セキュリティと医療情報の取り扱い

データの保存

保存場所対応済み

訪問看護記録・利用者情報・記録写真は Supabase（PostgreSQL / Storage）に保存しています。インフラは AWS の東京リージョンです。アプリケーションは Vercel 上で動作します。

通信の暗号化対応済み

ブラウザ・スマートフォンとサーバー間の通信はすべて TLS 1.2 以上で暗号化しています。

保存時の暗号化対応済み

データベースおよびファイルストレージは、クラウド事業者の保存時暗号化が適用された領域に保存しています。

バックアップ一部対応

クラウド事業者による日次の自動バックアップとPoint-in-Time Recoveryを利用しています（保持期間は35日）。復旧目標時点（RPO）15分・復旧目標時間（RTO）4時間を目標として定め、復旧手順と年1回の復旧テストを方針として文書化しました。
ただし復旧テストはまだ1度も実施していません。そのため現時点のRTOは設計上の目標であって、実測値ではありません。初回実施の結果は方針文書に記録します。なお当社のバックアップ保持期間（35日）は、訪問看護記録の法令上の保存期間より短いため、事業所側でも定期的にCSVへ書き出して保管いただくことを推奨しています。

記録写真の閲覧制御対応済み

記録写真は直接URLでは開けません。ログイン中で、かつその記録を見る権限がある方にだけ、短時間有効な署名付きURLを発行しています。

アクセス制御と認証

ステーション間のデータ分離対応済み

すべてのデータをステーション単位で分離しています。記録・利用者・スタッフ・請求データを扱うすべてのAPIで、サーバー側が「そのデータが自ステーションのものか」を毎回検証します。URLのIDを書き換えても他ステーションのデータは取得できません。

担当外の利用者へのアクセス制限対応済み

看護師・療法士は、担当として割り当てられた利用者の記録のみ作成・閲覧できます。割り当てのない利用者はサーバー側で拒否します。

権限管理（ロール）対応済み

管理者・看護師・PT・OT・ST のロールを持ちます。スタッフ管理、請求データの作成、監査ログの閲覧、事業所設定は管理者のみが操作できます。

認証対応済み

看護師は LINE ログイン（IDトークンをサーバー側で検証）、管理者はメールアドレスとパスワード（bcrypt でハッシュ化して保存）です。セッションは署名付き Cookie で、改ざんを検知します。

二要素認証一部対応

管理者ログインで利用できます。設定画面から有効にすると、パスワードに加えて認証アプリ（Google Authenticator、1Password など）の6桁コードの入力を求めます。端末を失くした場合に備えたバックアップコードも発行します。
厚生労働省のガイドラインは令和9年度時点で稼働している医療情報システムに二要素認証を求めており、その期限に先んじて提供しています。ただし現時点では任意設定であり、必須にはしていません。また、LINE ログインを使う看護師アカウントは対象外です（LINE 側の認証に依存するため）。

端末の紛失・スタッフの退職への対応対応済み

管理者が管理画面からスタッフを無効化すると、そのスタッフは以後ログインできず、すでにログイン中の端末もその場で使えなくなります。アカウントは止めずに締め出したい場合（端末だけ紛失した等）は、スタッフ詳細画面の「全端末からログアウトさせる」を使います。本人が新しい端末でログインし直せば、そのまま利用を続けられます。管理者パスワードを再設定した場合も、それ以前のセッションはすべて無効になります。

不正利用の抑止対応済み

ログイン試行やAI下書き生成など負荷の高い操作には、ステーション単位のレート制限をかけています。

記録の真正性（誰がいつ何を書いたか）

電子的な看護記録には「真正性・見読性・保存性」が求められます。看護レポで実装している内容は次のとおりです。

作成者・作成日時対応済み

すべての訪問看護記録に、記録した職員と作成日時が紐づきます。

提出（記録者本人の確定）対応済み

看護師が「提出」した時点と、提出した本人を記録します。下書きのまま放置された記録と、本人が内容を確定させた記録を区別できます。

管理者の確認対応済み

管理者が記録を確認した時点と、確認した管理者を記録します。管理者は差し戻し（修正依頼）もできます。

訂正履歴・変更前データ対応済み

確定した記録は上書きしません。訂正すると新しい版が作られ、旧版は「上書きされた版」として残ります。何版目か、どの記録を訂正したものかを追跡できます。

削除対応済み

提出済みの記録は削除できません（訂正は版管理で行います）。削除できるのは未提出の下書きのみで、その場合も削除前の内容一式を操作ログに退避してから削除します。

操作ログ対応済み

記録・利用者・スタッフ・請求データへの作成／更新／削除／書き出し、およびログインの成否を、実行者・日時・IPアドレス・端末情報とともに記録しています。管理者は管理画面から閲覧できます。

操作ログの改ざん防止対応予定

操作ログは通常の運用では書き換えませんが、追記専用であることを技術的に強制する仕組みと、ログ自体の保存期間の定義はこれからです。

見読性（画面・印刷・書き出し）対応済み

記録は画面での閲覧、印刷、CSV での書き出しに対応しています。訪問看護記録書II の形式で出力できます。

システム停止時の見読手段未対応

サービスが停止している間に記録を参照する手順は未整備です。当面は、定期的に CSV へ書き出して事業所側で保管いただくことをお願いしています。

生成AIに送るデータの範囲

どの機能が、どの事業者に、何を送っているかをそのまま公開します。実際に送っていない情報を「送っていない」と書き、送っている情報は隠しません。

AIによる記録の下書き（Anthropic）対応済み

看護師が話した内容・入力した文章を送信します。送信前にサーバー側で、利用者の氏名（表記ゆれ・「〜さん」などの敬称を含む）、スタッフの氏名、電話番号、メールアドレスを取り除きます。利用者IDや事業所番号は送信しません。送信した文章そのものを当社側に保存することはせず、送信日時・文字数・利用したモデルのみを利用実績として記録します。

AIによる月次サマリー（Google）一部対応

バイタル・看護内容・アセスメントを送信します。利用者の氏名は「利用者」に、スタッフの氏名は「担当者A／B／C」に置き換えて送信します。氏名は送っていませんが、記録本文そのものは送信しています。

名簿の写真取り込み（Google）一部対応

管理者が名簿の写真をアップロードして利用者・スタッフを一括登録する機能では、氏名を含む画像そのものを送信します。氏名を外部のAIに送りたくない場合は、この機能を使わず CSV での取り込みまたは手入力をご利用ください。

AIの出力を正式な記録にしない設計対応済み

AIが作るのは下書きだけです。AIが記録を自動で確定させることはありません。看護師が画面で内容を確認し、提出の操作を行ってはじめて記録として成立します。AI下書きから作られた記録には、その事実・利用したモデル・人間が確認した時点を残しています。また、本文に書かれていないバイタルをAIが推測して埋めないようにし、医学的にありえない値や血圧の上下が逆転した値はサーバー側で捨てて「要確認」として看護師に返します。

LINE の利用範囲

厚生労働省ガイドラインのQ&A（概Q-8）では、SNS等のWebサービスで患者の医療情報を扱う場合、そのサービス自体が医療情報システムに該当し、ガイドラインの基準を満たす必要があるとされています。当社は次の方針をとっています。

LINE は入口・通知・ログインに使う対応済み

LINE は、ログイン、記録画面の起動、管理者への提出通知に使います。LINE に渡るのは、スタッフの LINE ユーザーID・表示名・プロフィール画像と、通知の文面です。

患者情報の入力・閲覧は当社の画面で行う対応済み

利用者の氏名・バイタル・記録本文の入力と閲覧は、すべて当社が管理する Web アプリケーション画面（LINE から起動する専用画面）で行います。この画面の通信・認証・アクセス制御は当社の管理下にあります。
LINE のトーク画面に、利用者の氏名・バイタル・記録本文が表示されることはありません。「記録」と送ると記録画面を開くボタンが返り、利用者の選択もそこから行います。「履歴」で返すのは日付と提出状況だけで、記録の中身は含みません。管理者への提出通知にも利用者名は含めず、誰の記録かは管理画面を開いて確認します。

個人所有端末（BYOD）一部対応

看護レポは、スタッフが普段使っているスマートフォンから使えることを前提にしています。当社側では、記録の閲覧範囲の制限、ログイン状態の管理、スタッフの即時無効化を提供します。一方、ガイドラインが BYOD に求める MDM／MAM による端末管理や業務領域の分離は、端末を管理する事業所側の対策です。事業所において、画面ロックの必須化、OS の更新、業務利用のルール（運用管理規程）の整備をお願いしています。

データの取得・保存期間・退会

いつでもデータを取り出せること対応済み

契約期間中はいつでも、管理画面から訪問看護記録・利用者情報・請求データを CSV で書き出せます。特定の事業者に囲い込まれない形でデータを保持していただけます。

解約後の保持期間対応済み

解約後も90日間はデータを保持します。この期間内であれば、再契約によりそのままご利用いただけるほか、データの書き出しにも対応します。90日を経過した後は削除し、復旧はできません。バックアップからの完全な消去には、バックアップの保持期間（最大35日）を要する場合があります。

法令上の保存義務対応済み

訪問看護記録には、指定訪問看護事業者の運営基準および関係法令に基づく保存義務があります（原則として完結の日から2年。自治体・保険者によっては5年を求める場合があります）。保存義務の履行は各事業所の責任です。当社のサービス上の保持期間とは別に、必要な期間の保存措置を講じてください。

インシデント対応

検知一部対応

アプリケーションのエラーとログイン失敗を記録・監視しています。24時間体制の監視や、異常検知の自動アラートは未整備です。

報告対応済み

個人情報の漏えい等が発生した、またはそのおそれがあると判断した場合、個人情報保護法に基づき個人情報保護委員会へ報告し、影響を受ける事業所へ速やかにご連絡します。

公表対応予定

サービス稼働状況を継続的に公開するステータスページは未提供です。当面は登録メールアドレス宛のご連絡で対応します。

外部委託先

本サービスの提供に必要な範囲で、次の事業者に業務を委託しています。委託先には契約により安全管理措置を求めています。詳細はプライバシーポリシーに記載しています。

委託先の一覧対応済み

Supabase（データベース・ファイル保管）／ Vercel（アプリケーション実行基盤）／ Anthropic（AIによる記録の下書き）／ Google（AIによる要約・名簿の写真取り込み）／ LINEヤフー（ログイン・通知）／ Stripe（決済）／ Upstash（レート制限）／ Resend（メール送信）。

厚生労働省ガイドラインへの対応方針

「準拠」とは書きません一部対応

当社は「医療情報システムの安全管理に関するガイドライン 第6.0版」を参照して設計・運用していますが、「完全準拠」とは表示しません。同ガイドラインは医療機関等・事業者・運用の三者がそれぞれ責務を負う構成であり、事業者単独で充足を宣言できる性質のものではないためです。当社が実装している事項と、未対応の事項を、このページで個別に開示する方針をとります。

第三者認証未対応

ISMS（ISO/IEC 27001）等の第三者認証は現時点で取得していません。取得している場合にのみ表示します。

優先して取り組む項目対応予定

当初の優先4項目（二要素認証、LINE から利用者名を排すること、セッションの即時失効、バックアップ方針の明文化）はいずれも対応しました。次は、操作ログの追記専用化とサービス稼働状況を公開するステータスページに取り組みます。