プライバシーポリシー

BONROI（以下「当社」といいます）は、外国人患者の大韓民国における医療機関の利用を支援するメディカルコンシェルジュサービス「healwith」を運営しています。healwith は医療機関ではなく、診断・治療を直接提供するものではありません。

本ポリシーは、主として大韓民国「個人情報保護法」（PIPA）、「医療法」および「医療の海外進出および外国人患者誘致支援に関する法律」に準拠します。該当する場合には、利用者の居住国の法令（例：EU 一般データ保護規則（GDPR）、カザフスタン第94-V ЗРК号法、ロシア連邦第152-ФЗ号法など）の関連要件も反映します。各管轄区域に固有の告知は、以下の個別の条項に記載します。

当社は、国籍・居住地を問わず、すべての利用者の個人情報を大切に取り扱い、関連法令を遵守して安全に処理します。

商号：BONROI（サービス名：healwith）

事業形態：個人事業主

代表者：JUYOUNG KANG

事業者登録番号：463-35-00902

外国人患者誘致事業者登録番号：A-2026-01-02-06761（有効期間 2026-03-11 ～ 2029-03-10、ソウル特別市長登録）

所在地：Room 613, 385 Gangseo-ro, Gangseo-gu, Seoul, Republic of Korea

連絡先：+82-10-4772-1075（国際）· 070-7500-7795（韓国国内）

メール：admin@healwith.co.kr

営業時間：平日 09:00-18:00 KST（韓国の祝祭日を除く）

【必須項目】

· 氏名、生年月日、性別、国籍、パスポート番号（ビザおよび病院登録用）

· 連絡先（メール、電話番号、メッセンジャー ID）

· 居住地住所（滞在支援のため）

· 保護者・同伴者情報（患者が未成年者・高齢者の場合）

【機微情報 — 個別同意】

· 診断名、治療歴、現在の症状、服用中の薬剤

· 診断書、検査結果、画像資料（X 線、CT、MRI など）

· 健康保険・旅行保険情報

· 障害の有無（アクセシビリティ支援のため）

【自動収集】

· IP アドレス、Cookie、セッションログ、サービス利用記録

· 端末情報（OS、ブラウザ、機種）、おおよその位置情報（国単位。正確な位置情報は同意がある場合のみ）

· モバイルアプリのプッシュ通知用デバイストークン（アプリで通知を許可した場合に限る）

【遠隔協診（ビデオ相談）をご利用の場合】

· 音声・映像：通話中にリアルタイムで送信されるのみで、当社は録画・録音を行いません（録画機能は現在オフであり、導入する場合は事前に同意を取得し本ポリシーを改定します）。

· 字幕・翻訳テキスト：相談記録として暗号化して保存します。字幕は利用者がオンにした場合にのみ生成されます。

· 字幕の生成のため、発話音声は第9条の受託者に文字起こし・翻訳のために送信されます（ブラウザの音声認識を使用する場合、ブラウザ提供者にも送信されることがあります）。

【決済関連】

· 当社は利用者から診療費・サービス利用料を直接収受せず、カード番号などの決済情報を収集・保存しません。診療費は利用者が医療機関へ直接お支払いいただきます。

a. 利用者の識別および本人確認

b. 医療機関のマッチング、診療予約、ビザおよび滞在支援

c. 利用者の同意に基づく医療機関への診療関連情報の提供

d. 通訳・移動・宿泊などの付帯サービスの提供

e. 診療費の見積り案内および精算支援（当社は利用者の診療費を直接収受しません）

f. 苦情・相談対応、カスタマーサポート

g. サービス品質の改善、統計分析、セキュリティインシデント対応

h. 法令上の義務の履行

i. 予約・相談および進捗に関する通知の送信（メール、アプリで許可した場合はプッシュ通知）

healwith は「健康に関する情報」を処理します。これは PIPA §23 に基づく機微情報に該当し、GDPR 第9条に基づく特別な種類の個人データに該当します。当該データは、利用者の明示的な個別同意がある場合に限り、収集・利用します。

機微情報は、医療機関のマッチングおよび適切な診療調整の目的に限定して利用され、利用者が同意した範囲内でのみ医療機関に提供されます。

利用者は、機微情報の処理に同意しない権利を有しますが、同意しない場合、医療マッチングサービスの利用が制限されることがあります。

当社は、収集目的を達成した個人情報を遅滞なく削除します。ただし、法令により保管が義務付けられている場合を除きます。

【関係法令に基づく保管】

· 契約・申込撤回の記録：5 年（電子商取引消費者保護法 §6）

· 消費者の苦情および紛争処理の記録：3 年

· ログイン記録：3 か月（通信秘密保護法 §15-2）

· 病院が保有する診療記録：10 年（医療法 §22）。※ 原本は医療機関が作成・管理し、healwith はその写しを保有しません。ただし、ご本人またはご本人を代理する事業者が相談のために healwith へ直接提出された検査書類および画像ファイル（CT・MRI 等）は当社が保管し、その期間は下記のサービス目的別の保管に従います。

【サービス目的別の保管】（保存制限の原則 — 個人情報保護法 §21、GDPR 第5条(1)(e)：目的に必要な期間のみ保有）

· アカウント情報：会員資格が有効な期間保有します。退会されると、ログイン手段と連絡先情報（氏名・電話番号・メールアドレス）をただちに破棄します。退会はサービス内の「アカウント・プライバシー」画面からご自身で行えます。

· 長期未利用のアカウント：当社は未利用を理由とする自動破棄を行いません。これを義務づけていた個人情報有効期間制度は 2023 年 9 月 15 日に廃止され、休眠ポリシーは各事業者が自主的に定めることとなりました。また、がん診療は診断・治療・アフターケアが数年にわたるため、一定期間の未利用をもって関係の終了とはみなせません。破棄をご希望の場合はいつでもご自身で退会いただけます。休眠ポリシーを新設する場合は事前にお知らせします。

· 機微（健康）情報：事前相談・治療・アフターケアなど、サービス提供に必要な期間保有します。退会または同意の撤回時には、その情報に紐づく氏名・電話番号・メールアドレスをただちに破棄し、利用者を特定できない状態にします。ただし、すでに医療機関へ提供された診療関連の記録および利用者がアップロードした検査書類は、上記【関係法令に基づく保管】の期間中は残り、当該書類の中にはお名前が記載されている場合があります。保管期間の経過後は遅滞なく破棄します。※ 本方針における「サービス完了」とは、一回限りの診療ではなく、アフターケアを含む利用者との関係の終了を意味します。

· 検査書類・画像ファイル（CT・MRI 等の画像を含む）：関係終了日から 3 年間保管したのち破棄します。この期間は消費者の苦情および紛争処理記録の保存期間（電子商取引消費者保護法 §6）と同じ基準であり、相談終了後の再依頼・再相談に対応するために必要な期間です。画像の原本は診療を担当した医療機関が医療法に基づき別途保管します。

· 相談に至らなかったお問い合わせ：お問い合わせのみで相談・治療に至らなかった場合は関係終了日が存在しないため、最後のご連絡や書類提出などの最終活動日から 3 年が経過した時点で破棄します。その間に再度ご連絡いただければ、お問い合わせの続きから進められます。

· 遠隔協診の字幕・会話記録：暗号化して保管し、利用者との関係終了時または削除請求時に破棄

· マーケティング同意情報：同意撤回まで

当社は、利用者の同意に基づき、以下の第三者に個人情報を提供します。

【医療機関】

· 提供先：利用者が選択・同意した韓国国内の病院・クリニック

· 目的：診療相談、予約、治療計画の策定

· 提供項目：氏名、生年月日、連絡先、パスポート番号、診断名、症状、医療記録

· 保管期間：各機関の医療法上の保管義務に従う（通常 10 年）

【ビザ代行機関】

· 提供先：提携ビザ代行機関（同意がある場合）

· 提供項目：パスポートの写し、招請理由書、入国日程

· 目的：医療ビザ（C-3-3、G-1）申請の代行

【患者を紹介した海外の誘致エージェンシー】

· 提供先：利用者を紹介した現地エージェンシー（当該利用者を紹介した先に限る）

· 目的：専門医所見・治療案内の現地語での伝達、通訳、事前・事後管理の連絡

· 提供項目：氏名、連絡先、診断名・症状、専門医所見、治療・日程案内

· 移転先の国：利用者の居住国（例：カザフスタン・ロシア）

· 保有期間：各エージェンシーのプライバシーポリシーによる

· ※ エージェンシーは当社の受託者ではなく、自らの目的で個人情報を取り扱う独立した個人情報取扱事業者です。

【保険会社】

· 提供先：旅行・国際保険の提携先（同意がある場合）

· 目的：保険金請求の支援

利用者は第三者提供に同意しない権利を有しますが、その場合、該当サービスの利用が制限されることがあります。

当社のサービスの性質上 — 外国人患者の韓国医療機関の利用を支援するため — 当社は利用者の居住国から大韓民国へ個人情報を移転します。また、運営上、一部のデータを他の管轄区域へ移転することがあります。

【移転先および国・地域】

· 韓国国内の提携病院（医療目的）

· クラウドインフラ：Vercel Inc.（米国）、Supabase Inc.（米国 — データはソウル（ap-northeast-2）リージョンに保存）

· ソーシャルログイン認証：Google LLC（米国）・Apple Inc.（米国）— 当該ログインを利用する場合

· 分析サービス：Google Ireland Ltd.（GA4、アイルランド）

· メール送信：Resend Inc.（米国）

· 遠隔協診のビデオ通話：LiveKit Inc.（米国）

· AI チャットボット・翻訳・遠隔協診の字幕文字起こし：Google LLC（Gemini API、米国 — 当該機能を利用する場合）

· アプリのプッシュ通知：Google LLC（Firebase Cloud Messaging、米国 — アプリで通知を許可した場合）

· 患者を紹介した海外の誘致エージェンシー（患者の居住国、例：カザフスタン・ロシア）：専門医所見・治療案内の伝達および事前・事後管理の支援 — 第7条の第三者提供に基づき、エージェンシーは当社の受託者ではなく、自らの目的で処理する独立した個人情報取扱事業者です

【目的および項目】

· 病院：第7条と同じ

· クラウド・分析：アカウント情報、ログ、Cookie 識別子

【保管期間】 各移転先のポリシーおよび契約条件に従う。

【利用者の権利】 利用者は移転に同意しない権利を有しますが、移転はサービスに不可欠であるため、同意しない場合はサービスを利用できません。

【安全措置】

· EU→韓国の移転：2021年12月の欧州委員会による韓国に対する十分性決定（Decision 2022/254）に基づき、データが韓国国内で PIPC の監督の下で処理されることを前提に、別途の SCC なしに移転することができます。

· その他の移転：標準契約条項またはこれに準ずる契約上・技術上の安全措置（暗号化、仮名化）を通じて、移転先の個人情報保護義務を確保します。

· カザフスタンに関して：第16条のローカライゼーション義務に関する規定をご参照ください。

当社は、サービス運営のため、以下の受託者に契約に基づき個人情報の処理を委託します。

· Supabase Inc. — データベースホスティング（米国 — データはソウル（ap-northeast-2）リージョンに保存）

· Vercel Inc. — ウェブアプリケーションホスティング（米国）

· Google LLC — 認証（OAuth）、分析、地図（米国/アイルランド）

· Apple Inc. — 「Appleでサインイン」認証（米国）

· Resend Inc. — 通知・案内メールの送信（米国）

· LiveKit Inc. — 遠隔協診のビデオ通話（米国）

· Google LLC（Gemini API）— AI チャットボットの応答、翻訳、遠隔協診の字幕文字起こし（当該機能を利用する場合、米国）

· Google LLC（Firebase Cloud Messaging）— アプリのプッシュ通知の送信（アプリで通知を許可した場合、米国）

契約により、受託者は個人情報保護義務、目的外利用の禁止、ならびに技術的・管理的保護措置を遵守し、当社は定期的にこれを監督します。

利用者は、以下の権利を行使することができます。

· 個人情報の処理状況の確認および処理の停止の要求（PIPA §35、§37）

· 個人情報の閲覧（§35）

· 個人情報の訂正・削除の要求（§36）

· 同意の撤回（§37）

· 自動化された決定に対する拒否権（§37-2）

· 損害賠償請求権（§39）

これらの権利は、admin@healwith.co.kr または本ポリシー第14条の個人情報保護責任者（DPO）の連絡先に対して行使することができ、当社は 10 日以内に措置を講じます。

利用者は、大韓民国個人情報保護委員会に申告および紛争調停を申請することができます。

· 個人情報保護委員会：（局番なし）182、www.privacy.go.kr

· 個人情報紛争調停委員会：1833-6972、www.kopico.go.kr

healwith は、未成年患者（小児がん等）に関するコンシェルジュの依頼を受けることがあります。その場合、法定代理人（親権者・保護者）の同意を確認します。

法定代理人は、いつでも未成年者の個人情報の閲覧、訂正、削除、処理停止を請求することができ、当社は遅滞なく対応します。

当社は、以下の保護措置を実施します。

· 管理的措置：個人情報保護責任者の指定、定期的な教育、アクセス権限の最小化

· 技術的措置：暗号化（通信時 TLS 1.3、保存時 AES-256）、侵入防止システム、セキュリティパッチ管理

· 物理的措置：データ処理区域への入退室管理

· インシデント対応：漏えい発生時、72 時間以内に監督機関および情報主体へ通知

当社は、セッションの維持、言語設定、セキュリティおよび利用分析のために Cookie を使用します。

利用者はブラウザの設定により Cookie を拒否することができます。詳細は別途の「Cookie ポリシー」をご参照ください。

モバイルアプリでは必須項目のみを使用し、分析用 Cookie は使用しません。

【モバイルアプリの権限（情報通信網法 §22-2）】

· カメラ（任意）：ビデオ相談の映像、診断書・検査結果の撮影

· マイク（任意）：ビデオ相談の音声

· 通知（任意）：予約・相談および進捗のお知らせ

· 写真・ファイル（任意）：診断書・検査結果のアップロードおよび保存

必須の権限はありません。上記をいずれも許可しなくてもアプリをご利用いただけます（該当機能のみ制限されます）。権限は端末の設定からいつでも変更できます。

アプリを削除すると、通知用のデバイストークンは無効となり、当社サーバーから整理されます。

氏名：JUYOUNG KANG

役職：代表（兼任 — 韓国 PIPA §31 および GDPR 第37条に基づく）

メール：admin@healwith.co.kr

電話：+82-10-4772-1075（国際）· 070-7500-7795（韓国国内）

利用者は、個人情報に関する問い合わせ、苦情、または救済の請求について、個人情報保護責任者に直接ご連絡いただけます。当社は 10 営業日以内に回答します。

当社は、利用者に適した医療機関を推薦するために、AI ベースのマッチングアルゴリズムを使用します。これは「個人情報保護法」第37条の2に基づく「自動化された決定」に該当する場合があります。

【自動化処理の項目】

· 症状・診断名に基づく診療科のマッチング

· 過去の治療事例・言語サポートの可否に基づく病院ランキングの推薦

· 滞在期間・予算に合わせたパッケージの自動生成

【利用者の権利】

· 自動化された決定の結果に関する説明の請求

· 自動化された決定の拒否および人間による再審査の請求

· 上記の請求は admin@healwith.co.kr または第14条の DPO 連絡先へ

最終的な医療上の決定は、必ず医療従事者の判断を受けてください。AI の推薦は参考用であり、診断・治療ではありません。

本条は、カザフスタン共和国「個人データおよびその保護に関する法律」（第94-V号、2013年、2015年・2022年改正）および関連施行規定が要求する追加の開示事項を提供します。

【国外移転に対する明示的同意（第16条）】

本サービスは、外国人患者の韓国医療機関の利用を支援する性質上、利用者の個人データを大韓民国へ移転します。カザフスタン法第16条は、データ主体の明示的な書面による同意に基づく国外移転を認めており、利用者はサービス利用の申込み時に、本ポリシーの国外移転条項および別途の同意チェックボックスを通じて、以下に明示的に同意します。

· 移転先国：大韓民国

· 移転先：利用者が選択した韓国の提携医療機関、クラウドサービス提供者（Vercel Inc.、Supabase Inc.）

· 移転項目：第3条の収集項目および第5条の機微情報

· 移転目的：メディカルコンシェルジュサービスの提供

【ローカル保存（第12条）に関する案内】

カザフスタン法第12条は、カザフスタン市民の個人データのカザフスタン領域内での一次保存を定めています。現在、当社は上記第16条に基づく明示的同意の仕組みを法的根拠としてサービスを運営しており、サービスの成長段階に応じて、カザフスタン現地のクラウドパートナー（QazCloud、Yandex Cloud Kazakhstan など）を通じた現地一次保存構造の導入を検討します。重要な変更がある場合は、本ポリシーの更新により直ちにお知らせします。

【機微（医療）情報の個別同意（第8条、第9条）】

カザフスタン法上、機微情報は、書面または電子署名（EDS、eGov 連携）により確認可能な方法での同意を要します。当社は、電子チェックボックスに基づく同意をタイムスタンプ・IP アドレス・利用者識別子とともに記録し、書面に準ずる証拠力を確保します。口頭による同意は取得しません。

【公用語】

本ポリシーは、カザフ語（国語）およびロシア語（公用語）で同時に提供されます。利用者は希望する言語を選択でき、翻訳版間で解釈に相違がある場合、大韓民国における法的効力については韓国語版を基準とします。

【監督機関】

· 情報セキュリティ委員会（Комитет по информационной безопасности、KNB 傘下）

· デジタル開発・革新・航空宇宙産業省（Министерство цифрового развития, инноваций и аэрокосмической промышленности）

【申告および紛争】

本ポリシー第20条の連絡先にお問い合わせいただくか、居住地の裁判所または監督機関に提訴することができます。

GDPR が適用される場合、以下の権利が保障されます。

· アクセス権（第15条）、訂正権（第16条）、削除権（第17条）、制限権（第18条）、ポータビリティ権（第20条）、異議権（第21条）、および自動化された意思決定に関する権利（第22条）。

· 特別な種類のデータ（健康、第9条）は、明示的な同意に基づいてのみ処理されます。

· 国外移転（第44-49条）は、該当する場合、標準契約条項に基づいて行われます。

· 利用者は居住国のデータ保護機関に苦情を申し立てることができます。

· EU 代理人：[EU 市場を対象とする場合、第27条に基づき指定]

ロシア連邦第152-ФЗ号法は、ロシア国民の個人データの初回収集をロシア領域内で行うことを求めています。

healwith は、本要件の遵守方法について別途検討中です。本サービスを利用することにより、ロシア居住者は本条項を確認し、明示的に同意するものとします。

監督機関：Roskomnadzor（Роскомнадзор）。

重要な変更は、施行の少なくとも 7 日前（不利な変更の場合は 30 日前）に、サービス内のお知らせおよびメールにより通知します。

ただし、実際の取扱いは変わらず、それと合っていなかった記述を正す «訂正» については、誤った内容が掲示され続けないよう直ちに反映し、その内容を下記の改定要約に明記します。

現在のバージョン：2.5.0（施行日 2026-09-09）。前バージョン 2.4.0（2026-08-21）。

2.5.0 改定の要約：§6 に、検査書類・画像ファイル（CT・MRI 等）を関係終了後 3 年間保管することを明記し、これらの資料を healwith が保管する旨を明示しました。医療機関が作成した診療記録の原本は従来どおり当社では保有しません。

2.4.0 改定の要約：①退会時の破棄時点を「30 日以内」から「ただちに」に訂正 ②「3 年間活動のないアカウントの自動破棄」の項目を削除（根拠であった個人情報有効期間制度が 2023 年 9 月 15 日に廃止され、休眠ポリシーは各事業者の自主的判断となりました。また 3 年は契約・決済 5 年、診療記録 10 年などの法定保存期間より短く、適用できませんでした。破棄をご希望の場合はいつでもご自身で退会いただけます） ③退会時に残るものと削除されるものを実際の処理に合わせて具体化。

個人情報・一般のお問い合わせ：admin@healwith.co.kr

住所：Room 613, 385 Gangseo-ro, Gangseo-gu, Seoul, Republic of Korea

電話：+82-10-4772-1075（国際）· 070-7500-7795（韓国国内）

営業時間：平日 09:00-18:00 KST