個人情報保護方針 (Privacy Policy)

Be Smart Global, LLC（本社：米国デラウェア州、以下「当社」）は、提供する医療データ支援プラットフォーム「DocReport AI」（以下「本サービス」）における、ユーザー（医師、医療従事者および医療機関の管理者）およびその患者様に関する個人情報（個人識別情報および要配慮個人情報を含む）の取扱いについて、以下の通り個人情報保護方針（以下「本方針」）を定めます。

当社は、日本国の個人情報保護法（以下「個人情報保護法」または「APPI」）、ならびに厚生労働省・経済産業省・総務省が共同または個別に定める医療情報安全管理に関するガイドライン（総称して「3省2ガイドライン」）を遵守し、極めて安全なデータプライバシー環境を維持することをお約束いたします。

1. 取得する情報およびその取得方法

当社は、本サービスの提供・運用にあたり、以下の情報を適法かつ公正な手段によって取得します。

（1）ユーザーに関する情報

• アカウント登録情報（氏名、電子メールアドレス、勤務先医療機関名、診療科、職種など）
• お支払い情報（Stripe決済を通じたクレジットカード情報・請求先住所など。※カード情報はStripe社が保持し、当社サーバーには保存されません）
• 本サービスのご利用状況、デバイス情報、IPアドレス、接続ログ情報

（2）診療録（カルテ）作成に関連する情報

• 診察室で録音または入力された対話音声データ、テキストデータ
• ユーザーが入力またはアップロードした診療要約、テンプレート情報
• ※これらは送信前にクライアント側で個人情報がマスキングされます。

2. 利用目的

取得した情報は、以下の目的の範囲内でのみ利用します。法的な義務がある場合を除き、目的外の利用は行いません。

• 本サービス（AIカルテ作成、医療音声入力、紹介状作成など）の機能提供およびサービス運営のため
• 電子カルテ（またはORCAレセコン）との連携データ転送（ユーザー指示に基づくアクション）のため
• 不正利用の防止、セキュリティ監査、および利用障害対応のため
• お支払い手続きおよび課金処理（US Stripeインフラを使用）のため
• 本サービスの機能改善や新規サービスの企画検討のため

3. AIモデルの学習に対する方針（二次利用の排除）

当社は、ユーザーが入力した診療データ（音声、対話テキスト、完成したSOAPカルテ下書き、紹介状ドラフト等）を、基盤となるAIモデルの再学習、トレーニング、パラメータ調整等に二次利用することは一切ありません。すべての入力データは推論処理のみに使用され、処理完了後は適切な保持期間ののち、安全に破棄されます。

4. 第三者提供および共同利用

当社は、個人情報保護法その他の法令に基づき認められる場合を除き、あらかじめ本人の同意を得ることなく、取得したデータを第三者に提供または共有することはありません。ただし、以下の委託先については、本サービスの運営に必要な最小限のデータ処理のみを委託し、厳格な守秘義務・データセキュリティ契約を締結しています。

• データ保存インフラ（AWS）：アマゾンウェブサービス（AWS）の「東京リージョン」におけるデータベース保存。
• 決済プロバイダー（Stripe, Inc.）：クレジットカード決済の安全な決済処理および請求管理。

5. 医療データの所在およびセキュリティ管理措置

当社は、本サービスで処理されるデータの漏洩、滅失、毀損の防止のため、以下の物理的・技術的措置を講じています。

• データレジデンシ（日本国内保管）：すべての診療データおよびカルテ下書きは、日本国内にあるAWS東京リージョン内のセキュアサーバーに限定して保存され、他国へ転送されることはありません。
• データ暗号化：静止データ（ストレージ内）はAES-GCM 256bit方式で暗号化し、転送中データはTLS 1.3暗号化通信により完全に保護されます。
• アクセス制御：医療機関ごとに論理的に分離されたテナントデータベースを採用し、他テナントからのアクセスやクロスサイトスクリプティングを防止します。

6. 国際的なお支払い処理および準拠法

本サービスの課金システムは、米国デラウェア州所在のBe Smart Global, LLCにより提供され、US Stripe Billing（米国Stripe社のインフラ）を利用して米ドルまたは日本円での支払いを処理します。決済に関わる通信は、クレジットカード業界のグローバルセキュリティ基準であるPCI DSSに完全準拠したStripe社のシステムに直接送信され保護されます。

ユーザーと当社との間の関係および本方針に関する紛争については、準拠法をアメリカ合衆国デラウェア州法とし、管轄裁判所は当社の本店所在地を管轄する連邦地方裁判所または州裁判所とします。ただし、データ保護措置に関する規制権限等については、日本の個人情報保護委員会による監督を排除するものではありません。

7. ユーザーの権利

本サービスのユーザーは、個人情報保護法に基づき、当社に対して自己に関する個人情報の開示、訂正、追加、削除、利用停止、または消去を求める権利を有します。これらの手続きを希望される場合は、以下のお問い合わせ窓口までご連絡ください。ユーザー本人の確認（または所属医療機関の管理者による適正な確認）を行った上で、遅滞なく合理的な範囲で対応いたします。

8. お問い合わせ窓口

本方針に関するご意見、ご質問、データの開示請求、その他のプライバシーに関するお問い合わせは、以下の窓口までご連絡ください。