経済産業省ガイドラインのサービス仕様適合開示書・SLA 参考例の趣旨に沿った開示です。 数値は目標（努力目標）であり、利用規約上の絶対保証ではありません。個別契約がある場合は個別契約が優先します。
1. サービス仕様適合（要約）
- 形態: クラウド SaaS（施設単位の論理分離）
- インフラ: AWS 東京リージョン
- 認証: Cognito ＋ MFA／開院認証／RBAC
- カード情報: PAY.JP トークン化（当社は PAN/CVV 非保持）
当社は厚労省ガイドラインおよび総務省・経済産業省ガイドラインの趣旨を踏まえ安全管理を実施します。 詳細確認は security@meditoku.com まで（年次定型報告書は整備途上、要請に応じ個別対応）。
2. 責任分界表
| 領域 | 施設 | メディトク | AWS / PAY.JP 等 |
|---|---|---|---|
| 院内端末・OS・USB・ウイルス対策 | ● | △ ガイド | — |
| 院内ネットワーク・FW | ● | △ 要件提示 | — |
| アカウント・MFA 端末 | ● | ● 仕組み | Cognito |
| アプリ機能・認可・監査ログ | — | ● | — |
| クラウド物理・ハイパーバイザ | — | △ 設定・監視 | ● AWS |
| カード番号保管 | — | 非保持 | ● PAY.JP |
| 患者への外部保存・二次利用説明 | ● | △ テンプレ | — |
| 紙運用切替 | ● | △ 連絡・復旧支援 | — |
| クラウドバックアップ | △ エクスポート | ● PITR 等 | ● インフラ |
| インシデント初動連絡 | ● 通報 | ● 調査・復旧 | △ 基盤障害時 |
● 主責任 △ 協力 — 非該当
3. サービスレベル（目標）
| 指標 | 目標 | 備考 |
|---|---|---|
| 可用性 | 月次 99.9%（計画メンテ除く） | ステータス |
| 重大障害の初動 | 4 時間以内（営業時間外は翌営業日着手目標） | サポート／セキュリティ |
| 重大インシデントの施設通知 | 影響確定後、合理的に速やかに | 法令報告がある場合はそれに従う |
| RTO | おおむね 1 時間以内 | 障害種別による |
| RPO | PITR 対象でおおむね 1 分以内 | 対象テーブル依存 |
| 計画メンテ通知 | 原則 3 営業日前 | 緊急は事後可 |
4. インシデント時の役割
- 検知（監視／通報／脆弱性報告）
- 初動（切り分け、必要時ログイン停止）
- 連絡（影響施設・経営層。必要に応じ当局協力）
- 調査（ログ保全。フォレンジックは必要時手配・費用は個別協議）
- 復旧・再発防止の共有（合理的範囲）
5. データの利活用
第9条の匿名加工・統計利用は規約同意と患者説明（施設責任）が前提です。 保守合意を超える医療情報の閲覧、規約外の独断解析は行いません。