任者

William Yang（COO）

個人情報のお問い合わせ・苦情の申出先

privacy@krypton.today（個人情報に関するお問い合わせ・権利の行使・苦情）

サービスのお問い合わせ

support@krypton.today

18このポリシーの変更

このポリシーを変更するときは、変更内容と施行日を、施行の7日前に、利用者に不利な変更は30日前に、アプリとこのページでお知らせします。以前の版はこのページで見られるようにしておきます。

正式リリース（App Store での公開）前の試験期間は、版を変えるとすぐに適用します。7日前・30日前のお知らせは、正式リリースのときに確定する版から守ります。

この版：v2.0 · 2026-10-19 公表 · 施行 2026-10-20（初版の公表 2026-10-03）。2026-10-19まではv1.3（施行 2026-10-12）に、その前はv1.2（施行 2026-10-10）とv1.0（施行 2026-10-08）に従っていました。以前の版にはそれぞれ、その版で変わったことを記載しています。2026-10-09 にお知らせした v1.1 は施行されませんでした。

2026-10-20 訂正：登録がまだ終わっていないアカウントや利用停止中のアカウントも、アプリからご自身で削除できます（12）。

v1.3 から変わること：

• サーバーは関係をもう保存しません — 誰と誰がFamか、Famの申し込み・紹介、誰が誰を招待してBackerになったか、誰が誰に何を送ったか、会話に誰がいるか、ひとことがどのページに書かれたか、ブロック。サーバーがまだ保存しているもの、その瞬間にだけ見るもの、Kryptonチームが受け入れた人という例外を記載しました（1・2・5・9）。
• 関係と結びつかない新しい記録：郵便受けとその1日の数、郵便受けの呼び起こし、チケット、Famの名簿と受け取った投稿の封をしたバックアップ、書いた人のいない投稿・会話・ファイルの記録（2・3・7）。
• 登録はメンバーの招待リンク、またはメンバーに送るリクエストリンクと、匿名のチケットで行います。新しいご近所さん、名刺のBackerを端末どうしでやりとりした署名で証明すること（2・3・6）。名刺の公開範囲は「Famのみ」「全体に公開」のふたつになりました（「FamのFamまで」はなくなりました）。名刺の Krypton+ の印、Famの申し込み・リンクの小さな写真、Famのリンクは最初に開いたメンバーがFamになること、申し込みを取り次いだFamは誰が誰に申し込んだかを知ること（3・6）。
• 取り戻す方法は、紙に書き留める復旧フレーズと PIN、48時間の待ち時間で行います。鍵のかけらを預かるFamはなくなりました（1・2・15）。
• アカウントの削除：アカウントを削除する前に、端末があなたが書いたものをサーバーと受け取った人のアプリからすべて削除し、アカウントの記録そのものも削除します。あなたのどの端末も180日間延長しなかった投稿は自動で削除します（7・12）。
• 通報：通報する端末が書いた人の署名したそのままを送り、署名で書いた人を確かめます。通報が結びつけるもの、受け取った人が非表示の投稿を見分けられること（8）。
• 新しい記録の保存期間、措置・お知らせ（3年）と通報（180日）の期間、呼び起こしの記録は2日（7）。
• クリップボード：招待リンクのページは「アプリを入手」「アプリで開く」を押したときに招待リンクをクリップボードに置き、アプリは押したときだけ読むこと（1・16）。
• 通話とマイクの許可、Cloudflare による通話の中継、iPhone の郵便受けの呼び起こしも Google が届けること（1・4・10・11）。YouTube の再生（3・16）。
• 将来の量子コンピューターへの備えとその限界（15）。
• 「推薦人」を「Backer」と呼びます（韓国語版も Backer、英語版は backer に代えて Backer）。意味は変わりません。

このポリシーは韓国語・英語・日本語で提供しています。内容が異なる場合は英語版に従います。