← アプリに戻る

プライバシーポリシー

株式会社ONENEST（以下「当社」といいます）は、接骨院・整骨院向け業務管理システム「BAITAL（バイタル）」（以下「本サービス」といいます）における情報の取扱いについて、以下のとおりプライバシーポリシー（以下「本ポリシー」といいます）を定めます。

1. 取り扱う情報の区分

本サービスでは、性質の異なる2種類の情報を取り扱います。

① 契約者情報	本サービスを契約する接骨院・整骨院事業者、及びそのスタッフアカウントに関する情報（会社名・院名・担当者氏名・メールアドレス・電話番号・住所・支払い情報・ログイン履歴等）。管理主体は当社です。なお、クレジットカード番号は決済代行事業者（Stripe）が直接取得・管理し、当社は保持しません。
② 患者情報（要配慮個人情報を含む）	利用者（契約事業者）が本サービスに入力する、患者の氏名・連絡先・生年月日・来院記録・施術内容・負傷の状況・支払い状況等の情報。これらの情報の管理主体（個人情報保護法上の「個人情報取扱事業者」）は利用者（契約事業者）であり、当社は利用者からの委託を受けてこれを預かる立場（受託者）です。取扱いの詳細は利用規約第7条及び個人情報の取扱いに関する覚書に定めます。

2. 利用目的

契約者情報は、次の目的で利用します。

1. 本サービスの提供、維持、保護及び改善のため
2. 利用者からのお問い合わせへの対応、及び利用者へのサポート（LINE等による使い方・利用状況・経営数値に関するご案内を含みます）のため
3. 個々の事業者・院を識別できない形に加工した統計情報の作成及び利用者への提供のため
4. 利用料金の請求・決済処理及び領収書の発行のため
5. 本サービスに関する重要なお知らせ（規約の変更、障害・保守、セキュリティに関する通知等）のため
6. 不正利用の防止、規約違反への対応のため

患者情報については、当社は利用者から委託された本サービスの提供目的（データの保存・表示・集計分析、利用者が設定した患者さまへのご案内の送信、本サービスのサポート等）以外の目的では利用しません。広告・営業その他当社自身の目的には利用しません。

3. 第三者提供・業務委託

1. 当社は、法令に基づく場合を除き、本人の同意なく個人情報を第三者に提供しません。
2. 当社は、本サービスの提供にあたり、以下の外部事業者（再委託先）に情報の保管・処理を委託しています。委託先には契約等を通じて適切な安全管理を求め、必要かつ適切な監督を行います。再委託先を追加・変更する場合は、事前に本サービス上での掲示又は電子メールにより利用者に通知します。

   委託先（所在国）	委託する内容・データの保管場所
   Supabase, Inc.（米国）	データベース・認証基盤。顧客データ（患者情報を含む）は日本国内（東京リージョン）のサーバーに保管します。
   Vercel Inc.（米国）	アプリケーション画面の配信。患者情報は保管しません（アクセス時の通信記録のみ）。
   Stripe, Inc.（米国）及びその日本法人	利用料金のクレジットカード決済。利用者が患者さま向けのオンライン決済機能を使う場合は、その決済も処理します。
   Resend, Inc.（米国）	電子メールの送信（ログイン・セキュリティ通知、利用者が設定した患者さまへのご案内メール）。送信は日本国内（東京リージョン）の設備から行います。
   LINEヤフー株式会社（日本）	利用者がLINE連携を設定した場合に限り、患者さまへのLINEメッセージの送信。及び、当社のサポート用LINE公式アカウントによる利用者（院の方）へのご連絡。
   Block, Inc.（Square）（米国）及びその日本法人	利用者がSquare連携を設定した場合に限り、利用者のSquareアカウントとの売上データの連携。

3. 外国にある事業者について　上記のうち米国に所在する事業者について、米国には日本の個人情報保護法と同等の包括的な個人情報保護法制はありませんが、各州法・分野別の法令による保護があります（個人情報保護委員会「外国における個人情報の保護に関する制度等の調査」参照）。当社は、各事業者が個人情報の安全管理のための措置（通信・保存時の暗号化、アクセス管理、第三者認証（SOC 2等）の取得等）を講じていることを確認したうえで委託しています。

4. 安全管理措置

当社は、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」、個人情報保護委員会・厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」、厚生労働省「医療情報システムの安全管理に関するガイドライン」及び経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」を踏まえ、次の措置を講じます。

組織的・人的安全管理措置

1. 個人情報の取扱いに関する責任者を置き、患者情報に接し得る従業者を必要最小限に限定します。
2. 従業者に秘密保持を誓約させ、個人情報の取扱いについて教育を行います。
3. 当社の従業者のうち、本サービスの運営・サポートを担当する者（販売管理者）は、本サービスの提供・保守・不具合対応及び利用者へのサポートのために必要な範囲で、患者情報を閲覧することがあります。販売管理者以外の従業者は、利用者の依頼又は同意がある場合、及び法令に基づく場合を除き、患者情報を閲覧しません。
4. 漏えい等又はそのおそれを把握した場合は、原則として把握から24時間以内に利用者に通知し、被害の拡大防止・原因の調査・再発防止策の実施を行います。

技術的・物理的安全管理措置

1. 通信は暗号化（HTTPS/TLS）により保護され、保存されるデータも暗号化されます。
2. 顧客データへのアクセスは、データベース側のアクセス制御（Row Level Security）により、契約事業者ごと・院ごとに分離され、他の事業者のデータは閲覧できません。
3. すべてのアカウントに2段階認証（認証アプリによる確認コード）を必須としています。
4. ログイン履歴、及び誰がいつどのデータを変更・削除したかを記録する操作履歴（監査ログ）を保持しています。
5. ログインの試行回数の制限、新しい端末からのログインの通知等により、不正アクセスを防止・検知します。
6. データは、再委託先の有料プランにより、毎日自動でバックアップを取得しています。
7. サーバー設備は再委託先のデータセンターで管理され、入退室管理等の物理的な安全管理措置は再委託先が講じています。

安全管理措置の詳細（利用者が委託先の選定・管理のために必要とする情報）は、利用者の求めに応じて書面で開示します。

5. 開示・訂正・削除等の請求

1. 契約者情報については、本人からの開示・訂正・利用停止・削除等のご請求に、本人確認のうえ法令に従い対応します。
2. 患者情報については、その管理主体である契約事業者（利用者）にご請求ください。当社が患者さまから直接ご請求を受けた場合は、利用者に取り次ぎます。当社は利用者の指示に基づき、本サービス内の機能又は個別対応により訂正・削除等に協力します。

6. 保存期間

1. 顧客データは、利用契約の期間中保存し、利用契約の終了後30日間のエクスポート期間を経て削除します。バックアップに残るデータは、バックアップの保存期間の経過により順次消去されます。
2. 契約者情報のうち、請求・会計に関する記録は、法令で定められた期間保存します。

7. Cookie等の利用

本サービスは、ログイン状態の維持及び画面表示のスコープ（閲覧範囲）を記憶するために、ブラウザのlocalStorage及びCookieに類する技術を利用します。これらは本サービスの機能提供に必要な範囲でのみ利用し、第三者の広告配信等の目的では利用しません。

8. お問い合わせ窓口

本ポリシー及び個人情報の取扱いに関するお問い合わせ・苦情は、下記までご連絡ください。

株式会社ONENEST　個人情報取扱責任者 久留須樹
所在地：〒545-0043 大阪府大阪市阿倍野区松虫通1丁目4-26
連絡先メールアドレス：itsuki_kurusu@onenest.co.jp

9. 本ポリシーの変更

当社は、必要に応じて本ポリシーの内容を変更することがあります。重要な変更（再委託先の追加・変更を含みます）を行う場合は、事前に本サービス上での掲示又は電子メールにより利用者に通知します。

利用規約 ／ 個人情報の取扱いに関する覚書 ／ 特定商取引法に基づく表記