FOR IT STAFF ／ 説明書（印刷するとPDFになります）
病院の情報システム
ご担当者さまへ
シフトきま〜るの導入をご検討いただく際の、構成・データの扱い・セキュリティ対策の説明です。稟議・審査の資料としてお使いください。
H1概要
| 名称 | シフトきま〜る（看護・介護の勤務表の自動作成） |
|---|---|
| 提供形態 | Webブラウザで動くアプリケーション。インストール不要。院内のパソコンだけで動かす起動セット（ネット接続なし）も提供 |
| 主な機能 | 勤務表の自動作成（配置人数・希望休・夜勤明け・連続勤務・勤務間インターバル等）、手直しと条件の確認、希望休の収集、手術の割り当て、訪問ルート、前の月の勤務表（12か月分）、印刷・Excel・CSVの書き出し |
| 扱う情報 | スタッフの名前（仮名でも可）、勤務の条件、希望休、勤務表。病名・患者情報など診療に関わる情報は扱いません |
| 動作環境 | Chrome・Edge・Safari・Firefox の最新版（WebAssembly・Web Worker が動くこと） |
| 運営 | 株式会社S.U.N（お問い合わせ：sun@sun-2024.com） |
H2データの保存場所と流れ
| 勤務表・条件・希望休 | 利用者の端末のブラウザ内（localStorage）にのみ保存。サーバーへの送信・保存はありません |
|---|---|
| 計算 | 端末のブラウザ内で実行（Web Worker と WebAssembly）。計算のための外部送信はありません |
| 希望休の収集 | 師長が配るリンクには部署名・月・スタッフ名のみが入ります。この情報はURLの「#」以降にあり、ブラウザの仕組み上サーバーには送られません。スタッフの入力はスマホ内で文に変換され、院内で使っている連絡手段（LINE・メール等）で師長に送られます |
| 書き出し | Excel・CSV・PDF（印刷）・バックアップファイル（設定ファイル）は、端末内で作成されダウンロードされます |
| 削除 | ブラウザのサイトデータを消去すると、すべて削除されます |
H3通信先
| sun-shift-lab.pages.dev | 画面のファイル（HTML・CSS・JavaScript・計算エンジン）の配信のみ。Cloudflare Pages（静的ファイルの配信） |
|---|---|
| その他 | ありません（外部の解析・広告・フォント・CDN を使用しません）。利用者が「LINEで送る」や、Googleスプレッドシートの「書き出して開く」を押したときだけ、そのサイトが開きます |
ファイアウォールで許可が必要な場合は、上記1つのドメインへの https 通信（443番）のみで動作します。ネット接続のない環境では、院内用の起動セット（zip・約4MB）をご利用ください。Node.js 18以上または Python 3 があれば、院内のパソコンだけで動作します。
H4セキュリティ対策
| サーバー側の処理 | ありません（静的ファイルの配信のみ）。PHP・データベース・管理画面を持たないため、それらの脆弱性（例：2026年10月公表の PHP の脆弱性 CVE-2026-109618/109619）の影響を受けません |
|---|---|
| 通信の暗号化 | https のみ。Strict-Transport-Security（HSTS）を設定 |
| Content-Security-Policy | 自サイトのファイルのみ読み込み可。外部への通信を禁止（connect-src 'self'）、埋め込み表示を禁止（frame-ancestors 'none'） |
| その他のヘッダー | X-Frame-Options: DENY、X-Content-Type-Options: nosniff、Referrer-Policy: no-referrer、Permissions-Policy（カメラ・マイク・位置情報等を不使用）、Cross-Origin-Opener-Policy |
| 認証情報 | ログインがないため、ID・パスワードを保持しません |
| 追跡 | アクセス解析・広告・追跡用クッキーを使用しません |
| 使用している部品 | 計算エンジン HiGHS 1.15.4（MITライセンス、同梱）。そのほかの外部ライブラリは使用していません |
| 確認方法 | ブラウザの開発者ツール（ネットワーク）で、通信が上記ドメインからの読み込みのみであることを確認できます |
H5ガイドラインとの関係
厚生労働省「医療情報システムの安全管理に関するガイドライン」（第6.0版）と、総務省・経済産業省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」の観点での対応状況を、医療情報セキュリティ開示書（SDS）の確認項目への回答として公開しています。
シフトきま〜るはサービス側で医療情報を預からない構成のため、外部保存（クラウドへの保存）に関する多くの項目は「該当しない」となります。第三者認証（ISMS・プライバシーマーク等）は現時点で取得していません。
H6導入の流れ（目安）
ご質問や、個別の確認項目への回答のご依頼は、sun@sun-2024.com までお送りください。