情報セキュリティポリシー。
Well Canvas合同会社（以下「当社」）は、心身の状態に関する情報をはじめとする機微な情報をお預かりします。情報セキュリティの確保を経営上の重要課題と位置づけ、以下のとおり基本方針を定めます。
1. 目的
当社が取り扱う情報資産を、漏えい、改ざん、滅失その他の脅威から保護し、お客様および関係者からの信頼に応えることを目的とします。
2. 適用範囲
当社の役員および業務に従事するすべての者、ならびに当社が取り扱うすべての情報資産に適用します。業務を委託する場合は、委託先に対しても本方針に準じた取扱いを求めます。
3. 管理体制
情報セキュリティの統括責任者を定め、管理体制を整備します。責任者は、本方針に基づく規程の整備、運用状況の点検、必要な是正を行います。
4. 情報資産の管理
取り扱う情報を重要度に応じて分類し、分類ごとに取扱いの方法、保存場所、保存期間、廃棄の方法を定めます。心身の状態に関する情報など、特に慎重な取扱いを要する情報は最上位に分類し、アクセスできる者を業務上必要な範囲に限定します。
5. アクセス管理
情報へのアクセス権は、業務上の必要性に基づいて付与し、定期的に見直します。認証を経ていない利用を認めず、権限の変更および削除の記録を残します。
6. 技術的な安全管理
通信および保存されたデータを暗号化し、脆弱性への対応を継続的に実施します。当社は自社でサーバーを保有せず、安全管理措置の水準を確認したクラウド事業者の基盤を利用します。
7. 法令等の遵守
個人情報の保護に関する法律、労働安全衛生法その他の関係法令、ならびに国が定める指針およびガイドラインを遵守します。お客様との契約に定めるセキュリティ要件についても、これを遵守します。
8. 委託先の管理
業務を委託する場合は、委託先の安全管理措置の水準を事前に確認したうえで選定し、契約により必要な義務を課します。委託先における取扱状況は定期的に確認します。主な委託先と委託する業務の内容は、ご契約前に一覧でお渡しします。
9. 教育
業務に従事するすべての者に対し、本方針および関連する規程について定期的に教育を実施し、その理解と遵守を徹底します。
10. 事故への対応
情報セキュリティに関する事故またはそのおそれを認知した場合、速やかに影響範囲を確認し、被害の拡大を防ぐ措置を講じます。法令に従って監督官庁へ報告し、関係する方へ通知するとともに、原因の究明と再発防止策を実施します。
11. 事業の継続
障害や災害が発生した場合にも重要な業務を継続できるよう、データのバックアップと復旧の手順を定め、定期的に確認します。
12. 継続的な見直し
本方針および関連する規程は、事業環境の変化、法令の改正、技術の動向をふまえ、定期的に見直し、継続的に改善します。
制定日：要確認／最終改定日：要確認
各サービスにおける具体的な取扱い（誰が何を閲覧できるか、どの項目が共有されるか）は、サービスごとの説明資料およびご契約時の書面でご案内します。