HIPAA
保護対象保健情報を取り扱うお客様に PDF Blocks が提供する内容、および HIPAA のもとで引き続きお客様の責任となる事項について。
最終更新日 2026年7月28日
PDF Blocks は、次の2つの条件を満たす場合に、保護対象保健情報 (PHI) を伴うワークフローに利用できます。弊社との間で Business Associate Agreement (BAA) を締結していること、そしてそれらのリクエストを弊社の HIPAA 米国エンドポイントに送信していることです。本ページでは、この両方について、そして双方がそれぞれ何に責任を負うのかを説明します。
署名済みの BAA がない場合、弊社の利用規約により、PHI を API に送信することは禁止されています。BAA は、これを許可する書面による合意です。
弊社が締結する BAA
弊社は、公開されている業界標準の書式である Bonterms Standard Agreement Business Associate Agreement (BAA), Version 1.0 を使用します。お客様は、この標準書式を弊社との契約に組み込む、短いカバーページ (Cover Page) に署名します。
お客様の組織が標準書式ではなく独自の BAA を必要とする場合、弊社は一律の一回限りの料金1,000米ドルにて、お客様の BAA を確認、交渉、および締結します。
いずれのオプションも Business プランでご利用いただけます。開始するには security@pdfblocks.com までメールでご連絡ください。弊社より署名用のカバーページをお送りするか、お客様の BAA を弊社の顧問弁護士に送付します。
HIPAA 米国エンドポイント
BAA の署名が完了したら、PHI を含むすべてのリクエストを次の宛先に送信してください。
https://hipaa.api.pdfblocks.comこれは、PHI を伴うワークフロー向けに運用される米国のエンドポイントです。他のすべてのリージョンと同様にステートレスであり、アクション一式をフルに実行するため、これを利用することで失われる機能はありません。リージョンエンドポイントの仕組みについては、リージョンとデータ所在地をご覧ください。
BAA は、HIPAA エンドポイントに送信されたリクエストを対象とします。グローバルエンドポイントまたは他のリージョンエンドポイントに送信されたリクエストはその対象外です。最初のドキュメントを送信する前に、インテグレーションの送信先を hipaa.api.pdfblocks.com に設定してください。
保存状態の PHI は存在しません
API は各ドキュメントをメモリ内で処理し、同じレスポンスの中で結果を返します。データベースや永続的なストレージには何も書き込まれないため、PHI を含むドキュメントは、それを運んだリクエストの間だけ弊社側に存在し、お客様が受け取るレスポンスが唯一のコピーとなります。
これにより、BAA 上のいくつかの義務は、手続き的なものではなく、構造的に満たされることになります。契約終了時の返還または破棄の義務は、既に満たされています。返還または破棄すべき、保持された PHI は存在せず、消去すべきバックアップやアーカイブもありません。また、お客様が以前に処理したドキュメントを一覧表示、ダウンロード、または再生するエンドポイントも存在しないため、盗まれた API キーが PHI に到達することはできません。盗まれた API キーが消費できるのはクォータのみであり、キーは即座に失効させることができます。
各リクエストについて、弊社が記録するのはメタデータのみです。API キーのダイジェスト、リクエストされたアクション、入力および出力のバイト数、レスポンスのステータス、およびタイムスタンプです。ドキュメントの内容が記録されることは決してありません。
PHI に触れる AI はありません
すべてのアクションは、コードで実装された決定論的な変換です。大規模言語モデルがお客様のドキュメントを読み取ることはなく、パイプラインは第三者の AI サービスを一切呼び出さず、ドキュメントの内容がモデルの学習やファインチューニングに使用されることも一切ありません。これは、HIPAA エンドポイントに限らず、すべてのエンドポイントで当てはまります。完全な内容については、AI と機械学習をご覧ください。
弊社の管理策と Security Rule の対応関係
| セーフガード | PDF Blocks API による対応 |
|---|---|
| 技術的 | 転送中は TLS 1.3 / 1.2 を使用。API キーは SHA-256 ダイジェストとしてのみ保存され、いつでも失効可能。最小権限アクセス。アウトバウンドのインターネットアクセスを持たない、隔離されたプライベートネットワーク内での処理。ドキュメントの内容を一切取得しない、メタデータのみのロギング。 |
| 物理的 | コンピューティングは AWS および Microsoft Azure のデータセンターで実行され、これらの施設は SOC 2、ISO 27001、および PCI DSS の認証を維持しています。インスタンスのディスクは暗号化されており、インスタンスの廃止時に破棄されます。 |
| 管理的 | 文書化された情報セキュリティ、アクセス制御、インシデント対応、および事業継続に関するポリシー。社員および副処理者に課される守秘義務。重大度と通知手順を定めた、文書化されたインシデント対応。自動化された脆弱性スキャンと、定められた是正期限。 |
| 侵害の通知 | 弊社は、BAA およびデータ処理契約に定める条件に従い、お客様のデータに影響を及ぼす、確認されたまたは疑われるインシデントについて、不当に遅延することなくお客様に通知します。 |
セキュリティページでは、これらの管理策それぞれについて詳しく説明しています。また、弊社の内部セキュリティポリシーは、相互 NDA のもと、Business プランでご利用いただけます。
お客様の責任範囲
HIPAA への準拠は双方で分担します。お客様側では、以下を行ってください。
- PHI を HIPAA エンドポイントに送信してください。 それ以外は BAA の対象外です。
- ドキュメント以外のあらゆる場所から PHI を除外してください。 アカウントのフィールド、API キーの名前、サポートチケットは弊社のアカウントシステム上にあり、これらはお客様のドキュメントを一切受け取らず、BAA の対象にもなりません。これらに PHI を含めないでください。
- 必要最小限の基準を適用してください。 当該操作に必要なドキュメントおよびページのみを送信してください。
- 漏えいした可能性がある API キーは失効させてください。 キーは利用量を計測するものであり、ドキュメントに到達することはできないため、漏えいしたキーは PHI を漏らすのではなく、クォータを消費するにとどまります。維持すべきローテーションのスケジュールはありません。
- 結果を保護してください。 レスポンスが弊社を離れた後は、そのコピーはお客様のものとなり、お客様自身のプログラムのもとで保存および保護していただきます。
ご質問
BAA のカバーページ、記入済みのセキュリティ質問票、またはここに記載のない管理策については、security@pdfblocks.com までメールでご連絡ください。