個人情報の取扱いに関する覚書

BAITAL（バイタル）の利用者（以下「甲」といいます）と株式会社ONENEST（以下「乙」といいます）は、甲が乙の提供する業務管理システム「BAITAL」（以下「本サービス」といいます）を利用するにあたり、甲が乙に委託する患者情報の取扱いについて、次のとおり覚書（以下「本覚書」といいます）を締結します。

第1条（目的）

本覚書は、個人情報の保護に関する法律（以下「法」といいます）第25条に基づき、甲が乙に委託する患者情報の安全管理について、甲乙の義務を定めることを目的とします。

第2条（委託の内容）

1. 委託する情報：甲が本サービスに入力する患者の氏名・連絡先・生年月日・来院記録・施術内容・負傷の状況・支払い状況その他の情報（要配慮個人情報を含みます。以下「患者情報」といいます）
2. 委託する業務：本サービスによる患者情報の保管、表示、集計分析、甲が設定した患者へのご案内（メール・LINE）の送信、及び本サービスの提供・保守・不具合対応・甲へのサポートのための閲覧
3. 委託の期間：本サービスの利用契約の期間中、及び第10条に定める返還・削除が完了するまで

第3条（目的外利用・第三者提供の禁止）

乙は、患者情報を前条の業務以外の目的に利用せず、法令に基づく場合を除き第三者に提供しません。乙は、患者情報を広告・営業その他乙自身の目的に利用しません。

第4条（安全管理措置）

1. 乙は、次のガイドライン等（改定があった場合は改定後のもの）を踏まえ、患者情報の漏えい・滅失・毀損を防ぐための組織的・人的・物理的・技術的安全管理措置を講じます。
   • 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
   • 個人情報保護委員会・厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」
   • 厚生労働省「医療情報システムの安全管理に関するガイドライン」
   • 経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」
2. 乙が講じる主な措置は、プライバシーポリシー第4条のとおりとします（通信・保存時の暗号化、事業者ごと・院ごとのアクセス分離、全アカウントの2段階認証、ログイン履歴・操作履歴の記録、毎日の自動バックアップ、日本国内（東京）でのデータ保管等）。
3. 甲は、アカウントの管理、利用する端末の管理、スタッフへの教育等、甲の側で行うべき安全管理措置を自らの責任で行います。

第5条（従業者の監督）

乙は、患者情報に接し得る従業者を必要最小限に限定し、秘密保持を誓約させ、必要な教育・監督を行います。乙の従業者のうち、本サービスの運営・サポートを担当する者（販売管理者）は、本サービスの提供・保守・不具合対応及び甲へのサポートのために必要な範囲で、患者情報を閲覧することがあります。販売管理者以外の乙の従業者は、甲の依頼又は同意がある場合、及び法令に基づく場合を除き、患者情報を閲覧しません。

第6条（再委託）

1. 甲は、乙がプライバシーポリシー第3条に掲げる事業者に患者情報の保管・処理を再委託することを承諾します。
2. 乙は、再委託先に本覚書と同等の安全管理を求め、必要かつ適切な監督を行います。
3. 乙は、再委託先を追加・変更する場合、事前に甲に通知します。甲は、合理的な理由がある場合、乙に異議を述べることができ、この場合甲乙は誠実に協議します。

第7条（漏えい等の報告）

1. 乙は、患者情報の漏えい・滅失・毀損又はそのおそれ（以下「漏えい等」といいます）を把握した場合、原則として把握から24時間以内に甲に通知します。
2. 乙は、漏えい等の事実関係・影響範囲・原因・再発防止策を調査して甲に報告し、甲が法第26条に基づく個人情報保護委員会への報告及び本人への通知を行うために必要な情報の提供その他の協力を行います。

第8条（本人からの請求への協力）

患者本人から開示・訂正・利用停止・削除等の請求があった場合、乙は甲の指示に基づき協力します。乙が患者本人から直接請求を受けた場合は、甲に取り次ぎます。

第9条（報告・確認）

1. 甲は、乙に対し、安全管理措置の実施状況について書面（電子メールを含みます）での報告を求めることができ、乙は合理的な範囲で速やかにこれに応じます。
2. 乙は、甲が前条のガイドライン等に基づき委託先を選定・管理するために必要な情報（安全管理措置の内容、データの保管場所、再委託先、障害・漏えい等発生時の対応体制、契約終了時のデータの取扱い等）を、甲の求めに応じて書面で開示します。

第10条（返還・削除）

1. 利用契約が終了した場合、甲は終了後30日間、本サービスのCSV出力機能等又は乙の協力により患者情報を取り出すことができます。
2. 乙は、前項の期間の経過後、患者情報を削除します。バックアップに残る患者情報は、バックアップの保存期間の経過により順次消去されます。
3. 乙は、甲の求めに応じて、削除が完了した旨を書面（電子メールを含みます）で通知します。

第11条（存続・優先関係）

1. 第3条、第5条、第7条及び第10条の義務は、利用契約の終了後も、患者情報の削除が完了するまで存続します。患者情報の秘密保持の義務は、期間の定めなく存続します。
2. 患者情報の取扱いについて、本覚書と利用規約の内容が異なる場合は、本覚書が優先します。本覚書に定めのない事項は、利用規約によります。

本覚書の成立を証するため、本書2通を作成し、甲乙記名押印のうえ、各1通を保有します。

締結日：　　　　年　　月　　日

利用規約 ／ プライバシーポリシー ／ 特定商取引法に基づく表記