(1) 組織的安全管理対策

1. 組織的取組における基本方針
   1. 情報セキュリティに関する組織体制
   2. 個人情報保護指針、プライバシーポリシー等について
   3. 個人情報保護法及び個人情報保護委員会が定めるガイドライン等の遵守状況
   4. 情報セキュリティに関する基本方針、運用管理規程等の情報セキュリティポリシーの策定状況
2. サービス提供に係る体制および、再委託先
3. 運用管理規程
4. 情報の管理状況に関する資料の提供について
5. 受託する情報に係るリスク分析の結果と対応措置
   1. サービスに係るリスク分析の概要
   2. サービスに係る脆弱性について、お客様側において対応していただく措置
   3. セキュリティ上の事故が生じた際の対応
6. 自社で定める機器の管理等の運用
7. 個人情報を記録した媒体の運用
8. 患者等への説明および同意を得る方法
9. 自社において実施するシステム監査等の状況、監査記録等の開示等の範囲、条件等
10. 医療機関等の管理者側からの問合せ窓口における受付の時間帯等

(2) 物理的安全対策

1. 本サービスの提供に供する機器等が格納されている環境
2. ①に示す施設における災害対策の状況
3. 入退管理に関する状況
4. その他クラウドサービス医療ガイドラインで定める物理的対策の実施状況
5. 物理的対策実施上、お客様に実施していただく対応

(3) 技術的安全管理対策

1. 本サービスに関する情報の区分設定及び管理
   1. 本サービスに関する情報の区分設定
   2. 本サービスに関する情報の管理
   3. 情報の管理
2. アクセス制御等
   1. お客様の利用時における 対応可能な認証方法
   2. 一時的な認証に関する取扱い
   3. お客様が利用する認証情報に対する管理
   4. 認証情報管理上のお客様に実施していただく対応
   5. 本サービスをご利用いただく利用者のアクセス権限の設定に関する対応状況
   6. 権限設定に関してお客様に実施していただく対応
   7. ｅ-文書法の対象となる情報を含む文書等の作成を目的とするサービス
   8. 本サービス提供に従事する運用・開発担当者（管理責任者含む）におけるアクセス制御に関する対応
3. アクセス記録に関する機能
   1. アクセス記録の取得
   2. アクセス記録の保存期間
   3. アクセス記録の提供
4. 情報漏洩対策への対応
   1. マルウェア等への対応
   2. 外部からの攻撃等への対策
   3. お客様の端末等に表示される情報の情報漏洩対応
   4. 情報漏洩対策に関して、お客様に実施していただく対応
5. バックアップ等の対策
   1. バックアップの取得と管理等
   2. 冗長化対応
   3. 毀損したデータの取扱い
6. サービス品質
7. 機器・ソフトウェア等の品質管理
8. お客様が利用する無線LAN・IoT機器に関する免責
   1. 無線LANに関する免責
   2. IoT機器に関する免責
9. 本項で定める管理対策に係る資料の提供等について

(4) 人的安全管理対策

1. サービス提供に従事する要因が遵守する義務
2. サービス提供に従事する要員に対する教育
3. 本項で定める管理対策に係る資料の提供等について

(5) 情報の破棄

1. 情報の破棄に関する安全管理対策
2. 情報破棄の手順
3. 本項で定める管理対策に係る資料の提供等について

(6) 情報システムの改造と保守

1. 情報システムの改造と保守に関する安全管理対策
2. 本サービスの提供に際して行う保守業務における技術的対応
3. 本項で定める管理対策に係る資料の提供等について

(7) 情報及び情報機器の持ち出し

1. 情報および情報機器の持ち出しに関する運用管理規程
2. 情報および情報機器の持ち出しにおける漏洩対策に関する安全策
3. 各利用者の個人所有の端末について
4. 本項で定める管理対策に係る資料の提供等について

(8) 災害等の非常時の対応についての安全管理対策

1. 障害に対する対応
   1. 障害に対する対応
   2. 障害時の責任分界点
2. 非常時の対応
   1. 非常時の対応に関する運用管理規程
   2. 非常時に用いる利用者アカウント及び非常時用の機能の有効化のための措置
   3. サイバー攻撃等への対応
3. 本項で定める管理対策に係る資料の提供等について

(9) 情報を外部と交換する場合の安全管理対策

1. ネットワークに関する安全管理対策
   1. ネットワークに対する安全管理対策
   2. お客様の施設内におけるルータ等の設定に関する免責
   3. お客様の機器の設定に関する免責
2. お客様とのネットワークに関連する責任分界
   1. 通信経路に関する責任分界について
   2. 本サービス利用に係る患者等へのセキュリティに関する説明について
   3. 患者等が閲覧する場合の対応について
3. 本項で定める管理対策に係る資料の提供等について

(10) 法令で定められた記名・押印を電子署名で行うことについての安全管理対策

(11) 個人情報の保護

1. 受託情報に対する閲覧制限
2. 個人情報等の外部保存に関する患者等への説明について

(12) クラウドサービスの利用終了

1. 本サービスの提供停止等における対応
2. お預かりしている情報の削除等

(13) 本書の改訂

1. 本書公開、改訂の管理
2. サービス仕様適合開示書の改訂の管理

(1) 組織的安全管理対策

① 組織的取組における基本方針

(a) 情報セキュリティに関する組織体制

(b) 個人情報保護指針、プライバシーポリシー等について

(c) 個人情報保護法及び個人情報保護委員会が定めるガイドライン等の遵守状況

サービス提供に際して遵守している個人情報に係る法令、ガイドライン・ガイダンス

(d) 情報セキュリティに関する基本方針、運用管理規程等の情報セキュリティポリシーの策定状況

② サービス提供に係る体制

③ 運用管理規程

④ 情報の管理状況に関する資料の提供について

⑤ 受託する情報に係るリスク分析の結果と対応措置

(a) サービスに係るリスク分析の概要

(b) サービスに係る脆弱性について、お客様側において対応していただく措置

(c) セキュリティ上の事故が生じた際の対応

• 情報が漏洩した可能性が発覚した場合には、原因究明のためサービスを一時的に停止する可能性があります。
• お客様に関連する情報が漏洩した場合は弊社オンライン診療事業部よりご連絡します。
• 大規模な漏洩が発覚した場合には、本サービスWEBサイト等にて速やかに公表し、サービスの提供についての管理責任者より、個人情報保護委員会への報告及び指示への対応を行います。

⑥ 自社で定める機器の管理等の運用

⑦ 個人情報を記録した媒体の運用

⑧ 患者等への説明および同意を得る方法

本サービスを使用するにあたり、患者は登録時に利用規約への同意が必要となります。

⑨ 自社において実施するシステム監査等の状況、監査記録等の開示等の範囲、条件等

⑩ 医療機関等の管理者側からの問合せ窓口における受付の時間帯等

• 連絡先（電話） 0570-05-1114
• 連絡先（メール） ds@yadoc.jp
• 受付対応時間 10:00〜19:00 (土日祝、当社休業日を除く)

(2) 物理的安全対策

① 本サービスの提供に供する機器等が格納されている環境

② ①に示す施設における災害対策の状況

③ 入退管理に関する状況

AWSデータセンターにおける入退管理は以下のとおりとなります。

④ その他クラウドサービス医療ガイドラインで定める物理的対策の実施状況

実施している対応については以下のとおりとなります。

⑤ 物理的対策実施上、お客様に実施していただく対応

弊社サービスを使用する端末の盗難防止、覗き見防止対策を行っていただくこととしております。

(3) 技術的安全管理対策

① 本サービスに関する情報の区分設定及び管理

(a) 本サービスに関する情報の区分設定

(b) 本サービスに関する情報の管理

弊社において実施している対応については以下のとおりとなります。

(c) 情報の管理

情報については、クラウドサービス医療ガイドラインに基づき以下のように管理しております。

② アクセス制御等

(a) お客様の利用時における 対応可能な認証方法

弊社では以下の認証方法に対応しております。

【認証方法：医療従事者】

• 設定していただいたIDとパスワードを用いてログインしていただきます。
• 利用する端末に医療機関ごとのクライアント証明書をインストールし、上記ID・パスワードに加えて二要素認証をしていただきます。

【認証方法：患者】

• 設定していただいたIDとパスワードを用いてログインしていただきます。

パスワードについては共に英数字記号8桁以上となります。

お客様が利用される認証に関する対応措置として、以下に示す項目を実施しています。

(b) 一時的な認証に関する取扱い

一時的な認証に関しては提供しておりません。

(c) お客様が利用する認証情報に対する管理

お客様の認証に用いる情報については、以下に示す項目を実施しています。

(d) 認証情報管理上のお客様に実施していただく対応

• 医療機関の管理者以外のパスワードに関しては管理者のみ設定可能となっておりますので、もし管理者も知りえない状態を担保する必要がある場合には医療機関様にて本人がパスワードを打ち込む等の対応をしていただく必要がございます。
• 弊社のセキュリティの管理上、IDおよびパスワードの双方を失念された場合の再設定は受け付けませんので、IDおよびパスワードの管理はユーザ様の責任で行っていただく必要がございます。

(e) 本サービスをご利用いただく利用者のアクセス権限の設定に関する対応状況

医療機関等のお客様が利用されるアクセス権限に関する対応措置は以下のとおりです。

(f) 権限設定に関してお客様に実施していただく対応

アクセス権限の設定に関してはお客様ご自身の責任で設定して頂く必要がございます。

(g) ｅ-文書法の対象となる情報を含む文書等の作成を目的とするサービス

本サービスにおけるｅ-文書法の対象となる情報を含む文書等の作成における機能の対応状況は以下のとおりです。

(h) 本サービス提供に従事する運用・開発担当者（管理責任者含む）におけるアクセス制御に関する対応

本サービス提供に従事する運用・開発担当者は担当者を一意に特定できるIDを発行し、ID・パスワード、および、TOTPを用いた二要素認証を行い、アクセス制御を実施しております。

その他、本サービス提供に係る運用・開発担当者（管理責任者含む）のアクセス制御に関する対応措置として以下の対応をしております。

③ アクセス記録に関する機能

(a) アクセス記録の取得

本サービスで実施しているアクセス記録に関する対策の対応は以下のとおりです。

(b) アクセス記録の保存期間

アクセス記録の削除は行わず、半永久的に保存しております。

(c) アクセス記録の提供

アクセス記録のお客様への提供は基本的に行っておりません。

但し、情報の漏洩、外部からの攻撃等が発生した場合に調査への対応のため、協議の上、提供する対応を行います。

④ 情報漏洩対策への対応

(a) マルウェア等への対応

本サービスで実施しているマルウェア等への対策として、以下に示す項目を実施しています。

(b) 外部からの攻撃等への対策

本サービスで実施している外部からの攻撃への対策として、以下に示す項目を実施しています。

(c) お客様の端末等に表示される情報の情報漏洩対応

本サービスで実施しているお客様の端末等に表示される情報の情報漏洩対策については、以下に示す項目となります。

(d) 情報漏洩対策に関して、お客様に実施していただく対応

情報漏洩対策として、お客様において実施していただきたい内容は以下となります。

• 本サービスが外部からの攻撃などにより漏洩等が発生した場合には影響範囲を周知すると共にお客様に対応していただく対策等をご連絡いたしますので、対策をお願いいたします。
• 本サービスを利用する端末のセキュリティ対策（ウィルス対策ソフトの導入やクリアスクリーン等）に関してはお客様の責任において実施していただきます。

⑤ バックアップ等の対策

(a) バックアップの取得と管理等

本サービスで実施しているバックアップの取得及び管理等については、以下に示すとおりです。

(b) 冗長化対応

本サービスで実施している冗長化対応については、以下に示すとおりです。

(c) 毀損したデータの取扱い

本サービスの提供に際して、受託したデータの毀損が生じた場合に実施している対応は、以下に示すとおりです。

※データの毀損等に対する免責

サービス提供に際して、受託データが毀損した場合において、本項で定める措置を行ったうえで、なお回復が困難であった場合、弊社の故意・重過失があった場合を除き、免責とさせていただきます。

⑥ サービス品質に係る免責

本サービスの品質に関して、以下の免責事項を設けています。

• 本サービスはお客様の回線状況、通信状況による影響を受けるため、その場合の応答の遅延などは免責とさせていただきます。

⑦ 機器・ソフトウェア等の品質管理

本サービスの提供に際して実施しているソフトウェア・機器等の品質管理については、以下に示すとおりです。

⑧ お客様が利用する無線LAN・IoT機器に関する免責

(a) 無線LANに関する免責

本サービスを使用する施設において、無線LANを使用している場合に無線LANの装置の稼働やセキュリティ対策については、お客様の責任において対応していただくものとし、これに起因して本サービスの利用に支障が生じた場合には、本サービスのサポート対象外とさせていただきます。

(b) IoT機器に関する免責

本サービスを利用する際にお客様の責任でIoT機器を使用する場合、IoT機器の稼働やセキュリティ対策については、お客様の責任において対応していただくものとし、これに起因して本サービスの利用に支障が生じた場合には、本サービスのサポート対象外とさせていただきます

⑨ 本項で定める管理対策に係る資料の提供等について

「技術的安全管理対策」において示す本サービスの管理対策に関する資料については、原則として本サービスのサポートページで提供するもの、及び各項で定める場合を除き、提供の対象外とさせていただきます。但し、お客様の申請に基づき、弊社で必要性を認めた場合には、お客様と必要な条件について合意の上、提供いたします。

(4) 人的安全管理対策

① サービス提供に従事する要因が遵守する義務

本サービスの提供に従事する要員（弊社従業員・派遣従業者・委託先）が遵守する義務等について、以下に示す項目を弊社就業規程・契約等に定めています。

② サービス提供に従事する要員に対する教育

本サービスの提供に従事する要員（弊社従業員・派遣従業者・委託先）に行う教育について、以下に示している項目を弊社就業規程・契約等に定めています。

③ 本項で定める管理対策に係る資料の提供等について

「人的安全管理対策」において示す本サービスの管理対策に関する資料については、原則として本サービスのWEBサイトで提供するもの、及び各項で定める場合を除き、提供の対象外とさせていただきます。但し、お客様の申請に基づき、弊社で必要性を認めた場合には、弊社が定める手順に基づいて、お客様と必要な条件について合意の上、提供いたします。

(5) 情報の破棄

① 情報の破棄に関する安全管理対策

本サービスの提供に関する、情報機器等の破棄等における安全管理対策については以下に示すとおりです。

② 情報破棄の手順

本サービスに提供に関して保存した情報、もしくはその媒体に関しては不要と判断したものはデータセンターの削除手順に従い、破棄いたします。

③ 本項で定める管理対策に係る資料の提供等について

「情報の破棄」において示す本サービスの管理対策に関する資料については、原則として本サービスのWEBサイトで提供するもの、及び各項で定める場合を除き、提供の対象外とさせていただきます。但し、お客様の申請に基づき、弊社で必要性を認めた場合には、弊社が定める情報開示規程に基づいて、お客様と必要な条件について合意の上、提供いたします。

(6) 情報システムの改造と保守

① 情報システムの改造と保守に関する安全管理対策

本サービスの提供に際して実施する改造と 保守業務における安全管理対策のうち、以下に示している項目について弊社規程等に定めています。

なお、保守業務行う際における個人情報の取扱いについて、以下に示している項目は本サービスで実施しております。

② 本サービスの提供に際して行う保守業務における技術的対応

本サービスの提供に際して行う保守業務における技術的対応について、実施しているのは、以下に示している項目です。

③ 本項で定める管理対策に係る資料の提供等について

「情報システムの改造と保守」において示す本サービスの管理対策に関する資料については、原則として本サービスのサポートページで提供するもの、及び各項で定める場合を除き、提供の対象外とさせていただきます。但し、お客様の申請に基づき、弊社で必要性を認めた場合には、お客様と必要な条件について合意の上、提供いたします。また本項でお客様に提供する旨を示した技術情報につきましては、お客様と必要な条件について合意の上、提供いたします。

(7) 情報及び情報機器の持ち出し

① 情報および情報機器の持ち出しに関する運用管理規程

本サービスの提供に際して実施する情報および情報機器の持ち出しにおける安全管理対策のうち、以下に示している項目について弊社運用管理規程等に定めています。

② 情報および情報機器の持ち出しにおける漏洩対策に関する安全策

本サービスの提供に際して実施する持ち出しにおける漏洩対策については、以下に示している項目を実施しています。

③ 各利用者の個人所有の端末について

本サービスを、各利用者様が個人で所有する端末で利用する場合（BYOD）、BYODの可否の決定およびその状況に関する管理は、本サービスの対象外でございます。従いまして、各利用者様が個人所有の端末を利用し、これに起因して発生した漏洩事故等に関しては、免責とさせていただきます。

なお、本サービスが利用できる環境につき、仮想化技術を用いた環境での利用に関する情報の提供については、次項「④ 本項で定める管理対策に係る資料の提供等について」に基づいて提供します。

④ 本項で定める管理対策に係る資料の提供等について

「情報および情報機器の持ち出し」において示す本サービスの管理対策に関する資料については、原則として本サービスのサポートページで提供するもの及び各項で定める場合を除き、提供の対象外とさせていただきます。但し、お客様の申請に基づき、弊社で必要性を認めた場合には、お客様と必要な条件について合意の上、提供いたします。また本項でお客様に提供する旨を示した技術情報につきましては、弊社が定める情報開示規程に基づいて、お客様と必要な条件について合意の上、提供いたします。

(8) 災害等の非常時の対応についての安全管理対策

① 障害に対する対応

(a) 障害に対する対応

本サービスの提供に際して、障害対応を速やかに行うための対策として、以下に示している項目を実施しています。

(b) 障害時の責任分界点

本サービスのシステム等のトラブルにより生じた障害については、弊社において調査を行い、その原因及び回復状況等に関する情報を、本サービスWEBサイト等において必要と判断した場合、速やかに公表いたします。但し災害等、不可抗力により生じた障害につきまし ては、可及的速やかに調査いたしますが、調査結果の公表の時期については、災害等の沈静化以降に実施することとします。本サービスのシステム等のトラブル以外で生じた本サービス提供上の障害につきましては、その調査結果及び対応に関しては免責とさせていただきます。

② 非常時の対応

(a) 非常時の対応に関する運用管理規程

非常時における本サービスの提供に際して実施する安全管理対策のうち、以下に示している項目について弊社運用管理規程等に定めています。

(b) 非常時に用いる利用者アカウント及び非常時用の機能の有効化のための措置

非常時が生じた場合に、セキュリティ確保の観点から、通常利用しているお客様のIDについては、一時的に無効とさせていただき 、代わりに利用できるID及びパスワードについて、お客様の管理者を通じて、ご連絡させて頂くことがあります。その際には、上記「非常時に用いる利用者のアカウント発行に関する規定」に基づいて、非常時における運用をさせていただきます。

(c) サイバー攻撃等への対応

サイバー攻撃等の非常時に対する本サービスの安全管理対策については、以下に示している項目を実施しています。

③ 本項で定める管理対策に係る資料の提供等について

「災害等の非常時の対応についての安全管理対策」において示す本サービスの管理対策に関する資料については、原則として本サービスのサポートページで提供するもの、及び各項で定める場合を除き、提供の対象外とさせていただきます。但し、お客様の申請に基づき、弊社で必要性を認めた場合には、お客様と必要な条件について 合意の上、提供いたします。

(9) 情報を外部と交換する場合の安全管理対策

① ネットワークに関する安全管理対策

(a) ネットワークに対する安全管理対策

本サービスの提供に用いるネットワーク経路の安全管理対策について、以下に示している項目を実施しています。

(b) お客様の施設内におけるルータ等の設定に関する免責

お客様が本サービスを利用するネットワークで用いるお客様の施設内のルータについて、これを経由して施設間を結ぶVPNの間で送受信ができないように経路を設定する場合には、お客様の責任で実施していただき、この設定に伴う本サービスの障害等については、免責させていただきます。なおルータの設定に必要な技術情報は、「③本項で定める管理対策に係る資料の提供等について」に基づいて、提供いたします。

(c) お客様の機器の設定に関する免責

本サービスを仮想デスクトップ等により利用する場合、利用環境に関する管理は、本サービスの対象外でございます。従いまして、お客様が仮想デスクトップ環境を利用し、これに伴い発生した漏洩事故等に関しては、免責とさせていただきます。なお、本サービスが利用できる環境につき、仮想化技術を用いた環境での利用に関する情報の提供については、「③本項で定める管理対策に係る資料の提供等について」に基づいて、情報提供します。

② お客様とのネットワークに関連する責任分界

(a) 通信経路に関する責任分界について

本サービスの提供に際して利用されるネットワーク対策については、①に定める対策を講じた上で、弊社における責任の範囲については、以下のように定めさせていただきます。

• 本サービスに係る弊社送受信の拠点から、弊社が利用するISPまでに生じた障害等に関する責任については、弊社側の責任とし、調査対応を行うほか、発生した障害による対応責任などを負うものとします。なお、弊社が利用する弊社以外のクラウドサービス事業者についても同様とします。
• それ以外のネットワーク上において発生した障害等に関しては、弊社における責任外とします。この場合、可能な範囲で情報提供などを行います。

(b) 本サービス利用に係る患者等へのセキュリティに関する説明について

本サービスの利用に係る患者等へのセキュリティに関する説明については、弊社においては必要な資料等の提供等を範囲とした対応とさせていただきます。なお、情報漏洩等のセキュリティ事故が生じた場合につきましては、別途お客様と協議の上、資料の提供や患者等への説明対応、問合せ対応を実施いたします。

(c) 患者等が閲覧する場合の対応について

本サービスで管理する情報につきましては、お客様の責任の下で、患者等の第三者の閲覧用に供することとさせて頂きます。患者等の第三者の閲覧については 、お客様が管理する環境下での閲覧を想定しており、併せて閲覧に必要な認証情報の管理についても、お客様の管理の下で、閲覧されることを想定しております。従いまして、本開示書にあるお客様の対応事項を実施して頂いたうえで、患者等への閲覧を行って頂くほか、これにより生じた情報漏洩等に関しましては、お客様との関係で取り決めた責任の範囲で対応させて頂くこととします。なお患者等が閲覧する場合の本サービスのセキュリティに関する説明につきましては、(b)項に準じて対応いたします。

③ 本項で定める管理対策に係る資料の提供等について

「個人情報を含む情報を外部と交換する場合の安全管理対策」において示す本サービスの管理対策に関する資料については、原則として本サービスのサポートページで提供するもの、及び各項で定める場合を除き、提供の対象外とさせていただきます。但し、お客様の申請に基づき、弊社で必要性を認めた場合には、弊社が定める情報開示規程に基づいて、お客様と必要な条件について合意の上、提供いたします。また本項でお客様に提供する旨を示した技術情報につきましては、お客様と必要な条件について合意の上、提供いたします。

(10) 法令で定められた記名・押印を電子署名で行うことについての安全管理対策

本サービスで作成するデータのうち、電子署名による記名・押印が法令で定められたものはございません。

(11) 個人情報の保護

① 受託情報に対する閲覧制限

お預かりしている情報の閲覧制限について、以下に示している項目を実施しています。なお閲覧に際しては、弊社規程に基づいて実施します。

② 個人情報等の外部保存に関する患者等への説明について

お客様の患者に対する本サービスの説明については、原則として本サービスのサポートページで提供するものを除き、提供の対象外とさせていただきます。但し、お客様の申請に基づき、弊社で必要性を認めた場合には、弊社が定める規程に基づいて、お客様と必要な条件について合意の上、提供いたします。

(12) クラウドサービスの利用停止・終了

① 本サービスの提供停止等における対応

本サービスの提供停止による弊社の対応については、以下に示している項目となります。

② お預かりしている情報の削除等

お客様の本サービスの利用停止が生じた際の、お預かりしている情報の削除等に関する弊社の対応については、以下に示している項目となります。

(13) 本書の改訂

① 本書公開、改訂の管理

本書は、本サービスの利用者に公開するものとします。
見直し後の本書について、本サービスの利用者に周知します。

② サービス仕様適合開示書の改訂の管理

サービス仕様適合開示書の改訂管理は、当社の管理責任者が行います。

以上