レセアド データ処理委託契約（DPA）

施行日: 2026-05-22 バージョン: 1.1

前文

本データ処理委託契約（以下「本契約」）は、医療機関（以下「甲」）と株式会社レセアド（以下「乙」）との間において、乙が甲に対して提供するレセプト点検AIサービス「レセアド」（以下「本サービス」）の利用に伴う個人データの取扱いに関し、個人情報の保護に関する法律（以下「個人情報保護法」）第27条第5項第1号に基づく業務委託契約として、その条件を定めるものです。

本契約は、乙が定める利用規約（以下「利用規約」）の別添として一体不可分の関係を有し、甲が利用規約に対して同意した時点で、本契約に対しても同時に同意したものとみなされます。

第1条（目的）

本契約は、甲が本サービスを利用するにあたり、甲が乙に対し個人データ（要配慮個人情報を含む）の取扱いの一部を委託することに伴い、当該委託業務における個人データの安全管理、再委託、保存期間、廃棄方法、責任分界その他関係する事項について、甲乙間の合意を明確にすることを目的とします。

第2条（用語の定義）

本契約において使用する用語の意義は、別段の定めがある場合を除き、以下のとおりとします。

第3条（委託業務の内容）

3.1 委託業務の範囲

乙は、本サービスを通じて、甲から以下の業務の委託を受け、これを遂行します。

1. レセプト電算データ（UKEファイル）の解析・点検
2. 電子カルテデータの解析・照合
3. 診療報酬算定ルールに基づく自動チェック
4. 点検結果レポートの生成
5. モバイルアプリケーションを通じた訪問記録（GPS、録音、写真等）の保管および分析（甲がモバイル機能を利用する場合に限る）
6. 前各号に付随または関連する業務

3.2 取扱う個人データの種類

委託業務において取り扱う個人データは、以下のとおりです。

3.2.1 レセプト電算データ（UKEファイル）

3.2.2 電子カルテデータ（CSVファイル）

3.2.3 モバイルアプリケーション記録データ

第4条（甲乙の役割と責任分界）

4.1 甲の責任

甲は、本契約に基づき、以下の責任を負います。

1. 本サービスにアップロードする個人データが、患者その他の個人情報主体との関係において、適法な根拠（同意、法令の規定、医療業務の必要性等）に基づき取得されたものであることの確認
2. 自らのプライバシーポリシー、院内掲示その他の方法により、本サービスへの個人データの提供および乙による取扱いについて、患者その他の個人情報主体に対し、個人情報保護法その他の関連法令に基づき必要な利用目的の公表または通知を行うこと
3. 本サービスのアカウント情報の適切な管理
4. 本サービスを利用する端末・通信環境のセキュリティ確保
5. 本サービスのAI判定結果に基づく診療報酬算定および請求についての最終的な判断（利用規約第8条参照）
6. 医師法、療養担当規則その他の関連法令に基づく診療録、レセプトその他の医療関連文書の保存（本サービスは当該保存義務を代替しません）

4.2 乙の責任

乙は、本契約に基づき、以下の責任を負います。

1. 委託業務における個人データの安全管理（第6条参照）
2. 個人データの取扱いに関する従業者の監督
3. 再委託先の適切な選定および監督（第7条参照）
4. 本契約に定める保存期間に従ったデータの管理および期限到来後の廃棄
5. セキュリティインシデント発生時の甲への通知および対応（第13条参照）
6. 個人情報保護法および関連ガイドラインの遵守

第5条（個人データの取扱い）

5.1 利用目的の制限

乙は、委託業務の遂行のためにのみ、甲から提供を受けた個人データを取り扱うものとし、それ以外の目的で利用しません。ただし、利用規約第7条第6項に定める仮名加工情報・匿名加工情報への加工および利用については、この限りではありません。

5.2 個人データの処理フロー

乙は、甲がアップロードしたデータに含まれる個人識別情報（PII）に対し、以下の順序で保護処理を実施します。

アップロード
    ↓
[Step 1] KMS暗号化
  - 患者氏名、生年月日等の識別情報をGoogle Cloud KMSで暗号化
  - 暗号化方式: AES-256-GCM相当
  - 鍵管理: クリニックごとに専用CryptoKeyを発行（テナント単位の鍵分離）
  - 鍵ローテーション: 年1回（365日）自動
  - Crypto-shredding: 解約後30日経過時に鍵破棄により完全消去
    ↓
[Step 2] DLP処理
  - Google Cloud DLPにより、テキストフィールド内の個人情報を検出
  - 検出されたPIIをマスキング処理
  - 対象: 氏名、電話番号、住所等のパターン
    ↓
[Step 3] ハッシュ化
  - 患者IDをSHA-256でハッシュ化
  - 同一患者IDの紐付けは可能だが、元の患者IDの復元は不可
    ↓
[Step 4] Firestoreへ保存
  - 暗号化・マスキング済みデータをFirestoreに保存
  - clinicId単位でのデータ分離(マルチテナント)
    ↓
[Step 5] AI点検処理
  - マスキング済みデータをAI処理基盤に送信(第10条参照)
    ↓
[Step 6] 結果保存
  - 点検結果をFirestoreに保存
  - 甲に結果を表示

第6条（安全管理措置）

6.1 技術的安全管理措置

乙は、個人データの取扱いについて、以下の技術的安全管理措置を講じます。

6.2 組織的・人的安全管理措置

乙は、個人データの取扱いについて、以下の組織的・人的安全管理措置を講じます。

1. 個人情報保護管理者の設置
2. 個人情報取扱いに関する規程の整備・運用
3. 従業者との秘密保持契約の締結
4. 従業者に対する個人情報保護教育の定期実施
5. アクセス権限の最小権限原則に基づく付与
6. インシデント発生時の対応体制・手順の整備

6.3 要配慮個人情報の特別な取扱い

乙は、要配慮個人情報を含む個人データおよびそれを加工した仮名加工情報について、通常の個人データを超える厳格な安全管理措置を講じるものとします。

第7条(再委託)

7.1 再委託の包括承諾

甲は、乙が委託業務の遂行のため、以下の事業者その他乙が選定する事業者に対して、本契約に定める安全管理措置と同等以上の措置を講じることを条件として、個人データの取扱いの一部を再委託することを、本契約への同意により包括的に承諾します。

7.2 主要な再委託先

本契約締結時点における主要な再委託先は、以下のとおりです。

なお、本サービスにおける OpenAI 社の API 利用については、後記第10条のとおり、特定の個人を識別する手段を含まない加工済みデータのみを送信する設計のため、個人データの取扱いを再委託する関係には立たず、本表の再委託先には含まれません。

7.3 再委託先の監督

乙は、再委託先における個人データの取扱いについて、以下の監督を行います。

1. 再委託先の選定にあたっては、個人データの安全管理措置が本契約の基準を満たすことを確認すること
2. 再委託先との間で、個人データの取扱いに関する契約（DPA等）を締結すること
3. 再委託先における個人データの取扱い状況を定期的に確認すること

7.4 再委託先の変更

乙は、再委託先を変更または追加する場合、本サービス上での通知またはメールにより、甲に対し合理的な範囲で情報提供します。

7.5 外国にある第三者への個人データの提供（個人情報保護法第28条関連）

1. 乙は、患者に関する個人データ（要配慮個人情報を含む）を、Google Cloud Platform の asia-northeast1（東京）リージョンに所在するサーバー上で保管・処理する設計を採用しています。具体的には、Firestore（データベース）、Cloud Storage（録音・撮影画像等）、Cloud KMS（暗号鍵管理）、Cloud DLP（個人情報検出・マスキング）、Vertex AI（OCR・AI処理）の全てを asia-northeast1 リージョン上で構成しています。
2. 前項の設計により、患者に関する個人データは外国に所在するサーバーに保管されないため、患者に関する個人データの取扱いに関しては、外国にある第三者への個人データの提供（個人情報保護法第28条）には該当しないものと整理しています。
3. 前2項にかかわらず、本サービスの提供に伴い、以下の情報については、Google の運営する米国その他の拠点で処理される場合があります。
   • (1) Firebase Authentication による利用者（医療機関スタッフ）の認証処理にあたって取り扱われる情報（メールアドレス、認証トークン、ログイン履歴等）
   • (2) Cloud Logging その他の運用監視サービスにおいて記録される利用者のアクセスログ（IPアドレス、操作日時、リクエスト内容等）
4. 前項に定める情報は、いずれも利用者（医療機関スタッフ）自身に関する個人情報であり、患者に関する個人データを含みません。当該情報の取扱いに伴う米国の Google 運営拠点への提供については、利用者本人による本契約および利用規約への同意をもって、個人情報保護法第28条第1項に基づく本人同意を取得しているものと整理しています。
5. 前項の本人同意取得にあたり、個人情報保護法第28条第2項および同法施行規則第17条に基づき、提供先である Google LLC の所在地、米国の個人情報保護制度に関する情報および Google LLC が講ずる保護のための措置について、以下のとおり情報を提供します。
   • 提供先の所在地: アメリカ合衆国
   • 米国の個人情報保護制度に関する情報: 米国には EU 一般データ保護規則（GDPR）と同水準の包括的な個人情報保護法は存在しないものの、業界別規制（HIPAA 等）、州レベルでの包括的個人情報保護法（カリフォルニア州 CCPA／CPRA、バージニア州 VCDPA、コロラド州 CPA 等）、連邦取引委員会法第5条による不公正・欺瞞的行為への執行、および民事訴訟による救済等により、個人情報の保護が図られている
   • Google LLC が講ずる保護のための措置: SOC 2 Type II、ISO/IEC 27001、ISO/IEC 27017、ISO/IEC 27018 等の第三者認証の取得、Google Cloud Data Processing Addendum に基づく契約上のセキュリティ義務の引受、ならびに EU 一般データ保護規則（GDPR）対応の標準契約条項（SCC）の採用等
6. OpenAI, Inc.（米国）の API 利用については、後記第10条に定めるとおり、KMS で暗号化された患者氏名等の直接識別子を一切送信せず、患者ID を SHA-256（clinicId ソルト付き）でハッシュ化し、自由記載は Cloud DLP でマスキング処理した加工済みデータのみを送信します。当該データは特定の個人を識別する手段を含まず、個人情報保護法上の「個人データ」に該当しないため、同法第27条（第三者提供の制限）および第28条（外国にある第三者への個人データの提供）の規律対象には該当しないものと整理しています。詳細は第10条参照。

第8条（データの保管場所）

1. 個人データは、以下の場所に保管されます。

2. 患者に関する個人データは、すべて日本国内に保管・処理されます。なお、AI による点検処理のため、第10条に定めるとおり加工済みデータ（特定の個人を識別する手段を含まない情報）が OpenAI 社（米国）に送信される場合がありますが、当該データは個人データに該当せず、本条にいう「個人データの保管場所」の対象外となります。利用者（医療機関スタッフ）に関する認証情報等の越境送信については、第7.5条第3項以下に定めます。

第9条（データの保存期間と廃棄）

9.1 保存期間

9.2 廃棄方法

1. 自動削除: Cloud Schedulerにより、保存期間を超過したデータは自動的に削除されます。
2. 一時ファイル: Cloud Storageのライフサイクルポリシーにより、24時間後に自動削除されます。
3. 論理削除と物理削除: データはまず論理削除（削除フラグ設定）され、その後30日以内に物理削除されます。
4. バックアップデータ: 自動バックアップに含まれるデータも、保存期間経過後に廃棄対象となります。

9.3 契約終了時の廃棄

利用規約第12条に定めるところに従い、契約終了後のデータ取扱いを行います。乙は、甲の要請に応じて、データ削除証明書を発行します。

第10条（OpenAI 社の API 利用と個人データ性の判断）

10.1 OpenAI 社の API 利用と加工措置

1. 乙は、本サービスにおけるレセプト点検処理のため、診療行為コード、傷病コード、性別、年齢、診療日その他の構造化データ、ならびに次項に定める加工措置を経た自由記載テキストを、OpenAI 社（米国）が提供する API に送信します。
2. 乙は、OpenAI 社の API に送信するデータについて、以下の加工措置を施します。
   • (1) 直接識別子の不送信: 患者氏名および院内患者ID は、Cloud KMS により暗号化された状態で Firestore に保管されており、本 API 処理経路では一切復号せず、暗号文も送信ペイロードに含めません。
   • (2) 患者ID のハッシュ化: 患者ID は SHA-256（clinicId をソルトとする）でハッシュ化されており、不可逆な一方向変換となっています。
   • (3) 生年月日の粗化: 生年月日は年齢（整数）に粗化した上で送信し、生年月日そのものは送信しません。
   • (4) 自由記載の DLP マスキング: レセプトコメントおよび電子カルテの自由記載テキストは、Cloud DLP（asia-northeast1）により、人名・電話番号・メールアドレス・住所・生年月日・マイナンバー等を検出・置換した上で送信します。
   • (5) fail-closed 設計: 上記 DLP 処理が失敗した場合、乙は OpenAI 社への送信を中止し、エラーを返します。
3. 前項にかかわらず、DLP その他の機械的処理の性質上、ごく稀に個人情報が完全に除去されない可能性があります。乙は、当該リスクを最小化するため、検出パターンの継続的改善および監査を実施します。

10.2 個人データ該当性の不存在（射程外整理）

1. 前条の加工措置により、OpenAI 社に送信される情報は、特定の個人を識別する直接識別子を含みません。
2. 提供先である OpenAI 社は、乙が管理する Cloud KMS および Firestore のいずれにもアクセスする手段を有せず、当該データと他の情報を容易に照合して特定の個人を識別することは技術的に不可能です。
3. 乙自身も、AI 処理経路においては Cloud KMS の復号 API を呼び出さない設計であり、患者氏名等の復号は、利用者の正規セッションに紐づく患者情報表示時の限定経路においてのみ実行され、その全てが監査ログに記録されます。Cloud KMS の鍵素材は Cloud KMS の外部に取り出すことができない設計（GCP の仕様）であり、AI 処理に伴う送信操作の文脈において、乙の通常業務における識別経路は構造的に分離されています。
4. 以上により、OpenAI 社に送信される情報は、個人情報保護法第2条第1項に定める「個人情報」（および同条第6項に定める「個人データ」）に該当しないものと整理しています。

10.3 第27条および第28条との関係（射程外）

1. 前条のとおり OpenAI 社に送信される情報が個人データに該当しないため、当該送信は、以下のいずれの規律対象にも該当しないものと整理しています。
   • 個人情報保護法第27条（第三者提供の制限）
   • 個人情報保護法第28条（外国にある第三者への個人データの提供）
2. したがって、OpenAI 社は、個人データの取扱いを再委託する「再委託先」（個人情報保護法第27条第5項第1号）には該当せず、本契約第7条に定める再委託先の管理体制の対象外となります。OpenAI 社は、乙が本サービス提供のために利用する 外部 API サービス（個人データに該当しない加工済みデータの処理を委ねる外部処理事業者）として位置付けられます。

10.4 OpenAI 社における加工データの取扱い

本条第10.2項のとおり、OpenAI 社への送信は個人データの提供に該当しないものと整理していますが、本サービスの透明性確保のため、OpenAI 社における加工データの取扱いに関する情報を以下のとおり開示します。

10.5 OpenAI 社の所在地および米国の個人情報保護制度（参考情報）

本条第10.2項のとおり「個人データに該当しない」と整理しているため、個人情報保護法第28条第2項に定める情報提供義務の対象とはなりませんが、本サービスの透明性確保のため、参考情報として以下を開示します。

• 所在地: アメリカ合衆国
• 米国の個人情報保護制度に関する情報: 米国には EU 一般データ保護規則（GDPR）と同水準の包括的個人情報保護法は存在しないものの、業界別規制（HIPAA等）、州レベルでの包括的個人情報保護法（カリフォルニア州 CCPA／CPRA、バージニア州 VCDPA、コロラド州 CPA 等）、連邦取引委員会法第5条による不公正・欺瞞的行為への執行、および民事訴訟による救済等により、個人情報の保護が図られている
• OpenAI 社が講ずる保護のための措置: SOC 2 Type II 認証の取得、OpenAI Data Processing Addendum に基づく契約上のセキュリティ義務、上記10.4 のデータ取扱いポリシー

第11条（バックアップ体制）

1. 自動バックアップ: 乙は、Google Cloud Firestoreの自動バックアップ機能を利用し、定期的に個人データのバックアップを取得します。
2. バックアップの保管場所: バックアップデータは、本データと同一リージョン（asia-northeast1）に保管されます。
3. リストア手順: データの損失または破損が発生した場合、バックアップからの復旧を行います。復旧目標時間（RTO）および復旧目標点（RPO）は、別途定めるサービスレベル基準に従います。

第12条（甲の表明保証）

甲は、本契約の締結および履行にあたり、以下の事項を表明し、保証します。

1. 本サービスへの個人データの提供および乙による取扱いについて、自らのプライバシーポリシー、院内掲示その他の方法により、患者その他の個人情報主体に対し、個人情報保護法その他の関連法令に基づき必要な利用目的の公表または通知を行っていること
2. 本サービスへの個人データの提供について、関連法令上必要な手続き（要配慮個人情報の取得同意の取得を含む）を全て履行していること
3. 本サービスにアップロードするデータの取得・利用について、患者その他の個人情報主体との関係において適法な根拠を有していること
4. 本サービスの利用にあたり、医療機関として適切な資格を有していること

第13条（セキュリティインシデント発生時の対応）

13.1 乙の対応

乙は、個人データの漏えい、滅失、毀損その他の安全管理に関わる事故（以下「セキュリティインシデント」）を認識した場合、以下の対応を行います。

1. 速報通知: インシデント認知後72時間以内に、影響を受ける可能性のある甲に通知
2. 詳細報告: 調査完了後速やかに、インシデントの原因、影響範囲、再発防止策を報告
3. 当局報告: 個人情報保護法第26条に基づき、必要な場合には個人情報保護委員会への報告を行う（要配慮個人情報の漏えい等が発生した場合、速報3〜5日以内、確報30日以内）
4. 被害拡大防止: 必要な応急措置の実施

13.2 甲の協力義務

甲は、乙からセキュリティインシデントの通知を受けた場合、被害拡大防止および原因究明のため、乙に対し合理的な協力を行うものとします。

13.3 甲からの報告義務

甲は、本サービスに関するセキュリティ上の懸念または事故を発見した場合、速やかに乙に報告するものとします。

第14条（甲の監督・監査権）

14.1 監督の方針

甲は、個人情報保護法第25条に基づき、乙が本契約に定める安全管理措置を適切に履行しているかを監督します。

14.2 報告義務

乙は、甲の合理的な要請に基づき、以下の情報を書面で提供します。

1. セキュリティ開示書（SDS）
2. 第三者認証（ISMS等）の取得状況
3. セキュリティインシデントの発生履歴
4. 安全管理措置の実施状況

14.3 監査の実施

1. 甲は、乙に対し、本契約に基づくデータ取扱い状況について、事前の書面通知（30日前）により監査を実施する権利を有します。
2. 監査は、年1回を上限とし、乙の通常業務に支障を及ぼさない範囲で実施するものとします。
3. 乙は、監査に必要な情報および資料を合理的な範囲で提供するものとします。
4. 監査に要する費用は、甲の負担とします。ただし、監査により乙の重大な義務違反が判明した場合は、乙の負担とします。

14.4 重大な義務違反の定義

本契約において「重大な義務違反」とは、以下のいずれかに該当する場合をいいます。

1. 第6条に定める安全管理措置の重大な不備
2. 第5条第1項に定める利用目的の制限に違反する個人データの利用
3. 第7条に基づかない再委託
4. セキュリティインシデント時の通知義務違反
5. その他、本契約の根幹に関わる義務に対する重大かつ継続的な違反

第15条（損害賠償・責任分担）

15.1 損害賠償の範囲

本契約に関する損害賠償の範囲および上限は、利用規約第9条（損害賠償の制限）の定めによります。

15.2 第三者からの請求への対応と求償

1. 甲が、本サービスに関連して患者その他の第三者から損害賠償その他の請求を受けた場合、当該請求が乙の本契約上の義務違反に起因するときは、甲は乙に対して求償することができるものとします。
2. 乙が、本サービスに関連して患者その他の第三者から損害賠償その他の請求を受けた場合、当該請求が甲の本契約上の義務違反（第12条の表明保証違反を含む）に起因するときは、乙は甲に対して求償することができるものとします。
3. 求償の範囲は、利用規約第9条に定める損害賠償の範囲および上限に従います。

第16条（契約の効力と利用規約との関係）

16.1 利用規約との一体性

本契約は、利用規約の別添として一体不可分の関係を有し、甲が利用規約に対して同意した時点で本契約に対しても同時に同意したものとみなされます。

16.2 優先順位

本契約の規定と利用規約の規定とが矛盾または抵触する場合、個人データの取扱いに関する事項については、本契約の規定が優先するものとします。

第17条（契約の有効期間）

1. 本契約は、甲乙間の本サービス利用契約の有効期間中、効力を有します。
2. 利用契約の終了後も、第8条（保管場所）、第9条（保存期間と廃棄）、第13条（インシデント対応）、第15条（損害賠償・責任分担）、および第19条（秘密保持）に関する規定は、データの完全廃棄が完了するまでの間、効力を維持します。

第18条（契約終了時の措置）

1. 本契約が終了した場合、乙は、利用規約第12条（データのエクスポートおよび削除）の定めに従い、甲のデータを取り扱います。
2. 乙は、甲の要請に応じて、データ削除完了後、データ削除証明書を発行します。

第19条（秘密保持）

1. 甲および乙は、本契約の履行を通じて知り得た相手方の秘密情報（個人データを含む）について、相手方の事前の書面による承諾なく第三者に開示してはなりません。
2. 前項の規定は、以下の場合には適用しません。
   • 法令に基づく開示要求がある場合
   • 開示時点で公知であった情報
   • 開示時点で受領者が既に知っていた情報
   • 第三者から秘密保持義務を負うことなく適法に取得した情報
3. 本条の義務は、本契約終了後も5年間効力を維持します。

第20条（準拠法・管轄裁判所）

1. 本契約の解釈および適用は、日本法に準拠します。
2. 本契約に関する一切の紛争については、東京地方裁判所を第一審の専属的合意管轄裁判所とします。

契約締結欄

本契約は、利用規約への同意と同時に、電子的方法による合意により締結されます。書面による締結を希望する場合は、以下の欄に記入の上、双方の署名捺印をもって締結します。

改定履歴