プライバシーポリシー

第1条（目的）

本ポリシーは、株式会社テクノプラズム（以下「当社」といいます）が提供する「テクプラ病理ポータル」（連携機関ポータル。portal.technoplasm.jpで提供される、連携医療機関が病理診断の依頼・結果確認を行うサービス、以下「本サービス」といいます）における個人情報の取り扱いについて定めるものです。

当社は、個人情報保護法、医療法、その他関連法令を遵守し、「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」に準拠して個人情報を適切に取り扱います。

第2条（定義）

本ポリシーで用いる用語（病理診断システム、病理診断施設、管理者、連携医療機関、利用者、利用者データ、診断情報、患者情報、医療情報等）は、本サービスの利用規約の定義によります。

第3条（取得する個人情報）

利用者の情報

1. 氏名、メールアドレス、電話番号
2. 所属する連携医療機関、職種
3. パスワード（ハッシュ化して保存）
4. 二要素認証の情報：TOTP の秘密鍵（暗号化して保存）、Passkey の公開鍵・資格情報ID・認証器の識別子（AAGUID）・利用回数・表示名・登録日時・最終使用日時。Passkey の秘密鍵は利用者の端末または認証器の中にあり、当社は保持しません。
5. ログインの記録（セッション）：IPアドレス、ブラウザの種類（User-Agent）、日時
6. アクセスログ、操作履歴

なお、画面に表示する利用者のアイコンは、氏名とメールアドレスをもとに利用者のブラウザ内で生成します（DiceBear のライブラリを使用）。アイコンの生成のために氏名・メールアドレスを外部サービスへ送信することはなく、生成したアイコンをサーバーに保存することもありません。

患者情報

病理診断施設と連携医療機関の連携に基づく病理診断の実施に必要な以下の情報：

1. 氏名、氏名カナ、生年月日、性別
2. 住所、電話番号、職業
3. 臨床診断、臨床情報、既往歴、家族歴、処方情報
4. 連携医療機関の患者番号、検査番号
5. 病理診断結果、検査所見
6. その他診断に必要な医療情報

担当医師の情報

1. 担当医師名、担当部署

第4条（個人情報の利用目的）

取得した個人情報は、以下の目的でのみ利用します。

診療支援業務

1. 病理診断の依頼受付と病理診断施設への情報提供
2. 診断結果の連携医療機関への提供
3. 診断報告書の管理

本サービスの運営

1. 本サービスの提供、保守、改善
2. 利用者認証とアクセス制御（二要素認証を含む）
3. 初めての端末からのログイン等、アカウントの安全に関わる事象の本人への通知
4. 利用者へのサポート提供

法令対応・統計利用

1. 医療法に基づく記録の保存
2. 法令に基づく開示要求への対応
3. 個人を特定できない形での統計データ作成

第5条（患者情報の入力責任）

1. 利用者が本サービスに入力する患者情報の正確性については、利用者および連携医療機関が責任を負います。
2. 利用者および連携医療機関は、患者情報の入力にあたり、患者への説明、および患者からの同意取得またはオプトアウト手続きが連携医療機関において適切に実施されていることを保証するものとします。

第6条（第三者提供）

1. 利用者が入力した患者情報は、病理診断の実施のため、病理診断施設に提供されます。これは連携医療機関と病理診断施設の間の病理診断に係る契約に基づく業務委託に伴う提供として整理されます。
2. 病理診断施設は、病理診断のため、当社が提供するWSIビューア「テクプラビジョン」を病理診断システムと連携して利用することがあります。この場合、依頼の情報の一部（病理番号、患者の氏名・年齢・性別、連携医療機関の名称・担当医師名、臨床診断、検体等）がテクプラビジョンに受け渡され、表示されます。所見・診断の本文、患者の生年月日・住所・電話番号等は受け渡しません。テクプラビジョンは当社が提供する別のサービスであり、受け渡した情報は、本ポリシーおよび病理診断システムのプライバシーポリシーに従い、同様に取り扱います。したがって、この受け渡しは第三者提供にはあたりません。詳細は病理診断システムのプライバシーポリシーによります。
3. 上記のほか、当社は以下の場合を除き、個人情報を第三者に提供しません。
   • 本人または連携医療機関の同意がある場合
   • 法令に基づく場合
   • 人の生命、身体または財産の保護に必要で、本人の同意を得ることが困難な場合
   • 公衆衛生の向上に特に必要で、本人の同意を得ることが困難な場合

第7条（委託と外国における取り扱い）

1. 当社は、本サービスの提供に必要な範囲で、個人情報の取り扱いを外部事業者に委託することがあります。委託先への提供は第三者提供には含まれません。
2. 委託先には海外事業者が含まれ、利用規約に定める用途（通信の中継、画面の配信、メールの送信、不正アクセス対策・ボット対策、および運用状況の把握）のために、個人情報の一部が国外の設備で取り扱われることがあります。
3. 当社は、委託先に対して必要かつ適切な監督を行います。

第8条（匿名加工情報の作成及び利用）

1. 当社は、病理診断施設の許可を得た範囲に限り、取得した個人情報を適切に匿名加工し、個人、病理診断施設および連携医療機関を特定できない形に加工した情報を作成する場合があります。
2. 匿名加工情報は、本サービスの品質向上、倫理審査を経た医学研究、AI技術等の研究開発に利用します。
3. 患者は、病理診断施設を通じて匿名加工情報の作成を拒否することができます（オプトアウト）。

第9条（安全管理措置）

組織的安全管理措置

1. アクセス権限の適切な設定と管理（当社の従業者が異動・退職したときの本サービスへのアクセス権限の削除等）
2. 利用者が異動・退職したときのアカウントの停止・削除は、利用規約に定めるとおり、管理者が行います
3. インシデント対応体制の整備

人的安全管理措置

1. 当社は、従業者に秘密保持の義務を課し、個人情報の適切な取り扱いに関する教育を行います

物理的安全管理措置

1. 本サービスのアプリケーションとデータベース、添付ファイル（画像・PDF等）、およびデータベースとログのバックアップは、国内の設備に保管します。
2. 添付ファイルは非公開とし、閲覧の際はその都度、有効期限付きのURLを発行してお渡しします。

技術的安全管理措置

1. SSL/TLSによる通信の暗号化
2. バックアップの暗号化と定期的な取得
3. アクセスログの記録と監視
4. 操作履歴の記録（監査ログ）
5. 二要素認証（TOTP または Passkey）への対応（第2要素を使えなくなった場合は、病理診断施設が解除します。病理診断施設で対応できない場合は、当社が本人確認のうえ解除します）
6. 病理診断施設の設定による、利用者ごとの接続元IPアドレスの制限への対応
7. ログイン時のボット対策
8. 初めての端末からのログイン、管理者による二要素認証の解除の、登録メールアドレスへの通知

外的環境の把握

「委託と外国における取り扱い」の条のとおり、個人情報の一部は国外の設備で取り扱われる場合があり、その国には米国を含みます。当社は、各国の個人情報の保護に関する制度を把握したうえで安全管理措置を講じます。

第10条（Cookieおよびアクセス情報）

Cookieの利用

本サービスは、以下の目的でCookie（ファーストパーティのみ）を使用します。広告の目的では使用しません。

1. セッション管理（ログイン状態の維持）
2. 認証情報の管理
3. セキュリティの確保

アクセス情報の記録

不正アクセス検知とセキュリティ確保のため、以下の情報を記録します。

1. IPアドレス
2. アクセス日時
3. 使用ブラウザ情報

ログインごとに、IPアドレス、使用ブラウザ情報（User-Agent）、日時をセッションとしてサーバーに保存します。利用者は、アカウント設定の「セキュリティ」で現在のセッションの情報を確認することができます。初めての端末からのログイン、および管理者による二要素認証の解除があった場合は、登録されたメールアドレスに通知します。

ボット対策

ログインの画面では、自動化された不正なアクセスを防ぐため、ボット対策を行います。この際、利用者のブラウザから、ボットの判定に必要な情報が送信されます。この情報は、「委託と外国における取り扱い」の条のとおり、国外の設備で取り扱われることがあります。

第11条（保存期間）

利用者データおよびアクセスログの保存期間は、利用規約の定めによります。報告書を公開した依頼の診断情報は、報告書の公開の日から少なくとも5年間保存します。

第12条（開示・訂正・利用停止）

開示対象個人情報

本ポリシーに基づき当社が保有する個人情報のうち、個人情報保護法第16条第4項に定める「保有個人データ」が、同法第33条以下に定める開示等の請求の対象となります。

開示請求

本人から個人情報の開示請求があった場合、本人確認の上、法令に従い対応します。ただし、以下の場合は開示できません。

• 本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
• 当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合
• 法令に違反する場合

訂正・利用停止

個人情報に誤りがある場合や利用目的の範囲を超えて取り扱われている場合は、調査の上、必要な対応を行います。ただし、法令により保存が義務付けられている情報は削除できません。

請求方法

開示等の請求は、下記お問い合わせ窓口までご連絡ください。本人確認のため、必要書類の提出をお願いする場合があります。

第13条（漏えい等が発生した場合の対応）

個人情報の漏えい等が発生した場合、当社は以下の対応を行います。

1. 速やかに（遅くとも検知から12時間以内に）影響範囲の調査と被害の拡大の防止に着手します。
2. 管理者に24時間以内に第一報を行い、原因・影響範囲その他管理者が必要とする情報を提供します。必要に応じて利用者に直接通知します。
3. サイバー攻撃が疑われる場合は、前項にかかわらず、直ちに必要な措置を講じ、管理者に第一報を行います。
4. 個人情報保護法に従い、個人情報保護委員会への報告および本人への通知を行います。病理診断施設または連携医療機関から取り扱いの委託を受けた個人データについては、委託元へ速やかに通知します。
5. 原因を分析し、再発防止策を講じます。

その他のセキュリティインシデントについては、利用規約に定める対応を行います。

第14条（本ポリシーの変更）

本ポリシーは、法令の改正、サービスの変更等により改定することがあります。改定する場合は、改定後の内容と効力発生日を定め、効力発生日より前に本サービス上でお知らせします。

第15条（お問い合わせ）

個人情報の取り扱いに関するお問い合わせ、開示等の請求、苦情等は以下にご連絡ください。