児童の情報を預かる前提で、設計しています

暗号化と、役割ごとの権限管理

• ブラウザとサーバー間の通信は、すべて暗号化（HTTPS/TLS）されます。
• 画面や操作の権限は役割（経営者・管理者・児童発達支援管理責任者・職員）ごとにサーバー側で制御します。画面を隠すだけの見せかけの制限ではなく、データ取得の段階で権限を確認します。
• 職員アカウントは招待制で、退職時は経営者がいつでも無効化できます。パスワードは不可逆なハッシュに変換して保存し、平文では保持しません。
• 主要な操作は監査ログ（いつ・誰が・何を）として記録され、経営者が確認できます。

事業所単位の分離と、混在の自動検知

• データはマネージド型のデータベース（PostgreSQL）で保管し、保存時の暗号化・自動バックアップを備えた基盤を利用しています。
• 複数事業所を運営する法人でも、児童・記録・書類などのデータは事業所単位で分離されます。職員は所属する事業所のデータにのみアクセスできます。
• 国保連CSVの取り込み時に別の事業所番号のデータが混ざっていれば自動で検知して停止し、誤登録を防ぎます。
• 支援記録の児童名は、実名ではなくイニシャル・通称での運用を推奨する設計です（表示名は事業所側で自由に設定できます）。

AIは読み取りまで。判定には使いません

• AIが担当するのは、シフト表・計画書・運営規程などの書類の読み取り（転記の下書き）と、操作に関する質問への回答までです。
• 書類をAIに読み取らせる操作は、その旨を明示した同意のチェックがある場合にのみ実行されます。勝手に外部AIへ送信されることはありません。
• 加算・減算・単位数の判定にAIの推測は使いません。判定は告示・通知に基づくルールで行い、結果から原本を確認できます。
• お預かりしたデータを、AIの学習目的で第三者に提供することはありません。

保護者からの返信が、運営者に届かない設計

• お知らせ配信・空き通知・面談案内など、事業所の名義で保護者へ送るメールの返信先は、事業所の連絡先メール（未設定の場合は送信した職員のメール）に設定されます。児童の情報を含む返信が、ソフトの運営者（Amparo）に届くことはありません。
• 保護者ポータルは児童ごとの専用リンクで、他の児童の情報は表示されません。

どこで動き、どこに保存されるか

「確認中」の項目は、推測で埋めずに確認が取れ次第この表を更新します（2026年7月時点）。

すべての更新は、253項目の機械検証を通ってから

• 判定ロジック・請求CSVの生成・データ取り込みについて、リリース前に253項目の機械検証を毎回実行しています。
• 減算・返還にかかわる判定は「疑わしきは安全側」（見逃さない側）で設計し、判定根拠と告示・通知の原本をすべての結果から確認できます。
• 制度改定があった場合は、改定内容・影響する事業所・対応状況をソフト内のアラートでお知らせします。

解約の自由まで、設計に含めています

• 児童・記録・実績などの主要データは、いつでもCSVで全件エクスポートできます。解約時もデータの持ち出しを制限しません。
• 利用終了のご連絡をいただいた場合、お預かりしたデータは合理的な期間内に削除します。削除のご依頼はお問い合わせから受け付けます。
• お預かりしたデータを第三者へ販売・提供することはありません（法令に基づく場合を除きます）。