プライバシーポリシー（個人情報保護方針）

第1条（定義）

本ポリシーにおいて、次の各号に掲げる用語の意義は、それぞれ各号に定めるところによります。

1. 「個人情報」 — 生存する個人に関する情報であって、個人情報保護法第2条第1項各号に該当するものをいいます。
2. 「要配慮個人情報」 — 個人情報保護法第2条第3項に定める、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取り扱いに特に配慮を要する個人情報をいいます。
3. 「利用者」 — 本サービスに登録し、又は利用する個人をいいます。
4. 「契約法人」 — 当社との間でサービス利用契約を締結し、その従業員等に本サービスを利用させる法人をいいます。
5. 「管理者」 — 契約法人に所属し、自組織の利用者の情報を閲覧・管理する権限を有する者をいいます。

第2条（取得する個人情報の種類）

当社は、本サービスの提供に際し、以下の個人情報を取得します。

1. 基本個人情報

2. 要配慮個人情報（健康関連情報）

以下の情報は、個人情報保護法上の「要配慮個人情報」に該当し、取得にあたり利用者の明示的な同意を取得します。

3. 利用情報

4. 匿名情報

匿名アンケートの回答は、利用者のアカウントと紐付けず、個人を特定できない形で収集・保管します。

第3条（利用目的）

当社は、取得した個人情報を、以下の目的の範囲内で利用します。

1. 本サービスの提供・運営

• 利用者の本人確認及びアカウント管理
• 問診票回答に基づくベースリスクの算出
• 涙液検査結果に基づく涙液リスクの算出及び総合リスク判定
• 検査結果レポートの表示
• ブレスト・アウェアネス記録の保存及び履歴表示
• ブレスト・アウェアネスに関する教育コンテンツの提供
• チャットボットによるQ&A情報提供
• 利用者からのお問い合わせへの対応

2. 健康経営支援（契約法人への情報提供）

• 契約法人の管理者に対する、自組織に所属する利用者の受検状況の提供
• 組織単位での統計データ（リスク分布・ブレスト・アウェアネス実施率等）の提供

3. 通知・リマインド

• ブレスト・アウェアネス促進の定期通知
• 次回検査時期のリマインド通知
• 管理者からの一括リマインド送信
• サービスに関する重要なお知らせの送信

4. サービスの改善・品質向上

• 利用状況の分析によるサービス改善
• 匿名化・統計処理を行った上でのデータ分析
• 匿名アンケートの集計・分析

5. 安全管理

• 不正アクセスの検知・防止
• 本サービスの安定的な運用の確保

6. 法令上の義務の履行

• 法令に基づく対応（個人情報保護委員会への報告等）

第4条（要配慮個人情報の取得に関する同意）

1. 当社は、第2条第2項に定める要配慮個人情報を取得するにあたり、利用者から事前に明示的な同意を取得します。
2. 同意の取得は、以下の方法により行います。
   • 初回利用登録時: 要配慮個人情報の取得及び利用目的について、本ポリシーの該当箇所を明示した上で、利用者による個別のチェックボックスへの同意操作を求めます。
   • 問診票入力時: 問診票の入力開始前に、健康情報の取得について改めて説明を表示し、同意を確認します。
3. 利用者は、いつでも要配慮個人情報の利用に関する同意を撤回することができます。ただし、同意を撤回された場合、本サービスの一部又は全部の提供が困難になることがあります。

第5条（個人情報の第三者提供）

1. 当社は、以下の場合を除き、あらかじめ利用者の同意を得ることなく、個人情報を第三者に提供しません。
   • (1) 法令に基づく場合
   • (2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
   • (3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
   • (4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
2. 要配慮個人情報について、オプトアウト方式（事前拒否権方式）による第三者提供は行いません（個人情報保護法第27条第2項）。

第6条（共同利用）

当社は、本サービスのB2B（企業向け健康経営支援）における利用目的の達成のため、以下のとおり個人データを共同利用します。

第7条（業務委託）

当社は、利用目的の達成に必要な範囲内において、個人情報の取り扱いの全部又は一部を外部の事業者に委託することがあります。その場合、当社は委託先に対して個人情報の適切な取り扱いを求め、必要かつ適切な監督を行います。

第8条（クラウドサービスの利用・外国における個人データの取り扱い）

1. 当社は、本サービスの運用にあたり、Amazon Web Services, Inc.（以下「AWS」といいます）が提供するクラウドサービスを利用しています。
2. データの保管はAWSの東京リージョン（ap-northeast-1）を利用しており、原則として日本国内のサーバーに保管されます。
3. AWSは、当社との契約に基づき、保管されたデータの内容にアクセスしない形態でインフラを提供しています。AWSにおけるデータ保護の詳細については、AWSのプライバシーポリシー及びデータ処理契約をご参照ください。
4. 将来的に個人データを外国に移転する必要が生じた場合は、個人情報保護法第28条に基づき、移転先の国名、当該国の個人情報保護制度、及び当社が講じる保護措置について、利用者に情報提供した上で、事前に同意を取得します。

第9条（安全管理措置）

当社は、取り扱う個人情報の漏えい、滅失又は毀損の防止その他の安全管理のために、以下の措置を講じています。

1. 組織的安全管理措置

• 個人情報保護責任者の設置
• 個人情報の取り扱いに関する内部規程の整備
• 個人情報の取り扱い状況の定期的な点検・監査
• 漏えい等の事案に対処するための体制の整備

2. 人的安全管理措置

• 従業者との秘密保持契約の締結
• 個人情報の取り扱いに関する定期的な教育・研修の実施

3. 物理的安全管理措置

• サーバー設備へのアクセス制御
• 記録媒体の適切な管理・廃棄

4. 技術的安全管理措置

• 通信の暗号化（HTTPS / TLS 1.2以上）
• データベースの暗号化（AWS RDS自動暗号化）
• 管理者アカウントへの二要素認証（SMS認証）の必須化
• アクセス権限の最小権限の原則に基づく制御
• 不正アクセスの検知・監視体制の構築

安全管理措置の詳細については、お問い合わせ窓口までご連絡いただければ、回答いたします。

第10条（個人情報の保存期間）

当社は、利用目的の達成に必要な期間に限り、個人情報を保存します。保存期間を経過した個人情報は、遅滞なく消去します。

第11条（利用者の権利）

利用者は、個人情報保護法に基づき、当社が保有する自己の個人情報について、以下の権利を有します。

1. 開示請求権

利用者は、当社に対し、自己の保有個人データの開示を請求することができます。開示は、利用者が指定する方法（電磁的記録の提供を含む）により行います。

2. 訂正・追加・削除請求権

利用者は、自己の保有個人データの内容が事実でない場合、訂正、追加又は削除を請求することができます。

3. 利用停止・消去請求権

利用者は、以下の場合に、自己の保有個人データの利用停止又は消去を請求することができます。

• 当社が利用目的の達成に必要な範囲を超えて取り扱っている場合
• 当社が不正の手段により取得した場合
• 当社が利用する必要がなくなった場合
• 漏えい等が生じた場合
• その他利用者の権利又は正当な利益が害されるおそれがある場合

4. 第三者提供の停止請求権

利用者は、当社が第三者に個人データを提供している場合、その停止を請求することができます。

5. 請求手続き

6. 削除請求に関する特記事項

以下のデータについては、法令上の義務又は臨床研究計画上の要件により、保存期間内の削除に応じられない場合があります。その場合は、利用停止（アクセス制限）により対応します。

• 臨床研究に供された検査結果データ（研究倫理指針に基づく保存義務がある場合）
• 法令に基づく記録保存義務の対象となるデータ

第12条（漏えい等の報告）

1. 当社は、個人データの漏えい、滅失、毀損その他の安全の確保に係る事態が発生し、又は発生したおそれがある場合、個人情報保護法第26条に基づき、個人情報保護委員会への報告及び利用者本人への通知を速やかに行います。
2. 報告は、事態を把握した日から速報（概ね3〜5日以内）及び確報（30日以内、不正アクセスが疑われる場合は60日以内）の二段階で実施します。

第13条（外部送信に関する公表）

当社は、本サービスの提供に際し、利用者の端末から以下の外部サービスに情報を送信する場合があります（電気通信事業法第27条の12に基づく公表）。

第14条（Cookie及びアクセスログ）

1. 本サービスでは、セッション管理のためにCookieを使用します。利用者は、ブラウザの設定によりCookieの受け入れを拒否することができますが、その場合、本サービスの一部が正常に動作しないことがあります。
2. 当社は、本サービスへのアクセスログ（IPアドレス、アクセス日時、使用ブラウザ情報等）を自動的に取得します。これらの情報は、サービスの安定的な運用及びセキュリティ管理のために利用し、利用者のアカウント情報と結合して特定の個人を識別する目的では利用しません。ただし、不正アクセスの調査等、セキュリティ上の必要がある場合はこの限りではありません。

第15条（匿名加工情報・仮名加工情報）

1. 当社は、サービスの改善及び統計的な分析のために、個人情報を匿名加工情報又は仮名加工情報に加工して利用する場合があります。
2. 匿名加工情報の作成にあたっては、個人情報保護法に定める基準に従い、特定の個人を識別できない形に適切に加工します。
3. 仮名加工情報は、当社内部でのみ利用し、第三者に提供することはありません。

第16条（本サービスの性質に関する重要事項）

利用者は、身体に異常を感じた場合や健康上の懸念がある場合、本サービスのリスク判定結果にかかわらず、必ず医師その他の資格を有する医療従事者に相談してください。

第17条（お問い合わせ窓口）

個人情報の取り扱いに関するお問い合わせ、苦情、開示等の請求については、以下の窓口にご連絡ください。

第18条（本ポリシーの改定）

1. 当社は、法令の改正、事業内容の変更その他の必要に応じて、本ポリシーを改定することがあります。
2. 重要な変更を行う場合は、本サービス上での告知又は電子メールにより、変更内容及び施行日を事前にお知らせします。
3. 改定後のプライバシーポリシーは、当社が別途定める場合を除き、本サービス上に掲載した時から効力を生じます。