データの扱いについて
できると言えることと、言えないことを分けて書いています。
言えること
- このサイトのプログラムは、入力された内容を運営者のサーバへ送信も保存もしません。通信するコード（fetch、XMLHttpRequest、sendBeacon、フォーム送信）を1行も持っていません。
- 広告も、外部フォント（Webフォント）も読み込んでいません。参照しているのは同一オリジンのファイルだけです。
- 会員登録もログインもありません。運営者は誰が何を入力したかを知る手段を持っていません。
- サーバ側で
Content-Security-Policy: default-src 'none'を宣言しています。将来うっかり外部通信のコードが混入しても、ブラウザ側で遮断されます。 - 計算結果は端末内で組み立てています。.ics も CSV も端末内で生成してダウンロードしています。
- このページ群が置かれている hikolog.app では、配信元の Cloudflare がサイト全体にアクセス解析のビーコン（
static.cloudflareinsights.com）を自動で挿入します。当サイトが書いたものではありませんが、挿入されること自体は事実です。このディレクトリ配下では、上記の Content-Security-Policy でこのビーコンを遮断しています。実測でも読み込みは2回試みられて2回とも遮断され、レスポンスは1件も返っていません。したがってここの閲覧はアクセス解析の対象外です。
言えないこと
当初この欄には「入力した内容はこの端末から外に出ません」と書いていましたが、これは言い過ぎでした。次の経路は当サイトから制御できません。
- ブラウザの拡張機能。ページ内の文字を読み取れます。
- ブラウザの翻訳機能や、設定によっては強化スペルチェック。入力内容が外部へ送られることがあります。入力欄では
spellcheck="false"とtranslate="no"を指定していますが、これは要請であって強制ではありません。 - ダウンロードした .ics をクラウドカレンダーに取り込んだ場合。氏名と資格の情報がそのサービスへ同期されます。
- OSやブラウザのクリップボード同期、入力履歴の同期。
氏名を含む社員の一覧を扱うときは、この点をご承知おきください。なお氏名を伏せ字にしても計算結果は変わりません。心配な場合は連番などに置き換えてお使いください。
確かめ方
ブラウザの開発者ツールを開き、ネットワークのタブを表示したまま操作してみてください。このディレクトリ配下のファイル以外に、通信が成立するものはありません（前述のビーコンは csp として遮断された状態で並びます）。
ページを一度開いたあとは、機内モードにしても計算・.ics・CSVはそのまま動きます。コンソールに Content-Security-Policy の違反メッセージが出ますが、これは遮断が働いている証拠です。