プライバシーポリシー

最終更新日: 2026年9月11日 ／ 対象バージョン: 10.1.2

本プライバシーポリシーは、Chrome拡張機能「お知らせ君」（以下「本拡張機能」）における ユーザーデータの取り扱いについて説明します。

1. 単一の目的（Single Purpose）

2. 拡張機能が扱うデータ（収集する情報の種類）

本拡張機能は、以下のデータを処理します。Chrome ウェブストアのデータ使用フォームで申告する 分類に合わせて開示します。いずれもユーザーの端末内で処理し、開発者を含む第三者へは 一切送信しません。

本拡張機能は、以下のデータを 収集しません（取り出さず、保存も外部送信もしません）: 電話番号、住所、位置情報、閲覧履歴、検索履歴、 金融情報・決済情報、生体情報（指紋・顔画像など）。 電子カルテやデジスマから受け取る返事に電話番号・住所が含まれていても、その項目には触れません。 生年月日は、ユーザーが［📋］を押したときにだけ電子カルテの登録内容から取り出し、 クリップボードへ書き込みます（上記「健康に関する情報」を参照。保存も外部送信もしません）。 診療記録のうち検査結果だけは、上記のとおり印刷のためだけに一時的に取得しますが、 内容の読み取り・保存・外部送信は行いません （v8.9.2 以降、PDF かどうかを確かめるために先頭の数バイトだけを見ますが、 検査の内容そのものは読み取りません）。

検査結果の印刷について（v6.0.0 以降）： カルテ画面を開いた状態で、ユーザーが送信画面の「最新の検査結果を印刷」を押したときにのみ動作します。 見張りは行いません。行うのは次の3つです。
①電子カルテへ問い合わせ、その患者の検査日の一覧を取得して いちばん新しい日を選ぶ。
②取り違えを防ぐため、氏名のみを取得して印刷画面に表示する （v6.0.2 以降。同じ返事に含まれる生年月日・住所・電話番号には触れません）。 印刷画面を開いたあとにカルテが別の患者へ切り替わっていた場合は、 問い合わせる前に中止します。
③その日の検査結果（PDF）を取得し、拡張機能自身の画面の枠に映して印刷にかける。
PDF の中身は読み取りません（枠に映して刷るだけです）。 保存も外部への送信もせず、印刷後・画面を閉じたとき・一定時間の経過で自動的に破棄します。 この機能のために新しい権限は要求していません （downloads 権限も使いません）。

患者メモ・受付メモを読みやすくする機能について（v6.7.0 以降）： デジカルの受付一覧は、患者メモ・受付メモの文字そのものを途中で切って表示する 仕様です（列の幅を広げても増えません。実測 2026-08-13：43〜60文字。字の幅に合わせて切るため、文字数は一定になりません）。この機能は、設定画面でユーザーがオンにした場合にのみ、 受付一覧の画面（https://digikar.jp/reception/*）を見ている間だけ動作します。
①電子カルテの全文問い合わせ先（/public_api/current_medical_institution/reception_list）へ、 表示中の日付を指定して問い合わせ、患者メモ・受付メモの全文と、 行を突き合わせるための患者番号の3項目だけを取り出します。 この返事には氏名・生年月日・保険情報も含まれていますが、この3項目以外には一切触れません。
②取得した全文は、マウスを載せたときの吹き出し、または常時3行まで／全文の どちらかの方法で、受付一覧の同じ画面上にのみ表示します （設定でどちらも使わない「そのまま」を選ぶこともできます）。文字の大きさ（標準・大きめ・特大）は 表示の見た目だけの設定で、扱うデータは変わりません。
③取得した全文はメモリ上でのみ扱い、chrome.storage には保存せず、 外部へ送信せず、console にも出力しません。 受付一覧の画面を離れる、タブを閉じる、この機能をオフにする、のいずれかで消えます。 なお v6.7.0 から v6.8.2 までは、マウスを載せたときの吹き出しについて、 表示を消したあともその中の文字（メモの全文）が同じ画面の中に残る不具合がありました （外部への送信・保存は行っておらず、画面を閉じれば消えるものでした）。 v6.8.3 で、吹き出しを消すときに中の文字も必ず空にするよう是正しています。
④問い合わせの頻度は、定期的な取り直しが最短30秒に1回、これとは別に 見ている日付を切り替えた直後にその場で1回だけです。 v6.8.0 以降、受付一覧のタブが裏に回っている間（見ていない間）は問い合わせを止め、 表に戻った瞬間に1回だけ取り直します。v6.8.0 の変更は、この機能を含む受付一覧の見張り全体を 内部的に効率化したものであり、取得する項目・取得先・保存の有無や、判定結果には 一切変更がありません。
この機能のために新しい権限は要求しておらず、https://digikar.jp/* の ホスト権限（従来から保持）の範囲内で動作します。
v6.9.0 から v7.0.2 までの変更は、設定画面の見た目と保存の操作性 （節ごとの保存ボタン・未保存のお知らせ）に関するもので、 扱うデータ・取得先・保存の有無・権限に変更はありません。
⑤v7.1.0 以降、この機能は設定画面の チェック1つ（「受付一覧のメモ表示を使う」・既定はオン）でまとめて止められます。 外すと、上記①の全文の問い合わせそのものを行わなくなり、吹き出し・常時表示・ 受付一覧の見張り（この機能のためのもの）も止まり、そのとき手元（メモリ上）に残っている 全文もその場で捨てます。外している間は、患者メモ・受付メモ・患者番号のいずれも 読み取りません。個別の設定（吹き出し・広げ方・文字の大きさ）は書き換えずに覚えているため、 チェックを戻せば、画面を読み込み直さずに元の選び方で使えるようになります。 この変更のために新しい権限は要求しておらず、扱うデータの種類も増えていません。
v7.1.1 は文書上の記述（メモが切られる位置）の訂正のみで、 動作・扱うデータ・権限に変更はありません。

設定のエクスポート・インポートについて（v5.6.0 以降）： 設定画面の下部から、登録済みの設定を CSV ファイルへ書き出し、別のパソコンで読み込めます。 書き出されるのは、知らせてほしい言葉・お知らせの出し方・ボタンの言葉・組み合わせセット・ 送る文の形など、設定画面で入力する項目のみです。 Chatwork の API トークンと、Google チャットの投稿先 URL は、 どちらも合言葉に相当するため意図的に書き出しません。 この2つを CSV に含めない決まりはコードの一箇所（書き出す項目の一覧）だけで管理しており、 一覧に無い項目は読み込み時にも取り込みません。別のパソコンでは、この2つだけ改めて 設定画面で入力していただく必要があります。
書き出したファイルはユーザーのパソコンのダウンロードフォルダに保存されるだけで、 開発者を含む第三者へ送信されることはありません。 別のパソコンへファイルを移す作業はユーザー自身が行うものであり、 開発者がその中身を受け取ることはありません。
読み込みは画面の各欄に反映されるだけで、いちばん下の「保存する」を押すまで 実際の設定として確定しません。関わりのないファイルを選んだ場合は、画面を書き換えずにお断りします。

氏名について（v4.0.0 以降）： 上記のとおり、カルテ画面でユーザーが送信画面を開いたときだけ患者の氏名を読み取り、 ユーザーが設定したチャットスペースへ送ります。 ただし保存はしません（送信画面を閉じた時点で消えます）。 v3.6.7 以前は氏名を一切扱っていませんでした。 v4.7.0 以降は、現在アクティブなタブがカルテ画面のときにのみ読み取ります。 v9.8.3 以降は、画面の文字を拾い読みせず、電子カルテに登録されている内容から 氏名・フリガナ・年齢・性別の4項目だけを取得します（上記第2章④を参照）。

予約のお知らせについて（v8.3.0 以降）： 予約・受付の一覧に、ユーザーが登録した言葉（例:「オンライン」）を診療科の欄に含む行があるとき、 予約1件につき1行で「予約時刻 ／ 患者番号 フリガナ」を画面上のお知らせに表示します。 件数だけでは誰の予約か分からず、結局一覧を開き直すことになるため、 医療機関の判断で表示する設計としています。
・表示するのは予約時刻・患者番号・氏名のフリガナだけです。 氏名の漢字表記・生年月日・保険情報・診療内容・メモは表示しません。
・欄が存在しない画面や、フリガナが登録されていない患者については、 取得できた項目だけを表示します。
・並べるのは最大8件で、超えた分は「ほか ◯件」とまとめます。
・患者番号とフリガナを端末に保存することはありません。 保持するのはブラウザを閉じると消える一時的な記憶（chrome.storage.session）と、 表示中のお知らせの中だけです。二重通知を防ぐために端末へ残す記録 （chrome.storage.local）に入るのは、 元に戻せない短い符号・予約時刻・記録した時刻・どちらの画面から見たかだけです。
・このお知らせは設定画面の「予約・受付の一覧を見張る」を切ると、 読み取りごと行われなくなります。
・お知らせは診療中の画面にも表示されるため、患者の目に触れる可能性があります。 医療機関の運用でご判断ください。

受付の状態の異常のお知らせについて（v6.3.0 以降）： 受付一覧の「ステータス」欄の移り変わりを見て、取り違えの疑いがある次の2つの場合に お知らせを表示します。
　①その日に一度も「診察中」「検査中」にならないまま、 　「会計待」「会計済」「再計待」のいずれかへ進んだとき
　②「診察待」から「受付中」「処置中」「会計待」「会計済」「再計待」へ変わったとき
本拡張機能のお知らせの中で、患者の氏名と患者番号を表示するのはこの2つだけです。 どなたのことか分からないと確認のしようがないため、意図してそのようにしています。 取り扱いは次のとおりです。
・設定でお知らせを切ることができます。上の①②は別々に入切でき、 既定はどちらも「知らせる」です。両方を切っておけば、氏名の欄は一度も読みません。
・氏名を読み取るのは、お知らせの候補になった方についてだけです （候補が同時に複数あればその方々の分を読みます。確認し直して問題が無ければ、知らせずに捨てます）。 ふだんの見張りでは氏名の欄を読みません。
・氏名はどこにも保存しません。移り変わりを追う記録に入るのは、 ステータスと、患者番号を元に戻せない短い符号へ変換したものだけで、 ブラウザを閉じるか日付が変わると消えます。 なお、表示中のお知らせを他のタブにも同じように出すため、 お知らせの文（氏名・患者番号を含みます）は、ユーザーが確認して閉じるまでの間だけ メモリ上（chrome.storage.session）に保持されます。 ブラウザを閉じると自動的に消え、ディスクには書き込まれません。
・このお知らせも診察中の画面に表示され、確認して閉じるまで自動では消えません。 患者の目に触れる可能性がありますので、必要に応じて設定で切ってください。
・「患者番号」または「患者氏名」の欄が見つからない画面では、何もしません （行の位置で代用することはありません）。
・押し間違いで鳴らないよう、次の見直し（約5秒後）でも同じままだったときにだけお知らせします。 同じ方の同じ内容は、その日1回だけです。
この機能のために新しい権限は要求しておらず、開発者を含む第三者への送信も行いません。

送信する文について（v4.3.0 以降）： 送信画面のボタンを押しても、その場では送信されません。押した言葉は入力欄に積み上げられ、 ユーザーが内容を確認して「送る」を押したときにのみ送信されます （入力欄の上部に、実際に送信される文がそのまま表示されます）。 ただし「すぐ送るボタン」（赤いボタン・v4.4.0 以降）だけは、押した時点で送信されます。
v5.1.0 以降、「送る」（または赤いボタン）を押すと、送信画面は 実際の送信を待たずに約0.6秒後に閉じます（送信自体は裏側の処理へ引き継がれます）。 送信に失敗した場合は、送信画面がすでに閉じたあとでも、 閲覧中の画面へ改めて「送信に失敗しました」とお知らせします （送信しようとした文面や患者の氏名は、この失敗のお知らせには含めません）。
v10.0.3 以降、このお知らせには失敗した理由を1行添えます。 理由はあらかじめ定めた文言の一覧（例：「送る文がありません」「メッセージの入力欄が 見つかりません」）と完全に一致したときにだけ表示し、一致しないものは何も表示しません。 あわせて「入力欄との違い」として、文字数と改行の数（数字だけ）を表示することがあります。 送信しようとした文面・患者の氏名・入力欄の中身そのものは、いずれの場合も含めません。
送信する文には、ユーザーが設定画面で任意に登録した送信元を示す語（例：部屋の呼び名）を 先頭に付けることができます（v4.3.0 以降）。この語はユーザー自身が入力するもので、 拡張機能が自動的に取得することはありません。v5.2.0 以降、送信元の語を入力すると、 文の形（書式）を変えていない場合に限り、自動的にその語と締めの言葉が文の先頭・末尾に付きます （書式をユーザー自身が作り込んでいる場合は変更しません）。
送信は、ユーザーがあらかじめ登録したチャットスペースの入力欄へ書き込む方法で行います。 v4.7.0 以降、送信用のタブは前面に表示せず背面で開きます（診療画面を妨げないため）。

3. データの保管場所と保持期間

保存先はすべてユーザーのブラウザ内（chrome.storage.local および chrome.storage.session）です。開発者が運営するサーバーは存在しません。 v9.1.0 以降、ユーザーが設定画面で「2台のパソコンで使うとき」をオンにした場合に限り、 後述の確認済み時刻（数値2つ）だけが chrome.storage.sync （Chrome の同期機能）に保存されます。既定はオフです。

• チャット・予約一覧から読み取った文字：照合した瞬間に破棄します。保存しません。
• 患者情報のコピー（v9.9.1 以降）で書き込む1行：書き込み先は ユーザーのパソコンのクリップボードだけで、拡張機能の保存領域には 一切保存しません（chrome.storage にも sessionStorage にも残しません）。クリップボードの中身は ユーザーが次に別のものをコピーすれば置き換わります。 本拡張機能がクリップボードを読み取ることはありません （読み取りの権限も持ちません）。
• 重複を防ぐための記録：会話の識別子と受信時刻、患者番号を変換した符号は、 記録してから24時間で自動的に消去されます（深夜0時ちょうどに一斉には消えない 仕組みで、記録の抜け落ちを防いでいます）。Chatwork のメッセージ番号は 日付が変わると自動的に消去されます。本文・氏名はいずれにも含みません。
  v10.0.1 以降、会話の識別子と Chatwork の部屋番号は、ユーザーがお知らせの ［メッセージを開く］を押したときに、そのお知らせのあった会話（部屋）を画面に出すためにも 使用します。このために新しく読み取る項目はなく、表示中のお知らせと一緒に、ユーザーが確認するまでの間だけ 一時的なメモリ上（chrome.storage.session）に保持します。ブラウザを閉じると消え、 画面には表示せず、外部へも送信しません。
• Chatwork の部屋（ルーム）ごとの確認済み時刻：「前回どこまで確認したか」を 部屋ごとに覚えておき、同じメッセージを二重に取得しないための記録です。 本文・氏名は含まず、時刻のみです。取りこぼしを避けるため、 日付をまたいでも保持し続けます（最大200部屋分、超えた分は古いものから入れ替わります）。
• 受付状況の集計結果（v5.0.0 以降）：区分ごとの人数、飛び込みの人数と、 混雑・飛び込みを最後に知らせた時刻（v6.5.0 以降。 一度お知らせした区分を30分は知らせ直さないための記録で、日付が変わるとリセットされます）、 および不在を最後に知らせた時刻（30分ごとに知らせ直すための記録で、 不在の方がいなくなった時点で消えます）。 いずれも人数と時刻のみで、氏名・患者番号は含みません。 集計結果はブラウザを閉じると消えます。
• 患者メモ・受付メモの全文（v6.7.0 以降）：「患者メモ・受付メモを 読みやすくする」設定をオンにしている場合のみ、受付一覧の画面を見ている間だけ メモリ上に保持します。chrome.storage には保存しません。 画面を離れる・タブを閉じる・機能をオフにする、のいずれかで消えます。
• 受付の状態の移り変わりの記録（v6.3.0 以降）：患者番号を 元に戻せない短い符号へ変換したものと、そのときのステータス、 すでに知らせたかどうかの印。氏名も、患者番号そのものも含みません。 ブラウザを閉じると消え、日付が変わってもリセットされます。
• 確認済み時刻の共有（v9.1.0 以降・既定はオフ）：設定画面で 「2台のパソコンで使うとき」をオンにした場合のみ、「この時刻より前は確認済み」という 時刻を、Google チャット用と Chatwork 用に1つずつ（数値2つ）だけ chrome.storage.sync に保存し、同じ Google アカウントでログインした 別の端末と共有します。部屋名・部屋番号・会話の識別子・メッセージ本文・氏名は いっさい含みません。時刻が進むのは利用者が「確認した」操作をしたときだけで、 お知らせを受け取っただけでは進みません。オフにすれば共有は行われず、 すでに共有された時刻もユーザーが Chrome の同期データを消すことで削除できます。
• カルテの注意事項の「今日はもう出した」の印（v9.2.0 以降・既定はオフ）： 設定をオンにしている場合のみ、患者の内部の番号と日付を、 そのタブを閉じると消える置き場（sessionStorage）に置きます。 設定の保存領域（chrome.storage.local）には残しません。 切り出した注意事項の本文は、どこにも記録しません。
• デジスマの患者メッセージの「もう知らせた」の記録（v9.3.5 以降・既定はオフ）： 設定をオンにしている場合のみ、元に戻せない短い符号だけを記録し、 24時間で自動的に消去されます。 お名前・患者番号・メッセージの本文は含みません。
• 設定値（登録した言葉、再通知までの分数、表示の可否、通知する時間帯など）： ユーザーが変更または削除するまで保持されます。
• Chatwork API トークン：ユーザーが設定画面で登録した場合のみ保存されます。 設定画面の「削除」ボタンでいつでも消去できます。
• 書き出した設定ファイル（CSV・v5.6.0 以降）： 拡張機能自身が管理する保存領域ではなく、ユーザーのパソコンのダウンロードフォルダに ファイルとして保存されます。書き出した後のファイルの保管・受け渡し・削除はユーザー自身が行うもので、 拡張機能や開発者がそのファイルを管理・保持することはありません。
• 保持期間：上記のうち、消える時期を示したもの（記録してから24時間、日付が変わるまで、 ブラウザやタブを閉じるまで、画面を離れるまで、ユーザーが確認するまで など）は、その時期に消えます。 それ以外の設定値・Chatwork API トークン・部屋ごとの確認済み時刻は、 ユーザーが削除するか拡張機能をアンインストールするまで端末内に保持されます （書き出した CSV ファイルはダウンロードフォルダに残るため、ユーザー自身が削除してください。 Chrome の同期に保存された確認済み時刻は、Chrome の同期データから削除できます）。 開発者側にはいかなるデータも保持されないため、開発者側での保持期間の定めはありません。

4. 拡張機能が要求する権限と用途

本拡張機能が manifest.json で要求する権限と、その用途は以下のとおりです。

5. 外部サービスへのデータ送信（第三者提供）

本拡張機能は、開発者が運営するサーバーへのデータ送信を一切行いません。 外部への通信先は、次の5つだけです。いずれもユーザー自身が契約・使用しているサービスとの 通信であり、開発者を経由しません。設定の CSV 書き出し・読み込み（v5.6.0 以降・第2章参照）は、 ユーザーのパソコン内で完結する処理であり、通信を伴いません。

1. 電子カルテ（https://digikar.jp）：ユーザーがログイン中の電子カルテへ問い合わせます。 問い合わせるのは、送信画面を開いたとき、［📋］を押したとき、「最新の検査結果を印刷」を押したとき、 「患者メモ・受付メモを読みやすくする」設定をオンにして受付一覧を見ている間、 「カルテの注意事項」設定をオンにしてカルテ画面を開いたとき、に限られます（詳細は下記）。
2. デジスマ（https://*.digikar-smart.jp）：「デジスマの患者メッセージを知らせる」設定をオンにし、 デジスマの画面を開いている間だけ、未読の有無を1分に1回問い合わせます（詳細は下記）。
3. Chatwork API（api.chatwork.com）：ユーザーが API トークンを登録した場合のみ、 自分の番号・部屋の一覧と、自分あてがある部屋の直近のメッセージを取得し、端末内で自分あて・全員あてを取り出します。 取得のみで、書き込みは行いません（詳細は 5-1）。
4. Google チャット（https://chat.google.com）：ユーザーのブラウザで開いているチャットの画面の 会話一覧を読み、新着に登録した言葉があるかを調べます。会話一覧が見えるタブが無いときは、 見張り用のタブを背面で開いてタブ欄に固定します（設定「見張り用のタブを自動で用意する」をオフにすると自動では開きません）。 ユーザーが送る操作をしたときは、登録したチャットスペースの画面の入力欄へ文を入れて送信し （投稿先のタブが無ければ背面で開きます）、お知らせの［メッセージを開く］を押したときはその会話を開きます（詳細は下記）。
5. Chrome の同期（chrome.storage.sync）：「2台のパソコンで使うとき」をオンにした場合のみ、 確認済み時刻2つを同じ Google アカウントの別の端末と共有します（v9.1.0 以降・詳細は下記）。

5-1. Chatwork API（api.chatwork.com）

• 既定では通信しません。ユーザーが設定画面で Chatwork API トークンを登録し、 連携を有効にした場合にのみ動作します。
• 知らせる時間帯の設定でも止まります（v7.3.0 以降）。 設定した時間帯の外では、Chatwork への問い合わせそのものを行いません （時間帯の判定はユーザーの端末内の時計で行い、外部への問い合わせは発生しません）。 時間帯が開くと、その時点から確認を再開します。
• 通信の向き：本拡張機能から Chatwork へ取得を要求するだけです。 メッセージの送信・投稿・既読化などの書き込み操作は行いません。 取得するのは、自分の番号（/me）・部屋の一覧（/rooms）と、 自分あてがある部屋の直近のメッセージ（/rooms/{部屋の番号}/messages）で、 その中から自分あて・全員あてを端末内で取り出します。
• 送信内容：認証のための API トークンのみ。トークンは常に HTTP ヘッダーで送信し、 URL には含めません。通信は HTTPS で暗号化されます。
• 送信先はユーザー自身が契約する Chatwork です。 取得したメッセージは端末内で処理され、他のどこへも転送されません。
• Chatwork におけるデータの取り扱いは、Chatwork 株式会社のプライバシーポリシーに従います。

本拡張機能は、上記以外の第三者（広告事業者・分析事業者・AIサービス等）への データ提供・販売・貸与を一切行いません。 生成AIへの送信は、いかなる設定でも行いません。 外部 CDN・外部フォント・アクセス解析・エラー収集サービスも使用しておらず、 必要なコードはすべて拡張機能内に同梱しています。

6. 患者情報の取り扱いに関する追加の配慮（医療系拡張機能）

本拡張機能のお知らせは、診察中の画面にも表示されます。 また、そのとき開いているすべてのタブに同時に表示されます （見落としを防ぐためで、確認するとすべてのタブから一斉に消えます）。 患者の目に触れる可能性を前提として、次の配慮を組み込んでいます。

• チャットの内容は、どの設定でも表示しません。 ビジネスチャットについては、本文・差出人名・会話名を一切表示しません。 表示するのは「新着があります」という文言と、ユーザー自身が登録した言葉だけです。
• 予約のお知らせは、予約時刻・患者番号・氏名のフリガナまで（v8.3.0／v8.4.0 以降）。 それ以前は件数と時刻のみでしたが、件数だけではどなたの予約か分からず 一覧を開き直すことになるため、医療機関の判断で表示する設計に変えました。 氏名の漢字表記・生年月日・保険情報・診療内容・受付メモは表示しません。 設定で「予約・受付の一覧を見張る」を切れば、読み取りごと行いません。
• 混雑・不在・飛び込みのお知らせも件数のみ（v5.0.0 以降）。 表示するのは区分名（例：「受付中」「不在」）と人数だけで、 氏名・患者番号・受付メモは表示しません。
• ただし、受付の状態の異常のお知らせだけは氏名と患者番号を表示します （v6.3.0 以降）。混雑・不在・飛び込みのお知らせが件数のみである点は 変わりません（予約のお知らせは上記のとおり、v8.3.0／v8.4.0 以降は 予約時刻・患者番号・フリガナを表示します）。どなたのことか分からないと 確認のしようがないため、意図してそのようにしています。 このお知らせも診察中の画面に表示され、確認して閉じるまで自動では消えないため、 患者の目に触れる可能性があります。 設定画面で切ることができます（2つの場合を別々に入切でき、 既定はどちらも「知らせる」）。受付メモは表示しません。
• カルテ画面のボタン（v5.4.0 以降）は、押すまで何も表示しません。 押して開く送信画面の内容は、拡張機能のアイコンから開いたときと同じです （新たに増える表示項目はありません）。 v7.4.0 以降は、個人のカルテ画面のときだけ表示し、設定画面のチェックで 表示するかどうかを選べます。v10.1.0 以降、このボタンは既定では表示しません （v10.1.0 へ更新した時点で一度だけ、それまで表示していたパソコンでも 自動的に「表示しない」へ切り替わります。設定画面で表示に戻したあとは、 勝手に切り替わることはありません。表示しなくても、拡張機能のアイコンまたは Ctrl（Mac は Control または ⌘）＋ Shift ＋ Enter で送信画面を開けます）。 また、別の画面へ移ったときは開いている送信画面を 必ず閉じるため、前の患者の氏名が画面に残り続けることはありません。 v9.8.3 以降、送信画面に出す氏名・フリガナ・年齢・性別は、画面の文字を 拾い読みせず、電子カルテに登録されている内容から取得します。 取り出し口をプログラム上の1か所に絞り、この4項目以外は取り出さない 作りにしています（同じ返事に含まれる住所・電話番号・郵便番号・保険・患者メモには 触れません）。 v10.0.2 以降、このボタンの置き場所は画面をその場で測って決めますが、 測って取り出すのは位置と大きさの数値だけで、氏名・患者番号・カルテの内容は読み取りません。
• キーボードで送信画面を開く操作（v10.0.4 以降）も、設定で切ることができます。 Ctrl（Mac は Control または ⌘）＋ Shift ＋ Enter を押したときにだけ送信画面が開きます。 見ているのは押されたキーだけで、ページの中身は読み取りません。 開いたあとに表示される内容・送れる中身・送り先は、丸ボタンや拡張機能のアイコンから 開いたときとまったく同じです（新たに増える表示項目はありません）。 既定はオンで、設定画面のチェックを外せば動きません。
• 送信に失敗したお知らせに添える理由（v10.0.3 以降）は、 あらかじめ定めた文言と完全に一致したものだけです。 これに加えて表示するのは「入力欄との違い」＝文字数と改行の数（数字だけ）で、 送ろうとした文面・患者の氏名・入力欄の中身そのものは表示しません。 このお知らせも診察中の画面に表示されるため、患者の目に触れる可能性を前提に、 表示できる文言をあらかじめ絞り込んでいます。
• Chatwork のチャット名・差出人名・本文の冒頭は、表示するかどうかを選べます。 これらには患者の氏名が含まれる可能性があるため、設定画面でその旨を明示し、 オフにすると種別（個人あて／全員あて）のみの表示に切り替わります。 表示する場合の文字数もユーザーが指定できます（既定60文字・10〜200文字の範囲）。
• 患者情報のコピー（v9.9.1 以降）は、ユーザーがボタンを押したときだけ動きます。 取り出すのは患者番号・氏名のフリガナ・性別・生年月日の4項目だけで、 同じ返事に含まれる住所・電話番号・保険情報・患者メモ・漢字の氏名には触れません。 生年月日は電子カルテの画面と同じ書き方（元号を添えた表記）に整えます。 「患者情報」タブが表示されている場合は、画面に出ている内容と突き合わせ、 一致しないときは書き込みを中止します（画面の切り替えの途中で 別の患者の表が残っている場合に、取り違えたまま貼られることを防ぐためです）。 書き込んだ1行はクリップボードにのみ置かれ、拡張機能は保存も外部送信もしません。 貼り付け先を選ぶのはユーザーであるため、貼り付ける前に宛先を確かめてください。
• 患者番号は元に戻せない符号へ変換してから記録し、当日中に破棄します （記録についての説明です。お知らせへの表示は、上記の受付の状態の異常のみが例外です）。
• 患者メモ・受付メモを読みやすくする機能（v6.7.0 以降）は、 本拡張機能の通知カードとは別の仕組みです。ユーザーがすでに開いている 受付一覧の画面自体の表示を広げるだけで、他のタブや画面には表示しません。 取り出すのは患者メモ・受付メモの全文と、突き合わせ用の患者番号の3項目のみで、 同じ返事に含まれる氏名・生年月日・保険情報には一切触れません。既定では 「マウスを載せたら表示」がオン・「常に3行まで表示」がオンです。設定でどちらも 切ることができ、切れば全文を扱うこと自体をやめます。 v7.1.0 以降は、これらをまとめて止めるチェック （「受付一覧のメモ表示を使う」）が1つあり、外せば全文の問い合わせを行わず、 手元に残っている全文もその場で捨てます。
• カルテの注意事項（v9.2.0 以降）は、既定ではオフです。 オンにしたときだけ、カルテ画面に注意事項のカードを出します。出すのは ユーザーが登録した記号の付いた箇所だけで、 氏名・患者番号は表示しません。 カードは時間では消えず、［確認］を押すまで残るため、 患者の目に触れる可能性があります。出す回数は設定で選べます （初期値は「同じ患者は、その日1回だけ」）。 同じ画面に出す⚠ボタン（注意事項をもう一度出し直すボタン）も、設定で表示するかどうかを選べます。 v10.1.0 以降、この⚠ボタンは既定では表示しません （v10.0.9 までの既定は「表示する」でした。v10.1.0 へ更新した時点で一度だけ、 それまで表示していたパソコンでも自動的に「表示しない」へ切り替わります。 設定画面で表示に戻したあとは、勝手に切り替わることはありません）。 この切り替えで取りに行く範囲・取り出す項目は変わりません。 設定を切れば、取得ごと行いません。
• デジスマの患者メッセージのお知らせ（v9.3.5 以降）も、既定ではオフです。 お知らせの見出しには用件を書きません （何の相談かが分からないようにするためです）。表示する中身は「患者番号だけ」 「患者番号とお名前」「患者番号とお名前と本文の冒頭（60文字まで）」から選べます。 ご自身が送ったメッセージでは通知しません。 設定を切れば、問い合わせも読み取りも行いません。
• ログの禁止：患者由来の情報・メッセージ本文・API トークンのいずれも、 コンソールログやエラーメッセージへ出力しません。これはリポジトリの自動テストで機械的に検証しています。
• 想定利用者：医療機関に所属する医師・医療事務職員等、 対象システムの利用権限を持つスタッフによる業務利用を想定しています。

7. データの使用に関する誓約（Chrome ウェブストア開示事項）

8. セキュリティ対策

• トークンの隔離：Chatwork API トークンの読み書きは Service Worker のみが行い、 ウェブページ上で動くスクリプトへはトークンそのものを渡しません。 設定画面へも「設定済み／未設定」の別しか返しません。
• 入力フォーム保護：トークン入力欄は type="password" によるマスク表示とし、 コピー・切り取り・ドラッグを抑止、autocomplete="off" でブラウザの補完履歴に残しません （貼り付けのみ許可しています）。
• 表示部品の隔離：お知らせは closed な Shadow DOM 内に描画し、 文字はすべて textContent で挿入します（HTML として解釈される経路がありません）。
• カルテ画面のボタン（FAB）の隔離（v5.4.0 以降）：ボタン自体は closed な Shadow DOM 内に表示し、押して開く送信画面は拡張機能自身の内部ページを小さな窓（iframe）として 重ねるだけで、デジカル本体の画面・データを書き換えることはありません。 この内部ページ（popup/popup.html）は https://digikar.jp/* の ページからのみ読み込めるようにしています。iframe とのやり取り（開閉・表示サイズの調整のみで、 患者情報は含みません）は、送り主のオリジンを確認したうえでのみ受け付けます。 閉じるたびに送信画面を読み込み直して破棄するため、開きっぱなしの内容が 次に開いたときまで残ることはありません。
• リモートコードを実行しません：外部から取得したスクリプトの実行、 eval 等による動的なコード実行を一切行いません。
• 通信のセキュリティ：すべての通信は HTTPS で暗号化されます。
• 書き出したファイルの安全な取り扱い（v5.6.3 以降）：表計算ソフトが値を計算式として 実行してしまう CSV インジェクションを防ぐため、= + - @ で始まる値には印を1つ付けて書き出します（読み込み時に自動で外れるため、内容が変わることはありません）。

9. ユーザーの権利（削除請求・開示請求）

本拡張機能が保存するデータは、すべてユーザーの端末内にのみ存在します。 拡張機能の設定画面、または Chrome の拡張機能管理画面から、いつでも確認・削除できます。 <all_urls> の許可も、設定画面からいつでも取り消せます。 開発者側のサーバーにはデータを保持していないため、開発者に対して開示請求できる保存データはありません。 設定画面の「CSV に書き出す」機能（v5.6.0 以降）を使えば、ユーザーは自分の設定内容を いつでも確認・保存（バックアップ）できます。

10. 医療安全に関する補足

本拡張機能は、連絡の見落としを減らすための補助ツールであり、 診断・治療に関する判断や助言を行うものではありません。 また、通知の到達を保証するものではありません。 ブラウザの省電力機能により通知が最大1分程度遅れること、 対象の画面を閉じている間は検知できないことなど、構造上の限界があります。 緊急性の高い連絡を本拡張機能のみに依存させないでください。

11. 利用者の責任

• Chatwork API トークンの厳重な管理（紛失・漏洩した場合は速やかに Chatwork の管理画面で再発行してください）
• 診察中の画面に表示されることを踏まえ、Chatwork のチャット名・本文を表示する設定にするかの判断
• 通知に依存しすぎない運用（第10章参照）
• 書き出した設定ファイル（CSV・v5.6.0 以降）の管理。共用のパソコンでは、控えを取り終えたら 別の場所へ移すか削除してください。また、出所の分からない CSV ファイルは読み込まず、 Excel などでも開かないでください。

12. ポリシーの変更

本プライバシーポリシーは、必要に応じて改定される場合があります。改定があった場合は、本ページの最終更新日を更新します。

13. お問い合わせ