情報セキュリティ方針

1. 経営者の責任

• クリニックAIラボ (運営: Yorozumed。個人事業者) は、お預かりする情報を守ることを運営者自身の責任と考え、この方針を定めて公表します。

2. 法令の遵守

• 個人情報の取扱いは、個人情報保護法とその指針に従います。取得する情報・利用目的・保有期間・開示等の請求の窓口は、プライバシーポリシーに定めています。

3. 管理体制

• 情報の管理の責任者は運営者本人です。個人データを扱うのは運営者本人だけです。基盤・メール送信などは「委託先と所在国」の各社に任せ、各社との契約で取扱いを定めています。
• 個人情報についての苦情・開示等の窓口は privacy@clinicailab.com、そのほかのご連絡は contact@clinicailab.com です。

4. 掲載企業の管理ページの守り

• ログインは、登録したメールアドレスに届くコードで行います。パスワードは使いません。招待されていないメールアドレスは登録できません。
• ログインの期限は 7 日です。期限を過ぎると、改めてコードでログインしていただきます。
• データは会社ごとに分けています。データベースの行ごとの制御により、ほかの会社の情報は見えません。
• 管理ページは、ほかのサイトの枠に埋め込んで表示できません。
• カード番号は Stripe のページに直接入力され、当ラボには届きません。
• 管理ページでの操作は記録し、同じ会社のメンバーに表示します。

5. 資料請求をした方の情報

• 資料請求・デモ依頼の内容は、フォームで同意いただいた場合に限り、その製品の提供企業へ渡します。同意いただいていない項目は渡しません。渡す前なら、いつでも削除を請求できます (渡した後も、当ラボの記録は削除を請求できます)。
• 渡す項目と、日本の外の企業へ渡すときの扱いは、プライバシーポリシーの「第三者への提供」のとおりです。

6. 委託先と所在国

• Vercel Inc. (米国): サイトの配信の基盤。
• Supabase Inc. (米国の事業者。データの保存先は日本 (東京)): データベースと、ログインのコードの発行。
• Stripe (米国など): 掲載企業への請求書の作成・送付と決済。
• Resend (米国): メールの送信。
• Discord (米国): 受付の通知。氏名・連絡先は送りません。
• それぞれの国の制度を把握したうえで措置を講じます。Stripe への委託の詳細はプライバシーポリシーに載せています。

7. 事故のときの対応

• 個人データの漏えいなどが起きたとき、またはそのおそれがあるときは、まず被害の広がりを止めます。法令が求める場合は、個人情報保護委員会への報告とご本人への通知を行い、掲載企業の情報に関わるときはその企業にもお知らせします。

8. 脆弱性の報告窓口

• サイトの弱点を見つけたときは、contact@clinicailab.com へ、件名に「脆弱性」とお書きのうえ、再現の手順と影響の範囲をお知らせください。
• 窓口の情報は security.txt にも置いています。

9. 継続的な改善

• 実際の運用と方針が食い違わないよう、サイトや委託先を変えたときと、少なくとも年 1 回、この方針を見直します。
• 改定したときは、版と日付をこのページの上部に示します。