プライバシーポリシー

「はたサポ」を運営する〔運営者の名称〕（以下「運営者」といいます。）は、個人情報を次のとおり取り扱います。この方針の公表自体で、結果の共有や任意のサービスの利用への同意を求めるものではありません。

1. 運営者

名称：〔運営者の名称〕 所在地：〔運営者の所在地〕 代表者：〔運営者の代表者〕 個人情報に関する窓口：〔個人情報窓口・連絡方法〕

2. 取り扱う情報と、はたサポの立場

従業員の氏名・連絡先・社員番号・部署・属性、受検状況、ストレスチェックの回答・結果、面接指導、医師用記録、本人向けのまとめ、医師の意見、就業上の措置、健康状態ヒアリングの回答・会話・結果、健康相談チャットの会話、同意の記録と操作ログ、はたサポを使わない医師・専門職について事業者が登録した氏名・連絡先などは、事業者から委託を受けて扱います。本人や事業者に見せる範囲は、法令、本人の同意、権限と役割により区別します。委託された情報を事業者がすべて閲覧できるわけではありません。

専門職アカウントの氏名・メールアドレス・相談の連絡先・職種・産業医かどうか・所属先・医籍登録番号（医師の場合、任意）・研修の修了・緊急対応の時間・写真、事業者の契約・請求・連絡先、問い合わせ、ログイン前の画面へのアクセス情報は、運営者が自ら扱います。アクセスや同意・操作の記録には、日時、IPアドレス、ブラウザ等の情報を含むことがあります。

〔要確認：従業員情報を委託として扱う整理、特に医師用記録の管理主体と本人からの開示請求の窓口〕

3. 利用目的

事業者から委託された情報は、事業者が定めた利用目的と契約の範囲で、アカウントと対象者の管理、受検・結果の計算と保存、本人への公開、同意に基づく共有、専門職による支援、面接指導、就業上の措置の記録、集団分析、実施の連絡、監査・障害・不正利用・法令への対応に使います。広告や販売など、運営者独自の目的には使いません。

改善・統計には、個人を識別できず、ほかの情報との照合でも識別できない集計値だけを使う案とし、個人の回答・会話をそのまま流用しません。〔要確認：委託の範囲と、改善・統計に使う集計値の作成条件・利用範囲〕

運営者が自ら扱う情報は、専門職アカウントの登録・認証・担当の設定・プロフィール表示、契約と請求・決済、連絡、問い合わせ対応、安全な提供と不正利用の防止、法令上の対応に使います。法令で認められる場合を除き、本人の同意を得ずに、これらの目的に必要な範囲を超えて使いません。

4. 健康に関する情報の取得

ストレスチェックの結果、面接指導、健康状態ヒアリング、健康相談チャットの内容には、特に慎重に扱う必要のある「要配慮個人情報」が含まれます。本人の入力、専門職の記録、勤務先による措置の登録などから取得します。

法令に基づくストレスチェック・面接指導の取得は、法令上の例外による取得として扱う案とします。ただし、結果を勤務先に共有することは別の同意に基づきます。〔要確認：ストレスチェック・面接指導の各情報について、個人情報保護法第20条第2項の例外として取得できる範囲〕

法定のストレスチェックとは別の健康状態ヒアリング・健康相談チャットは、機能ごとの利用前に本人の同意を得て、回答・会話と関連する情報を取得します。同意しなくてもストレスチェックは受けられます。

5. 第三者への提供と、見られる範囲

本人の同意または法令上認められる場合を除き、個人情報を第三者に提供しません。法令に基づく場合や、生命・身体の保護に必要で本人の同意を得ることが困難な場合などは、法令に従って必要な範囲で扱います。事業者からの委託による処理や再委託と、事業者の担当者に結果を共有することは区別します。

ストレスチェックと健康状態ヒアリングの結果は、本人が結果を確認した後、機能・結果ごとに同意した範囲で、人事権のない実施事務従事者だけに共有します。管理者・部門長には共有せず、人事評価には使いません。共有の対象と目的は結果画面の同意文面に従い、同意の版と日時を記録します。結果画面で変更・撤回でき、撤回後は次の操作から閲覧できません。

ストレスチェックの実施者、申出先・担当医師、実施者から対応を依頼された専門職は、役割と担当の範囲で結果を確認します。はたサポを使わない実施者へは、実施の事務として実施事務従事者が帳票を渡します。これは相談・支援目的の結果共有とは別の取扱いです。

面接指導の申出は、その回の結果を事業者に提供することへの同意として扱いますが、結果そのものを確認するのは申出先・担当医師です。管理者・実施事務従事者には、申出があったことと、実施者が面接指導が必要と判断したこと（実施者の氏名と判断日）を示します。申出先が地域産業保健センター（以下「地産保」といいます。）の場合は、申込みの際に本人の同意を得て、実施事務従事者が得点と判定の根拠を含む依頼情報を地産保へ渡します。

管理者は受検状況、申出の進捗、共有された医師の意見を確認しますが、申出前の高ストレスの判定や面接指導が必要との判断は示しません。受検状況には、一人ひとりの受検の有無と、結果の共有に同意したかどうかを含みます。医師用記録は本人にも事業者にも画面で公開・共有せず、本人向けのまとめは本人に公開します。医師の意見は共有後に管理者・実施事務従事者が確認し、就業上の措置に必要な範囲で、勤務の状況、心理的な負担の状況、その他の心身の状況のまとめを含みます。

健康状態ヒアリングの回答・会話・結果は、職種や実施者かどうかを問わず担当専門職が確認できます。緊急の兆候は緊急対応の担当が確認して本人へ連絡することがありますが、事業者側へその兆候を通知しません。本人が結果の共有に同意した場合は、同意の範囲（状態のまとめと支援の必要性の目安を含みます）で実施事務従事者が確認し、至急の相談を勧める内容であることもその中で示されます。

健康相談チャットの会話本文や利用者の一覧は、事業者側にも担当専門職にも示しません。管理者と担当専門職には、利用者数・利用件数・相談の分類ごとの件数などの集計を示します。事業者側の集団分析には10人未満の集団を示さず、差し引きで推測できる場合はほかの集団も伏せます。実施者は10人未満の集団も確認できます。報告に必要な人数やチャットの分類別件数は、集団分析とは別の扱いです。

6. 委託先・外部サービス

提供に必要な範囲で次のサービスを使います。運営者は必要な契約と監督により保護を求めます。事業者との関係では、事業者向け利用規約別紙2の一覧と同じ範囲です。

AWS（Amazon Web Services） 用途：サーバー・データベース・バックアップなどの基盤です。 取扱情報：従業員情報・健康情報、アカウント、操作ログなどです。 保存先：東京リージョンです。提供事業者は米国の事業者です。

Amazon SES 用途：案内・お知らせ・リマインドのメール配信です。 取扱情報：宛先の氏名・メールアドレス、実施回、回答状況、期限、画面へのリンクなどです。回答・得点・判定・面接指導の内容は書きません。 配信・保持条件：〔Amazon SESの利用リージョン・配信ログと本文の保持条件〕です。 〔要確認：本番のメール送信サーバーがAmazon SESか。アプリは汎用のSMTPで送り、開発環境の設定はSES以外〕

OpenAI（米国） 用途：健康状態ヒアリング・健康相談チャットの質問・回答の作成、回答の意味の確認、検索用の処理（文章の数値化）などです。 取扱情報：質問・回答・最近の会話、関連する評価・要約・検索クエリ・参照資料などです。自由記述に氏名等があれば送られることがあります。 保存：応答の状態保存を抑える設定を使いますが、不正使用監視目的の保持が残り得ます。

Stripe 用途：事業者の請求・決済です。決済の機能を始めたときから使います。 取扱情報：契約・請求・連絡先・決済に必要な情報です。従業員の情報・健康情報は送りません。 位置づけ：従業員情報の再委託先ではなく、運営者が自ら扱う請求情報の外部サービスです。 〔要確認：Stripeの導入時期。現在は決済の機能がない〕

7. 外国にある第三者

健康状態ヒアリング・健康相談チャットの情報の送信先は、米国のOpenAI社です。送信する情報、目的、所在国、制度と措置は利用規約（利用者向け）で説明し、規約への同意によって本人の同意を得ます。

米国では分野ごとの連邦法や州法により個人情報を保護しており、日本の個人情報保護法と同一の制度ではありません。適用される法律や政府機関によるアクセスなど、本人の権利と保護の仕組みが異なる場合があります。〔要確認：同意取得前に示す米国の制度の具体的情報、参照資料・確認日と送信先に適用される制度〕

送信は暗号化された通信で行います。応答の状態を保存しない設定（store=False）を使っていますが、不正使用の監視のための保持が残る可能性があります。OpenAIが公表する方針では、APIで送った内容はモデルの学習に使われず、不正使用の監視のための記録は、法令上必要な場合などを除き最長30日保持されます。保存を一切行わない仕組み（Zero Data Retention）は利用しておらず、保持がゼロであるとは説明しません。〔要確認：OpenAIの取扱措置・不正使用監視の保持期間・アクセス条件について、本人への説明に必要な具体的事項〕

〔要確認：個人情報保護法第28条の本人同意と相当措置のいずれを根拠とするか、継続確認と本人への情報提供の方法〕

主なサーバー・データベース・バックアップにはAWSの東京リージョンを使いますが、提供者は米国の事業者です。国内での保存と外国の事業者による取扱いは区別します。〔要確認：AWS・Amazon SES・Stripeの契約主体、処理国、外国からのアクセスと外的環境の把握に関する公表事項〕

8. 安全管理措置

管理体制では、事業者・担当・権限に応じて見られる範囲を区別し、権限の付与・変更と健康情報の閲覧・更新・出力を操作ログに残します。管理者には、健康情報へのアクセスの対象者を伏せた記録を示します。

人に関する管理では、実施事務従事者に役割と守秘義務の確認を求め、人事権のある人には実施事務従事者の権限を使わせません。実施事務従事者・部門長の利用には本人だけが知るパスワード設定が必要で、不正利用が疑われる事業者側のアカウントは、管理者または運営者が緊急停止できます。運営者の従業者については、守秘と取扱いの監督を行う方針です。〔要確認：運営者の従業者への教育・監督、端末・紙媒体の管理について実施済みとして公表できる措置〕

物理面では、サーバー・データベース・バックアップをAWSの設備上で扱い、データベース、サーバーのディスクとバックアップの保存時暗号化を行っています。本番のデータベースには削除保護を設定しています。バックアップの一時ファイルは処理中だけ作り、送信成功後または処理終了時に削除します。

技術面では、ブラウザとサーバー間のHTTPS、データベース接続時の暗号化と証明書・接続先の検証、アクセス制御、通信元等の制限を行っています。本番の専用バックアップは暗号化して保存します。データベースの項目ごとの暗号化を行う方式ではありません。〔要確認：多要素認証（パスキー・認証アプリ）の提供を始めた後に、対象の権限とあわせて記載〕

運営者は、問い合わせ、障害、不正利用、法令への対応のため、画面からすべての事業者の結果や健康状態ヒアリングの会話を閲覧することがあり、閲覧は操作ログに残ります。調査では理由・範囲・期限（最長90日）を記録し、その事業者へのアクセスを調査に結びつけて残します。調査記録がない場合も閲覧できる権限があります。医師用記録の本文と健康相談チャットの会話本文は画面では閲覧できませんが、障害の調査などでデータベースを直接確認することがあり、その確認は〔データベースを直接確認する手順と記録の方法〕によります。〔要確認：運営者の全情報へのアクセス権限と必要性を統制する方法、データベースの直接確認の記録〕

外的環境として、AWSの東京リージョンとOpenAIの米国での取扱いを区別して把握します（第7項）。漏えい等が起きた場合は拡大防止と調査を行い、事業者への連絡、法令上必要な報告・本人への通知を行います。

9. 保存期間

従業員に関する記録は、起算日が属する年度の翌年度の初日から最低5年保存し（年度は、事業者のストレスチェックの年度です）、事業者の契約中は5年を超えても保存します。すべての記録に同じ法定保存義務があるという意味ではありません。起算日は次のとおりです。 ・ストレスチェック・健康状態ヒアリングの結果：実施回の回答受付終了日です。 ・事業者への共有の同意の記録：同意・撤回した日です。 ・面接指導の申出・面接・意見・措置：申出の日です。 ・取り込んだ面接指導の結果・原本：取り込んだ日です。 ・実施事務従事者・部門長の選任・変更の履歴：記録した日です。 ・委員会・周知の記録：実施日です。 ・操作ログ：操作した日です。 ・健康相談チャットなど上記以外：〔記録別の保存期間の起算点〕です。

事業者の契約終了日の翌日から、その事業者の利用者は通常の利用のためにログインできません。返却データは、運営者が終了日を記録した時点から返却期限（原則として終了日の30日後）まで出力でき、管理者が出力する面接指導の結果の記録（共有された医師の意見、取り込んだ結果と原本）と、実施事務従事者が出力する本人の同意があり撤回されていないストレスチェックの結果に限ります。終了日の翌日から返却期限までは、管理者と実施事務従事者が返却データの出力のためだけにログインできます。医師用記録、同意のない結果、健康状態ヒアリング・健康相談チャットの内容、就業上の措置、委員会・周知の記録、操作ログ等は返却に含めません。

保存期間が満了し、契約が終了し、返却期限も過ぎた記録は削除予定として確認しますが、現在は実際の削除を行っていません。法務確認と手順確定後に削除を始める案とします。専門職アカウント、契約・請求、問い合わせ等を運営者が自ら扱う情報は、利用目的と法令上の保存義務に応じて〔情報別の保存期間・起算点〕まで保存します。バックアップ・ログは〔バックアップ・ログの保持と削除の条件〕によります。

〔要確認：記録別の法定・契約上の期間と起算点、契約終了時の返却範囲、削除開始の条件・期限とバックアップの消去方法〕

10. 開示などの請求

運営者が自ら扱う情報の利用目的の通知、開示、第三者提供記録の開示、訂正・追加・削除、利用停止・消去、第三者提供の停止などは、第1項の窓口で受け付けます。本人または代理人であることを必要な範囲で確かめ、法令の条件に従って判断・回答します。応じられない場合は理由を説明します。請求方法と手数料は〔請求方法・本人確認方法・手数料〕です。

事業者からの委託で扱う情報は、勤務先の窓口へ請求してください。運営者に届いた場合は適切な窓口を案内して事業者の対応に協力します。医師用記録が画面で非公開であることと、法令に基づく開示請求の判断は別です。〔要確認：医師用記録の請求受付・判断主体と、本人・事業者への回答方法〕

11. Cookieと外部への送信

ログイン状態の維持などにセッションのCookieを使います。Cookieにはセッションの識別子だけを入れ、回答や結果は入れません。ブラウザの保存領域には、文字サイズや一覧の表示設定、案内を表示したかどうか、健康相談チャットの会話の識別子（タブを閉じると消えます）を保存することがあります。回答・会話の本文は保存せず、同意の記録そのものはサーバー側で管理します。Cookieを無効にすると利用できない機能があります。

書体の表示にGoogle Fontsを使う画面では、Googleの配信元（fonts.googleapis.com、fonts.gstatic.com）へIPアドレスやブラウザ等の情報が送られます。機能に必要なプログラムの取得にjQueryの配信元（code.jquery.com）を使う画面でも、配信元へ同様の情報が送られます。これらは書体・プログラムの配信と通信の処理のためで、回答本文や個人の結果を送信項目として設定するものではありません。

事業者の住所入力では、入力された郵便番号を、はたサポのサーバーから郵便番号検索サービスzipcloud（zipcloud.ibsnet.co.jp）へ送って住所の候補を取得します。健康情報は含めません。〔要確認：zipcloudの運営主体・保持条件と、Google Fonts・jQueryを含む外部送信の公表事項、電気通信事業法第27条の12等の適用〕

12. AIとメールの利用

健康状態ヒアリング・健康相談チャットは、会話等を外部AIへ送り、質問・回答の作成、回答の意味の確認、資料の検索などに使います。自由記述に含まれる氏名や第三者の情報も送られ得るため、不要な個人情報は入力しないでください。AIの返答は誤りを含み得ます。目安は診断ではなく、健康相談チャットは医療機関での相談の代わりではありません。

ストレスチェックの点数・判定にはAIを使わず、調査票ごとの基準で計算します。面接指導が必要／不要との判断は実施者が行います。健康状態ヒアリングの緊急対応は画面に示す対応時間内で、時間外も事業者へ回さず本人に相談先を示します。健康相談チャットを専門職が常時監視するものではありません。

メールには回答・得点・判定・面接指導の内容を書かず、ログインした画面での確認を案内します。受検の案内・リマインドには氏名、対象サービス、実施回、回答状況、期限等を含むことがあります。専門職への判断待ち・申出等の通知には対象者の氏名を書かず、本人への面接指導等の進捗通知には日時・場所を書きません。

13. 改定とお問い合わせ先

変更する場合は、変更内容と適用する日を画面などで案内し、法令上同意が必要な変更には別途同意を求めます。この方針の変更だけで、以前の同意を新しい取得・共有の範囲へ広げません。

個人情報に関する質問・苦情は〔個人情報窓口・連絡方法〕へ連絡してください。勤務先に相談しにくい場合も相談できます。