制定日: ［未確定: ENACTMENT_DATE］
最終改定日: ［未確定: LAST_REVISED_DATE］
株式会社Prorium（以下「当社」といいます）は、クリニック向けマーケティング支援サービス「Shimei.AI for Clinic（仮称）」（以下「本サービス」といいます）の提供にあたり、個人情報の保護に関する法律（以下「個人情報保護法」）その他の関係法令を遵守し、以下のとおり個人情報を取り扱います。
1. 事業者情報
- 名称: 株式会社Prorium
- 代表者: ［未確定: REPRESENTATIVE_NAME］
- 所在地: ［未確定: ADDRESS］
- 連絡先: ［未確定: CONTACT_EMAIL］（個人情報に関するお問い合わせ窓口）
- 個人情報保護管理者: ［未確定: PRIVACY_OFFICER］
2. 本サービスの性質と取り扱わない情報（重要）
本サービスは医療機関のマーケティング活動を支援するBtoBサービスであり、患者の診療情報・カルテ情報・予約情報その他の患者の個人情報は一切取り扱いません。本サービスが取り扱うのは、契約者である医療機関のマーケティングに関するデータおよび契約者・利用者（医療機関の役職員等）の業務上の情報のみです。
利用規約により、契約者・利用者が患者の個人情報・診療情報を本サービスに入力することは禁止されています。
また、当社は要配慮個人情報（個人情報保護法第2条第3項）を取得しません。
3. 取得する個人情報の項目
当社は、本サービスの提供にあたり次の情報を取得します。
- アカウント情報: 利用者の氏名、メールアドレス、所属医療機関、権限情報
- 医療機関プロファイル情報: 医療機関の名称・住所・電話番号（NAP）、診療時間、診療メニュー情報（料金・リスク説明等）
- 監修医師情報: 監修者として登録される医師の氏名、保有資格、専門分野
- 契約・決済情報: 請求先情報、決済履歴（カード番号そのものは当社では保持せず、決済代行会社Stripeが取り扱います。導入予定）
- サービス利用情報: 生成コンテンツ、コンプライアンスチェック実行履歴、操作記録（監査ログ）、アクセスログ（IPアドレス、ブラウザ情報等）
- お問い合わせ情報: お問い合わせの内容および対応記録
4. 取得方法
- 契約申込時・アカウント登録時のフォーム入力（当社所定のオンライン申込画面から取得します。申込者は医療機関またはその運営法人であることを表明保証します）
- 本サービスの利用に伴う自動取得（操作記録・アクセスログ・Cookie等）
- お問い合わせ・サポート対応時の取得
5. 利用目的（個人情報保護法第17条）
- 本サービスの提供・運営・本人確認・認証のため
- 利用料金の請求・決済のため
- コンテンツ生成・コンプライアンスチェック等のAI機能の提供のため
- サービスの維持・改善・新機能開発・品質向上のため（個別の医療機関・個人を識別できない統計データの作成を含みます）
- 不正利用の防止、監査ログによるコンプライアンス検証のため
- お問い合わせ・サポート対応のため
- 規約変更・メンテナンス等の重要なお知らせの通知のため
- 法令に基づく対応のため
利用目的を変更する場合は、変更前の利用目的と関連性を有すると合理的に認められる範囲で行い、本サービス内の通知または当社ウェブサイトで公表します。
6. 第三者提供（個人情報保護法第27条）
当社は、次の場合を除き、本人の同意なく個人情報を第三者に提供しません。
- 法令に基づく場合
- 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
- 国の機関等への協力が必要な場合であって、本人の同意取得により当該事務の遂行に支障を及ぼすおそれがあるとき
- 利用目的の達成に必要な範囲内で取扱いを委託する場合（次条参照。第三者提供には該当しません）
7. 取扱いの委託先（具体名の列挙）
当社は、利用目的の達成に必要な範囲で、次の事業者に個人情報を含むデータの取扱いを委託しています。委託先に対しては、契約等により適切な安全管理を義務付け、必要かつ適切な監督を行います。
| 委託先 | 用途 | 所在国 | プライバシーポリシー |
|---|---|---|---|
| Anthropic PBC | AIによるコンテンツ生成・コンプライアンスチェック処理 | 米国 | https://www.anthropic.com/legal/privacy |
| OpenAI, L.L.C. | GEO観測クエリの実行（生成AI検索での露出観測） | 米国 | https://openai.com/policies/privacy-policy |
| Supabase Inc. | データベース・認証基盤（データ保管リージョン: 日本・東京） | 米国 | https://supabase.com/privacy |
| Vercel Inc. | アプリケーションホスティング | 米国 | https://vercel.com/legal/privacy-policy |
| Stripe Japan株式会社（Stripe, Inc.グループ） | 決済処理（導入予定） | 日本（米国親会社） | https://stripe.com/jp/privacy |
8. 外国にある第三者への提供（越境移転・個人情報保護法第28条）
前条の委託先のうち、Anthropic PBC、OpenAI, L.L.C.、Supabase Inc.、Vercel Inc.およびStripe, Inc.（親会社）は米国に所在する事業者です。
- 米国には、個人情報保護委員会が定める日本と同等の水準の個人情報保護制度はありませんが、当社は各委託先との契約（データ処理契約等）により、個人情報保護法に基づき求められる相当措置の実施を確保しています。
- 米国の個人情報保護制度に関する情報は、個人情報保護委員会のウェブサイト（https://www.ppc.go.jp/）で確認できます。
- 移転先の事業者名・用途は前条の表のとおりです。
［未確定: CROSS_BORDER_CONSENT_METHOD］
9. 個人関連情報の第三者提供（個人情報保護法第31条）
当社は現在、Cookie・端末識別子等の個人関連情報を広告事業者等の第三者に提供していません。今後、アクセス解析・広告配信ツールを導入する場合は、本ポリシーを改定し、必要な同意取得を行います。
10. 仮名加工情報・匿名加工情報
当社は現在、仮名加工情報および匿名加工情報の作成・提供を行っていません（該当なし）。
11. 安全管理措置（個人情報保護法第23条）
当社は、個人情報の漏えい・滅失・毀損の防止のため、次の措置を講じています。
- 組織的安全管理措置: 取扱責任者の設置、取扱状況の記録（監査ログ）、漏えい等事案に対応する体制の整備
- 人的安全管理措置: 役職員への教育、秘密保持義務の徹底
- 物理的安全管理措置: データセンター（東京リージョン）を利用したデータ管理、機器・電子媒体等の盗難防止
- 技術的安全管理措置: アクセス制御（テナント単位の権限分離）、通信の暗号化（TLS）、保存データの暗号化、不正アクセス対策
- 外的環境の把握: 外国（米国）の委託先における個人情報保護制度を把握したうえで安全管理措置を実施
12. 漏えい等が発生した場合の対応（個人情報保護法第26条）
個人情報の漏えい、滅失、毀損その他の個人情報の安全確保に係る事態が発生した場合、当社は、個人情報保護委員会への報告および本人への通知を、法令の定めに従い速やかに行います。
13. 保有個人データの開示等の請求（個人情報保護法第32条〜第35条）
本人またはその代理人は、当社に対し、保有個人データの利用目的の通知、開示（第三者提供記録の開示を含む）、訂正・追加・削除、利用停止・消去、第三者提供の停止を請求できます。
- 請求窓口: ［未確定: CONTACT_EMAIL］
- 手続: 当社所定の方法により本人確認のうえ、法令の定める期間内に対応します
- 手数料: ［未確定: DISCLOSURE_FEE］
14. Cookie等の利用
- 本サービスは、ログイン状態の維持・セキュリティ確保のために必要なCookie（必須Cookie）を使用します。
- 現在、アクセス解析・広告配信を目的とした第三者Cookieは使用していません。導入する場合は、本ポリシーを改定し、同意取得の仕組み（Cookieバナー等）を設けます。
- ブラウザの設定によりCookieを無効化できますが、その場合、本サービスの全部または一部が利用できないことがあります。
15. 本ポリシーの改定
- 当社は、法令の改正・サービス内容の変更等に応じて本ポリシーを改定することがあります。
- 重要な変更を行う場合は、施行日の前に、本サービス内の通知または電子メールによりお知らせします。
- 改定後のポリシーは、本ページに掲載した時点（または別途定める施行日）から効力を生じます。
16. お問い合わせ窓口
個人情報の取扱いに関するお問い合わせ・苦情・開示等の請求は、下記までご連絡ください。
株式会社Prorium 個人情報お問い合わせ窓口
- メール: ［未確定: CONTACT_EMAIL］
- 住所: ［未確定: ADDRESS］
- 電話: ［未確定: PHONE］（受付時間: ［未確定: PHONE_HOURS］）
附則
［未確定: ENACTMENT_DATE］ 制定・施行