株式会社アマクラス（以下「当社」）は、「カルっとな！」（以下「本アプリ」）における利用者の情報を以下の方針で取り扱います。
1. 端末外に送信しないデータ
音声、文字起こし、会話本文、SOAP Draft、テンプレート、患者や医療者を識別する情報、健康情報、症状・検査・処方など治療に関する情報、話者プロファイルを、当社、RevenueCat、Cloudflare、外部AIサービスへ送信しません。生音声は文字起こし中だけメモリ上で扱い、製品版では音声ファイルとして保存しません。
2. 端末外で取り扱う情報
| 情報 | 目的 | 取り扱い先 |
|---|---|---|
| Sign in with Appleのトークンと一意識別子 | 本人確認、アカウント発行 | Apple、当社API |
| ランダムなアカウントID、購入状態 | 利用権利、更新・復元の判定 | Apple、RevenueCat、当社API |
| 擬似端末ID、App Attest検証情報 | 1購入につき1台の有効化、改ざん防止 | Apple、当社API |
| 無料枠残時間、利用リース、利用秒数 | 30分無料枠と通信断時の利用管理 | 当社API |
| メールアドレス、登録日時（事前登録した方のみ） | 公開・先行案内の送付、登録の管理 | Cloudflare D1上の当社事前登録データベース |
上記のアカウント関連はiOS版の機能です。macOS版は現在アカウント登録・購入機能を搭載しておらず、端末外へ送信する情報はありません。事前登録はWebサイト上の機能で、アプリの利用とは独立しています。
事前登録フォームから任意でご登録いただくメールアドレスを除き、氏名、メールアドレス、電話番号、広告ID、位置情報、利用者が付けた端末名は取得しません。通信に必要なIPアドレス等はRevenueCatやCloudflareによって配信・セキュリティ上処理される場合がありますが、当社は診療データと結合したり広告に使用したりしません。
事前登録では診療データ、患者情報、利用中のアプリ情報を取得しません。メールアドレスは公開・先行案内の送付だけに利用し、診療データと結合しません。
3. 診療データを学習に使わない
音声、文字起こし、会話本文、SOAP Draft、話者プロファイルを、当社または第三者のモデル改善、サービス全体の学習、広告最適化、利用者間で共有される統計的な学習データとして利用しません。診療データを端末外へ送信しない設計のため、当社や外部AIサービスが内容を閲覧・収集・学習することはありません。
4. 匿名分析と障害情報
現在のバージョンは、当社への匿名分析・障害情報の送信機能を搭載していません。アプリから当社の分析基盤へ送信されるデータはありません。将来搭載する場合は、初期値オフの同意設定として提供し、固定イベント名または固定障害コードに限定します。その場合も、自由入力、会話本文、例外メッセージ、画面キャプチャ、セッションリプレイ、スタックトレースは送信しません。搭載時には本ポリシーを事前に改定します。
App Store Connectで当社が確認できる集計値は、利用者がOSの診断情報共有を有効にした場合にAppleが提供するものです。
5. 端末内の保護
- 起動のたびに、端末の本人確認（Face ID・Touch ID・パスコード／Macのログインパスワード）とアプリ専用PINの2段階を求め、確認できるまで診療データを画面に表示しません。バックグラウンドから一定時間後に戻ったときも再確認します。認証情報はAppleの仕組みと端末内でのみ検証され、当社に渡りません。
- PINを5回連続でまちがえると、その端末の診療データと暗号鍵はすべて自動削除され、復元できません。当社はバックアップを保持しないため、いかなる方法でも復元できません。
- アプリが最前面でない間は画面を覆い、アプリスイッチャー等に診療内容を表示しません。
- 文字起こし、SOAP Draft、テンプレート、カスタム医療用語辞書、話者プロファイルをAES-256-GCMで暗号化します。
- 鍵は端末専用のKeychain（iOS・macOSともデータ保護Keychain）で保護し、バックアップや他端末への移行の対象にしません。
- 診療データはiCloudバックアップ、Time Machine、自動クラウド同期の対象にしません。
- 診療データの共有シートやiCloud同期・自動クラウド送信は提供しません。SOAP Draftのカルテ転記用コピーのみ、利用者の操作で行えます。iOSではユニバーサルクリップボードによる他端末同期を無効化し、一定時間で自動消去します。
6. 利用する第三者サービス
- Apple: Sign in with Apple、App Attest、App Store購入、OSの標準診断情報
- RevenueCat: 購入状態とサブスクリプション権利の判定
- Cloudflare: 本Webサイトの配信・防御機能、およびiOS版のアカウントAPI
これらの事業者によるデータの保管国や国外移転は各事業者のポリシーに従います。診療データは送信しません。
7. 保管期間
端末内データは利用者が削除するまで保持されます。当社が保持するアカウント、有効端末、利用リースは、サービス提供と不正利用対策に必要な合理的期間保持します。アカウント削除後は、法令または購入不正対策上必要な情報を除き、削除または個人と結び付かない状態にします。
事前登録のメールアドレスは、公開・先行案内の終了または登録取り消しのご連絡から30日以内に削除します。公開日から2年を経過しても案内が完了しない場合も削除します。
8. 削除・同意撤回・開示等
端末内データの全削除はiOS版・macOS版のどちらもアプリ内から行えます。アカウント削除はアカウント機能のあるiOS版のアプリ内から行えます。アカウント削除と端末内データ削除、Appleのサブスクリプション解約は別の操作です。詳細は削除手順をご覧ください。事前登録の取り消し、開示、訂正、利用停止等はサポート窓口で承ります。
9. 改定
重要な変更は、アプリ内またはWebサイトで事前にお知らせします。