プライバシーポリシー

最終更新日: 2026年10月17日 ／ 対象バージョン: 10.6.0

本プライバシーポリシーは、Chrome拡張機能「お知らせ君」（以下「本拡張機能」）における ユーザーデータの取り扱いについて説明します。

1. 単一の目的（Single Purpose）

2. 拡張機能が扱うデータ（収集する情報の種類）

本拡張機能は、以下のデータを処理します。Chrome ウェブストアのデータ使用フォームで申告する 分類に合わせて開示します。いずれもユーザーの端末内で処理し、開発者を含む第三者へは 一切送信しません。

本拡張機能は、以下のデータを 収集しません（取り出さず、保存も外部送信もしません）: 電話番号、住所、位置情報、閲覧履歴、検索履歴、 カード番号・カード会社・支払い手段の詳細・決済の履歴、生体情報（指紋・顔画像など）。 決済に関して読み取るのは、上記「デジスマの決済の要確認を知らせる」（既定はオフ）を オンにした場合の決済の状態（成功・失敗・要対応などの区分）と、 表示の選択で「請求金額」を選んだ場合の請求額だけで、 いずれもお知らせカードに出すためだけに使い、端末（ディスク）への保存も外部送信もしません （v10.2.0 以降、お知らせし直すために請求額をブラウザを閉じると消える一時的なメモリ上に置く場合があります。 上記「個人を特定できる情報」⑦を参照）。 電子カルテやデジスマから受け取る返事に電話番号・住所が含まれていても、その項目には触れません。 生年月日は、ユーザーが設定で「生年月日を付ける」を選んだうえで［📋］を押したときにだけ 電子カルテの登録内容から取り出し、クリップボードへ書き込みます （v10.1.9 以降の既定は「付けない」で、その間は読み取りません。 上記「健康に関する情報」を参照。保存も外部送信もしません）。 診療記録のうち検査結果だけは、上記のとおり印刷のためだけに一時的に取得しますが、 内容の読み取り・保存・外部送信は行いません （v8.9.2 以降、PDF かどうかを確かめるために先頭の数バイトだけを見ますが、 検査の内容そのものは読み取りません）。

検査結果の印刷について（v6.0.0 以降）： カルテ画面を開いた状態で、ユーザーが送信画面の「最新の検査結果を印刷」を押したときにのみ動作します。 見張りは行いません。行うのは次の3つです。
①電子カルテへ問い合わせ、その患者の検査日の一覧を取得して いちばん新しい日を選ぶ。
②取り違えを防ぐため、氏名のみを取得して印刷画面に表示する （v6.0.2 以降。同じ返事に含まれる生年月日・住所・電話番号には触れません）。 印刷画面を開いたあとにカルテが別の患者へ切り替わっていた場合は、 問い合わせる前に中止します。
③その日の検査結果（PDF）を取得し、拡張機能自身の画面の枠に映して印刷にかける。
PDF の中身は読み取りません（枠に映して刷るだけです）。 保存も外部への送信もせず、印刷後・画面を閉じたとき・一定時間の経過で自動的に破棄します。 この機能のために新しい権限は要求していません （downloads 権限も使いません）。

患者メモ・受付メモを読みやすくする機能について（v6.7.0 以降）： デジカルの受付一覧は、患者メモ・受付メモの文字そのものを途中で切って表示する 仕様です（列の幅を広げても増えません。実測 2026-08-13：43〜60文字。字の幅に合わせて切るため、文字数は一定になりません）。この機能は、設定画面でユーザーがオンにした場合にのみ、 受付一覧の画面（https://digikar.jp/reception/*）を見ている間だけ動作します。
①電子カルテの全文問い合わせ先（/public_api/current_medical_institution/reception_list）へ、 表示中の日付を指定して問い合わせ、患者メモ・受付メモの全文と、 行を突き合わせるための患者番号の3項目だけを取り出します。 この返事には氏名・生年月日・保険情報も含まれていますが、この3項目以外には一切触れません。
②取得した全文は、マウスを載せたときの吹き出し、または常時3行まで／全文の どちらかの方法で、受付一覧の同じ画面上にのみ表示します （設定でどちらも使わない「そのまま」を選ぶこともできます）。文字の大きさ（標準・大きめ・特大）は 表示の見た目だけの設定で、扱うデータは変わりません。
③取得した全文はメモリ上でのみ扱い、chrome.storage には保存せず、 外部へ送信せず、console にも出力しません。 受付一覧の画面を離れる、タブを閉じる、この機能をオフにする、のいずれかで消えます。 なお v6.7.0 から v6.8.2 までは、マウスを載せたときの吹き出しについて、 表示を消したあともその中の文字（メモの全文）が同じ画面の中に残る不具合がありました （外部への送信・保存は行っておらず、画面を閉じれば消えるものでした）。 v6.8.3 で、吹き出しを消すときに中の文字も必ず空にするよう是正しています。
④問い合わせの頻度は、定期的な取り直しが最短30秒に1回、これとは別に 見ている日付を切り替えた直後にその場で1回だけです。 v6.8.0 以降、受付一覧のタブが裏に回っている間（見ていない間）は問い合わせを止め、 表に戻った瞬間に1回だけ取り直します。v6.8.0 の変更は、この機能を含む受付一覧の見張り全体を 内部的に効率化したものであり、取得する項目・取得先・保存の有無や、判定結果には 一切変更がありません。
v10.5.0 以降、同じ問い合わせ先を「同じステータスのまま長いとき知らせる」機能 （既定はオン・メモ表示とは別の設定）でも使います。こちらは、受付一覧の画面を見ているかどうか、 タブが裏に回っているかどうかに関わらず、デジカルのタブ（受付一覧でもカルテ画面でも）が1つでも開いていれば、 1分に1回、1つのタブからだけ問い合わせます。この節の「受付一覧の画面を見ている間だけ」 「裏に回っている間は問い合わせを止め」は、メモ表示の機能についての説明です （その機能で取り出す項目・扱いは、下記「受付の状態の異常のお知らせについて」を参照）。
この機能のために新しい権限は要求しておらず、https://digikar.jp/* の ホスト権限（従来から保持）の範囲内で動作します。
v6.9.0 から v7.0.2 までの変更は、設定画面の見た目と保存の操作性 （節ごとの保存ボタン・未保存のお知らせ）に関するもので、 扱うデータ・取得先・保存の有無・権限に変更はありません。
⑤v7.1.0 以降、この機能は設定画面の チェック1つ（「受付一覧のメモ表示を使う」・既定はオン）でまとめて止められます。 外すと、上記①の全文の問い合わせそのものを行わなくなり、吹き出し・常時表示・ 受付一覧の見張り（この機能のためのもの）も止まり、そのとき手元（メモリ上）に残っている 全文もその場で捨てます。外している間は、この機能のために患者メモ・受付メモ・患者番号を 読み取ることはありません（上記のとおり、v10.5.0 以降の「同じステータスのまま長いとき知らせる」は別の設定です）。個別の設定（吹き出し・広げ方・文字の大きさ）は書き換えずに覚えているため、 チェックを戻せば、画面を読み込み直さずに元の選び方で使えるようになります。 この変更のために新しい権限は要求しておらず、扱うデータの種類も増えていません。
v7.1.1 は文書上の記述（メモが切られる位置）の訂正のみで、 動作・扱うデータ・権限に変更はありません。

カルテの記号の色づけについて（v10.3.5 以降・既定は入）： カルテの本文は、書いた人が記号（例：薬の形・体重）を付けて書き分けていますが、記号は小さく、 続きの文章と地続きに見えるため、開いた瞬間には見分けられません。この機能は、 登録した記号と、その記号が受け持つ文章に色を重ねて見分けやすくするものです。 働くのはカルテ画面（https://digikar.jp/karte/patients/*）のときだけです。
①電子カルテへの問い合わせを一切行いません。見るのは 画面に表示されている文字だけで、 新しい権限も、新しい通信先もありません （この機能のファイルには、外部へ送る処理〔fetch・XMLHttpRequest・ sendBeacon など〕が一行も含まれていません）。
②色はブラウザの色づけの仕組み（CSS Custom Highlight API）で重ねるため、 カルテの本文を1文字も書き換えません。 色の印がカルテの保存内容に混ざることは起こりません （ふつうの入力欄〔input・textarea〕の中は読まないため色も付きません。 カルテの打ち込み欄のように、入力欄ではない作りの箇所は読み、色が付きます。 いずれの場合も見た目に色が重なるだけで、保存される中身は変わりません。 この仕組みを選んだのは、まさにそのためです）。 足すのは書式の1枚だけで、要素の差し込み・表示内容の書き換え・データの登録・変更・削除は いっさい行いません。
③読んだ文字は色を重ねる位置を決めるためにその場で使うだけで、 chrome.storage にも sessionStorage にも保存せず、 外部へも送信せず、console にも出力しません。
④見ない場所：押しボタン・並び（メニュー）・ふつうの入力欄 （input・textarea・選び欄）・リンク・ページ上下の帯・ 読み上げから隠されている箇所の中は読みません。 それ以外は、カルテ画面に出ている文字を順に見ます （記号が置かれる場所を画面の作りで決めうちにすると、作りが変わった日に色が出なくなるためです）。 思わぬ箇所に当たっても広がらないよう、一度に見る文字の部品の数と、 色を重ねる箇所の数に上限を置いています。
⑤設定画面の「カルテの記号の色づけ」で、記号・名前・色・塗り方を変えられます （初期値は8件、登録できるのは20件まで、色は8つ、 塗り方は「背景を塗る」「下線を引く」（太さ3px）の2つです。 「既定に戻す」で初期値へ戻せます）。これらは選び方の設定で、患者情報は含みません。
⑥v10.3.7 以降、設定画面の「カルテの記号の色づけ」にあるスイッチ（「カルテの記号と、そのうしろの文章に色を付ける」・既定は入）ひとつでまとめて止められます。 切ると色は付かず、上記①の読み取りそのものを行いません （登録した記号はそのまま残るため、入に戻せば元どおりです）。
⑦この機能は、カルテの注意事項（上記第2章⑤・既定はオフ）とは別の設定です。 注意事項を切っていても色づけは働き、色づけを切っても注意事項の動きは変わりません。

設定のエクスポート・インポートについて（v5.6.0 以降）： 設定画面の下部から、登録済みの設定を CSV ファイルへ書き出し、別のパソコンで読み込めます。 書き出されるのは、知らせてほしい言葉・お知らせの出し方・ボタンの言葉・組み合わせセット・ 送る文の形など、設定画面で入力する項目のみです （v10.1.9 以降は「患者情報のコピー」の形〔お名前の形・生年月日を付けるかどうか〕の 2項目、v10.3.6／v10.3.7 以降はカルテの記号の色づけの2項目 〔記号・名前・色・塗り方の一覧と、色づけを使うかどうか〕、 v10.4.5 以降は「Google チャットの手打ちに送り主を付ける」かどうかの1項目、 v10.4.8 以降は「送り主のあとで改行する」かどうかの1項目、 v10.5.0 以降は「同じステータスのまま長いとき知らせる」かどうかと、区分ごと（受付中・検査中・処置中）の分数の4項目も含みます。 いずれも選び方の設定であり、患者情報そのものは含みません）。 Chatwork の API トークンと、Google チャットの投稿先 URL は、 どちらも合言葉に相当するため意図的に書き出しません。 この2つを CSV に含めない決まりはコードの一箇所（書き出す項目の一覧）だけで管理しており、 一覧に無い項目は読み込み時にも取り込みません。別のパソコンでは、この2つだけ改めて 設定画面で入力していただく必要があります。
書き出したファイルはユーザーのパソコンのダウンロードフォルダに保存されるだけで、 開発者を含む第三者へ送信されることはありません。 別のパソコンへファイルを移す作業はユーザー自身が行うものであり、 開発者がその中身を受け取ることはありません。
読み込みは画面の各欄に反映されるだけで、いちばん下の「保存する」を押すまで 実際の設定として確定しません。関わりのないファイルを選んだ場合は、画面を書き換えずにお断りします。

氏名について（v4.0.0 以降）： 上記のとおり、カルテ画面でユーザーが送信画面を開いたときだけ患者の氏名を読み取り、 ユーザーが設定したチャットスペースへ送ります。 ただし保存はしません（送信画面を閉じた時点で消えます）。 v3.6.7 以前は氏名を一切扱っていませんでした。 v4.7.0 以降は、現在アクティブなタブがカルテ画面のときにのみ読み取ります。 v9.8.3 以降は、画面の文字を拾い読みせず、電子カルテに登録されている内容から 氏名・フリガナ・年齢・性別の4項目だけを取得します（上記第2章④を参照）。

予約のお知らせについて（v8.3.0 以降）： 予約・受付の一覧に、ユーザーが登録した言葉（例:「オンライン」）を診療科の欄に含む行があるとき、 予約1件につき1行で「予約時刻 ／ 患者番号 フリガナ」を画面上のお知らせに表示します。 件数だけでは誰の予約か分からず、結局一覧を開き直すことになるため、 医療機関の判断で表示する設計としています。
・表示するのは予約時刻・患者番号・氏名のフリガナだけです。 氏名の漢字表記・生年月日・保険情報・診療内容・メモは表示しません。
・欄が存在しない画面や、フリガナが登録されていない患者については、 取得できた項目だけを表示します。
・並べるのは最大8件で、超えた分は「ほか ◯件」とまとめます。
・患者番号とフリガナを端末に保存することはありません。 保持するのはブラウザを閉じると消える一時的な記憶（chrome.storage.session）と、 表示中のお知らせの中だけです。二重通知を防ぐために端末へ残す記録 （chrome.storage.local）に入るのは、 元に戻せない短い符号・予約時刻・記録した時刻・どちらの画面から見たかだけです。
・このお知らせは設定画面の「予約・受付の一覧を見張る」を切ると、 読み取りごと行われなくなります。
・お知らせは診療中の画面にも表示されるため、患者の目に触れる可能性があります。 医療機関の運用でご判断ください。

受付の状態の異常のお知らせについて（v6.3.0 以降）： 次の3つの場合にお知らせを表示します。①②は受付一覧の「ステータス」欄の移り変わりを見て、 取り違えの疑いがあるときにお知らせするものです。
　①その日に一度も「診察中」「検査中」にならないまま、 　「会計待」「会計済」「再計待」のいずれかへ進んだとき
　②「診察待」から「受付中」「処置中」「会計待」「会計済」「再計待」へ変わったとき
　③v10.5.0 以降、「受付中」「検査中」「処置中」のまま、設定した分数 （既定は受付中20分・検査中30分・処置中30分。1〜120分の範囲で区分ごとに変えられます）がたったとき。 v10.5.2 以降、③の対象の方は1枚のお知らせにまとめ、長く待っている順に並べます （表示は4名までで、それより多いときは「ほか◯名」と人数だけを出します）。中身は1分ごとに最新に書き換え、 改めて前に出すのは、新しく対象になった方が加わったときと、前回前に出してから10分たったときです。 「確認した」で閉じたあとは、新しく対象になった方が出るまで、または10分たつまで出しません。 その状態を最初に読み取ってから2時間たった方は、お知らせから外します （ほかのお知らせで表示がいっぱいで出せなかった回は数えず、次の回にもう一度出します）
この3つのお知らせには、患者の氏名と患者番号を表示します。 どなたのことか分からないと確認のしようがないため、意図してそのようにしています。 なお、本拡張機能のお知らせのうち、患者に関する情報を表示するものは次の4つで、表示する項目はそれぞれ次のとおりです （混雑・不在・飛び込みのお知らせは区分名と人数だけで、患者に関する情報は表示しません）。
　・受付の状態の異常のお知らせ（v6.3.0 以降。v10.5.0 以降の③を含みます）：氏名と患者番号
　・予約のお知らせ（v8.3.0／v8.4.0 以降）：予約時刻・患者番号・氏名のフリガナ （上記「予約のお知らせについて」を参照）
　・デジスマの患者メッセージのお知らせ（v9.3.5 以降・既定はオフ）：患者番号と、表示の選択に応じてお名前・メッセージ本文の冒頭（60文字まで）
　・デジスマの決済の要確認のお知らせ（v10.1.3 以降・既定はオフ）：患者番号と、表示の選択に応じてお名前・請求金額
このほか、Chatwork のお知らせでは、ユーザーが表示を選んだ場合にチャット名・差出人名・本文の冒頭を表示するため、 そこに患者の氏名が含まれる可能性があります（第6章を参照）。 取り扱いは次のとおりです。
・設定でお知らせを切ることができます。上の①②③は別々に入切でき、 既定はどれも「知らせる」です。3つとも切っておけば、氏名は一度も読みません （①②だけを切った場合は画面の氏名の欄を、③だけを切った場合は下記の問い合わせ先の返事の氏名を読みません）。
・③の読み取り方（v10.5.0 以降）：③は画面の欄ではなく、電子カルテの受付一覧の問い合わせ先 （/public_api/current_medical_institution/reception_list。「患者メモ・受付メモを読みやすくする機能」と同じ問い合わせ先） へ、その日の日付を指定して問い合わせます。対象はその日の受付だけで、前日以前の受付一覧は読みません（画面で前日以前の日付を開いていても、問い合わせるのはその日の分です）。デジカルのタブ（受付一覧でもカルテ画面でも、裏に回っていても）が 1つでも開いていれば、1分に1回、1つのタブからだけ問い合わせ、デジカルのタブが1つも無いときは問い合わせません。 返事から取り出すのは、受付1件ごとの番号（その場で元に戻せない短い符号へ変換します）とステータスだけで、 氏名と患者番号は、お知らせに表示する方（4名まで）のうち、まだ取り出していない方についてだけ取り出します （すでに表示している方は、出しているお知らせの中の控えを使い、取り出し直しません。この控えは表示している方の分だけで、 お知らせを閉じると消えます。「ほか◯名」に数えた方の氏名・患者番号は取り出しません）。 この返事には生年月日・保険情報・患者メモ等も含まれていますが、これらには触れません。 ステータスの変わった時刻は電子カルテの画面に無いため、本拡張機能がその状態を最初に読み取った時刻から数えます。
・氏名を読み取るのは、お知らせの候補になった方についてだけです （候補が同時に複数あればその方々の分を読みます。確認し直して問題が無ければ、知らせずに捨てます）。 ふだんの見張りでは氏名の欄を読みません。
・氏名はどこにも保存しません。①②の移り変わりを追う記録に入るのは、 ステータスと、患者番号を元に戻せない短い符号へ変換したものだけで、 ブラウザを閉じるか日付が変わると消えます。 ③の記録に入るのは、受付1件ごとの番号を元に戻せない短い符号へ変換したものと、 ステータス・最後に読み取った時刻・数え始めた時刻・お知らせした回数・初めてお知らせに載った回の番号だけで、 同じくブラウザを閉じるか日付が変わると消えます（ディスクには書き込まれません）。 なお、表示中のお知らせを他のタブにも同じように出すため、 お知らせの文（氏名・患者番号を含みます）は、ユーザーが確認して閉じるまでの間だけ メモリ上（chrome.storage.session）に保持されます。 ブラウザを閉じると自動的に消え、ディスクには書き込まれません。
・このお知らせも診察中の画面に表示されます。消える頃合いは①②と③で違います。 ①②は、確認して閉じるまで自動では消えません。 ③は、その状態を最初に読み取ってから2時間たつと、確認して閉じていなくてもお知らせから外れ、 対象の方が全員外れた時点でカードを取り下げます（上記のとおり）。 いずれも患者の目に触れる可能性がありますので、必要に応じて設定で切ってください。
・①②は、「患者番号」または「患者氏名」の欄が見つからない画面では、何もしません （行の位置で代用することはありません）。③で氏名も患者番号も取り出せなかったときは、 そのことをお知らせに表示します。
・①②は、押し間違いで鳴らないよう、次の見直し（約5秒後）でも同じままだったときにだけお知らせします。 同じ方の同じ内容は、その日1回だけです。③は上記のとおり出し直し、ステータスが変わった方・一覧から外れた方・ 2時間たった方をお知らせから外し、全員外れたとき・日付が変わったとき・設定を切ったときに、そのお知らせを取り下げます。 設定を切ると数えていた記録も捨て、入に戻したときは最初から数えます。 読み取れない間があっても、再び読み取れたときに同じステータスのままなら、続きから数え、お知らせも残します。 読み取れない状態が続いたときは、拡張機能のアイコンに目印を出します（読み取れなかった回は記録を変えません）。
この機能のために新しい権限は要求しておらず、開発者を含む第三者への送信も行いません。

送信する文について（v4.3.0 以降）： 送信画面のボタンを押しても、その場では送信されません。押した言葉は入力欄に積み上げられ、 ユーザーが内容を確認して「送る」を押したときにのみ送信されます （入力欄の上部に、実際に送信される文がそのまま表示されます）。 ただし「すぐ送るボタン」（赤いボタン・v4.4.0 以降）だけは、押した時点で送信されます。
v5.1.0 以降、「送る」（または赤いボタン）を押すと、送信画面は 実際の送信を待たずに約0.6秒後に閉じます（送信自体は裏側の処理へ引き継がれます）。 送信に失敗した場合は、送信画面がすでに閉じたあとでも、 閲覧中の画面へ改めて「送信に失敗しました」とお知らせします （送信しようとした文面や患者の氏名は、この失敗のお知らせには含めません）。
v10.0.3 以降、このお知らせには失敗した理由を1行添えます。 理由はあらかじめ定めた文言の一覧（例：「送る文がありません」「メッセージの入力欄が 見つかりません」）と完全に一致したときにだけ表示し、一致しないものは何も表示しません。 あわせて「入力欄との違い」として、文字数と改行の数（数字だけ）を表示することがあります。 送信しようとした文面・患者の氏名・入力欄の中身そのものは、いずれの場合も含めません。
送信する文には、ユーザーが設定画面で任意に登録した送信元を示す語（例：部屋の呼び名）を 先頭に付けることができます（v4.3.0 以降）。この語はユーザー自身が入力するもので、 拡張機能が自動的に取得することはありません。v5.2.0 以降、送信元の語を入力すると、 文の形（書式）を変えていない場合に限り、自動的にその語と締めの言葉が文の先頭・末尾に付きます （書式をユーザー自身が作り込んでいる場合は変更しません）。
送信は、ユーザーがあらかじめ登録したチャットスペースの入力欄へ書き込む方法で行います。 v4.7.0 以降、送信用のタブは前面に表示せず背面で開きます（診療画面を妨げないため）。

手で打った文に送り主を付けることについて（v10.4.5 以降・既定はオフ）： 上記の送り主は、これまで本拡張機能の送信画面から送った文にだけ付いていました。 同じことを、Google チャットの画面（https://chat.google.com/*）で ユーザー自身が入力欄に打った文にも行えるようにしたものです。 設定画面の「Google チャットに手で打ったときも、送り主を先頭に付ける」を オンにした場合にのみ働きます（既定はオフ）。
①入力欄に打った文章は1文字も読み取りません。 見るのは入力欄の作り（役割・読み上げ用の名前・contenteditable かどうか）と、 文字の部品が1つでもあるかどうかだけで、中身は読みません。 打った文を保存も外部送信もせず、console にも出力しません。
②働くのはユーザーが送る操作をした瞬間だけです （Enter、Ctrl〔Mac は Control または ⌘〕＋ Enter、送信ボタンの3つ）。 画面を開いた時点で何かを入れておくことはしません。
③次のいずれかのときは付けません：設定がオフのとき／送り主を設定していないとき／ 入力欄が空のとき／本拡張機能の送信画面からの送信中（二重に付けないため）／ 同じ入力欄にすでに付けてあるとき／検索の欄のとき／ すでに送ったメッセージを直している欄のとき。 差し込めなかったときは、打った文がそのまま送られます（送るのを止めることはしません）。
④差し込むのはユーザー自身が設定した送り主の語だけで、 患者の氏名・患者番号・カルテの内容は扱いません。 送る先はユーザーがその画面で開いている会話であり、 拡張機能が送り先を選んだり、別の会話へ送ったりすることはありません。
⑤この機能のために新しい権限も、新しい通信先もありません （従来から保持している https://chat.google.com/* のホスト権限の範囲内で動作します）。 端末に増える記録はこの機能を使うかどうかの入切（1項目）だけです。
⑥設定画面のチェックを外せば、いっさい働きません。

3. データの保管場所と保持期間

保存先はすべてユーザーのブラウザ内（chrome.storage.local および chrome.storage.session）です。開発者が運営するサーバーは存在しません。 v9.1.0 以降、ユーザーが設定画面で「2台のパソコンで使うとき」をオンにした場合に限り、 後述の確認済み時刻（数値2つ）だけが chrome.storage.sync （Chrome の同期機能）に保存されます。既定はオフです。

• チャット・予約一覧から読み取った文字：照合した瞬間に破棄します。保存しません。
• 手で打った文に付ける送り主（v10.4.5 以降・既定はオフ）： 端末に増える記録はこの機能を使うかどうかの入切（1項目）だけで、 設定値（chrome.storage.local）に入ります。 入力欄に打った文章は読み取らないため、どこにも保存しません。 差し込む送り主は、ユーザー自身が設定画面で入力した語です。
• 送り主のあとで改行するかどうか（v10.4.8 以降・既定はオフ）： 送り主を付けた文で、送り主の読点のあとに改行を入れるかどうかの入切（1項目）だけを 設定値（chrome.storage.local）に保存します。送る文の形が変わるだけで、 新たに読み取る情報・新たな送り先・新しい権限はありません。
• 患者情報のコピー（v9.9.1 以降）で書き込む1行：書き込み先は ユーザーのパソコンのクリップボードだけで、拡張機能の保存領域には 一切保存しません（chrome.storage にも sessionStorage にも残しません）。クリップボードの中身は ユーザーが次に別のものをコピーすれば置き換わります。 本拡張機能がクリップボードを読み取ることはありません （読み取りの権限も持ちません）。
• 重複を防ぐための記録：会話の識別子と受信時刻、患者番号を変換した符号は、 記録してから24時間で自動的に消去されます（深夜0時ちょうどに一斉には消えない 仕組みで、記録の抜け落ちを防いでいます）。Chatwork のメッセージ番号は 日付が変わると自動的に消去されます。本文・氏名はいずれにも含みません。
  v10.0.1 以降、会話の識別子と Chatwork の部屋番号は、ユーザーがお知らせの ［メッセージを開く］を押したときに、そのお知らせのあった会話（部屋）を画面に出すためにも 使用します。このために新しく読み取る項目はなく、表示中のお知らせと一緒に、ユーザーが確認するまでの間だけ 一時的なメモリ上（chrome.storage.session）に保持します。ブラウザを閉じると消え、 画面には表示せず、外部へも送信しません。
• Chatwork の部屋（ルーム）ごとの確認済み時刻：「前回どこまで確認したか」を 部屋ごとに覚えておき、同じメッセージを二重に取得しないための記録です。 本文・氏名は含まず、時刻のみです。取りこぼしを避けるため、 日付をまたいでも保持し続けます（最大200部屋分、超えた分は古いものから入れ替わります）。
• 受付状況の集計結果（v5.0.0 以降）：区分ごとの人数、飛び込みの人数と、 混雑・飛び込みを最後に知らせた時刻（v6.5.0 以降。 一度お知らせした区分を30分は知らせ直さないための記録で、日付が変わるとリセットされます）、 および不在を最後に知らせた時刻（30分ごとに知らせ直すための記録で、 不在の方がいなくなった時点で消えます）。 いずれも人数と時刻のみで、氏名・患者番号は含みません。 集計結果はブラウザを閉じると消えます。
• 患者メモ・受付メモの全文（v6.7.0 以降）：「患者メモ・受付メモを 読みやすくする」設定をオンにしている場合のみ、受付一覧の画面を見ている間だけ メモリ上に保持します。chrome.storage には保存しません。 画面を離れる・タブを閉じる・機能をオフにする、のいずれかで消えます。
• 受付の状態の移り変わりの記録（v6.3.0 以降）：患者番号を 元に戻せない短い符号へ変換したものと、そのときのステータス、 すでに知らせたかどうかの印。氏名も、患者番号そのものも含みません。 ブラウザを閉じると消え、日付が変わってもリセットされます。
• 同じステータスのまま長いときの記録（v10.5.0 以降・既定はオン）：受付1件ごとの番号を 元に戻せない短い符号へ変換したものと、ステータス・最後に読み取った時刻・数え始めた時刻・ お知らせした回数・初めてお知らせに載った回の番号だけを、ブラウザを閉じると消える一時的なメモリ上（chrome.storage.session）に置きます。 氏名も、患者番号そのものも含みません。日付が変わってもリセットされます。 設定値としては、この機能を使うかどうかの入切と、区分ごと（受付中・検査中・処置中）の分数の4項目だけを 端末内（chrome.storage.local）に保存します（パソコンごとの設定で、他の端末とは共有しません）。 お知らせの文（氏名・患者番号を含みます）の扱いは、ほかのお知らせと同じく、 ユーザーが確認して閉じるまでの間だけ chrome.storage.session に保持します。 このほか、問い合わせを1分に1回にそろえるための最後に問い合わせた時刻と、どのタブに頼むかを決めるためのタブの番号（ブラウザ内部の番号）、続けて読み取れなかった回数、お知らせを最後に前に出した時刻（v10.5.2 以降）も、 同じ chrome.storage.session に置きます。
• 確認済み時刻の共有（v9.1.0 以降・既定はオフ）：設定画面で 「2台のパソコンで使うとき」をオンにした場合のみ、「この時刻より前は確認済み」という 時刻を、Google チャット用と Chatwork 用に1つずつ（数値2つ）だけ chrome.storage.sync に保存し、同じ Google アカウントでログインした 別の端末と共有します。部屋名・部屋番号・会話の識別子・メッセージ本文・氏名は いっさい含みません。時刻が進むのは利用者が「確認した」操作をしたときだけで、 お知らせを受け取っただけでは進みません。オフにすれば共有は行われず、 すでに共有された時刻もユーザーが Chrome の同期データを消すことで削除できます。
• カルテの注意事項の「今日はもう出した」の印（v9.2.0 以降・既定はオフ）： 設定をオンにしている場合のみ、患者の内部の番号と日付を、 そのタブを閉じると消える置き場（sessionStorage）に置きます。 設定の保存領域（chrome.storage.local）には残しません。 切り出した注意事項の本文は、どこにも記録しません。
• カルテの記号の色づけで読んだ画面の文字（v10.3.5 以降・既定は入）： どこにも保存しません。読んだその場で色を重ねる位置に変えるだけで、 chrome.storage・sessionStorage のいずれにも残さず、 外部へも送信しません。色は画面を読み込み直すたびに付け直され、 設定で切るか、カルテ画面を離れると消えます。
• デジスマの患者メッセージの「もう知らせた」の記録（v9.3.5 以降・既定はオフ）： 設定をオンにしている場合のみ、元に戻せない短い符号だけを記録し、 24時間で自動的に消去されます。 お名前・患者番号・メッセージの本文は含みません。
• デジスマの決済の要確認の記録（v10.1.3 以降・既定はオフ）： 設定をオンにしている場合のみ、端末内（chrome.storage.local）に次の2つだけを記録します。 1つは同じ方を繰り返しお知らせしないための元に戻せない短い符号 （v10.2.0 以降は受診の番号を元にしたもの）と、記録した時刻で、 要確認が解消すれば控えからも消え、記録してから24時間でも消えます （24時間を過ぎても要確認が残っている方は、念押しとして改めてお知らせし、改めて記録します）。 もう1つは「確認した」を押した方の印（v10.2.0 以降）で、 お知らせの見出しを元に戻せない符号にしたものだけを並べて持ちます。 押した方をお知らせし直さないためのもので、要確認が解消したとき、 または24時間後の念押しで改めてお知らせしたときに外れます。 お名前・患者番号・請求金額は、いずれにも含みません。 設定を切っている間はこの2つを読み書きしないため、切った時点の記録がそのまま残ります （拡張機能を削除すれば消えます）。
  v10.1.9 までは、このほかに「前日ぶんを確かめ終えた日付」（日付だけ）を記録していましたが、 v10.2.0 で廃止し、拡張機能の起動時に消去します。
  このほか、「確認した」が押されるまで30分ごとに（初めてお知らせしてから2時間まで）お知らせし直すための予定 （見出しの符号と時刻）と、最後に読み取った要確認の行 （患者番号と、表示の選択に応じてお名前・請求金額）を、 ブラウザを閉じると消える一時的なメモリ上（chrome.storage.session）に置きます。 ディスクには書き込まれません。
• 設定値（登録した言葉、再通知までの分数、表示の可否、通知する時間帯、 v10.1.9 以降は患者情報のコピーの形〔お名前の形・生年月日を付けるかどうか〕、 v10.3.6／v10.3.7 以降はカルテの記号の色づけの設定 〔記号・名前・色・塗り方の一覧と、色づけを使うかどうか〕など。 いずれも選び方の設定で、患者情報は含みません）： ユーザーが変更または削除するまで保持されます。
• Chatwork API トークン：ユーザーが設定画面で登録した場合のみ保存されます。 設定画面の「削除」ボタンでいつでも消去できます。
• 書き出した設定ファイル（CSV・v5.6.0 以降）： 拡張機能自身が管理する保存領域ではなく、ユーザーのパソコンのダウンロードフォルダに ファイルとして保存されます。書き出した後のファイルの保管・受け渡し・削除はユーザー自身が行うもので、 拡張機能や開発者がそのファイルを管理・保持することはありません。
• 保持期間：上記のうち、消える時期を示したもの（記録してから24時間、日付が変わるまで、 ブラウザやタブを閉じるまで、画面を離れるまで、ユーザーが確認するまで など）は、その時期に消えます。 それ以外の設定値・Chatwork API トークン・部屋ごとの確認済み時刻は、 ユーザーが削除するか拡張機能をアンインストールするまで端末内に保持されます （書き出した CSV ファイルはダウンロードフォルダに残るため、ユーザー自身が削除してください。 Chrome の同期に保存された確認済み時刻は、Chrome の同期データから削除できます）。 開発者側にはいかなるデータも保持されないため、開発者側での保持期間の定めはありません。

4. 拡張機能が要求する権限と用途

本拡張機能が manifest.json で要求する権限と、その用途は以下のとおりです。

5. 外部サービスへのデータ送信（第三者提供）

本拡張機能は、開発者が運営するサーバーへのデータ送信を一切行いません。 外部への通信先は、次の5つだけです。いずれもユーザー自身が契約・使用しているサービスとの 通信であり、開発者を経由しません。設定の CSV 書き出し・読み込み（v5.6.0 以降・第2章参照）は、 ユーザーのパソコン内で完結する処理であり、通信を伴いません。

1. 電子カルテ（https://digikar.jp）：ユーザーがログイン中の電子カルテへ問い合わせます。 問い合わせるのは、送信画面を開いたとき、［📋］を押したとき、「最新の検査結果を印刷」を押したとき、 「患者メモ・受付メモを読みやすくする」設定をオンにして受付一覧を見ている間、 「カルテの注意事項」設定をオンにしてカルテ画面を開いたとき、 「同じステータスのまま長いとき知らせる」設定（v10.5.0 以降・既定はオン）を入にしてデジカルのタブを開いている間（1分に1回）、 に限られます（詳細は下記）。
2. デジスマ（https://*.digikar-smart.jp）：「デジスマの患者メッセージを知らせる」設定をオンにし、 デジスマの画面を開いている間だけ、未読の有無を1分に1回問い合わせます。 v10.1.3 以降は、「デジスマの決済の要確認を知らせる」設定をオンにし、 デジスマの画面を開いている間だけ、1分に1回「支払待」の件数を問い合わせ、1件以上のときだけ「支払待」の一覧を取得します （v10.2.0 以降。v10.1.9 まではその日の受診一覧を問い合わせていました） （どちらも既定はオフ・詳細は下記）。
3. Chatwork API（api.chatwork.com）：ユーザーが API トークンを登録した場合のみ、 自分の番号・部屋の一覧と、自分あてがある部屋の直近のメッセージを取得し、端末内で自分あて・全員あてを取り出します。 取得のみで、書き込みは行いません（詳細は 5-1）。
4. Google チャット（https://chat.google.com）：ユーザーのブラウザで開いているチャットの画面の 会話一覧を読み、新着に登録した言葉があるかを調べます。会話一覧が見えるタブが無いときは、 見張り用のタブを背面で開いてタブ欄に固定します（設定「見張り用のタブを自動で用意する」をオフにすると自動では開きません）。 ユーザーが送る操作をしたときは、登録したチャットスペースの画面の入力欄へ文を入れて送信し （投稿先のタブが無ければ背面で開きます）、お知らせの［メッセージを開く］を押したときはその会話を開きます（詳細は下記）。 v10.4.5 以降は、設定をオンにした場合にのみ（既定はオフ）、 ユーザーが自分で打った文を送るときに、その文の先頭へ送り主を差し込みます （送る先はユーザーがその画面で開いている会話で、 拡張機能が送り先を選ぶことはなく、新たな通信先もありません）。
5. Chrome の同期（chrome.storage.sync）：「2台のパソコンで使うとき」をオンにした場合のみ、 確認済み時刻2つを同じ Google アカウントの別の端末と共有します（v9.1.0 以降・詳細は下記）。

5-1. Chatwork API（api.chatwork.com）

• 既定では通信しません。ユーザーが設定画面で Chatwork API トークンを登録し、 連携を有効にした場合にのみ動作します。
• 知らせる時間帯の設定でも止まります（v7.3.0 以降）。 設定した時間帯の外では、Chatwork への問い合わせそのものを行いません （時間帯の判定はユーザーの端末内の時計で行い、外部への問い合わせは発生しません）。 時間帯が開くと、その時点から確認を再開します。
• 通信の向き：本拡張機能から Chatwork へ取得を要求するだけです。 メッセージの送信・投稿・既読化などの書き込み操作は行いません。 取得するのは、自分の番号（/me）・部屋の一覧（/rooms）と、 自分あてがある部屋の直近のメッセージ（/rooms/{部屋の番号}/messages）で、 その中から自分あて・全員あてを端末内で取り出します。
• 送信内容：認証のための API トークンのみ。トークンは常に HTTP ヘッダーで送信し、 URL には含めません。通信は HTTPS で暗号化されます。
• 送信先はユーザー自身が契約する Chatwork です。 取得したメッセージは端末内で処理され、他のどこへも転送されません。
• Chatwork におけるデータの取り扱いは、Chatwork 株式会社のプライバシーポリシーに従います。

本拡張機能は、上記以外の第三者（広告事業者・分析事業者・AIサービス等）への データ提供・販売・貸与を一切行いません。 生成AIへの送信は、いかなる設定でも行いません。 外部 CDN・外部フォント・アクセス解析・エラー収集サービスも使用しておらず、 必要なコードはすべて拡張機能内に同梱しています。

6. 患者情報の取り扱いに関する追加の配慮（医療系拡張機能）

本拡張機能のお知らせは、診察中の画面にも表示されます。 また、そのとき開いているすべてのタブに同時に表示されます （見落としを防ぐためで、確認するとすべてのタブから一斉に消えます）。 患者の目に触れる可能性を前提として、次の配慮を組み込んでいます。

• チャットの内容は、どの設定でも表示しません。 ビジネスチャットについては、本文・差出人名・会話名を一切表示しません。 表示するのは「新着があります」という文言と、ユーザー自身が登録した言葉だけです。
• 予約のお知らせは、予約時刻・患者番号・氏名のフリガナまで（v8.3.0／v8.4.0 以降）。 それ以前は件数と時刻のみでしたが、件数だけではどなたの予約か分からず 一覧を開き直すことになるため、医療機関の判断で表示する設計に変えました。 氏名の漢字表記・生年月日・保険情報・診療内容・受付メモは表示しません。 設定で「予約・受付の一覧を見張る」を切れば、読み取りごと行いません。
• 混雑・不在・飛び込みのお知らせも件数のみ（v5.0.0 以降）。 表示するのは区分名（例：「受付中」「不在」）と人数だけで、 氏名・患者番号・受付メモは表示しません。
• ただし、受付の状態の異常のお知らせは氏名と患者番号を表示します （v6.3.0 以降。v10.5.0 以降の、同じステータスのまま長いときのお知らせを含みます）。混雑・不在・飛び込みのお知らせが件数のみである点は 変わりません（予約のお知らせは上記のとおり、v8.3.0／v8.4.0 以降は 予約時刻・患者番号・フリガナを表示します。デジスマの患者メッセージ・決済の要確認のお知らせは 下記のとおり、患者番号と、表示の選択に応じてお名前などを表示します）。どなたのことか分からないと 確認のしようがないため、意図してそのようにしています。 このお知らせも診察中の画面に表示されるため、患者の目に触れる可能性があります。 取り違えの疑いのお知らせ（上記①②）は、確認して閉じるまで自動では消えません。 同じステータスのまま長いときのお知らせ（v10.5.0 以降・上記③）は、その状態を最初に読み取ってから 2時間たつと、確認して閉じていなくてもお知らせから外れます。 設定画面で切ることができます（3つの場合を別々に入切でき、 既定はどれも「知らせる」）。受付メモは表示しません。
• カルテ画面のボタン（v5.4.0 以降）は、押すまで何も表示しません。 押して開く送信画面の内容は、拡張機能のアイコンから開いたときと同じです （新たに増える表示項目はありません）。 v7.4.0 以降は、個人のカルテ画面のときだけ表示し、設定画面のチェックで 表示するかどうかを選べます。v10.1.0 以降、このボタンは既定では表示しません （v10.1.0 へ更新した時点で一度だけ、それまで表示していたパソコンでも 自動的に「表示しない」へ切り替わります。設定画面で表示に戻したあとは、 勝手に切り替わることはありません。表示しなくても、拡張機能のアイコンまたは Ctrl（Mac は Control または ⌘）＋ Shift ＋ Enter で送信画面を開けます）。 また、別の画面へ移ったときは開いている送信画面を 必ず閉じるため、前の患者の氏名が画面に残り続けることはありません。 v9.8.3 以降、送信画面に出す氏名・フリガナ・年齢・性別は、画面の文字を 拾い読みせず、電子カルテに登録されている内容から取得します。 取り出し口をプログラム上の1か所に絞り、この4項目以外は取り出さない 作りにしています（同じ返事に含まれる住所・電話番号・郵便番号・保険・患者メモには 触れません）。 v10.0.2 以降、このボタンの置き場所は画面をその場で測って決めますが、 測って取り出すのは位置と大きさの数値だけで、氏名・患者番号・カルテの内容は読み取りません。
• キーボードで送信画面を開く操作（v10.0.4 以降）も、設定で切ることができます。 Ctrl（Mac は Control または ⌘）＋ Shift ＋ Enter を押したときにだけ送信画面が開きます。 見ているのは押されたキーだけで、ページの中身は読み取りません。 開いたあとに表示される内容・送れる中身・送り先は、丸ボタンや拡張機能のアイコンから 開いたときとまったく同じです（新たに増える表示項目はありません）。 既定はオンで、設定画面のチェックを外せば動きません。
• 手で打った文に送り主を付ける機能（v10.4.5 以降）は、既定ではオフです。 オンにしたときだけ、Google チャットの画面でユーザー自身が打った文を送る瞬間に、 設定した送り主を先頭に差し込みます。入力欄に打った文章は読み取らず （文字があるかどうかだけを見ます）、患者情報はいっさい扱いません。 お知らせカードは出さず、他のタブや別の画面には何も表示しません。 差し込む語はユーザー自身が設定したものであるため、 オンにしている間は、どの会話で打った文にも同じ語が付きます （個人あてのやり取りに部屋の呼び名を付けたくない場合は、設定を切ってください）。 設定画面のチェックを外せば動きません。
• 送信に失敗したお知らせに添える理由（v10.0.3 以降）は、 あらかじめ定めた文言と完全に一致したものだけです。 これに加えて表示するのは「入力欄との違い」＝文字数と改行の数（数字だけ）で、 送ろうとした文面・患者の氏名・入力欄の中身そのものは表示しません。 このお知らせも診察中の画面に表示されるため、患者の目に触れる可能性を前提に、 表示できる文言をあらかじめ絞り込んでいます。
• Chatwork のチャット名・差出人名・本文の冒頭は、表示するかどうかを選べます。 これらには患者の氏名が含まれる可能性があるため、設定画面でその旨を明示し、 オフにすると種別（個人あて／全員あて）のみの表示に切り替わります。 表示する場合の文字数もユーザーが指定できます（既定60文字・10〜200文字の範囲）。
• 患者情報のコピー（v9.9.1 以降）は、ユーザーがボタンを押したときだけ動きます。 取り出すのは患者番号・氏名のフリガナと、設定で「付ける」を選んだ場合の生年月日だけで、 同じ返事に含まれる性別（v10.1.5 以降）・住所・電話番号・保険情報・患者メモ・漢字の氏名には触れません。
  v10.1.9 以降、1行の形は設定画面の「患者情報のコピー」で選べ、既定はいちばん控えめな 「患者番号＋フリガナの頭文字（例：ヤ・タ）・生年月日なし」です。 患者番号は必ず入り、読み取れないときは書き込みません。 お名前は「付けない」「頭文字だけ」「カタカナのフルネーム」から、生年月日は「付けない」「付ける」から選べます。 フルネームまたは生年月日を選ぶと、設定画面に「外部のチャットに貼ると患者を特定しやすくなる」 旨の注意書きを表示します。 生年月日は「付ける」を選んだときだけ読み取り、電子カルテの画面と同じ書き方（元号を添えた表記）に整えます。
  「患者情報」タブが表示されている場合は、画面に出ている患者番号・フリガナ全体 （生年月日を付けるときは生年月日も）と突き合わせ、一致しないときは書き込みを中止します（画面の切り替えの途中で 別の患者の表が残っている場合に、取り違えたまま貼られることを防ぐためです）。 この突き合わせは、1行に入れるお名前の形にかかわらずフリガナ全体で行います （頭文字だけが同じ別の患者を見逃さないためです）。 書き込んだ1行はクリップボードにのみ置かれ、拡張機能は保存も外部送信もしません。 貼り付け先を選ぶのはユーザーであるため、貼り付ける前に宛先を確かめてください。
• 患者番号は元に戻せない符号へ変換してから記録し、記録ごとに定めた時期 （記録してから24時間、日付が変わるまで、要確認が解消するまで など。第3章を参照）に破棄します （記録についての説明です。お知らせへの表示は別で、患者番号を表示するのは、 受付の状態の異常・予約・デジスマの患者メッセージ・デジスマの決済の要確認の4つのお知らせです。 それぞれに表示する項目は第2章「受付の状態の異常のお知らせについて」の末尾を参照してください）。
• 患者メモ・受付メモを読みやすくする機能（v6.7.0 以降）は、 本拡張機能の通知カードとは別の仕組みです。ユーザーがすでに開いている 受付一覧の画面自体の表示を広げるだけで、他のタブや画面には表示しません。 取り出すのは患者メモ・受付メモの全文と、突き合わせ用の患者番号の3項目のみで、 同じ返事に含まれる氏名・生年月日・保険情報には一切触れません。既定では 「マウスを載せたら表示」がオン・「常に3行まで表示」がオンです。設定でどちらも 切ることができ、切れば全文を扱うこと自体をやめます。 v7.1.0 以降は、これらをまとめて止めるチェック （「受付一覧のメモ表示を使う」）が1つあり、外せば全文の問い合わせを行わず、 手元に残っている全文もその場で捨てます。
• カルテの注意事項（v9.2.0 以降）は、既定ではオフです。 オンにしたときだけ、カルテ画面に注意事項のカードを出します。出すのは ユーザーが登録した記号の付いた箇所だけで、 氏名・患者番号は表示しません。 カードは時間では消えず、［確認］を押すまで残るため、 患者の目に触れる可能性があります。出す回数は設定で選べます （初期値は「同じ患者は、その日1回だけ」）。 同じ画面に出す⚠ボタン（注意事項をもう一度出し直すボタン）も、設定で表示するかどうかを選べます。 v10.1.0 以降、この⚠ボタンは既定では表示しません （v10.0.9 までの既定は「表示する」でした。v10.1.0 へ更新した時点で一度だけ、 それまで表示していたパソコンでも自動的に「表示しない」へ切り替わります。 設定画面で表示に戻したあとは、勝手に切り替わることはありません）。 この切り替えで取りに行く範囲・取り出す項目は変わりません。 設定を切れば、取得ごと行いません。
• カルテの記号の色づけ（v10.3.5 以降）は、既定では「入」です。 お知らせカードは出さず、他のタブや別の画面には何も表示しません （色が付くのは、そのとき開いているカルテ画面の中だけです）。 電子カルテへの問い合わせを行わず、カルテの本文を1文字も書き換えません。 読むのはカルテ画面（https://digikar.jp/karte/patients/*）に表示されている文字（上記の「見ない場所」を除いた、画面に出ている文字すべて）だけで、 保存も外部送信もしません。 同じ画面に出ている患者番号・お名前などが走査に入ることがありますが、 色を重ねる位置を決めるだけで、項目として取り出すことはありません。 色は記号のある場所を目立たせるだけで、新たに文字を足したり、 隠れていた内容を表に出したりはしません。ただし、色が付いたカルテの画面は 診察中に患者の目に触れる可能性があります。 v10.3.7 以降、設定画面の「カルテの記号の色づけ」にあるスイッチ（「カルテの記号と、そのうしろの文章に色を付ける」・既定は入）で切ることができ、 切っている間は読み取り自体を行いません。 なお、この設定はカルテの注意事項（既定はオフ）とは別です。
• デジスマの患者メッセージのお知らせ（v9.3.5 以降）も、既定ではオフです。 お知らせの見出しには用件を書きません （何の相談かが分からないようにするためです）。表示する中身は「患者番号だけ」 「患者番号とお名前」「患者番号とお名前と本文の冒頭（60文字まで）」から選べます。 ご自身が送ったメッセージでは通知しません。 設定を切れば、問い合わせも読み取りも行いません。
• デジスマの決済の要確認のお知らせ（v10.1.3 以降）も、既定ではオフです。 お知らせの見出しには患者番号・お名前・請求金額を書きません。 表示する中身は「患者番号だけ」「患者番号とお名前」「患者番号とお名前と請求金額」から選べます （初期値は「患者番号だけ」）。 v10.2.0 以降、「確認した」を押すまで、要確認が残っている方を30分ごとにお知らせし直します （×で閉じた場合や表示時間が過ぎた場合は、確認したとはみなしません）。 （v10.5.6 以降は、初めてお知らせしてから2時間たつと、「確認した」を押していなくてもお知らせし直しをやめます。いったん解消してから再び要確認になった場合は、あらためてお知らせします） 「確認した」を押した方でも、要確認が24時間以上残っていれば、念押しとしてもう一度お知らせします。 お知らせし直すときも、その時点の表示の選択に合わせた項目だけを表示します （「患者番号だけ」に変えたあとは、お名前・請求金額を出しません）。 このため、患者の目に触れる機会がこれまでより増える可能性があります。 設定を切れば、問い合わせも読み取りも行いません。出ていたお知らせも1分以内に取り下げます（v10.5.9 以降）。
• ログの禁止：患者由来の情報・メッセージ本文・API トークンのいずれも、 コンソールログやエラーメッセージへ出力しません。これはリポジトリの自動テストで機械的に検証しています。
• 想定利用者：医療機関に所属する医師・医療事務職員等、 対象システムの利用権限を持つスタッフによる業務利用を想定しています。

7. データの使用に関する誓約（Chrome ウェブストア開示事項）

8. セキュリティ対策

• トークンの隔離：Chatwork API トークンの読み書きは Service Worker のみが行い、 ウェブページ上で動くスクリプトへはトークンそのものを渡しません。 設定画面へも「設定済み／未設定」の別しか返しません。
• 入力フォーム保護：トークン入力欄は type="password" によるマスク表示とし、 コピー・切り取り・ドラッグを抑止、autocomplete="off" でブラウザの補完履歴に残しません （貼り付けのみ許可しています）。
• 表示部品の隔離：お知らせは closed な Shadow DOM 内に描画し、 文字はすべて textContent で挿入します（HTML として解釈される経路がありません）。
• カルテ画面のボタン（FAB）の隔離（v5.4.0 以降）：ボタン自体は closed な Shadow DOM 内に表示し、押して開く送信画面は拡張機能自身の内部ページを小さな窓（iframe）として 重ねるだけで、デジカル本体の画面・データを書き換えることはありません。 この内部ページ（popup/popup.html）は https://digikar.jp/* の ページからのみ読み込めるようにしています。iframe とのやり取り（開閉・表示サイズの調整のみで、 患者情報は含みません）は、送り主のオリジンを確認したうえでのみ受け付けます。 閉じるたびに送信画面を読み込み直して破棄するため、開きっぱなしの内容が 次に開いたときまで残ることはありません。
• リモートコードを実行しません：外部から取得したスクリプトの実行、 eval 等による動的なコード実行を一切行いません。
• 通信のセキュリティ：すべての通信は HTTPS で暗号化されます。
• 書き出したファイルの安全な取り扱い（v5.6.3 以降）：表計算ソフトが値を計算式として 実行してしまう CSV インジェクションを防ぐため、= + - @ で始まる値には印を1つ付けて書き出します（読み込み時に自動で外れるため、内容が変わることはありません）。

9. ユーザーの権利（削除請求・開示請求）

本拡張機能が保存するデータは、すべてユーザーの端末内にのみ存在します。 拡張機能の設定画面、または Chrome の拡張機能管理画面から、いつでも確認・削除できます。 <all_urls> の許可も、設定画面からいつでも取り消せます。 開発者側のサーバーにはデータを保持していないため、開発者に対して開示請求できる保存データはありません。 設定画面の「CSV に書き出す」機能（v5.6.0 以降）を使えば、ユーザーは自分の設定内容を いつでも確認・保存（バックアップ）できます。

10. 医療安全に関する補足

本拡張機能は、連絡の見落としを減らすための補助ツールであり、 診断・治療に関する判断や助言を行うものではありません。 また、通知の到達を保証するものではありません。 ブラウザの省電力機能により通知が最大1分程度遅れること、 対象の画面を閉じている間は検知できないことなど、構造上の限界があります。 緊急性の高い連絡を本拡張機能のみに依存させないでください。

11. 利用者の責任

• Chatwork API トークンの厳重な管理（紛失・漏洩した場合は速やかに Chatwork の管理画面で再発行してください）
• 診察中の画面に表示されることを踏まえ、Chatwork のチャット名・本文を表示する設定にするかの判断
• 通知に依存しすぎない運用（第10章参照）
• 書き出した設定ファイル（CSV・v5.6.0 以降）の管理。共用のパソコンでは、控えを取り終えたら 別の場所へ移すか削除してください。また、出所の分からない CSV ファイルは読み込まず、 Excel などでも開かないでください。

12. ポリシーの変更

本プライバシーポリシーは、必要に応じて改定される場合があります。改定があった場合は、本ページの最終更新日を更新します。

13. お問い合わせ