個人情報保護方針（プライバシーポリシー）

Arbitra（運営事業者：ドクターズ株式会社、以下「当社」といいます。）は、お客様の個人情報の保護を重要な責務と認識し、個人情報の保護に関する法律（以下「個人情報保護法」といいます。）その他の関連法令を遵守し、以下の個人情報保護方針（以下「本ポリシー」といいます。）に基づき、個人情報を適切に取扱います。

当社は日本に所在する法人であり、米国居住者を主な対象としたメディカル・コーディネーションサービスを提供しております。本ポリシーは、当社の個人情報取扱事業者としての個人情報保護法上の義務を明らかにするとともに、米国各州の個人情報関連法令にも対応するよう設計されています。

第1条事業者の表示

本ポリシーの対象となる個人情報取扱事業者の情報は以下のとおりです。

• 商号：Arbitra（ドクターズ株式会社）
• 所在地：〒105-0011 東京都港区芝公園2丁目3番6号 PMO浜松町II 5階
• 代表者：代表取締役 柳川琢磨（脳神経外科医 / Dr. Takao Yanagawa, MD）
• 連絡先：arbitra-info@doctors-inc.jp

当社は医療機関ではなく、医師、病院、診療所、その他の医療提供者ではありません。当社は、米国居住者のお客様と日本国内の独立した医療機関とを橋渡しするコーディネーションサービスを提供する事業者です。

第2条用語の定義

本ポリシーにおいて使用する用語の意義は、個人情報保護法に定めるところによります。主な用語は以下のとおりです。

• 個人情報：生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの、又は個人識別符号が含まれるものをいいます。
• 個人データ：個人情報データベース等を構成する個人情報をいいます。
• 保有個人データ：当社が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行う権限を有する個人データをいいます。
• 要配慮個人情報：本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいいます。本サービスにおいては、お客様の病歴、診断情報、治療歴等の医療情報がこれに該当します。
• 個人関連情報：生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいいます（クッキー識別子、IPアドレス等を含み得ます。）。

第3条取得する個人情報の項目

3-1．お問い合わせ・登録時に取得する情報

• 氏名
• メールアドレス
• 居住国（当社サービスは米国居住者を対象とします）
• 関心のある手術・症状の一般的なカテゴリー（例：膝関節置換術）
• 米国の医療機関から受領した見積書の概要（任意）

3-2．サービスを進めていただく段階で別途取得する情報（要配慮個人情報を含みます）

お客様が初回のお問い合わせから次のステップに進まれる場合、その都度、必要に応じて以下の情報を別途取得します。要配慮個人情報の取得については、各取得の時点で目的及び提供先を明示し、本人の同意を得たうえで実施します。

• 詳細な病歴、診断情報及び治療計画
• 診療記録、画像診断データ及び検査結果
• 渡航・スケジュール関連情報

3-3．お客様によるアクセス時に自動的に取得する情報

• IPアドレス及びこれから推定される地理的位置情報
• ブラウザの種類、OS、端末情報
• 閲覧ページ、滞在時間、参照元URL
• クッキー及び類似技術により取得される情報（第13条参照）

第4条個人情報の利用目的

当社は、取得した個人情報を、以下の利用目的の達成に必要な範囲内で取扱います（個人情報保護法第17条第1項及び第21条）。

1. お客様からのお問い合わせへの対応、相談業務、見積書の作成のため
2. お客様の症状に応じた日本の医療機関とのマッチングのため
3. 渡航手配、通訳手配その他治療プロセス全般のコーディネーションのため
4. 本サービスに関するお客様への連絡及び情報提供のため
5. 米国及び日本の関係法令に基づく義務の履行のため
6. 不正利用の防止、当社の権利保全及びサービスのセキュリティ確保のため
7. サービスの改善、品質向上のための統計分析（個人を特定できない形式に加工した上で行います）
8. お客様の事前の同意がある場合に限り、当社サービスに関するご案内・販促情報の送付のため

当社は、上記の利用目的を超えて個人情報を取扱うことはありません。利用目的を変更する場合には、変更後の利用目的を本人に通知し、又は公表します。

第5条要配慮個人情報の取扱い（個人情報保護法第17条第2項）

当社は、お客様の医療情報（病歴、診断情報、治療歴等）が要配慮個人情報に該当することを認識しております。

• 登録段階（ランディングページ及び初回お問い合わせフォーム）では、要配慮個人情報を取得しません。当社が取得するのは、ご関心のある手術・症状の一般的カテゴリーのみです。
• 具体的な医療情報の取得は、お客様が当社サービスへのエンゲージメントを進められる段階において、目的・提供先・提供方法を明示したうえで、お客様から明示的かつ事前の同意を得てから行います。
• 当社は、要配慮個人情報を取得する都度、別途の同意取得手続を実施し、本ポリシーの一般的な記載のみを根拠として要配慮個人情報を取得することはありません。

第6条個人データの第三者提供（個人情報保護法第27条）

当社は、以下の場合を除き、お客様の同意なく個人データを第三者に提供しません。

1. 法令に基づく場合
2. 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
3. 公衆衛生の向上又は児童の健全な育成の推進のため特に必要な場合であって、本人の同意を得ることが困難であるとき
4. 国の機関、地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対し協力する必要がある場合

当社サービスの提供のためには、日本国内の医療機関パートナーへの個人データ（要配慮個人情報を含みます）の提供が必要となります。当該提供は、お客様から事前にかつ提供先・提供項目を明示した上で同意を取得した場合に限り行います。当該同意は、本ポリシーへの一般的な同意とは別に、当該提供が現実に予定された段階で別途取得します。

第7条外国にある第三者への提供（個人情報保護法第28条）

当社は、以下の外国にある第三者に対して個人データを提供する場合があります。

提供先のカテゴリー	所在国	提供する情報の種類
クラウドホスティング事業者（Amazon Web Services）	日本	サイト経由で送信される情報全般
分析サービス提供者（Google Analytics）	日本	アクセスログ、利用統計
メール配信事業者（Gmail / Google Workspace）	日本	送信先メールアドレス、配信内容

個人情報保護法第28条に基づき、当該外国にある第三者への提供に関し以下の情報を開示します。

• 当該外国の名称：アメリカ合衆国
• 当該外国における個人情報の保護に関する制度：アメリカ合衆国には、日本の個人情報保護法に相当する包括的な連邦個人情報保護法は存在せず、分野別の連邦法及び州レベルの包括的個人情報保護法（カリフォルニア州CCPA/CPRA、バージニア州VCDPA等）により規律されています。詳細は個人情報保護委員会の公表資料（www.ppc.go.jp）をご参照ください。
• 当該第三者が講ずる個人情報保護のための措置：当社は、当該第三者との間でデータ保護に関する契約（個人情報の安全管理、目的外利用の禁止、再提供の制限、漏えい時の通知義務等）を締結しており、当該第三者は個人情報保護法上求められる水準と同等の安全管理措置を講じます。

第8条個人データの取扱いの委託

当社は、利用目的の達成に必要な範囲内において、個人データの取扱いの全部又は一部を外部委託する場合があります。委託先に対しては、個人情報保護法上必要とされる適切な選定及び監督を行います。

第9条個人関連情報の取扱い（個人情報保護法第31条）

当社は、クッキー識別子、IPアドレス等の個人関連情報を取得することがあります。これらの情報を、提供先において個人データとして取得することが想定される場合に第三者に提供するときは、本人の同意を取得していること等の確認を行ったうえで提供します。

第10条保有個人データに関する事項の周知（個人情報保護法第32条）

個人情報保護法第32条に基づき、当社が保有する保有個人データに関し以下の事項を公表します。

• 個人情報取扱事業者の氏名又は名称及び住所：第1条に記載のとおり
• 代表者の氏名：第1条に記載のとおり
• すべての保有個人データの利用目的：第4条に記載のとおり
• 保有個人データの取扱いに関する苦情の申出先：第16条に記載のとおり
• 開示等の請求に応じる手続：第11条に記載のとおり
• 保有個人データの安全管理のために講じた措置：第12条に記載のとおり
• 認定個人情報保護団体の対象事業者である場合の当該団体の名称及び苦情の解決の申出先：該当なし（当社は本ポリシー制定時点において認定個人情報保護団体の対象事業者ではありません。今後加入する場合には本項を更新します。）

第11条開示・訂正・利用停止等の請求手続

お客様は、当社が保有する自己の保有個人データについて、個人情報保護法に基づき、以下の請求を行うことができます。

• 利用目的の通知請求
• 開示請求（電磁的記録による提供を含みます）
• 内容の訂正、追加又は削除の請求
• 利用の停止又は消去の請求
• 第三者への提供の停止の請求

11-1．請求方法

請求は、第16条記載の窓口宛てに、書面又は電子メールにて行ってください。請求の際には、本人確認のため、当社が指定する方法（運転免許証その他の身分証明書の写しの提出、当社登録情報との照合等）にご協力をお願いします。

11-2．対応期間

当社は、本人確認完了後、合理的に必要な期間内（通常、請求受領後30日以内）に対応いたします。事案の複雑性等により延長を要する場合は、その旨を事前にご連絡します。

第12条安全管理措置（個人情報保護法第23条）

当社は、お客様の個人データの漏えい、滅失又は毀損の防止その他個人データの安全管理のため、以下の措置を講じています。

12-1．組織的安全管理措置

• 個人情報保護管理者を設置し、個人データの取扱い責任を明確化しています。
• 個人データの取扱状況を定期的に点検する体制を整備しています。
• 個人データの漏えい等の事案が発生した場合に対応するための報告連絡体制を整備しています。

12-2．人的安全管理措置

• 従業者及び業務委託先に対し、個人データの取扱いに関する秘密保持義務を課しています。
• 個人データの取扱いに関する従業者教育を定期的に実施しています。

12-3．物理的安全管理措置

• 個人データを取扱う区域における入退室管理及び持込み機器の制限を行っています。
• 個人データを記録した媒体の盗難又は紛失の防止のための措置を講じています。

12-4．技術的安全管理措置

• 個人データへのアクセス制御（ロール別アクセス権限、認証）を実施しています。
• 外部からの不正アクセス防止のため、ファイアウォール及び不正侵入検知システムを導入しています。
• 通信の暗号化（HTTPS／TLS）及び保管時の暗号化（必要な範囲）を実施しています。
• アクセスログを記録し、定期的にレビューしています。

12-5．外的環境の把握

当社は、外国（アメリカ合衆国）に所在するクラウドサービス提供者を利用して個人データを取扱う場合があります。当該外国における個人情報の保護に関する制度については、第7条に記載のとおりです。

第13条クッキー及び類似技術の取扱い

当社のウェブサイトでは、以下の目的でクッキー及び類似技術を使用します。

• 必須クッキー：セッション管理、フォーム送信等、ウェブサイトの機能維持のために必要なクッキーです。これらは無効化できません。
• 分析クッキー：Vercel Analyticsのプライバシーに配慮した分析ツールを使用し、サイトの利用状況を把握します。個別ユーザーを他のサイトを横断して追跡することはありません。
• 広告クッキー：当社が広告効果測定のためにMeta社、Google社等の広告ピクセルを使用する場合があります。その場合、お客様にクッキーバナー等を通じて同意取得手続を提供し、ブラウザのGlobal Privacy Control（GPC）シグナルを尊重します。

クッキーの設定は、ブラウザ側の設定により制御できます。一部のクッキーを無効化された場合、ウェブサイトの機能が正常に動作しないことがあります。

第14条漏えい等が発生した場合の対応（個人情報保護法第26条）

当社は、個人データの漏えい、滅失、毀損その他の個人の権利利益を害するおそれが大きい事態が発生した場合、個人情報保護法第26条及び施行規則の定めるところに従い、個人情報保護委員会への報告及び本人への通知を行います。

第15条本ポリシーの改定

当社は、関係法令の改正、当社のサービス内容の変更等に応じ、本ポリシーを改定することがあります。改定後の本ポリシーは、当社ウェブサイトに掲載した時点から効力を生じます。重要な変更については、可能な限り、効力発生の30日前までにメール等の方法で本人に通知します。

第16条お問い合わせ窓口

個人情報の取扱いに関するお問い合わせ・ご請求は、お問い合わせページからご連絡ください。

当社の対応にご不満がある場合は、以下の機関にご相談いただけます。

• 個人情報保護委員会：www.ppc.go.jp