HIPAA準拠

このページでは、HIPAAの審査により live update の統計データを Capgo Cloud へ送信できない場合に、チームが検討すべき技術的な選択肢について説明します。

Capgo Cloudは、現時点ではHIPAA準拠のホスト型統計プロセッサーとしては提供されていません。多くのHIPAA対象アプリが引き続き Capgo を利用している理由は、アップデーターのデータが最小限であり、デバイス単位のスコープに限定され、デフォルトでは特定のアプリユーザーと紐付けられないためです。もし社内規定や審査機関、顧客契約によってより厳格な管理が求められる場合は、プラグインのトラフィックをジオロケーションで制限する、統計エンドポイントを無効化する、統計エンドポイントのみをセルフホストする、あるいはライセンス版のセルフホスト構成へ移行するといった対応が可能です。

注意

このページは実装に関するガイダンスであり、法的助言ではありません。Capgo Cloud、テレメトリ設定を削減した構成、またはセルフホストのいずれがお客様のHIPAA審査に適しているかは、コンプライアンス責任者が判断してください。

デフォルトで Capgo が受け取るデータ

アップデータープラグインは、Live Updateの配信と観測に必要な運用データを送信します。統計ペイロードには以下のフィールドが含まれる場合があります：

• app_id - Capacitor アプリ識別子
• device_id - アップデータープラグインによって生成される、アプリスコープ内のランダムなデバイス識別子
• platform - ios, android、または electron
• version_name - インストールされているWeb bundleのバージョン
• version_build - ネイティブアプリのバージョン名
• version_code - ネイティブビルド番号
• version_os - OSのバージョン
• plugin_version - インストール済みの @capgo/capacitor-updater バージョンを更新
• action - インストール、ダウンロード、失敗、ロールバック、アプリ準備完了などのアップデートライフサイクルイベント
• is_emulator と is_prod - 利用可能な場合の環境フラグ
• custom_id - アプリ側で明示的に設定している場合のみ CapacitorUpdater.setCustomId(...)
• IPアドレス - リージョンルーティング、不正利用防止、CDN最適化のためにトランスポート層で使用

デフォルトでは、このデータはアプリユーザーにとって匿名です。Capgo は、アップデーターから氏名、メールアドレス、アカウントID、医療記録番号、認証情報、ユーザーコンテンツ、アプリの分析イベント、行動分析データを受け取ることはありません。唯一の安定した識別子は、ランダムでアプリ単位でスコープされたもの device_idであり、これは広告IDではなく、既知のユーザーとは紐付けられません。ただし、あなたが自分で custom_id 設定した場合を除きます。

HIPAAの審査において、ホストされたアップデート統計が一切不要な場合は、 statsUrl を空の文字列に設定してください。これにより、Capgo Cloudへのアップデート統計の送信を完全に無効化できます。ただし、アップデートのチェック自体は引き続き updateUrl と channelUrl を有効にしたまま実行可能です。

カスタム ID は設定しないでください

HIPAAに準拠したデプロイメントでは、以下を呼び出さないでください： CapacitorUpdater.setCustomId(...).

カスタムIDが設定されている場合、それはアップデート統計に含まれます。もしメールアドレス、ユーザーID、患者ID、従業員ID、アカウントID、その他個人を特定できる値を設定した場合、アップデートのテレメトリがアプリ内の個人データと紐付けられることになります。

審査において、ホストされるCapgoのテレメトリをデバイススコープ内に留める必要がある場合は、 custom_id を

オプション 1: Capgo Cloud プラグインのトラフィックを地理的にローカライズする

審査において、Capgo Cloudの使用は許可されているものの、プラグインデータのEUデータレジデンシー（データ所在地の制限）が求められる場合は、3つのアップデーターエンドポイントすべてをEUホストに設定してください：

capacitor.config.ts

import type { CapacitorConfig } from '@capacitor/cli';

const config: CapacitorConfig = {
  appId: 'com.example.app',
  appName: 'My App',
  webDir: 'dist',
  plugins: {
    CapacitorUpdater: {
      autoUpdate: 'atBackground',
      updateUrl: 'https://plugin.eu.capgo.app/updates',
      statsUrl: 'https://plugin.eu.capgo.app/stats',
      channelUrl: 'https://plugin.eu.capgo.app/channel_self',
    },
  },
};

export default config;

EUのURLを組み合わせて使用してください。これらを混ぜて使用すると、 plugin.capgo.app と plugin.eu.capgo.app プラグインデータのパスの一部がEUホスト外にルーティングされる可能性があります。

これにより、プラグインデータのパスを欧州内に配置しつつ、Capgoがホストするアップデートのモニタリング、統計、アラート、およびトラブルシューティングのデータを利用可能な状態に保てます。

データの保存場所

オプション 2: 統計エンドポイントを無効化する

審査により、統計データをCapgo Cloudに送信することが許可されていない場合は、 statsUrl を空の文字列に設定してください：

capacitor.config.ts

import type { CapacitorConfig } from '@capacitor/cli';

const config: CapacitorConfig = {
  appId: 'com.example.app',
  appName: 'My App',
  webDir: 'dist',
  plugins: {
    CapacitorUpdater: {
      autoUpdate: 'atBackground',
      statsUrl: '',
    },
  },
};

export default config;

これにより、updater plugin による統計レポートが停止されます。デフォルト設定を維持していれば、アップデートの確認やダウンロードには引き続き Capgo Cloud を使用できます。 updateUrl と channelUrl.

変更後、 capacitor.config.tsネイティブプロジェクトを同期し、新しいストアビルドをリリースしてください。既存のインストール環境は、新しいバイナリを受け取るまで以前のネイティブ設定を使用し続けます。

統計を無効にすると失われるもの

無効化 statsUrl アップデートの提供やダウンロード後にアプリ内で何が起きたかを把握するために Capgo が使用している、ホスト型のシグナルが削除されます。

以下の機能が利用できなくなります：

• インストール成功、インストール失敗、ダウンロード失敗、ロールバック、およびアプリ準備完了イベントに関する Dashboard での可視化
• ホストされた統計データに依存する失敗アラート
• アップデートの問題が発生した際、どのアプリバージョン、OSバージョン、プラットフォーム、またはプラグインバージョンが影響を受けているかを迅速に特定できる機能
• Capgo Cloudにおけるデバイスレベルのトラブルシューティング・トレイル
• Capgo ダッシュボードでのアップデート適用率およびアプリ使用統計の集計
• ホスト型サービスがデバイス側のアップデートパスを説明するイベントを受け取れなくなるため、Capgo チームからのサポートコンテキストが制限されます

自動アップデート配信は引き続き動作しますが、オブザーバビリティ（観測性）は低下します。本番環境で統計機能を無効にする前に、独自のモニタリング計画を立ててください。

オプション 3: 統計エンドポイントをセルフホストする

審査において Capgo Cloud 経由のアップデート確認は許可されるものの、統計データは自社インフラ内に留める必要がある場合は、 statsUrl 独自の以下エンドポイントを指定してください：

capacitor.config.ts

import type { CapacitorConfig } from '@capacitor/cli';

const config: CapacitorConfig = {
  appId: 'com.example.app',
  appName: 'My App',
  webDir: 'dist',
  plugins: {
    CapacitorUpdater: {
      autoUpdate: 'atBackground',
      statsUrl: 'https://updates.example.com/capgo/stats',
    },
  },
};

export default config;

エンドポイントは、アップデーターの統計ペイロードを受け取り、以下を返す必要があります：

{ "status": "ok" }

デバイスのアップデート統計を Capgo Cloud に送信せず、内部のアラート、監査ログ、インシデント分析を維持したい場合は、このパスを使用してください。

統計 API エンドポイント

オプション 4: ライセンスを利用したセルフホスティング

Capgo Cloud、EUデータレジデンシー、統計の無効化、またはセルフホスト型の統計エンドポイントでも HIPAA レビューの要件を満たせない場合は、Capgo がライセンス付きセルフホスト環境への移行をサポートします。

これは最も厳格なオプションです。組織がアップデーターのバックエンド、統計エンドポイント、ログ、保持期間、インフラストラクチャ、およびネットワーク境界をすべて制御するためです。また、通常 Capgo Cloud が代行する運用作業の多くを自社で担当する必要があります。

セルフホスト型アップデーター

実践的なレビュー用チェックリスト

HIPAA レビューの前に、以下を決定してください：

• アップデート確認にホスト型のCapgo Cloudを使用できるか
• 統計情報の収集にホスト型のCapgo Cloudを使用できるか
• プラグインのトラフィックで使用すべきリージョン
• 〜かどうか custom_id アプリ内で無効化されているか
• ホスト型統計が無効な場合のアップデート失敗の監視担当者
• ライセンスが必要なセルフホスト型デプロイメントが必要か

Capgo は、HIPAA準拠プログラムで Capgo を使用している米国企業を含め、HIPAAコンプライアンス審査中の企業に対応しています。審査において、ホスト型のデフォルト設定よりも厳格なデプロイメントモデル、データフロー、またはライセンス形態が必要な場合は、Capgo までお問い合わせください。

HIPAA Compliance から続けて読む

使用している場合 HIPAA準拠 規制対象となる live update のロールアウトを計画するには、以下と連携してください： コンプライアンス プライバシーおよびデータ収集の詳細については、 データの保存場所 EUエンドポイントの設定については、 統計 API エンドポイント セルフホストのテレメトリについては、 セルフホスト型アップデーター ライセンスに基づくデプロイ計画については、