Security
情報セキュリティ方針
VITAL SYNC の情報セキュリティに関する基本方針です。
1. 基本方針
当社は、お客様から預かる情報、とりわけ健康に関する要配慮個人情報を事業の根幹をなす重要資産と位置づけ、その機密性・完全性・可用性の確保に組織を挙げて取り組みます。
2. 管理体制
情報セキュリティ責任者（村上 郁也）を中心とする管理体制を整備し、規程の策定・教育・点検・是正を継続的に実施します。
3. 技術的対策
- 役割ベースの厳格な権限分離（人事の画面に検査値・医療情報は表示しません）
- 通信（TLS）および保存データの暗号化
- 全アクセスの監査ログ取得
- 二要素認証（MFA）の標準提供
- データは国内（東京リージョン）で保管
4. 委託先の管理・データの保管場所
クラウド事業者等の委託先を適切に選定・監督し、契約により安全管理を義務づけます。
お客様の健康情報（要配慮個人情報）は、すべて日本国内（東京リージョン）で処理・保管しています。
| 用途 | 利用クラウド | リージョン |
|---|---|---|
| アプリケーション実行基盤 | Google Cloud（Cloud Run） | 東京（asia-northeast1） |
| データベース | Supabase（PostgreSQL） | 東京（ap-northeast-1） |
| 通知メール送信 | Amazon SES | 東京（ap-northeast-1） |
- 国外移転なし：個人データは国内リージョンで完結し、海外への移転は原則行いません。
- OCR（帳票のデータ化）も自社処理：外部委託先に要配慮個人情報を渡しません。
5. 準拠する法令・ガイドライン
当社は、関連する法令およびガイドラインに準拠して情報セキュリティおよび個人情報の適正な取扱いを担保しています。主に以下を参照しています。
- 個人情報の保護に関する法律（個人情報保護法）／個人情報保護委員会のガイドライン（要配慮個人情報の取扱いを含む）
- 労働安全衛生法（産業保健・ストレスチェック制度）
- 厚生労働省「労働者の心身の状態に関する情報の適正な取扱いのために事業者が講ずべき措置に関する指針」
- 総務省・経済産業省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（いわゆる3省2ガイドライン）
- ISO/IEC 27001（ISMS）、JIS Q 15001（プライバシーマーク）等の情報セキュリティ・プライバシー規格
6. 認証・第三者評価
当社は上記の法令・ガイドラインに準拠して運用しています。第三者認証（ISMS／プライバシーマーク 等）は現時点では取得していません。
7. インシデント対応
セキュリティインシデントの検知・報告・対応の手順を定め、発生時は速やかに影響範囲の特定・是正・関係者への通知・再発防止を行います。
8. 脆弱性の報告窓口
本サービスに関する脆弱性を発見された場合は、info@vitalsync-jp.com までご連絡ください。
9. 継続的改善
本方針および関連規程は、法令・技術動向・事業環境の変化に応じて定期的に見直します。