Privacy & legal

Last updated: August 2026 · applies to the Midnight Compass app and this website

Who is responsible

Wilhelm Lehnhardt · wilhelmlehnhardt@mi-su.me

Midnight Compass is offline-first: the map, exploration, quests, Dex, quiz, speedometer and odometer all work without a connection, and that data stays on your device. You only need an account for the connected parts.

Location data

Your location is processed to uncover the map, count kilometres, navigate and warn you about hazards. All of that happens on the device.

Sharing your location with friends: explicitly opt-in, switchable at any time.

Crew territory: a reference point rounded to about one kilometre so crews can colour in areas.

Saved places: When you are signed in, your saved places — home, work, workshop and any others — are backed up to your account so they survive a reinstall or a new phone. They are held as coordinates plus the label you typed, are passed to nobody, and disappear completely when you delete your account. Without an account they stay on the device alone.

Account, photos, messages

Account: your e-mail address for the one-time-code login, plus a display name of your choosing that other users can see.

Photos: images you upload (garage, Dex, marketplace, quests) are reachable at a public address.

Messages: direct messages are end-to-end encrypted. Your device makes a key that never leaves it; our server only ever sees a sealed envelope. Who writes to whom, and when, it still sees — otherwise it could not deliver. Messages are not stored on the device at all, so older conversations are not visible without a connection.

Safety number: the server hands out the public keys, so it could substitute a false one. That is why every conversation shows a safety number — read it out to each other. If it matches on both phones, nobody is in between, not even us. It is the one check that does not run through us. The key does not survive a reinstall: a new phone cannot read old messages.

Web chat: the chat on this website is switched off. A browser cannot hold the device key, and an unencrypted channel beside an encrypted one makes the promise worthless.

Device identifier: links your data before you create an account.

Home address: it stays on the device. Only a point rounded to about one kilometre goes to the server — exactly the precision other drivers were shown anyway. Delete it under My places and it is deleted on the server too.

Notifications: a new message shows the sender in the title, never the message text — it would otherwise stand on the lock screen, in the notification history and on paired watches.

Android backup: the app is excluded from automatic cloud backup and from device-to-device transfer. Nothing is lost by it: account, vehicles, kilometres, fog, places and quests all come back from the server when you sign in.

Third parties

Routing: the open OSRM service (router.project-osrm.org) receives start and destination coordinates when you navigate online. Without a connection the app routes from road data stored on your device, and nothing leaves it.

Hosting: IONOS (Germany). A country pack — map, landmarks and markers — is downloaded once from our server as whole files and used offline from then on. Nothing is fetched while you drive: no tile server, and not us either, sees where you are. Germany's landmarks still ship inside the app itself.

Maps on this website: the app fetches no tiles while you drive, but the maps on this website do. Whenever a map is drawn here (events, hazard reports) your browser loads the map images directly from basemaps.cartocdn.com or tile.openstreetmap.org. Those providers see your IP address and the section of the map you are looking at; that cannot be avoided while showing somebody else's map. The legal basis is Art. 6(1)(f) GDPR — our interest in showing places as a map rather than as a pair of numbers. No advertising and no profiling is involved. The mapping software itself (Leaflet) has been served from our own server since 11 August 2026, so no content delivery network takes part. None of this affects the app.

Data security

All transmission is over HTTPS. Login uses a one-time code by e-mail; no password is stored in the app, and access tokens live in the device's encrypted key store. On the server every request is bound to an account and scoped to your own data; responses about anonymous content carry neither an account identifier nor a name. New registrations are reviewed by a human before the account becomes active.

Limits we name openly: the content of direct messages is end-to-end encrypted; who writes to whom and when is not — the server needs that to deliver. And because it hands out the public keys, the honest promise is not “we cannot read along”, but: we would have to actively substitute a false key, and that is exactly what the safety number exposes. A database theft alone is not enough. Uploaded images are publicly retrievable by their address. No system is absolutely secure; we would rather name the remaining risks than leave them unsaid.

Your rights

Access, rectification, erasure, restriction, portability and objection. You can delete your account in the app (Settings → Account) and on this website (⚙ → Delete account). It removes about thirty tables: account, vehicles, statistics, exploration, balances, listings, crew membership, the public keys — and every direct message on both sides. A message has two ends; deleting your account takes your words out of the other person’s history too. A Bistro owner account and table sessions you joined as a guest are not deleted but only detached from your account — a whole venue and a restaurant’s bookkeeping hang on them.

Retention: account data until deletion, messages until account deletion, recorded routes until you withdraw the sharing permission.

The app is not intended for children under 16.

Disclaimer

プライバシーと法的事項

最終更新: 2026年9月2日 · Midnight Compassアプリおよび本ウェブサイトに適用されます

この日本語版はドイツ語版の翻訳です。内容に相違がある場合は、ドイツ語版が優先されます。

責任者

Wilhelm Lehnhardt · wilhelmlehnhardt@mi-su.me

Midnight Compassはオフラインを第一に考えています: 地図、探索、クエスト、図鑑、クイズ、 スピードメーター、走行距離計はすべて接続なしで動き、そのデータは端末にとどまります。 アカウントが必要なのは、つながる機能だけです。

位置情報

位置情報は、地図を解放し、距離を数え、ナビを行い、危険を知らせるために処理されます。 これらはすべて端末上で行われます。

ルートの匿名共有: 許可した場合にかぎり、ナビで走ったルートが匿名化されて アップロードされ、ほかのドライバーがたどれるようになります。アップロードの前に、開始地点と 終了地点はランダムな公道へ1〜5 kmずらされ、軌跡の両端は切り落とされます。そのため、 出発した場所も到着した場所も判別できません。名前が送信されることはありません。これは任意で、 設定からいつでも取り消せます。

フレンドとの位置共有: 明示的な任意設定で、いつでも切り替えられます。

クルーの勢力圏: 各クルーが地域を塗り分けられるように、約1キロメートルに 丸めた基準点を用います。

アカウント、写真、メッセージ

アカウント: ワンタイムコードでログインするためのメールアドレスと、 ほかの利用者に表示される任意の表示名。

写真: アップロードした画像（ガレージ、図鑑、マーケット、クエスト）は、 公開アドレスから取得できます。

メッセージ: ダイレクトメッセージはエンドツーエンドで暗号化 されています。端末が鍵を生成し、その鍵が端末を出ることはありません。当方のサーバーに 見えるのは封をされた封筒だけです。ただし、誰がいつ誰に書いたかは サーバーにも見えます — でなければ配送できません。メッセージは端末にはいっさい保存されない ため、接続がないと過去の会話は表示されません。

セーフティナンバー: 公開鍵はサーバーが配布するため、偽の鍵を差し込むことは 理屈のうえで可能です。だからこそ、どの会話にもセーフティナンバーが表示されます — 互いに読み上げてください。両方の端末で一致すれば、間には誰もいません。当方も含めてです。 これは当方を経由しない唯一の確認手段です。鍵は再インストールを越えて残りません: 新しい端末では過去のメッセージを読めません。

ウェブチャット: 本サイトのチャットは停止しました。ブラウザは端末の鍵を 保持できず、暗号化された経路の隣に暗号化されていない経路があれば、約束は意味を失うためです。

端末ID: アカウントを作成する前のデータを結び付けるために使います。

自宅の住所: 端末にとどまります。サーバーへ送られるのは約1キロメートルに 丸めた地点だけで、これはもともとほかのドライバーに表示されていた粒度と 同じです。「マイ地点」で削除すれば、サーバー上でも削除されます。

通知: 新しいメッセージの通知には送信者名が表示され、本文は表示されません — 本文はロック画面、通知履歴、ペアリングした時計にも出てしまうためです。

Androidのバックアップ: 本アプリは自動のクラウドバックアップおよび端末間の 引き継ぎから除外されています。それで失われるものはありません: アカウント、車両、走行距離、 霧、地点、クエストは、ログインすればサーバーから戻ります。

第三者

ルート検索: オンラインでナビを使うとき、オープンなOSRMサービス （router.project-osrm.org）が出発地と目的地の座標を受け取ります。接続がない 場合、アプリは端末に保存された道路データからルートを計算し、何も端末の外に出ません。

ホスティング: IONOS（ドイツ）。

地図と名所はアプリに同梱されています。どの地図サーバーも、あなたがどこを走ったかを 知りません。

データの安全

通信はすべてHTTPSで行われます。ログインはメールでのワンタイムコードによるもので、 アプリにパスワードは保存されず、アクセストークンは端末の暗号化された鍵ストアに置かれます。 サーバー側では、すべてのリクエストがアカウントに紐づけられ、自分のデータの範囲に限られます。 匿名の内容に関する応答には、アカウントIDも名前も含まれません。新規登録は、アカウントが 有効になる前に人が確認します。

包み隠さず申し上げる限界: ダイレクトメッセージの内容は エンドツーエンドで暗号化されていますが、誰がいつ誰に書いたかは暗号化されていません — 配送のためにサーバーがそれを必要とするからです。また、公開鍵を配布しているのはサーバーで あるため、正直な約束は「私たちには読めません」ではなく、こうです: 読むには偽の鍵を能動的に 差し込む必要があり、それこそセーフティナンバーが暴くものです。データベースの窃取だけでは 足りません。アップロードされた画像は、そのアドレスから公開で取得できます。絶対に安全な システムは存在しません。残るリスクは、黙っているよりお伝えします。

あなたの権利

開示、訂正、削除、処理の制限、データポータビリティ、異議申立て。アカウントの削除は、 アプリ（設定 → アカウント）と本ウェブサイト（⚙ → アカウントを削除）の両方で行えます。 削除されるのは約30のテーブルです: アカウント、車両、記録、探索、残高、出品、クルーの所属、 公開鍵 — そしてすべてのダイレクトメッセージが双方の側で削除されます。 メッセージには二つの端があります。アカウントを削除する人は、自分の言葉を相手の履歴からも 取り去ります。ビストロの運営者アカウントと、ゲストとして参加したテーブルのセッションは 削除されず、アカウントとの結び付きだけが解かれます — 一軒の店舗と、レストランの帳簿が そこにぶら下がっているためです。

保存期間: アカウントのデータは削除まで、メッセージはアカウント削除まで、 記録されたルートは共有の許可を取り消すまで。

本アプリは16歳未満の方を対象としていません。

免責事項