シフトきま〜る
SDS ／ 確認項目への回答（暫定版）

医療情報セキュリティ開示書（SDS）
確認項目への回答

病院からよくご確認いただく項目に、シフトきま〜るの現状でお答えします。正式な様式（JAHIS・JIRA の開示書）での提出が必要な場合は、お問い合わせください。

暫定版（2026年10月24日）：内容は専門家の確認前です。審査で必要な項目が足りない場合はお知らせください。

D1前提：サービスが預かる情報

シフトきま〜るは、勤務表・スタッフの条件・希望休をサービス側で保存・受信しません。すべて利用者の端末内で処理されます。このため、外部保存（サーバー・クラウドへの保存）を前提とした項目は「該当しない」としています。

D2回答一覧

「対応」：対応しています　「該当しない」：データを預からない構成のため対象外　「予定」：有料プラン等で今後対応

番号確認項目回答内容
D2-1医療情報（患者情報）の取り扱い該当しない患者情報・診療情報は扱いません。扱うのはスタッフの勤務に関する情報のみです
D2-2データの保存場所対応利用者の端末のブラウザ内のみ。サービス側のサーバーには保存しません
D2-3保存先の国・法の適用該当しないサービス側で保存しないため。画面の配信は Cloudflare Pages（静的配信）
D2-4通信の暗号化対応https のみ（HSTS 設定）
D2-5利用者の認証（ログイン）該当しないログイン機能がなく、ID・パスワードを保持しません。端末の利用者管理は病院の端末管理に従います
D2-6アクセス権限の管理該当しないサービス側にデータがないため、サービス上の権限管理はありません
D2-7操作の記録（監査ログ）該当しないサービス側で操作を受け付けないため。端末内での変更は「元に戻す」で戻せます
D2-8保存データの暗号化該当しないサービス側で保存しないため。端末の暗号化（FileVault・BitLocker 等）のご利用を推奨します
D2-9バックアップ対応利用者が「設定のバックアップ」でファイルに保存できます。保存先は院内の規程に従ってください
D2-10外部サービス・第三者への提供対応外部の解析・広告・追跡・CDN を使用しません。第三者提供はありません
D2-11Webの安全対策対応Content-Security-Policy（外部への通信禁止・埋め込み禁止）、X-Frame-Options、nosniff、Referrer-Policy、Permissions-Policy
D2-12サーバーの脆弱性対策対応サーバー側の処理・データベース・PHP を持たない構成（静的配信のみ）。配信基盤の保守は Cloudflare が実施
D2-13使用ソフトウェアの把握対応計算エンジン HiGHS 1.15.4（MIT）のみ同梱。ソースコード一式を提供可能
D2-14ネットに接続しない運用対応起動セットにより、院内のパソコンだけで動作可能
D2-15障害時の影響対応配信が止まっても、起動セット・バックアップファイルで作業を続けられます。データは端末内にあるため、サービス側の障害で消えることはありません
D2-16事故発生時の連絡体制対応sun@sun-2024.com で受け付け。影響のある不具合・脆弱性は、このページと「安全のお約束」で公表します
D2-17第三者認証（ISMS・プライバシーマーク等）未取得現時点では取得していません。有料プランでクラウド保存を始める前に取得を検討します
D2-18外部の脆弱性診断予定有料プラン（サーバー機能）の提供前に実施予定
D2-19クラウド保存（有料プラン・準備中）予定選んだ場合のみ、暗号化して、運営者が契約するクラウド（Cloudflare）に保存する設計。師長のログインに二段階認証、操作の記録を予定
D2-20AIの利用（有料プラン・準備中）予定スタッフの名前は送らず番号に置き換えて送る設計。利用回数の上限と、異常な利用を検知した場合の自動停止を設けます

D3病院側でお願いしたい管理

ページの先頭へ
運営：株式会社S.U.N　お問い合わせ：sun@sun-2024.com　｜　ご担当者さま向け説明書　安全のお約束　｜　最終更新：2026年10月30日