shkSecurity Harness Kit

プライバシーポリシー

本プライバシーポリシー（以下「本ポリシー」）は、shk（Security Harness Kit）の開発・運営者（GitHub アカウント Kazuki-tam。以下「運営者」）が、shk CLI および shk Desktop（以下総称して「本ソフトウェア」）と、そのドキュメントサイト（以下「本サイト」）に関して、どのような情報をどのように扱うかを説明するものです。

要点は次のとおりです。

  • 本ソフトウェアのスキャン、マスク、フックによるチェックは、すべてユーザーのマシン上で完結します。これらの処理でネットワーク通信は行いません。
  • 運営者は、本ソフトウェアの利用状況に関するテレメトリ（利用統計、クラッシュレポート、識別子など）を収集しません。運営者は本ソフトウェアのためのサーバーを運用していません。
  • 本サイトはアカウント登録、入力フォーム、Cookie、アクセス解析ツールを使用していません。ホスティングとフォント配信のために利用している外部事業者が、技術的なアクセス情報を処理することがあります。

第1条（適用範囲）

本ポリシーは、本ソフトウェアおよび本サイトに適用されます。本ソフトウェアから連携する外部サービス（GitHub、npm、1Password、AWS、Google Cloud、各 AI コーディングツールなど）における情報の取り扱いは、各サービス提供者のプライバシーポリシーに従います。

第2条（本ソフトウェアが扱う情報）

ローカルで処理される情報

本ソフトウェアは、ユーザーの指示に基づいて、ユーザーのマシン上で次の情報を処理します。これらの情報が運営者に送信されることはありません。

  • スキャン対象のファイル、Git の履歴、標準入力から渡されたテキスト
  • マスク対象のプロンプトやドキュメント
  • AI コーディングツールのフックを通じて渡されるファイルパス、プロンプト、コマンドなどの情報
  • MCP サーバー設定ファイルの内容

ローカルに保存される情報

本ソフトウェアは、ユーザーの操作に応じて、次の情報をユーザーのマシン上に保存します。

  • プロジェクト設定 shk.toml、およびユーザーレベルの設定ファイル
  • フックの監査ログ .shk/audit.log。監査ログにはメタデータ（件数、ツール名、フックの段階、ルール ID、操作カテゴリ、表示用パス）のみが記録され、検出された値そのもの、プロンプト本文、コマンド文字列は記録されません。
  • ユーザーが出力を指定したレポートやマスク済みファイル。--with-value-hash を指定した場合のレポートには検出値の決定的なハッシュが含まれるため、機密性の高い成果物として取り扱ってください。
  • shk env で管理する dotenv の秘密鍵。既定では OS のキーリング（macOS のキーチェーン、Windows の資格情報マネージャー、Linux の Secret Service など）に保存され、設定により 1Password に保存できます。

これらの情報の保管、共有、削除はユーザーの管理下にあります。削除方法はドキュメントのアンインストールを参照してください。

ネットワーク通信が発生する場面

本ソフトウェアは、次の場合に限り、ユーザーの操作または設定に基づいて外部と通信します。通信先の事業者は、その通信に関する技術情報（IP アドレス、リクエスト日時など）を各社のポリシーに従って処理することがあります。運営者はこれらの通信内容を受け取りません。

  • インストール・更新: npm または bun でのインストール時、およびインストーラースクリプトの実行時に、GitHub Releases または npm レジストリからリリースアーカイブを取得します。
  • 更新確認: shk status と shk doctor version は、新しいリリースの有無を確認するために GitHub に問い合わせます。スキャンおよびフック関連のコマンドは、更新確認を行いません。
  • デスクトップアプリ: shk Desktop は、アップデートの有無を確認するために GitHub 上のアップデート情報（latest.json）を取得します。
  • シークレットストア連携: shk env で 1Password、AWS Secrets Manager、または Google Cloud Secret Manager を設定した場合、それらのサービスと通信します。
  • CI: shk ci init が生成した GitHub Actions ワークフローは、GitHub 上で実行されます。

第3条（本サイトで処理される情報）

運営者が収集する情報

本サイトは静的なドキュメントサイトです。アカウント登録、お問い合わせフォーム、コメント機能はなく、運営者がユーザーの氏名、メールアドレスなどの個人情報を本サイトを通じて収集することはありません。本サイトは Cookie を発行せず、Google Analytics などのアクセス解析ツールも使用していません。サイト内検索は、ブラウザ内でインデックスを照合するもので、検索語が外部に送信されることはありません。

ホスティング事業者による処理

本サイトは Cloudflare, Inc. の Cloudflare Workers 上で配信されています。Cloudflare は、配信、セキュリティ（DDoS 対策など）、および運用診断のために、IP アドレス、User-Agent、リクエスト日時、リクエスト URL、レスポンスコードなどのアクセスログを処理することがあります。運営者は、障害対応と不正アクセスの確認のために、Cloudflare のダッシュボードで集計情報や短期間保持されるログを閲覧することがあります。詳細は Cloudflare のプライバシーポリシーを参照してください。

Web フォント

本サイトは Google LLC が提供する Google Fonts からフォントを読み込みます。そのため、ページ表示時にユーザーのブラウザが Google のサーバーに IP アドレスなどの接続情報を送信します。詳細は Google のプライバシーポリシーを参照してください。

本サイトには GitHub、npm、1Password などの外部サイトへのリンクが含まれます。リンク先での情報の取り扱いは、各サイトのポリシーに従います。

第4条（利用目的）

運営者が本サイトの運用を通じて閲覧し得る技術情報は、次の目的にのみ使用します。

  • 本サイトの提供、維持、および障害対応
  • 不正アクセス、過度な負荷、その他のセキュリティ上の問題の検出と対応

運営者は、これらの情報を販売、貸与、または広告目的で利用することはありません。

第5条（第三者への提供）

運営者は、次の場合を除き、ユーザーに関する情報を第三者に提供しません。

  • 第3条に記載したホスティング事業者およびフォント配信事業者による、各社のポリシーに基づく処理
  • 法令に基づく開示要請があった場合
  • 運営者、ユーザー、または第三者の権利、財産、安全を保護するために必要な場合

第6条（国外での処理）

Cloudflare および Google は世界各地でサービスを運用しているため、第3条に記載した技術情報は日本国外で処理されることがあります。

第7条（子どもの情報）

本サービスは、特に子どもを対象としたものではなく、運営者が年齢を含む個人情報を収集することはありません。

第8条（ユーザーの権利）

運営者は、ユーザーを個人として識別できる情報を保持していないため、特定のユーザーに関する情報の開示、訂正、削除の請求に対応できない場合があります。本ソフトウェアがユーザーのマシン上に保存する情報は、ユーザー自身がいつでも削除できます。ご不明な点は第11条の窓口にお問い合わせください。

第9条（安全管理）

運営者は、本ソフトウェアがユーザーのマシン外に情報を送信しない設計を維持することで、ユーザーの情報を保護しています。本ソフトウェアの脆弱性を発見した場合は、SECURITY.md に記載の手順で非公開に報告してください。

第10条（本ポリシーの変更）

運営者は、本ソフトウェアの仕様や本サイトの構成の変更に応じて本ポリシーを改定することがあります。改定後の本ポリシーは、本サイトに掲載した時点から効力を生じ、ページ上部の最終更新日を更新します。テレメトリの導入など、情報の取り扱いに関する重要な変更を行う場合は、本サイトまたはリポジトリのリリースノートで周知するよう努めます。

第11条（お問い合わせ）

本ポリシーに関するお問い合わせは、リポジトリの GitHub Issues からお願いします。Issues は公開されるため、シークレット、認証情報、個人情報を記載しないでください。