安全管理方針

1. 取り扱う情報を減らす

機能の提供に必要な項目だけを保存し、プロフィールでは本名・生年月日を収集しません。Uro Careは標準質問票の設問・選択肢・自動採点・PDF配布・新規保存を提供しません。Self Checkでは受診を急ぐ目安と、各質問票の外部提供元へのリンクだけを案内します。外部サイトで入力した内容や結果はUro Careへ自動送信・連携されません。停止前に保存された質問票の既存履歴は新しい入力画面には表示せず、本人の書き出し・削除に必要な範囲だけで扱います。Uro Care独自のUro Rhythm排尿日誌は引き続き提供します。問い合わせフォームにも健康情報を入力しないよう明示します。PDF・Excelは可能な限り利用者のブラウザで生成します。

2. 本人確認とアクセス制御

一般利用者は確認済みメールアドレスと強度要件を満たすパスワードで登録します。マイカルテでは本名ではないニックネームを設定し、新規会員にはメールアドレスから独立したランダムな内部IDを発行します。パスワードはUro Careの健康記録データベースへ保存しません。

ログイン状態は署名、有効期限、サーバー側の失効状態を検証し、ログアウトやアカウント削除後のセッションを再利用できないようにします。記録の読み書きはアカウント単位で制限し、管理機能は許可された担当者だけが利用できます。権限は定期的に棚卸しします。

3. 通信とブラウザの保護

HTTPSを使用し、状態を変更する通信では送信元を確認します。会員・管理・API画面のキャッシュと検索登録を抑止し、他サイトへの埋め込み、不要なカメラ・マイク・位置情報利用、過大な送信を制限します。

4. 監査と不正利用の検知

ログイン、既存決済通知、書き出し、削除、管理操作などを、内容を含まない監査イベントとして記録します。利用者識別子は秘密鍵付きで一方向変換し、健康記録の本文、症状、検査値は監査ログへ残しません。新規の申込み、契約管理、決済確認の機能は認証後も利用できません。

5. 保存・削除・復旧

利用者はマイカルテから自分のデータを書き出し、削除できます。Uro Rhythmは最大366記録日、Programの入力途中の下書きは最終保存から30日など、機能ごとの保持期間を区別します。本番データを削除した後も、障害復旧用の世代から一定期間復元できる場合があります。復旧を行う場合は、削除依頼の外部参照記録と照合し、削除対象を再適用してから公開を再開します。現行契約の復元可能期間と実地確認日は非公開の運用台帳で管理します。

6. 委託先と変更管理

認証、ホスティング、データベース、問い合わせメール、および停止前からの既存契約照合に用いる決済事業者について、契約主体、取り扱う情報、保存地域、再委託、安全管理、削除・復旧条件、障害・事故時の連絡方法を台帳で確認します。確認日が120日を超えた項目は、管理上の確認済み状態を解除します。ライブラリ更新、設定変更、データベース変更は検査後に反映します。現在のUro Careは、運用設定の変更だけで新規決済を開ける設計にはしません。

7. インシデント対応

Uro Care運営責任者を安全管理責任者とし、不正アクセス、漏えい、滅失、毀損等が疑われた場合は、影響機能の停止、影響範囲の特定、証拠保全、委託先への連絡、復旧、原因分析、再発防止を行います。法令上必要な場合は個人情報保護委員会等への報告と、影響を受ける利用者への通知を行います。責任者、代理連絡先、停止手順、復旧承認を定期的に訓練し、確認日を管理します。

8. 利用者ができること

• 共有端末では利用後にログアウトしてください。
• 端末とブラウザを更新し、他サービスと同じ認証情報を使い回さないでください。
• 書き出したPDF・Excelには健康情報が含まれるため、保存先と共有相手を確認してください。
• 身に覚えのない操作や請求は、問い合わせフォームから連絡してください。