セキュリティポリシー

1. 適用範囲

本ポリシーは、脳波記録、アカウント情報および関連メタデータの収集、送信、処理、保存に関わるすべてのシステム、デバイス、ネットワーク、アプリケーションおよび担当者に適用されます。

2. データの分類

• 脳波記録：EDF形式で記録され、個人を特定できる情報（PII）を含みません。
• アカウントデータ：ユーザープロフィール、認証情報、同意記録。
• 生成物：EDF記録から生成されたパーソナライズドサウンド。

3. データの取得と所有

• myWaves Pebbleは、額に装着したゲル電極パッドを通じてデルタ波を記録します。
• EDFファイルは国際的なEDF標準に準拠し、個人を特定できる情報を含みません。所有権はユーザーにあります。
• データの取得・処理に先立ち、明示的な同意を取得します。

4. 保存と暗号化

• 保存時の暗号化：EDFファイルおよびアカウント情報を含むすべての保存データにAES-256を適用します。
• 送信時の暗号化：デバイス、ユーザー、サーバー間のすべての通信をTLS 1.2以上で保護します。
• 鍵管理：暗号鍵はAWS Key Management Service（KMS）で厳格なアクセス制御のもと管理されます。
• 保存場所：サンデジタルヘルスが日本国内で取得した個人情報の保存先については、当社プライバシーポリシー第10項をご確認ください。

5. アクセス制御と認証

• ロールベースアクセス制御（RBAC）：職務と最小権限の原則に基づいてアクセスを付与します。
• 多要素認証（MFA）：すべての管理者アカウントおよびユーザーアカウントで必須とします。
• セッション管理：自動失効と再検証を伴う安全なセッショントークンを使用します。

6. データの分離と匿名性

• EDFファイルには個人を特定できる情報を含まず、ユーザープロフィールとは分離して保存されます。
• ユーザーはEDF記録の所有権と管理権を保持します。
• EDFファイルの転送は匿名化された状態で、個人情報と結び付かない形で行われます。

7. 利用目的の限定と保存期間

• 脳波データは、特許取得済みの神経音響変換処理にのみ使用します。
• EDFファイルおよび生成物を第三者に共有、販売、配布することはありません。
• データの保存は、中核的なサービスの提供および法的義務の履行に必要な期間に限られます。

8. 監視とインシデント対応

• 24時間365日のログ記録、侵入検知、異常検知を行います。
• 特定、封じ込め、根絶、復旧の手順を定めたインシデント対応計画を整備しています。
• 規制要件に従い、影響を受けるユーザーおよび当局へ速やかに通知します。

9. 物理的・環境的セキュリティ

• AWSデータセンターはISO 27001、SOC 1/2/3、PCI DSSに準拠しています。
• 生体認証、監視、常駐警備による入退室管理が行われています。
• 予備電源および冗長構成により高可用性を確保しています。

10. 従業員と委託先の管理

• 全担当者に対し、セキュリティおよびプライバシーに関する研修を必須としています。
• 従業員、業務委託者、ベンダーとの間で秘密保持契約を締結しています。
• アカウントと権限は四半期ごとに監査します。
• すべてのベンダーに対してセキュリティ評価と契約上の要件を課しています。

11. 事業継続と災害復旧

• 暗号化されたバックアップを定期的に取得しています。
• RTO／RPOを定義し、停止時間とデータ損失を最小化します。
• 年次の災害復旧訓練により対応体制を検証しています。

12. 法令遵守とお問い合わせ

日本国内で取得した個人情報は、個人情報保護法（APPI）に準拠して管理されます。myWavesプラットフォームはGDPRおよび地域ごとのプライバシー法令に準拠しています。セキュリティに関するご連絡は info@sdh.co.jp までお願いいたします。