プライバシーポリシー

1. 事業者情報

合同会社ジモラボ（以下「当社」）は、当社が提供する治療院向け施術記録・予約管理 SaaS「karutelog」 （以下「本サービス」）における利用者の個人情報の取り扱いについて、以下のとおりプライバシーポリシーを定めます。

2. 取得する情報

• アカウント登録情報（氏名、メールアドレス、屋号・院名、電話番号、所在地等）
• 本サービスに利用者（治療院）が入力・登録する施術記録情報（患者の氏名・連絡先、施術内容、身体の状態・健康状態、既往歴、施術部位、経過等）。これらには個人情報保護法上の要配慮個人情報が含まれます。詳細は第 3 条をご参照ください。
• 予約情報（予約日時、担当者、来院履歴等）
• サービス利用ログ（IP アドレス、User-Agent、操作履歴）
• お問い合わせ内容
• Google ログイン利用時は Google 提供の sub / email / name
• Stripe による決済情報（カード番号等は Stripe が直接管理し、当社は保持しません）

3. 要配慮個人情報（施術・健康情報）の取扱い

本サービスで取り扱う施術記録には、患者の健康状態・身体の状態・施術内容など、個人情報保護法第 2 条第 3 項に定める 要配慮個人情報が含まれます。当社は、これらの情報を通常の個人情報よりも慎重に取り扱い、以下の方針に従います。

• 本人同意に基づく取得: 要配慮個人情報の取得は、原則として本人の同意に基づいて行います。施術記録は本サービスを利用する治療院（利用者）が入力するものであり、当社は利用者からの委託に基づき、利用者が患者本人から適法に同意を取得していることを前提として、これをお預かり・処理します。
• 利用目的の特定: 要配慮個人情報は、施術記録の作成・管理、予約管理、及び利用者（治療院）が患者へ提供する施術サービスの運営補助の目的にのみ利用し、当該目的の達成に必要な範囲を超えて取り扱いません。
• 第三者提供の原則禁止: 要配慮個人情報は、法令に基づく場合を除き、本人の同意なく第三者に提供しません。当社は当該情報を、利用者（治療院）に代わって処理する範囲を超えて、当社自身の目的のために利用・提供することはありません。
• 特別な安全管理措置: 要配慮個人情報については、アクセスできる担当者を必要最小限に限定し、暗号化・アクセス制御・アクセスログの保全等、第 7 条に定める安全管理措置を厳格に適用します。

4. 利用目的

• 本サービス（施術記録・予約管理）の提供・運営・改善
• 本人確認、利用料金の請求・決済処理
• 不正利用の防止、安全管理
• お問い合わせへの回答
• サービスに関する重要なお知らせの通知
• 統計データの作成（個人を特定できない形式に加工したもの）

5. 第三者提供

当社は、次の場合を除き、あらかじめ本人の同意を得ることなく個人情報（要配慮個人情報を含む）を第三者に提供しません。

• 法令に基づく場合
• 人の生命、身体又は財産の保護に必要があり、本人の同意を得ることが困難な場合
• 本サービスの提供に必要な範囲で、下記委託先に取り扱いを委託する場合（この場合、当社は委託先を適切に監督します）

※ 本サービスは施術記録の売買・提供・マッチング等を行うものではありません。当社が施術・健康情報を第三者へ販売・提供することは一切ありません。

6. 委託先

主な委託先：Hetzner Cloud（インフラ）、Cloudflare（CDN・ホスティング）、Brevo（メール配信）、Stripe（決済）、LINE（通知）。 委託先との間では個人情報の取り扱いに関する契約を締結し、適切な監督を行います。

7. 安全管理措置

当社は、施術・健康情報を含む個人情報の漏えい・滅失・毀損を防止するため、以下の措置を講じています。

組織的安全管理措置

• 個人情報保護管理者を設置し、責任体制を明確化
• 個人情報（特に要配慮個人情報）へのアクセス権限は必要最小限の担当者に限定し、権限管理台帳で管理
• 業務委託先との間で個人情報の取り扱いに関する契約を締結し、適切な監督を実施
• 漏えい等のインシデント発生時は速やかに個人情報保護管理者へ報告し、再発防止策を実施

物理的・技術的安全管理措置

• 通信は TLS 1.2 以上で暗号化
• 施術記録を含む保存データはアクセス制御されたストレージで管理
• パスワードはハッシュ化（bcrypt）して保存し、平文保存は行いません
• 管理者アカウントは TOTP 2 要素認証を必須化
• アクセスログを保全し、不正アクセスの検知に利用

人的安全管理措置

• 個人情報を取り扱う従業者に対し、要配慮個人情報の取扱いを含む定期的な教育・周知を実施
• 従業者との間で秘密保持に関する取り決めを行い、退職後を含め守秘義務を課す

8. 個人情報保護管理者 (A-1)

当社における個人情報保護の管理責任者は以下のとおりです。
個人情報保護管理者: 代表社員 伊藤 正明
連絡先: info@locallab.jp

9. 利用者・患者の権利

利用者及び患者本人は、当社が保有する自己の個人情報について、開示・訂正・追加・削除・利用停止・第三者提供停止を求めることができます。 患者本人からのご請求については、当該患者の施術記録を管理する治療院（利用者）を通じて対応する場合があります。 請求は info@locallab.jp までご連絡ください。原則として 7 営業日以内に対応いたします。

10. Cookie 等

本サービスは利便性向上のためセッション情報を sessionStorage / localStorage / Cookie に保存します。

11. お問い合わせ窓口

合同会社ジモラボ 個人情報保護管理者: 代表社員 伊藤 正明
メール: info@locallab.jp

12. 改定

法令の変更や本サービスの変更に伴い、本ポリシーを改定することがあります。重要な変更の際は本ページにてお知らせします。