1. Scope and Controller

This Privacy Policy explains how LiberaNt LLC ("LiberaNt," "we," "us") handles information in the NTsocial mobile application, related companion features, Internet services, and the official websites at ntsocial.app and www.liber-ant.com (collectively, the "Services"). LiberaNt LLC is the controller of information it processes through its Internet services, support, safety reports, and websites. Nearby users independently receive content that you choose to transmit to them.

2. Summary

• Internet and nearby communication: NTsocial uses a locally generated identity. Internet is on by default and uses Cloudflare; nearby BLE communication can work without internet.
• Your data has distinct destinations: your device keeps identity, settings, and history; online features also process data through Cloudflare, while participating peers receive and may relay eligible content.
• No advertising or cross-app tracking: the App does not add advertising or behavioral-tracking SDKs, and we do not sell personal information.
• Your choices: manage Internet in Profile, publish only intended public fields, and control optional integrations, support reports, and feedback separately. See sections 16 and 17 for Cloud and People details.

3. Information the App Handles

Depending on the platform, version, permissions, and features you use, the App may create or store the following on your device:

• a locally generated peer identity, fingerprint, cryptographic material, nickname, avatar, profile text, and optional profile location text or website;
• joined channels, channel keys, trusted or blocked peers, gateway and radio bindings, preferences, and permission state;
• public, channel, and private messages; replies; delivery receipts; images; recorded voice; files; map objects; and user-created GPX or offline-map data;
• ATaK locations and map state when you use those features;
• routing queues, fragments, retry state, attachment-transfer state, and other temporary operational records needed for mesh delivery; and
• local diagnostic and crash logs. Diagnostic bundles leave the device only when you deliberately export or share them.

Closing the App does not necessarily delete message history, attachments, keys, settings, location history, or diagnostics.

4. Peer-to-Peer Sharing

When you publish a profile, send content, join a channel, share a location, or enable a gateway, the relevant information is transmitted to nearby devices, intended recipients, channel members, or connected companion/radio systems. Other participating devices may temporarily relay packets even when their users are not the final recipients.

• Public content is public. Channel content is shared with eligible participants and should be handled according to the channel’s protection and membership settings.
• Peer identifiers, fingerprints, nicknames, profile fields, presence, and approximate radio signal information can be visible to nearby peers.
• Recipients can save, copy, screenshot, export, or forward what they receive. LiberaNt cannot remotely erase copies on other devices.

Public posts and published profile fields can be seen by Internet users beyond nearby peers. Encrypted channel content is readable by eligible members who hold the required key. Turning off Internet on one device does not recall copies held by others.

5. Private-Message Protection

• Automatic DM2: private text and images can use end-to-end protection with per-message AES-GCM keys, RSA-OAEP key wrapping, and P-256 signatures. Public identity keys are obtained through verified nearby exchanges or an authenticated Cloud directory, with first-key-wins trust. First contact does not verify someone’s real-world identity.
• Manual shared-secret E2EE: both participants may configure the same secret, using PBKDF2-HMAC-SHA256 and AES-GCM. Exchange and verify the secret through a trusted channel.
• Changed identity: a change to a pinned automatic identity blocks sending and Basic1 downgrade.
• Legacy Basic1: this nearby compatibility mode uses an app-embedded key and is not end-to-end encryption, sender authentication, or forward secrecy. Cloud private-message admission accepts automatic DM2 or manual E2EE, not Basic1.

Password-protected channels use their channel encryption. Public content remains public regardless of transport encryption. Higher-quality images use separately encrypted objects and existing message descriptors. Encryption does not prevent recipients from saving or redisclosing content.

6. Location, Bluetooth, Camera, Microphone, and Network Permissions

The App requests system permissions only for features that need them. Availability and wording vary by platform.

• Bluetooth / nearby devices: discovers peers, advertises the local mesh service, exchanges messages, and connects to supported radios or gateways.
• Local network / Wi-Fi: supports authenticated nearby high-speed history or file transfer when the feature, hardware, OS, and entitlement are available.
• Location: iOS accesses current location when you choose to update a local ATaK point. Android can periodically share location to selected ATaK channels when you enable reporting, and can use location for the optional UTFind feature described below. Location shared to a channel may be retained by its members.
• Microphone: records voice messages and push-to-talk audio when you activate those controls.
• Camera and user-selected files: scans channel QR codes and imports the images, recordings, map files, or attachments you choose.

You can deny or revoke permissions in system settings, but the related feature may stop working.

7. Safety Reports and Support

Where available, the App can prepare a safety report containing the selected reason, message ID, sender nickname and fingerprint, conversation scope, timestamp, a limited excerpt of reported content, and context you add. The report remains on the device until you review it and send it through your mail or sharing app. Sending it discloses the report and your email account information to LiberaNt and the email providers involved.

We use reports and support communications to respond to you, investigate abuse or defects, improve safety, enforce our Community Standards, protect users and the Services, and meet legal obligations.

8. Optional Integrations and Third Parties

• UTFind (Android, opt-in): In builds that include this feature, it is off by default and requires separate consent and a service key. While NTsocial is on duty, it can scan nearby FT/UT Bluetooth tags and send the tag identifier (Bluetooth MAC address), the phone's latitude and longitude, timestamp, and service credential over HTTPS to UTFind/UTTEC. Failed records are encrypted locally, limited to 5,000 records, and retried later. Turning the feature off stops new scans and deletes pending, not-yet-uploaded UTFind records. UTTEC independently controls information it receives.
• MeshLink, Meshtastic, LoRa, Wi-Fi, and LAN: If you connect a companion app, radio, hotspot, or LAN peer, content and technical routing data are provided to those selected systems and nearby participants as needed to perform the command.
• Apple and Google: App stores and operating-system services may process download, purchase, device, diagnostic, or crash information under their own terms and your platform settings. The current App does not add its own advertising or behavioral analytics SDK.

Cloudflare: provides Internet messaging, encrypted message and image storage, and Global People processing as described in sections 16 and 17.

9. Website Information

The official website stores your selected language in browser localStorage. It does not currently use advertising pixels or behavioral analytics. The website and its hosting provider necessarily receive ordinary connection information such as IP address, browser/user-agent, requested URL, time, and security logs.

If you submit the optional feedback form, we receive the fields you choose to provide, which may include product, name or nickname, email, device and OS version, App version, network state, test scenario, reproduction steps, issue description, severity, test group, contact preference, submission timestamp, and one JPG/PNG screenshot. The form sends these items through Google Apps Script to an internal Google Sheet; an attached image may be stored in Google Drive. Do not include secrets or information about another person unless authorized.

The website loads Google Fonts and links to external services such as Google Play. Those providers receive network information when their resources or pages are requested and process it under their own privacy policies.

10. Purposes and Legal Bases

Where applicable law requires a legal basis, we process information: to provide features or respond to a request; with consent for optional location, UTFind, reporting, or feedback features; for legitimate interests in security, abuse prevention, support, and product reliability; and to comply with law or protect vital rights. You may withdraw consent by disabling the feature, revoking permission, or contacting us, without affecting prior lawful processing.

11. Retention and Deletion

• On-device App data: remains until you delete individual content, use available in-App reset or panic-wipe controls, clear App storage, or uninstall. Some operating-system backups and copies held by peers may remain outside LiberaNt's control.
• Temporary mesh state: is bounded and removed as sessions end, entries expire, transfers finish, or capacity limits are reached; exact timing depends on the data type and platform.
• Pending UTFind data: follows the limits described above and is deleted from the App after confirmed upload or when you disable and purge the feature. Server-side retention is determined by UTTEC.
• Feedback, reports, and support records: are kept only while reasonably needed to resolve the request, investigate safety or security issues, prevent repeated abuse, maintain necessary business records, or satisfy legal obligations. We periodically review them and delete or de-identify them when those purposes no longer require identifiable data. A legal hold or dispute may require longer retention.
• Website language choice: remains in your browser until you clear site data.

Cloud and People: message payloads, image ciphertext, and the media index use a 30-day lifetime. People registrations are temporary memory-only records. Public identity keys and trust records are separate; see sections 16 and 17.

12. Your Choices and Privacy Rights

You may control App permissions, disable optional features, delete locally stored data using available App or operating-system controls, avoid submitting optional website fields, and ask us to access, correct, delete, restrict, or provide a copy of personal information that LiberaNt actually holds. Depending on your location, you may also have rights to object, withdraw consent, appeal a decision, or complain to a supervisory authority.

We do not sell personal information or share it for cross-context behavioral advertising. Cloud records and copies on devices have separate retention and deletion rules. We generally cannot retrieve or delete content stored only on your device or another participant’s device. Send requests to contact@liber-ant.com; we may need proportionate information to verify the request.

13. International Processing and Security

LiberaNt is based in the United States. Cloudflare, Google, email providers, UTTEC, platform providers, and people participating in a mesh may process information in other countries. Their laws may differ from yours. We use reasonable technical and organizational safeguards for information under our control, but peer-to-peer radio, the internet, third-party systems, and recipient devices cannot be guaranteed secure.

14. Children

The Services are not directed to children under 13, and we do not knowingly solicit personal information from them. If you believe a child has submitted personal information to LiberaNt, contact us so we can review and delete it as required. Users who have not reached the age required to consent in their country should use the Services only with authorization from a parent or guardian.

15. Changes and Contact

We may update this Policy as the Services or law change. We will change the date above and provide additional notice when required. Questions, safety concerns, and privacy requests may be sent to contact@liber-ant.com.

16. Internet Communication and Cloudflare

Internet is enabled by default. In Profile, you can turn it off independently of nearby Wi-Fi sync; the choice survives restart. It connects Public, eligible joined channels, private messages, and images to the Cloudflare service. Switching it off stops this device’s Cloud requests, online registration, and Internet file links, while preserving local history and existing pending Cloud jobs. Those jobs can resume when you turn it on again. Posts created while the setting is off are not automatically bulk-uploaded afterward. Other participants may retain or relay content they already received.

Cloudflare processes authenticated sessions, routing identifiers, subscriptions, receipts, synchronization cursors, and encrypted message envelopes. Message payloads, image ciphertext, and the related media index have a configured 30-day lifetime. Public identity bundles and key-pinning records are separate from temporary online presence; going offline does not delete them or reset trust.

Internet file transfers, where available and enabled, use consented WebRTC streams, optionally through TURN, instead of uploading file bodies to R2 storage. Signaling, connection metadata, and temporary relay credentials are needed. Network providers process connection information; a direct connection can expose a participant’s network address to the other participant.

Local history and downloaded files may remain after Cloud expiry. Hiding or deleting a message on your device does not delete every service record or other recipients’ copies. Infrastructure request and diagnostic logs are separate from the message and People retention described here.

17. Global People and Public Profiles

With Internet enabled, an authenticated connection registers your peer ID and public profile in Global People. Published fields can include nickname, tagline, bio, website, email, GitHub, Twitter, Instagram, text location, and avatar identifiers. Only publish information you want online users to see. Text location is entered by you, not automatic GPS reporting; avatar identifiers are not public image URLs.

The service keeps current online registrations and public profile projections in memory. It does not write People records or online history to SQL, KV, R2, or WebSocket attachments. A heartbeat is sent approximately every 60 seconds while the App can run; registration expires by 120 seconds after the last valid heartbeat or earlier when its session expires. A closed connection is removed when the service observes it. Suspended or disconnected apps may therefore remain listed briefly. Background execution is not guaranteed.

Clients keep Internet People snapshots in memory, remove expired Internet labels, and do not save these snapshots to disk. Opening a conversation or explicitly saving a contact uses separate local contact and history controls. Nearby BLE and Internet labels remain distinct. Online presence is not real-world identity verification or file-transfer consent.

People does not automatically upload GPS coordinates, scan results, Bluetooth MAC addresses, private notes, messages, private keys, or credentials. Individual People heartbeats and profile bodies are not logged by this feature; infrastructure logs and other service records are separate. Expiry is logical removal, not a guarantee of physical memory erasure at an exact instant.

一、適用範圍與資料控制者

本隱私權政策說明 LiberaNt LLC（下稱「LiberaNt」或「我們」）如何處理 NTsocial 行動應用程式、相關 companion 功能、Internet 服務及官方網站 ntsocial.app 與 www.liber-ant.com（合稱「本服務」）中的資訊。LiberaNt LLC 是其透過 Internet 服務、客服、安全檢舉及網站所處理之資訊的資料控制者；您選擇傳送內容時，附近使用者則會各自收到該內容。

二、重點摘要

• 網路與附近通訊：NTsocial 使用本機產生的身分。Internet 預設開啟並使用 Cloudflare；附近 BLE 通訊可在沒有網際網路時運作。
• 資料依用途分別處理：本機保存身分、設定與歷史；線上功能也透過 Cloudflare 處理資料，參與裝置則接收並可能中繼符合條件的內容。
• 沒有廣告或跨 App 追蹤：App 不加入廣告或行為追蹤 SDK，我們不出售個人資訊。
• 由你選擇：在個人檔案管理 Internet、選擇要公開的欄位，並分別控制選用整合、客服檢舉與回饋。雲端及 People 詳情見第十六、十七節。

三、App 處理的資訊

視平台、版本、權限及您使用的功能而定，App 可能在裝置上建立或保存：

• 本機產生的 peer 身分、fingerprint、密碼材料、暱稱、頭像、個人檔案文字，以及選填的地點文字或網站；
• 已加入頻道、頻道金鑰、信任或封鎖的 peer、gateway／radio 綁定、偏好設定及權限狀態；
• 公開、頻道及私人訊息、回覆、送達回條、圖片、錄音、檔案、地圖物件、GPX 與離線地圖資料；
• 使用 ATaK 功能時的定位及地圖狀態；
• mesh 傳遞所需的路由佇列、fragment、重試狀態、附件傳輸狀態及其他暫時性營運紀錄；以及
• 本機診斷與 crash 紀錄。只有在您主動匯出或分享時，診斷包才會離開裝置。

關閉 App 不代表訊息紀錄、附件、金鑰、設定、定位紀錄或診斷資料會自動刪除。

四、點對點分享

當您發布個人檔案、傳送內容、加入頻道、分享位置或啟用 gateway 時，相關資訊會依功能傳送給附近裝置、預定收件人、頻道成員或連接的 companion／radio 系統。其他參與裝置可能暫時中繼封包，即使其使用者不是最終收件人。

• Public 是公開資訊。頻道內容提供給符合資格的參與者，應依該頻道的保護與成員設定分享。
• peer 識別資訊、fingerprint、暱稱、個人檔案欄位、上線狀態及大致無線電訊號資訊可能會讓附近 peer 看見。
• 收件人可以保存、複製、截圖、匯出或轉傳收到的內容；LiberaNt 無法遠端刪除其他裝置上的副本。

附近裝置之外的 Internet 使用者也可能看到公開貼文與已發布名片欄位。加密頻道由持有必要金鑰的符合資格成員閱讀。在一台裝置關閉 Internet，不會收回別人持有的副本。

五、私人訊息保護

• 自動 DM2：私訊文字與圖片可使用端到端保護，採每則訊息的 AES-GCM 金鑰、RSA-OAEP 金鑰封裝及 P-256 簽章。公開身分金鑰透過已驗證的附近交換或需驗證的雲端目錄取得，採首次金鑰信任。第一次接觸不等於真實身分核驗。
• 手動共享密語 E2EE：雙方可設定相同密語，採 PBKDF2-HMAC-SHA256 及 AES-GCM。請透過可信任管道交換並核對密語。
• 身分變更：已信任的自動身分金鑰變更時，會阻擋傳送及降級至 Basic1。
• 舊版 Basic1：這個附近相容模式使用 App 內建金鑰，不是端到端加密、發送者驗證或前向保密。雲端私訊接受自動 DM2 或手動 E2EE，不接受 Basic1。

密碼保護頻道使用其頻道加密。公開內容不會因傳輸加密而變成私密內容。較高畫質圖片透過分別加密的物件及既有訊息描述傳遞。加密無法阻止接收者保存或再次揭露內容。

六、定位、藍牙、相機、麥克風及網路權限

App 僅針對需要的功能請求系統權限；實際項目與文字依平台而異。

• 藍牙／附近裝置：探索 peer、廣播本機 mesh service、交換訊息及連接支援的 radio 或 gateway。
• 區域網路／Wi-Fi：在功能、硬體、OS 與 entitlement 允許時，提供經驗證的附近高速 history 或檔案傳輸。
• 定位：iOS 只在您選擇更新本機 ATaK point 時取得目前位置；Android 可在您啟用回報後定期將位置分享至選定 ATaK 頻道，亦可用於下述選用 UTFind。分享至頻道的位置可能由頻道成員保存。
• 麥克風：在您操作時錄製語音訊息及 push-to-talk 音訊。
• 相機與您選取的檔案：掃描頻道 QR code，並匯入您選擇的圖片、錄音、地圖檔或附件。

您可在系統設定拒絕或撤銷權限，但相關功能可能無法使用。

七、安全檢舉與客服

在提供此功能的平台，App 可準備包含檢舉理由、訊息 ID、寄件者暱稱與 fingerprint、對話範圍、時間、有限內容摘錄及您補充說明的安全報告。報告會留在裝置上，直到您檢視後使用郵件或分享 App 送出；送出後，LiberaNt 及參與傳送的電子郵件供應商會收到報告與您的郵件帳號資訊。

我們使用檢舉及客服通信來回覆、調查濫用或缺陷、改善安全、執行社群規範、保護使用者與本服務，以及履行法律義務。

八、選用整合與第三方

• UTFind（Android，選擇加入）：在包含此功能的版本中，功能預設關閉，必須另行同意並設定 service key。NTsocial 執勤時可掃描附近 FT／UT Bluetooth tag，並透過 HTTPS 將 tag identifier（Bluetooth MAC address）、手機經緯度、時間戳及 service credential 傳送至 UTFind／UTTEC。失敗紀錄會加密保存在本機，最多 5,000 筆並稍後重試；關閉功能會停止新掃描並刪除尚未上傳的 UTFind 紀錄。UTTEC 對其收到的資料另行負責。
• MeshLink、Meshtastic、LoRa、Wi-Fi 與 LAN：當您連接 companion App、radio、hotspot 或 LAN peer，完成指令所需的內容與技術路由資料會提供給您選擇的系統及附近參與者。
• Apple 與 Google：App Store、Google Play 及作業系統服務可依其條款與您的平台設定處理下載、購買、裝置、診斷或 crash 資訊。目前 App 不另外加入廣告或行為分析 SDK。

Cloudflare：提供網際網路通訊、加密訊息與圖片儲存，以及全球 People 處理，詳見第十六、十七節。

九、網站資訊

官方網站使用瀏覽器 localStorage 保存您選擇的語言，目前不使用廣告 pixel 或行為分析。網站及其託管服務提供者在連線時必然會收到 IP address、瀏覽器／user-agent、請求 URL、時間與安全紀錄等一般技術資訊。

若您送出選填回饋表單，我們會收到您自行提供的欄位，可能包括產品、姓名或暱稱、email、裝置與 OS 版本、App 版本、網路狀態、測試情境、重現步驟、問題說明、嚴重度、測試群組、偏好聯絡方式、送出時間，以及一張 JPG／PNG 截圖。表單透過 Google Apps Script 將資料送至內部 Google Sheet；附件圖片可能存入 Google Drive。請勿填入秘密資料，亦勿在未經授權時提供他人資訊。

網站會載入 Google Fonts，並連結 Google Play 等外部服務。請求其資源或頁面時，該提供者會收到網路資訊，並依自己的隱私政策處理。

十、處理目的與法律依據

在適用法律要求法律依據時，我們基於下列依據處理資訊：提供功能或回應您的請求；依您的同意提供選用定位、UTFind、檢舉或回饋功能；基於安全、防止濫用、客服與產品可靠性的正當利益；以及遵守法律或保護重大權益。您可透過關閉功能、撤銷權限或聯絡我們撤回同意；撤回不影響先前處理的合法性。

十一、保存與刪除

• 裝置上的 App 資料：會保留到您刪除個別內容、使用 App 提供的 reset／panic wipe、清除 App 儲存空間或解除安裝為止。部分 OS 備份及 peer 持有的副本可能不在 LiberaNt 控制範圍內。
• 暫時 mesh 狀態：會在 session 結束、資料到期、傳輸完成或達容量上限時移除；實際時間依資料類型及平台而異。
• 待傳 UTFind 資料：依上述上限保存，確認上傳後或您關閉並清除功能時會從 App 刪除；server 端保存由 UTTEC 決定。
• 回饋、檢舉及客服紀錄：僅在合理必要期間保存，用於處理請求、調查安全事件、防止重複濫用、維持必要營運紀錄或履行法律義務。我們會定期檢視，並在不再需要可識別資料時刪除或去識別化；法律保全或爭議可能需要延長保存。
• 網站語言選擇：保留在您的瀏覽器，直到您清除網站資料。

雲端與 People：訊息內容、圖片密文與媒體索引設定保存 30 天；People 登記是暫時的記憶體紀錄。公開身分金鑰與信任紀錄分別保存，詳見第十六、十七節。

十二、您的選擇與隱私權利

您可以控制 App 權限、關閉選用功能、使用 App 或 OS 控制項刪除本機資料、不填寫網站選填欄位，並要求我們存取、更正、刪除、限制處理或提供 LiberaNt 實際持有之個人資訊副本。依所在地法律，您也可能有權反對處理、撤回同意、提出申訴或向主管機關申訴。

我們不出售個人資訊，亦不為跨情境行為廣告而分享個人資訊。雲端紀錄與裝置副本的保存、刪除方式不同；我們通常無法取回或刪除只存在您或其他參與者裝置上的內容。請將請求寄至 contact@liber-ant.com；我們可能要求適度資訊以確認請求人身分。

十三、跨境處理與安全

LiberaNt 位於美國。Cloudflare、Google、電子郵件提供者、UTTEC、平台提供者及參與 mesh 的人可能在其他國家處理資訊，當地法律可能與您所在地不同。我們對控制範圍內的資訊採取合理技術及組織措施，但無法保證點對點無線電、網際網路、第三方系統及收件人裝置絕對安全。

十四、兒童

本服務並非以 13 歲以下兒童為對象，我們不會知情招攬其個人資訊。若您認為兒童已向 LiberaNt 提交個人資訊，請聯絡我們，以便依法律要求檢視及刪除。未達所在地同意年齡者，應僅在父母或監護人授權下使用本服務。

十五、政策變更與聯絡

我們可能隨本服務或法律變更更新本政策，屆時會更新上方日期，並在法律要求時另行通知。隱私問題、安全疑慮與權利請求可寄至 contact@liber-ant.com。

十六、Internet 通訊與 Cloudflare

Internet 預設開啟，可在個人檔案中關閉，與附近 Wi-Fi 同步分別設定，重新啟動後仍保留選擇。此功能將 Public、符合條件的已加入頻道、私訊與圖片連接至 Cloudflare 服務。關閉會停止本機雲端請求、在線登記與 Internet 檔案連線，但保留本機歷史與既有雲端待傳工作；重新開啟後可接續處理。關閉期間新發的貼文，不會在之後自動批次上傳。其他參與者仍可能保留或中繼已收到的內容。

Cloudflare 處理需驗證的工作階段、路由識別、訂閱、回執、同步游標與加密訊息封包。訊息內容、圖片密文及其媒體索引設定為保存 30 天。公開身分金鑰與信任綁定紀錄，和暫時在線狀態分別保存；離線不會刪除它們或重設信任。

有提供並啟用的 Internet 檔案傳輸，透過經同意的 WebRTC 串流，必要時使用 TURN，不將檔案本體上傳至 R2 儲存。建立連線需要信令、連線中繼資料及短期中繼憑證。網路服務商會處理連線資訊；直接連線可能向另一位參與者揭露網路位址。

雲端保存到期後，本機歷史與已下載檔案仍可能存在。本機隱藏或刪除訊息，不會刪除所有服務紀錄或其他接收者的副本。基礎設施請求及診斷日誌，和本文的訊息及 People 保存範圍分別處理。

十七、全球 People 與公開名片

開啟 Internet 後，需驗證的連線會將你的 peer ID 與公開名片登記於全球 People。公開欄位可包括暱稱、標語、簡介、網站、電子郵件、GitHub、Twitter、Instagram、文字所在地及頭像識別。請只發布願意讓在線使用者看到的資訊。文字所在地由你填寫，不是自動 GPS 回報；頭像識別不是公開圖片網址。

服務僅在記憶體保存目前在線登記與公開名片投影，不將 People 紀錄或在線歷史寫入 SQL、KV、R2 或 WebSocket 附件。App 能運作時約每 60 秒送出一次心跳；登記最晚於最後有效心跳後 120 秒或工作階段到期時失效，以較早者為準。服務觀察到連線關閉時會移除登記，因此暫停或斷線的 App 可能短暫留在名單。系統背景執行不受保證。

客戶端將 Internet People 快照保存在記憶體、移除過期 Internet 標籤，不把快照存到磁碟。開啟聊天或明確保存聯絡人，則使用另外的本機聯絡人與歷史控制。附近 BLE 與 Internet 標籤分開顯示。在線不是真實身分驗證，也不代表同意收檔。

People 不會自動上傳 GPS 座標、掃描結果、藍牙 MAC 位址、私人筆記、訊息、私鑰或憑證。本功能不記錄個別 People 心跳或名片內容；基礎設施日誌與其他服務紀錄另行處理。到期代表邏輯移除，不保證在精確時刻完成實體記憶體抹除。

1. 適用範囲と管理者

このポリシーは、LiberaNt LLC（以下「当社」）による NTsocial アプリ、関連する連携機能、公式サイト ntsocial.app および www.liber-ant.com（以下「本サービス」）の情報の取扱いを説明します。当社はインターネットサービス、サポート、安全上の報告、ウェブサイトを通じて扱う情報の管理者です。参加者は共有された内容をそれぞれ受信します。

2. 概要

• NTsocial は端末で生成した ID を使います。Internet は初期設定でオンで、Cloudflare を利用します。近距離 BLE 通信はネットなしでも動作します。
• 端末は身元情報、設定、履歴を保持します。オンライン機能では Cloudflare もデータを処理し、参加端末が対象の内容を受信・中継する場合があります。
• 広告や行動追跡 SDK を追加せず、個人情報を販売しません。
• Profile で Internet を管理し、公開したい項目だけを入力してください。任意の連携、報告、フィードバックは別に設定します。クラウドと People の詳細は第16・17節をご覧ください。

3. アプリが扱う情報

プラットフォーム、バージョン、権限、使用機能に応じ、端末で次の情報を作成・保存します。

• 生成した peer ID、フィンガープリント、鍵、ニックネーム、アバター、プロフィール、任意の所在地テキストやサイト。
• 参加チャンネル、鍵、信頼・ブロックした相手、無線機とゲートウェイの割り当て、設定、権限状態。
• 公開・チャンネル・個別メッセージ、返信、配信確認、画像、録音、ファイル、地図オブジェクト、GPX、オフライン地図。
• 利用した ATaK の位置と地図状態。
• 送信待ち、分割データ、再試行、添付転送などの動作記録。
• ローカル診断・クラッシュログ。診断資料は利用者が書き出しや共有を選ぶまで端末に留まります。

アプリを閉じても、履歴、添付、鍵、設定、位置履歴、診断情報は必ずしも削除されません。

4. 参加者との共有

プロフィールの公開、送信、チャンネル参加、位置共有、ゲートウェイ利用に伴い、対象の情報がオンライン利用者、近くの端末、受信者、チャンネル参加者、連携アプリや無線機に渡ります。他の端末が最終受信者でなくてもパケットを中継する場合があります。

• Public は公開情報です。暗号化チャンネルの内容は、その鍵を持つ対象の参加者が読めます。
• ID、名前、公開プロフィール、オンライン状態は他の利用者に見えます。近距離 BLE では電波情報も見える場合があります。
• 受信者は保存、コピー、撮影、書き出し、転送ができます。当社は他端末のコピーを遠隔消去できません。

5. 個別メッセージの保護

• 自動 DM2：個別の文字と画像を、メッセージごとの AES-GCM 鍵、RSA-OAEP 鍵ラップ、P-256 署名で保護できます。検証済みの近距離交換または認証付きクラウドディレクトリから公開鍵を得て、最初の鍵を信頼します。初回接触は実際の本人確認ではありません。
• 手動共有シークレット：両者が同じシークレットを設定し、PBKDF2-HMAC-SHA256 と AES-GCM を使います。信頼できる手段で交換・確認してください。
• 鍵の変更：信頼済みの自動身元鍵が変わると、送信と Basic1 への切り替えを止めます。
• 旧 Basic1：アプリ内の鍵を使う近距離互換モードで、エンドツーエンド暗号化、送信者認証、前方秘匿性ではありません。クラウドの個別メッセージは自動 DM2 または手動 E2EE のみを受け付けます。

パスワード付きチャンネルは専用の暗号化を使います。Public は通信を暗号化しても公開情報です。高画質画像は別々に暗号化されたデータと既存のメッセージ記述を使います。暗号化で受信者の保存や再公開を防ぐことはできません。

6. 位置・Bluetooth・カメラ・マイク・ネットワークの権限

必要な機能のためにシステム権限を求めます。表示や利用可否はプラットフォームにより異なります。

• Bluetooth／近くの端末：検出、広告、メッセージ交換、対応する無線機やゲートウェイへの接続。
• ローカルネットワーク／Wi-Fi：端末、OS、権限が対応する高速履歴同期や近距離ファイル転送。
• 位置：iOS ではローカル ATaK 地点の更新時、Android では有効にした ATaK の定期位置報告や任意の UTFind で利用します。参加者が共有位置を保存する場合があります。
• マイク：操作した音声メッセージや PTT の録音。
• カメラ・選択ファイル：チャンネル QR の読み取り、選んだ画像、録音、地図、添付の取り込み。

システム設定で拒否・取り消しできますが、対応する機能が停止する場合があります。

7. 安全上の報告とサポート

対応する画面では、理由、メッセージ ID、送信者の名前とフィンガープリント、会話の種類、日時、限定的な抜粋、追加した説明を含む報告を作れます。確認してメールや共有アプリで送るまでは端末に留まります。送ると当社とメール事業者に報告とメールアカウント情報が渡ります。

問い合わせへの回答、不正や不具合の調査、安全の改善、コミュニティ規範の適用、利用者とサービスの保護、法的義務の履行に使います。

8. 任意の連携と第三者

• UTFind（Android、任意）：対応版では初期設定はオフで、別の同意とサービスキーが必要です。稼働中に近くの FT／UT Bluetooth タグを検出し、MAC アドレス、端末の緯度・経度、時刻、サービス認証情報を HTTPS で UTFind／UTTEC に送れます。失敗記録は端末で暗号化し、最大5,000件を後で再送します。無効化すると新規スキャンを止め、未送信分を削除します。受信後の情報は UTTEC が独立して管理します。
• MeshLink、Meshtastic、LoRa、Wi-Fi、LAN：選択したアプリ、無線機、ホットスポット、LAN 端末に、操作に必要な内容と経路情報を渡します。
• Apple と Google：ストアと OS は各社の条件・設定に基づき、ダウンロード、購入、端末、診断、クラッシュ情報を扱う場合があります。アプリ独自の広告・行動分析 SDK は追加しません。
• Cloudflare：第16・17節のインターネット通信、保存、オンライン一覧を処理します。

9. ウェブサイトの情報

表示言語をブラウザーの localStorage に保存します。広告ピクセルや行動分析は使いません。サイトとホスティング事業者は IP アドレス、ブラウザー、URL、時刻、セキュリティログなどの接続情報を受け取ります。

任意のフォームでは製品、名前、メール、端末、OS、アプリ版、接続状態、利用状況、再現手順、説明、重要度、グループ、連絡希望、送信日時、JPG／PNG 画像1枚など、入力した情報を受け取ります。Google Apps Script から内部 Google Sheet へ送り、画像は Google Drive に保存する場合があります。秘密や無断の第三者情報を含めないでください。

Google Fonts を読み込み、Google Play などへのリンクを設けています。アクセス先の事業者も接続情報を受け取り、自社ポリシーで処理します。

10. 目的と法的根拠

法的根拠が必要な場合、機能の提供や依頼への対応、任意の位置情報・UTFind・報告・フィードバックへの同意、安全・不正防止・サポート・信頼性に関する正当な利益、法令遵守や重大な権利の保護のために処理します。機能の停止、権限の取消、当社への連絡で同意を撤回でき、以前の適法な処理には影響しません。

11. 保存と削除

• 端末データ：個別削除、リセット、緊急消去、ストレージ消去、アンインストールまで残ります。OS バックアップや他端末のコピーは当社の管理外の場合があります。
• 一時的なメッシュ状態：終了、期限切れ、転送完了、容量上限などで削除されます。時期はデータと端末に依存します。
• UTFind 待機分：上記上限に従い、アップロード確認後または無効化・消去時に削除。サーバー側は UTTEC が決めます。
• 問い合わせ・報告：対応、安全調査、不正防止、必要な業務記録、法的義務に合理的に必要な期間保存し、定期的に見直して削除または非識別化します。法的保全や紛争で長期保存する場合があります。
• 言語設定：サイトデータを消すまで残ります。
• クラウドのメッセージ・画像暗号文・関連索引：30日間の設定です。People は一時的な記憶内登録で、公開身元鍵と信頼記録は別です。詳細は第16・17節をご覧ください。

12. 選択肢とプライバシー上の権利

権限と Internet を管理し、任意機能を止め、端末データを削除し、公開プロフィールを編集し、任意フォームの送信を控えられます。当社が実際に保持する個人情報の閲覧、訂正、削除、制限、写しを求められます。地域により異議申立て、同意撤回、不服申立て、監督機関への苦情の権利もあります。

個人情報を販売せず、異なるサービスを横断した行動広告のために共有しません。端末や他の参加者だけが持つ内容は当社から取得・削除できない場合があります。contact@liber-ant.com に連絡してください。依頼の確認に相応の本人確認を求める場合があります。

13. 国際的な処理と安全

当社は米国に所在します。Cloudflare、Google、メール事業者、UTTEC、プラットフォーム事業者、参加者は他国で処理する場合があり、法律も異なる可能性があります。管理下の情報に合理的な技術・組織的対策を行いますが、無線、インターネット、第三者システム、受信端末の完全な安全は保証できません。

14. 子ども

13歳未満を対象とせず、意図的に個人情報を求めません。子どもの情報が当社に送られたと思われる場合は連絡してください。必要に応じて確認・削除します。国で同意に必要な年齢に達しない利用者は、親権者または保護者の許可を得て利用してください。

15. 変更と連絡

サービスや法令の変更に応じて更新し、上記の日付を変更して、必要な追加通知を行います。質問、安全上の懸念、プライバシーの依頼は contact@liber-ant.com へお送りください。

16. Internet 通信と Cloudflare

Internet は初期設定でオンです。Profile で近距離 Wi-Fi 同期とは別に切り替え、再起動後も設定を保存します。Public、対象の参加済みチャンネル、個別メッセージ、画像を Cloudflare へ接続します。オフにするとこの端末のクラウド要求、オンライン登録、Internet ファイル接続が停止します。ローカル履歴と既存の待機処理は保持し、オンに戻すと再開できます。オフ中の新規投稿は後から自動で一括アップロードされません。他端末が受信済みの内容を保持・中継する場合があります。

Cloudflare は認証セッション、経路 ID、購読、確認応答、同期位置、暗号化メッセージを処理します。メッセージ本体、画像暗号文と関連索引は30日間の保存設定です。公開身元鍵と信頼記録はオンライン表示と別で、オフラインになっても削除・リセットされません。

提供・有効化されている Internet ファイル転送は、同意した WebRTC ストリームと必要に応じた TURN を使い、ファイル本体を R2 にアップロードしません。信令、接続情報、一時中継認証情報が必要です。ネットワーク事業者が接続情報を処理し、直接接続では相手にネットワークアドレスが見える場合があります。

クラウドの期限後も端末の履歴やダウンロードは残る場合があります。端末の非表示・削除は、全サービス記録や他の受信者のコピーを消しません。基盤の要求・診断ログはメッセージや People の保存とは別です。

17. グローバル People と公開プロフィール

Internet がオンのとき、認証済み接続で peer ID と公開プロフィールをグローバル People に登録します。公開項目には名前、短い紹介、自己紹介、サイト、メール、GitHub、Twitter、Instagram、所在地テキスト、アバター識別子が含まれます。オンライン利用者に見せたい情報だけを入力してください。所在地は手入力で自動 GPS 報告ではなく、アバター識別子は公開画像 URL ではありません。

現在の登録とプロフィールの公開部分をメモリーに保持し、People 記録やオンライン履歴を SQL、KV、R2、WebSocket 添付に書き込みません。実行可能な間は約60秒ごとに通知し、最終有効通知から120秒または認証セッション期限の早い方で失効します。サービスが切断を確認すると登録を除去するため、停止・切断後も短時間表示される場合があります。バックグラウンド実行は保証されません。

クライアントも一覧をメモリーだけに保持し、期限切れの Internet ラベルを除去して、ディスクに保存しません。会話の開始や明示的な連絡先保存は別の履歴管理です。BLE と Internet は別ラベルで、オンライン表示は本人確認やファイル受信の同意ではありません。

People は GPS、スキャン結果、Bluetooth MAC、私的メモ、メッセージ、秘密鍵、認証情報を自動アップロードしません。この機能で個々の通知やプロフィール本文をログ化しませんが、基盤ログや別のサービス記録は独立しています。期限切れは論理的除去で、正確な時刻での物理メモリー消去の保証ではありません。