個人情報保護方針
最終更新日: 2026年7月23日
MDX株式会社（以下「当社」）は、当社が運営する「在宅ボード」（在宅クリニックナビの会員基盤を含む本サービス。以下「本サービス」）における個人情報の取扱いについて、以下のとおり個人情報保護方針を定め、関係法令およびガイドラインを遵守します。
第1条（取得する個人情報）
本サービスでは、お問い合わせフォーム・掲載申込フォーム・アカウント登録・各種連携機能等を通じて、以下の個人情報を取得する場合があります。
- 氏名
- メールアドレス
- 電話番号
- 所在地・お住まいの地域
- ご相談内容（健康状態・療養状況・ご家族の状況等を含む場合があります）
- 位置情報（GPSによる現在地取得をご利用いただいた場合）
- 掲載医療機関の方からの申込に伴う担当者情報・医療機関情報
- アカウント認証・外部サービス連携に伴い取得する情報（第5条の2・第5条の3に定めるもの）
- アクセス解析等で自動的に取得される情報（IPアドレス・Cookie・ブラウザ種別・参照元URL・流入経路（utmパラメータ等）など）
第2条（利用目的）
取得した個人情報は、以下の目的で利用します。
- お問い合わせ・ご相談への対応
- 本サービスの利用者認証・アカウント管理
- 掲載医療機関情報のご案内（地域・ご状況に応じた紹介を含む）
- 掲載医療機関への確認・連絡（必要かつご相談対応に資する範囲に限る）
- 掲載申込・契約手続き、契約後の連絡
- 利用施設間の連携（在宅医療に関わる医療機関・訪問看護ステーション・介護事業者等の間での、療養に必要な情報の共有・連絡調整の仲介）
- 疑義照会への対応（処方内容等に関する照会・回答のやり取りの仲介および記録）
- 患者様・ご家族様からの直接のご相談受付（いわゆる「手上げ」機能：ご相談内容を確認のうえ、選択された登録事業所へお取次ぎすること）
- お問い合わせフォームからいただいたご相談内容を、お問い合わせ先としてお選びいただいた医療機関へ提供し、当該医療機関がお問い合わせに直接回答するために利用すること
- 本サービスの運営・品質向上・改善、利用状況の分析
- 不正利用の防止
- その他、上記利用目的に付随する業務
第3条（第三者提供および当社の立場）
本サービスにおける利用施設間の情報共有（連携・疑義照会等）について、個人情報を第三者に提供する主体は当該利用施設です。当社は、利用施設からの委託に基づき、その情報共有のための通信基盤（本サービス）を提供する立場にあり、当社自身が独自の判断で個人情報を第三者へ提供するものではありません。当社は、委託の趣旨に従い、委託された目的の範囲を超えて当該情報を取り扱いません。
利用施設が本サービスを通じて他の利用施設へ情報を共有する場合の適法性（ご本人の同意の取得、黙示の同意によることの可否、記録の作成・保存を含みます）は、提供主体である当該利用施設が確保するものとします。当社は、利用施設がこれらを履行できるよう、共有の記録を作成・保存する機能を提供します。
また、当社が自ら取得した個人情報（お問い合わせ・掲載申込等）については、次のいずれかに該当する場合を除き、ご本人の同意なく第三者に提供しません。
- ご本人の同意がある場合
- 法令に基づく場合
- 人の生命・身体・財産の保護のために必要であり、本人の同意取得が困難な場合
- ご相談内容への対応に必要な範囲で、掲載医療機関等に共有する場合（例: 受入可否の確認・連絡先の引き渡し等。共有する情報は必要最小限に留めます）
第4条（医療相談・診断ではない旨）
本サービスは、訪問診療・在宅医療を行う医療機関の情報を集約し、利用者の医療機関選択および在宅医療関係者間の連携を支援する情報提供サービスです。本サービスは医療行為・診断・治療方針の提示・救急対応を行うものではありません。
緊急を要する症状がある場合は、速やかに119番（救急）または医療機関に直接お問い合わせください。本サービスを介してご案内する情報は、医師・医療機関による診断・診療を代替するものではなく、最終的な医療判断は必ず医療機関にて行ってください。
第5条（Cookie・アクセス解析・外部送信される情報について）
本サービスでは、利用状況の把握・サービス改善・掲載効果の測定のため、Cookie および類似技術（タグ・計測用スクリプト等）を使用しており、利用者の端末から外部事業者（Google LLC のアクセス解析・地図サービス、フォーム送信サービス等）に対して情報が送信される場合があります（改正電気通信事業法第27条の12に基づく外部送信規律への対応）。送信される情報には、氏名・住所・メールアドレス等、個人を直接特定する情報は原則として含まれません。各外部事業者における情報の取扱いについては、それぞれの事業者が定めるプライバシーポリシー等をご確認ください。
Cookie の利用を希望されない場合は、ブラウザの設定で Cookie を無効化することができます。ただし、その場合は本サービスの一部機能がご利用いただけないことがあります。
第5条の2（アカウント認証で取得する情報）
本サービスは、ログイン手段として Google アカウントによる認証（OAuth）およびメールリンク認証を提供します。Google アカウントでログインされた場合、当社は Google から以下の情報を取得し、利用者認証およびアカウント管理の目的でのみ利用します。
- メールアドレス
- 基本プロフィール（表示名）
- プロフィール画像（アバター）の URL
これらの情報は、認証基盤（Supabase）および当社の会員データベースに保存され、広告目的での利用や販売は行いません。
第5条の3（Google ユーザーデータの取扱い・Google API Services User Data Policy への準拠）
本サービスは、利用者が明示的に連携を許可した範囲で、Google カレンダーとの連携機能を 提供します。利用者がカレンダー連携を有効化した場合、本サービスは、Google Calendar API のスコープ（https://www.googleapis.com/auth/calendar.events）を通じて、(1) 利用者の操作により本サービスから Google カレンダーへ予定を 1 件書き込むこと（現時点では接続確認用のテストイベント 1 件）、および (2) Google カレンダーの予定（本サービスの画面に表示中の月分）を読み取って本サービス の画面に並べて表示すること、の 2 つの用途にカレンダー情報を使用します。本サービスが 自動的・定期的にカレンダーを同期する機能、または本サービス上の予定を一括して Google カレンダーへ反映する機能はありません。連携を有効化しない限り、当社が利用者の Google カレンダー情報にアクセスすることはありません。
当該連携を有効化した場合に当社が取り扱う Google ユーザーデータは、以下のとおりです。
- アクセスする情報: 利用者が連携した Google カレンダー（既定は primary）内の予定の識別子・タイトル・開始日時・終了日時を利用します。場所・説明・参加者情報は利用も保存もしません。
- 利用目的: 利用者の操作により本サービスから Google カレンダーへ訪問予定を書き込むこと（現時点では接続確認用のテストイベント 1 件）、 および Google カレンダーの予定を本サービスの画面に表示すること。この目的以外にカレンダー情報を利用しません。
- 保存: Google カレンダーから取得した予定の内容（識別子・タイトル・開始日時・終了日時）を、当社のデータベースに保存することはありません。取得した予定は画面表示のためにその都度取得するもので、当社側に蓄積しません。当社が保存するのは、連携を維持するための認証情報（アクセストークン・リフレッシュトークン）および連携設定（同期先カレンダーの識別子・付与されたスコープ・最終同期日時等）です。 あわせて、安全管理措置として連携動作の監査記録（当社が作成した予定の識別子・実行日時・実行した利用者の識別子等）を保存します。この監査記録に予定の本文は含みません。本サービスから Google カレンダーへ書き込む予定は、予定の日付（終日）・「訪問予定（ケース#施設内管理番号）」型の件名・固定の汎用説明文だけで構成され、場所（location）は設定しません。 同イベントには患者氏名・住所・診療内容その他患者を識別し得る医療情報（PHI）を含みません（当社の実装上、既定で遮断しています）。
- 第三者提供・共有: 取得したカレンダー情報を、本人の同意なく第三者に販売・提供しません。
- AI 学習への不使用: 取得したカレンダー情報を、汎用的な AI／機械学習モデルの学習に使用しません。
- 削除: 連携の解除、またはアカウントの削除により、当社が保持する認証情報および連携設定を削除します。ただし、安全管理措置および監査の必要から、上記の監査記録は所定の期間保持します（予定の本文は含みません）。利用者は Google アカウントの設定からいつでも本サービスへのアクセス許可を取り消すことができます。
本サービスによる Google API から受領した情報の使用および他のアプリケーションへの転送は、限定的使用（Limited Use）要件を含む Google API Services User Data Policy に準拠します。
（英語原文 / canonical statement）ZAITAKU BOARD's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
第6条（安全管理措置）
当社は、個人情報の漏えい、滅失、毀損等を防止するため、適切な安全管理措置を講じます。患者を識別し得る医療情報については、その他の情報と区分して取り扱う方針です。具体的な保管構成（保管場所・分離方式を含む）は、当該機能の提供開始時に確定し、本方針で開示します。
外的環境の把握
当社は、個人データの取扱いの一部を外国にある事業者に委託しており、また外国に所在するサーバに個人データを保存しています。当社は、当該外国における個人情報の保護に関する制度を把握した上で、個人情報の保護に関する法律第23条に基づく安全管理措置を講じています（同法第32条第1項第4号、同法施行令第10条第1号）。
対象となる外国および事業者
- アメリカ合衆国 ── Vercel Inc. 当社の会員サイトおよびポータルサイトのホスティングを委託しており、同社が管理するアメリカ合衆国内のサーバに個人データが保存されます。
- アメリカ合衆国 ── Resend, Inc. 当社が送信する通知メールの配信を委託しており、通知メールの宛先メールアドレスがアメリカ合衆国内のサーバで取り扱われます。当社が同社に提供する個人データは宛先メールアドレスに限られ、診療情報その他の要配慮個人情報を含みません。なお、同社は再委託先を利用しており、その一覧は同社が公表しています。当社は当該一覧を定期的に確認しています。
把握した制度の概要
アメリカ合衆国には、日本の個人情報の保護に関する法律に相当する包括的な個人情報保護法制は存在せず、分野別・州別の法令により規律されています。また、外国情報監視法（FISA）第702条およびクラウド法（CLOUD Act）等、政府機関による情報取得を可能とする制度が存在します。
把握した内容を踏まえて講じている措置
- 各委託先との間で、当社の文書化された指示以外の目的での個人データの取扱いを禁止する契約を締結しています。
- 各委託先に対し、日本の個人情報の保護に関する法律第4章第2節の規定の趣旨に沿った措置の実施を確保しています。
- 外国にある委託先に提供する個人データの範囲を、業務上必要最小限に限定しています。特に通知メールについては、本文に診療情報・患者氏名等を含めない運用としています。
- 各委託先による措置の実施状況および当該外国の制度の有無・内容を、年1回以上の頻度で確認しています。
- 委託先による適正な取扱いの継続的な確保が困難となった場合には、当該委託先への個人データの提供を停止します。
本人からのお求めに応じ、外国にある第三者による措置に関する情報を提供いたします（個人情報の保護に関する法律第28条第3項）。お問い合わせ先は本方針末尾に記載のとおりです。
第7条（保有期間・廃棄）
取得した個人情報は、利用目的の達成に必要な期間に限り保有し、利用目的を達成した後は適切な方法で廃棄します。
第8条（開示・訂正・削除等の請求）
ご本人から個人情報の開示・訂正・利用停止・削除等のご請求があった場合、本人確認のうえ、合理的な範囲で速やかに対応します。下記お問い合わせ窓口までご連絡ください。
第9条（本方針の変更）
当社は、必要に応じて本方針を変更することがあります。変更後の方針は本ページに掲載した時点から効力を生じます。
第10条（お問い合わせ窓口）
個人情報の取扱いに関するお問い合わせは、以下までご連絡ください。
- 運営者: MDX株式会社
- 個人情報保護管理者: 情報戦略部長
- サービス名: 在宅ボード（在宅クリニックナビ）
- 窓口: info@zaitaku-board.com