DATA PROCESSING ADDENDUM

個人情報取扱特約

最終更新日：2026年7月15日

1. 目的・優先関係

本特約は、ShikaFrontの提供に伴い、導入医院（以下「委託者」）が本番公開前に設定が必要です（以下「受託者」）へ患者等の個人情報の取扱いを委託する条件を定めます。本特約と利用規約が矛盾する場合、個人情報の取扱いについては本特約を優先します。

委託者は、患者対応の利用目的・取得項目・保存期間・開示対応等を決定する個人情報取扱事業者として、適法な取得、本人への通知・公表、要配慮個人情報に必要な同意および院内の権限管理を行います。受託者は、委託者の指示、本特約および法令に従い、サービス提供に必要な範囲で情報を取り扱います。

対象は、患者・申込者の氏名、連絡先、予約希望、問い合わせ・会話内容、症状等の要配慮個人情報、利用端末・操作記録その他委託者が本サービスへ入力する情報です。処理内容は、収集、記録、整理、保存、検索、医院への表示・通知、AI補助、バックアップおよび削除です。

受託者は、委託者の指示または法令に基づく場合を除き、対象情報を自己の広告、第三者への販売、個人を識別するプロファイリングまたは医療判断に利用しません。法令上指示に従えない場合、法令で禁止されない限り委託者へ通知します。

受託者は、アクセス権限の最小化、多要素認証、通信・保存時の暗号化、ログ取得、秘密情報管理、脆弱性対応、バックアップ、従業者教育および物理的・技術的な安全管理措置を講じます。委託者は、利用者アカウントと端末を適切に管理します。

受託者は、クラウド、メール、通知、決済、監視、生成AI等の提供者へ必要な範囲で再委託できます。受託者は再委託先を適切に選定し、本特約と同等水準の守秘・安全管理義務を課し、監督します。主要な再委託先の変更が重大な影響を与える場合、合理的な方法で委託者へ通知します。

生成AIには、可能な範囲で個人を識別する情報をマスキングし、医院が確認した情報を中心に送信します。外国の再委託先または設備で個人データを取り扱う場合、受託者は適用法令に従い、制度・保護措置の確認、契約上の保護、委託先監督および必要な情報提供を行います。

対象情報の開示、訂正、利用停止、消去、第三者提供記録の確認等について本人から請求があった場合、委託者が窓口となり、受託者は合理的な範囲で検索、出力、訂正または削除に協力します。

受託者は、対象情報の漏えい、滅失、毀損または不正アクセスを認識した場合、正当な理由なく遅滞せず委託者へ通知し、影響範囲の調査、拡大防止、復旧、原因分析および再発防止に協力します。法令上必要な行政報告・本人通知の役割は、当事者間で連携して判断します。

受託者は、安全管理措置に関する質問票、設定情報、監査結果その他合理的な資料を提供します。委託者による追加監査は、対象・日時・秘密保持・費用を協議し、他の契約者の秘密およびシステムの安全を害さない方法で実施します。

患者受付データは原則365日、監査記録は原則730日の保存上限を適用します。契約終了または委託者の適法な指示により、法令上保存が必要な情報を除き、合理的な期間内に対象情報を返却、削除または復元困難な状態にします。バックアップ上の残存情報は、通常の更新周期に従い隔離・消去します。

守秘、安全管理、目的外利用禁止および削除に関する義務は、対象情報が適切に削除されるまで存続します。