1. 目的

本ポリシーは、本サイトに関連して収集されるデータについて説明するものです。

また、そのデータの使用方法、保存場所、および保護方法についても説明します。

最後に、個人データに関するお客様の権利について説明します。

通常、お客様は情報を提供することなく本サイトを閲覧できます。ただし、本サイトおよびサービスの全機能を利用する場合は、一部のデータを提供していただく必要があります。

本合意の全部または一部に同意いただけない場合は、本サイトおよびそこで提供されるサービスの利用を中止してください。

2. 個人データ管理責任者に関する情報

プライバシーに関する役割について：

• Bookimedは、訪問者、クライアント、およびパートナーの個人データに関する管理責任者です。
• 担当者の個人データに関しては、Bookimedは処理者です。

ご注意ください。当社のパートナーは、サービス提供時に別個の管理責任者として行動します。Bookimed Limitedのデータ保護責任者（Data Protection Officer）への連絡は、care@bookimed.comまでメールでお問い合わせください。

当社はまた、1996年医療保険の携行性と責任に関する法律（Health Insurance Portability and Accountability Act、「HIPAA」）の規則に基づくビジネスアソシエイト（business associate）として行動し、医療機関のためのサポート機能、活動、およびサービスを提供する目的で、お客様の個人健康情報（「PHI」）を使用します。

3. 当社はどのようにデータを収集し、使用していますか？

利便性のため、当社はユーザーを以下の4つのカテゴリーに分類しています：

• 訪問者 — 本サイトを訪問するすべての方です。
• クライアント — 当社がサービスを提供するエンドユーザーです。
• パートナー — 医療を提供する法人です。注：お客様に医療サービスを提供する間、当社のパートナーは独立した管理責任者として行動します。
• 担当者 — 当社がパートナー（クリニック、病院など）からデータを受け取るユーザーです。

お客様が当社にとってどの立場（訪問者、クライアント、パートナー、または担当者）であっても、当社が保有するお客様のデータは以下の3つのカテゴリーのみです：

• 自動的に収集されるデータ
• 訪問者、クライアント、パートナーから当社に提供されるデータ
• その他の情報源から受け取るデータ

自動的に収集されるデータ

お客様が本サイトにアクセスすると、一部のデータが自動的に収集されます。当社は、本サイトの運営、維持、および改善のために技術的データを必要とします。これには以下が含まれます：

お客様から提供されるデータ

ここに記載されているデータがすべて必ず収集されるわけではないことにご注意ください。これは、当社がお客様からそれらを収集する場合があるという意味にすぎません。

訪問者から提供されるデータ

本サイトのご利用中に、当社のサービスの詳細を確認したり、お客様のケースに関する推奨を受けたりしたい場合があります。

クライアントから提供されるデータ

お客様が当社のクライアントになると、当社はお客様に関するより多くのデータを処理し始めます。当社が収集および処理するすべてのデータは、次の理由で必要となります：ユーザーアカウントの登録、リクエストの送信、評価の形成、会話形式でのコンサルティング。

パートナーから提供されるデータ

お客様がクリニックおよび/または病院の代表者で、アカウントの登録を希望される場合、当社はお客様およびお客様の会社に関するデータを処理する必要があります。

担当者について提供されるデータ

当社（Bookimed）とパートナーとの間の合意に基づき、当社は、クライアントおよび訪問者が最適なクリニックと専門家を選ぶために必要なデータを受け取ります。

その他の情報源から受け取るデータ

当社は、その他の情報源から情報を取得し、本サイトを通じて収集している情報と組み合わせる場合があります。このような情報源には以下が含まれます：

4. 当社はなぜ、どのようにお客様のデータを使用するのですか？

4.1. 基本的な目的

当社は、以下の7つの基本的な目的のためにお客様のデータを処理します：

4.2. その他の目的と同意

当社がその他の目的でお客様のデータを処理する必要がある場合は、お客様の同意を求めます。

重要。当社が処理の法的根拠として同意を用いる場合、お客様はあらゆる処理活動についてオプトインまたはオプトアウトを選択できます。お客様は、care@bookimed.comにメールを送信することで、いつでも同意を撤回できます。

医療データの処理に関する唯一の法的根拠は、契約の履行です。当社は、お客様にサービスを提供する以外の目的でこのデータを使用することはありません。

当社のサービスの一部の工程は自動化されています。当社が自動化を利用するのは、チームの定型業務を減らし、お客様により早く回答をお届けするためであり、お客様に関することを自動化だけで決定するためではありません。

自動化を利用している場面：

• お客様のリクエストに合うクリニックを絞り込むため。お客様が病状、治療内容、渡航先をお知らせいただくと、当社のシステムが、リクエストの詳細とお客様がご連絡をくださっている国に基づいて、条件に合うクリニックを絞り込み、並べ替えます。お客様に何かをお送りする前に、コーディネーターがその候補リストを確認します。
• お客様のリクエストを振り分けるため。お客様のリクエストは、お客様の渡航先を担当し、お客様の言語を話すコーディネーターに届けられます。これにより、お客様が複数のスタッフの間で何度も引き継がれることはありません。
• レビューを公開する前に、当社のレビューおよびコメントポリシーに定められたルールに照らして確認するため。

自動化が行わないこと。自動化は、お客様の治療、サービスを受ける資格、提示される価格について最終的な決定を下すことはありません。また、お客様に割り当てられたコーディネーターに取って代わることもありません。すべてのリクエストは人間のスタッフが確認して対応し、そのスタッフはシステムが提案するいかなる内容も覆すことができます。

唯一の例外はレビューのモデレーションです。レビューは自動的に審査され、より詳しい確認が必要なものはモデレーターが読みます。

お客様の権利。お住まいの地域によっては、お客様には、自動化された手段のみによって行われる決定の対象とならない権利、およびその決定を人が見直すよう求める権利がある場合があります。当社のシステムはそのような決定を単独で行うために使用されていないため、このような状況は生じないはずです。ただし、お客様に影響する決定が人の関与なしに行われたとお考えの場合は、care@bookimed.comまでご連絡ください。当社が調査いたします。

当社のシステムが本サイト上でお客様に表示される内容に影響を与える場合については、クリニックランキングポリシーで別途説明しています。

5. 当社はクッキーを使用していますか？

クッキーとは、ユーザーのデバイスに保存される、ユーザーに関する情報を含むデータの一部です。

当社は、ブラウザを閉じると期限切れになるセッションクッキーと、一定期間お客様のデバイスに保存される永続的クッキーの両方を使用しています。一部のクッキーは、本サイトが機能するために必要です。その他のクッキーは、第三者が設定するクッキーを含め、統計およびマーケティングのために使用されます。各クッキーの機能と保存期間を含む全リストは、当社のクッキーポリシーに記載されています。

クッキーによって収集されるデータには、以下が含まれる場合があります：

• お客様を当社に誘導した参照元のウェブサイト
• 本サイトで閲覧したウェブページ
• さまざまなウェブサイトの閲覧中に表示およびクリックした広告
• 言語などのブラウザの設定

当社は、ウェブビーコン（「トラッキングピクセル」とも呼ばれます）を使用して情報を収集することもあります。

クッキーの管理は、Chrome、Safari、Firefox、またはMicrosoft Edgeで行えます。

また、Network Advertising Initiativeのオプトアウトページにアクセスするか、Google Analyticsオプトアウト用ブラウザアドオンを使用してオプトアウトすることもできます。

6. 当社はどのようにデータを共有・開示していますか？

6.1. 当社は、以下の条件の下でお客様の個人データを共有する場合があります：

• 承認された第三者
• 安全、法的目的、および法執行
• 事業譲渡
• お客様の同意がある場合
• サービスプロバイダー

6.2. 当社は、管理責任者として、お客様のデータを保護する一定の義務を負っています。データを移転する前に、すべてのベンダーがセキュリティ監査を受けます。

6.3. 当社は、ウクライナにある当社の請負業者にお客様の個人データを移転します。欧州委員会による十分性認定（adequacy decision）はありません。

6.4. GDPRに従い、当社は移転の法的根拠として「適切な保護措置」を用いています。具体的には、欧州委員会が承認した標準契約条項です。

注：お客様に医療サービスを提供する間、当社のパートナーは独立した管理責任者として行動します。

7. 当社はお客様のデータをどのように取り扱っていますか？

当社は、お客様のデータをドイツにある当社のサーバーに保存しています。データを安全かつGDPRに準拠した方法で取り扱うために、当社は暗号化、契約上の義務、保持期間の管理、アクセスレベルの設定、ベンダーのセキュリティチェックを用いています。

暗号化とセキュリティ

当社は、当社が処理および保持する個人データを保護するために、業界標準の物理的、電子的、および手続き的な保護措置を講じています。たとえば、お客様のデータへのアクセスを制限するために、合理的な運用上および技術上の措置を講じています。当社が受け取ったデータには、権限を与えられた従業員および請負業者のみがアクセスできます。また、お客様のデータの安全を確保するために、暗号化およびその他の保護措置も使用しています。これらの措置は、お客様の個人データを紛失、不正アクセス、開示、改ざん、または破壊から保護するために合理的に設計されています。

当社の努力にもかかわらず、完全に安全な、あるいは「ハッキングを防げる」ウェブサイト、モバイルアプリケーション、データベース、システムは存在しません。そのため、当社は、お客様が本サイト上で、または本サイトを通じて送信する情報の安全性を保証または確約することはできず、お客様はご自身の責任においてそれを行うことになります。お客様は、不正な開示や悪用から個人データを保護するための合理的な措置を講じることで、データの安全の維持にご協力いただけます。本サイトおよび/またはサービスとのやり取りがもはや安全ではないと考える理由がある場合は、care@bookimed.comまで書面にて直ちにご連絡ください。

契約上の義務

当社は、パートナーとの相互のデータ処理において適切な保護を確保するため、欧州委員会が承認した標準契約条項を使用しています。

注：お客様に医療サービスを提供する間、当社のパートナーは独立した管理責任者として行動します。

個人データの保持

当社は、法律で別段の定めがない限り、本ポリシーに記載された目的を果たすために必要な期間、お客様の個人データを保持します。ただし、不正行為の検出および防止を含む当社の正当な事業上の利益のため、ならびに税務、法定報告、監査の義務を含む当社の法的義務を遵守するために、合理的に必要な期間、お客様の個人データの一部を保持する場合があります。

第三者

当社は、お客様の個人データを第三者に開示する前に、適切な保護措置が講じられているかを確認するため、ベンダーのセキュリティチェックを実施します。

8. 当社は未成年者をどのように扱っていますか？

当社は、16歳未満の子どもから直接個人データを故意に収集することはなく、今後も収集しません。16歳未満の子どものデータは、親または保護者からのリクエストがあった場合に限り、かつ親/保護者の本人確認および子どもを代理する権限の確認を行った後にのみ処理することがあります。ただし、親または保護者の方で、お子様の個人データについてご懸念がある場合は、care@bookimed.comまでご連絡ください。

9. お客様はご自身の個人データをどのように管理できますか？

お客様が当社に個人データを提供された場合、本セクションに記載されているいずれの権利も行使することができます。その他ご質問がある場合は、いつでもcare@bookimed.comまでメールをお送りください。できる限りお手伝いいたします。

欧州経済領域および英国の居住者

欧州経済領域の居住者の方：当社は1か月以内にリクエストに回答します。リクエストが受け入れられない場合は、現地のデータ保護当局に苦情を申し立てることができます。

英国の居住者の方：当社は1か月以内にリクエストに回答します。リクエストが受け入れられない場合は、情報コミッショナー事務局（Information Commissioner's Office）に、電話（0303-123-1113）またはオンライン（www.ico.org.uk/concerns）で苦情を申し立てることができます。

米国の居住者

以下のとおり、お客様の権利はお住まいの州によって異なります。

当社は、州および法令上の要件に応じて、30日から60日以内にリクエストに回答します。苦情が受け入れられない場合は、連邦取引委員会に苦情を申し立てることができます。

私の個人情報を販売しないでください

カリフォルニア州の居住者は、カリフォルニア州消費者プライバシー法（California Consumer Privacy Act、「CCPA」）に基づき、CCPAの適用を受ける企業による個人情報の「販売」をオプトアウトする権利を有します。

当社は、お客様の個人情報を誰にも販売せず、またお客様のデータをビジネスモデルとして利用することもありません。

ただし、当社はCCPAを支持し、カリフォルニア州の居住者が将来の個人情報の販売をオプトアウトできるようにしています。当社が将来お客様のデータを販売しないという希望を記録したい場合は、当社までご連絡ください。

追跡拒否リクエスト

本サイトを訪問するカリフォルニア州の居住者は、インターネット上でのオンライン閲覧行動に関する情報を当社が自動的に収集および追跡しないよう求めることができます。

このようなリクエストは通常、ウェブブラウザの設定を通じて行われます。この設定は、消費者が個々の消費者のオンライン活動に関する個人データの収集について、時間の経過とともに、また第三者のウェブサイトやオンラインサービスをまたいで選択権を行使できるようにする信号やその他の仕組みを制御するものです。

当社は現在、このようなリクエストに対応する機能を備えていません。当社の対応能力の変化に応じて、本プライバシーポリシーを変更する場合があります。

HIPAAに基づく権利

HIPAA規則に基づくビジネスアソシエイト（business associate）として、当社はお客様のプライバシーを守り、お客様のPHIの機密性を保護することに努めています。これには、治療、支払い、および医療業務のためのPHIの使用および開示が含まれます。

当社は、リクエストを受領した時点から30日以内にお客様のリクエストに対応します。

10. 当社は本ポリシーをどのように更新しますか？

適用される法律および当社の慣行は、時間の経過とともに変化します。本プライバシーポリシーを更新することを決定した場合、当社は本サイトに変更内容を掲載します。お客様の個人データの処理方法を大幅に変更する場合は、事前にお客様に通知するか、法律で義務付けられている場合には、変更を実施する前にお客様の同意を求めます。本プライバシーポリシーをお読みいただき、当社の慣行について常に最新の情報を把握されることを強くお勧めします。