1. 基本方針

当社は、個人情報の保護に関する法律（個人情報保護法）、医薬品医療機器等法、医療広告ガイドライン、改正電気通信事業法、GDPR、HIPAA、その他関連法令およびガイドラインを遵守し、本プライバシーポリシーに従って個人情報および PHI（保護対象保健情報）を取り扱います。

2. 取得する情報

2-1. お客様から直接ご提供いただく情報

• お問い合わせフォーム入力情報（氏名、所属、職種、連絡先、お問い合わせ内容等）
• 採用応募情報（履歴書、職務経歴書、選考過程で取得する情報）
• イベント・取材・商談で取得する情報

2-2. 自動的に取得する情報

• アクセスログ、IPアドレス、ブラウザ情報、リファラ等
• Cookie、ローカルストレージ、類似技術により取得される情報（HCP確認状態を含む）

2-3. 医療機関のお客様より預託される情報

NAIDI Clinical Pipeline 等の運用において医療機関より預託される医療情報（PHI）は、本ページの「PHI（医療情報）の取扱い」に従って厳格に管理されます。

3. 利用目的

• お問い合わせ・採用応募への対応
• 製品・サービスの提供、改善、性能評価
• 医療機関のお客様への資料・案内のご提供
• 当社のマーケティング、調査・統計分析（個人を特定しない形で）
• 関連法令、契約上の義務の履行
• 不正アクセス、情報漏洩、その他セキュリティインシデント対応

4. PHI（医療情報）の取扱い

当社が医療機関より預託を受ける PHI は以下の通り取り扱います。

1. 自動非識別化: PHI は処理パイプライン入力時点で、患者識別子、撮像メタデータ、画像内バーンインを含めて多層的に自動マスキングされます。
2. 暗号化: 保管・転送ともに AES-256-GCM 暗号化を実施します。鍵管理は最小権限原則に基づき分離管理されます。
3. 外部学習禁止: 預託された PHI は、当社または第三者の AI モデルの学習用途には使用しません。社内検証は、明示的同意の下で取得した、または完全に非識別化されたデータセットに限定されます。
4. 監査ログ: 全アクセス・処理は改竄不可能な監査ログに記録されます。
5. 保管期間: 預託契約に定められた期間のみ保管し、契約終了後は所定の手順で安全に削除します。

5. 第三者提供・委託

当社は、お客様の個人情報を、お客様の同意なしに第三者に提供しません。ただし、以下の場合を除きます。

• 法令に基づく場合
• 人の生命、身体または財産の保護のために必要であり、お客様の同意取得が困難な場合
• 業務委託先に対し、業務遂行に必要な範囲内で取り扱わせる場合（委託先には厳格な秘密保持契約と監督義務を適用します）
• 事業承継に伴う場合

6. Cookie および類似技術の利用

当社は、本サイトの利便性向上のために Cookie および類似技術を利用します。

• 必要 Cookie: HCP（医療関係者）確認状態の保存、言語設定、Cookie 同意状態の保存。
• 解析 Cookie: アクセス解析、サイト改善のための統計情報。お客様の同意のもと使用します（拒否可能）。

ブラウザ設定により Cookie の受け入れを拒否することができます。改正電気通信事業法に基づき、本サイトでは Cookie 等の利用について同意取得の機会を提供しています。

7. 海外移転について（GDPR / 越境）

当社は、原則として国内データセンターでの処理を行いますが、技術的な必要性から一部のサービスにおいて海外への情報移転を行う場合があります。海外移転に際しては、移転先の個人情報保護水準を確認し、必要に応じて標準契約条項（SCC）等の適切な保護措置を講じます。GDPR が適用されるお客様（EU/EEA 圏内）については、別途定める個別事項に基づき取り扱います。

8. 安全管理措置

• 組織的安全管理措置: 社内規程の整備、責任者の配置、教育・訓練の実施、定期監査
• 人的安全管理措置: 全従業員との秘密保持契約、入社時・継続的な教育
• 物理的安全管理措置: 入退室管理、機器の盗難・紛失防止
• 技術的安全管理措置: アクセス制御、暗号化、不正アクセス対策、ログ監視

9. 開示・訂正・利用停止等のご請求

お客様は、当社が保有するご自身の個人情報について、開示、訂正、追加、削除、利用停止、第三者提供の停止等を求めることができます。下記窓口までご連絡ください。

10. お問い合わせ窓口

NAIDI株式会社 個人情報保護管理担当
所在地: 東京都渋谷区神宮前3-4-5-3F
お問い合わせ: お問い合わせフォーム

11. 改定

本ポリシーは、関連法令の改正、社内体制の変更等に応じて改定されることがあります。重要な改定がある場合は、本サイト上で告知いたします。

1. Basic policy

We comply with the Act on the Protection of Personal Information (APPI), the Pharmaceutical and Medical Device Act, the Medical Advertising Guidelines, the revised Telecommunications Business Act, GDPR, HIPAA, and other relevant laws and guidelines, and handle personal information and PHI (Protected Health Information) in accordance with this Privacy Policy.

2. Information we collect

2-1. Information you provide directly

• Information entered into our contact form (name, affiliation, role, contact details, content of your inquiry, etc.).
• Job application information (resumes, work histories, information collected during the recruitment process).
• Information collected at events, press interviews, and business meetings.

2-2. Information collected automatically

• Access logs, IP address, browser information, referrer, etc.
• Information collected via cookies, local storage, and similar technologies (including HCP-confirmation status).

2-3. Information entrusted by hospital customers

Health information (PHI) entrusted to us by hospitals through services such as the NAIDI Clinical Pipeline is handled strictly under "Handling of PHI" below.

3. Purposes of use

• Responding to inquiries and job applications.
• Providing, improving, and evaluating products and services.
• Providing materials and notices to hospital customers.
• Marketing, surveys, and statistical analysis (in non-identifiable form).
• Performing legal and contractual obligations.
• Responding to unauthorized access, leakage, and other security incidents.

4. Handling of PHI

PHI entrusted to us by hospitals is handled as follows:

1. Automatic de-identification: at the entry point of the pipeline, PHI — including patient identifiers, imaging metadata, and burned-in image text — is masked automatically using a multi-layer mechanism.
2. Encryption: AES-256-GCM is used both at rest and in transit. Keys are managed under least-privilege separation.
3. No external training: entrusted PHI is never used to train our or any third party's AI models. Internal validation is limited to data obtained with explicit consent or fully de-identified datasets.
4. Audit log: all access and processing events are recorded to a tamper-evident audit log.
5. Retention period: data is retained only for the period stipulated in the entrustment agreement and securely deleted thereafter.

5. Third-party disclosure and outsourcing

We do not disclose personal information to third parties without your consent, except in the following cases:

• Where required by law.
• Where necessary to protect a person's life, body, or property and obtaining your consent is difficult.
• Where we entrust handling to a service provider within the scope necessary to perform their work (with strict NDAs and supervisory obligations applied to the provider).
• In connection with a business transfer.

6. Use of cookies and similar technologies

We use cookies and similar technologies to improve the usability of this site.

• Necessary cookies: storing HCP confirmation status, language setting, and cookie-consent status.
• Analytics cookies: statistical information for access analysis and site improvement, used with your consent (and refusable).

You can refuse cookies through your browser settings. In line with the revised Telecommunications Business Act, this site offers an opportunity to consent to such uses.

7. International transfers (GDPR / cross-border)

Processing is in principle performed in domestic data centers. However, certain services may require international transfers for technical reasons. In such cases we verify the data-protection level of the destination and apply appropriate safeguards (such as Standard Contractual Clauses) where required. Customers within scope of GDPR (EU/EEA) are handled in accordance with separately defined provisions.

8. Safeguards

• Organizational: internal rules, designated officers, training, periodic audits.
• Personnel: NDAs with all employees, onboarding and ongoing training.
• Physical: access controls, theft and loss prevention.
• Technical: access controls, encryption, intrusion countermeasures, log monitoring.

9. Disclosure, correction, and suspension requests

You may request disclosure, correction, addition, deletion, suspension of use, or suspension of third-party disclosure of your personal information that we hold. Please use the contact below.

10. Contact

NAIDI Inc., Personal Information Protection Officer
Address: 3-4-5-3F Jingumae, Shibuya-ku, Tokyo
Inquiries: Contact form

11. Revisions

This Policy may be revised in line with changes to relevant laws or our internal arrangements. Material revisions will be announced on this site.

1. 基本政策

我们遵守日本《个人信息保护法》（APPI）、《药品医疗器械等法》、《医疗广告指南》、《修订电信业务法》、GDPR、HIPAA 以及其他相关法律法规与指南，并按本隐私政策处理个人信息与 PHI（受保护健康信息）。

2. 收集的信息

2-1. 您直接提供的信息

• 通过咨询表单提交的信息（姓名、所属、职务、联系方式、咨询内容等）。
• 求职申请信息（简历、工作履历，以及在招聘过程中获取的信息）。
• 在活动、采访与商务洽谈中获取的信息。

2-2. 自动收集的信息

• 访问日志、IP 地址、浏览器信息、来源页面等。
• 通过 Cookie、本地存储与类似技术获取的信息（包括 HCP 确认状态）。

2-3. 由医疗机构客户委托的信息

在 NAIDI Clinical Pipeline 等服务中由医疗机构委托给我们的医疗信息（PHI），将依据本页"PHI 的处理"严格管理。

3. 使用目的

• 回应咨询与求职申请。
• 提供、改进与评估产品与服务。
• 向医疗机构客户提供资料与通知。
• 在不识别个人的形式下进行营销、调研与统计分析。
• 履行法律与合同义务。
• 应对未授权访问、信息泄漏及其他安全事件。

4. PHI 的处理

对医疗机构委托给我们的 PHI 按以下方式处理：

1. 自动去标识化：在管线入口处对 PHI（含患者标识、影像元数据、图像内烧录文字）以多层机制自动屏蔽。
2. 加密：存储与传输均使用 AES-256-GCM 加密。密钥按最小权限原则分隔管理。
3. 禁止外部训练：受托 PHI 不用于本公司或任何第三方 AI 模型的训练。内部验证仅限于在明示同意下取得的或完全去标识化的数据集。
4. 审计日志：所有访问与处理事件记录到防篡改审计日志。
5. 保留期限：仅在委托协议规定的期限内保留，期限届满后按规定流程安全删除。

5. 第三方提供与外包

未经您同意，我们不会将您的个人信息提供给第三方，但以下情形除外：

• 依法律要求时。
• 为保护人的生命、身体或财产所必需，且难以取得本人同意时。
• 在业务执行所必需的范围内交由受托方处理时（对受托方将适用严格的保密协议与监督义务）。
• 因业务承继时。

6. Cookie 与类似技术的使用

为提升本网站的便利性，我们使用 Cookie 与类似技术。

• 必要 Cookie：保存 HCP 确认状态、语言设置与 Cookie 同意状态。
• 分析 Cookie：用于访问分析与站点优化的统计信息，在您同意后使用（可拒绝）。

您可通过浏览器设置拒绝 Cookie。依据《修订电信业务法》，本网站为 Cookie 等的使用提供同意机会。

7. 跨境传输（GDPR / 越境）

原则上数据在国内数据中心处理。但因技术需要，部分服务可能涉及跨境传输。在此情形下，我们将确认目的地的个人信息保护水平，并在必要时采取标准合同条款（SCC）等适当的保护措施。对于位于 EU/EEA、适用 GDPR 的客户，将依据另行规定的事项处理。

8. 安全管理措施

• 组织措施：内部规程、责任人配置、教育与培训、定期审计。
• 人员措施：与全体员工签署保密协议，入职及持续教育。
• 物理措施：出入管理、设备防盗与防遗失。
• 技术措施：访问控制、加密、入侵防护、日志监控。

9. 披露、更正、停止使用等请求

您可对我们持有的与您本人相关的个人信息提出披露、更正、补充、删除、停止使用、停止第三方提供等请求。请通过下列窗口与我们联系。

10. 联系方式

NAIDI 株式会社 个人信息保护管理负责人
地址：东京都涩谷区神宫前 3-4-5-3F
咨询：咨询表单

11. 修订

本政策可能因相关法律修订或公司内部变更而调整。重要修订将在本网站公告。