بيانات المرضى، محمية بإحكام.

نظرة عامة

حماية معلومات المرضى جزء من كل خدمة نقدمها. يجمع برنامجنا بين فريق مدرَّب على HIPAA، واتفاقية شريك أعمال موقّعة مع كل عميل، وبرمجيات مزوّدة بوسائل الحماية التي تتوقعها المستشفيات. تصف هذه الصفحة الضوابط التي نطبقها، وهي ليست شهادة اعتماد، ولا ندّعي حيازة أي شهادة من جهة خارجية لا نملكها. لمعرفة كيف نلتزم بقانون HIPAA بصفتنا شريك أعمال، اقرؤوا إشعار HIPAA الخاص بنا.

حماية البيانات

• أثناء النقل: الاتصالات ببرمجياتنا وبهذا الموقع مشفّرة باستخدام TLS (HTTPS)، ويُطلب من المتصفحات استخدام اتصال آمن دائمًا.
• أثناء التخزين: في Pulseline وMDClaim360، تُشفَّر الحقول الحساسة مثل أسماء المرضى وتواريخ الميلاد وتفاصيل المكالمات وأسباب المواعيد والأدوية بمعيار AES-256-GCM.
• مخفية افتراضيًا: لا تعرض القوائم سوى الأرقام الأخيرة من الأرقام، والعمر بدلًا من تاريخ الميلاد الكامل.
• عمليات التكامل: يحصل كل اتصال بنظام EHR أو نظام هاتف أو غرفة مقاصة على الصلاحيات التي يحتاجها فقط، وللقراءة فقط حيثما أمكن، ويمكن إيقافه مؤقتًا أو إزالته في أي وقت.

التحكم في الوصول

• تسجيل الدخول بخطوتين إلزامي لحسابات الموظفين في برمجياتنا. وإلى أن يتم إعداده، لا تُفتح سوى صفحات الحساب.
• الوصول القائم على الأدوار ومبدأ الحد الأدنى من الصلاحيات: لا يرى كل شخص إلا الوحدات والعيادات المسموح له بها، ويتم التحقق من ذلك عند كل إجراء.
• تسجيل خروج تلقائي بعد 15 دقيقة من عدم النشاط، مع تنبيه مسبق، وحد أقصى للجلسة مدته 30 دقيقة.
• حسابات فردية فقط: لا توجد بيانات دخول مشتركة. تتم مراجعة الصلاحيات عند تغيير الأشخاص لأدوارهم، وإلغاؤها فورًا عند مغادرتهم.

المراقبة والتسجيل

يُسجَّل كل اطلاع على سجل مريض وكل عملية تصدير له في برمجياتنا في سجل تدقيق لا يمكن تعديله أو حذفه، كما تُسجَّل كل عملية مزامنة للتكامل. نراجع السجلات عند التحقيق في المشكلات ونراقب أي نشاط غير معتاد، مثل محاولات تسجيل الدخول الفاشلة المتكررة، والتي يتم تقييد معدلها.

التطوير الآمن

تُحفظ المفاتيح السرية ومفاتيح API في إعدادات الخادم، وليس في الشيفرة المصدرية أبدًا. يتم التحقق من صحة مدخلات المستخدمين وتنقية النصوص المنسقة قبل تخزينها. تتم مراجعة التغييرات واختبارها قبل إصدارها، ونحرص على تحديث مكونات الجهات الخارجية باستمرار.

هذا الموقع

• بوابة الإدارة مفتوحة فقط لأعضاء محددين بالاسم من فريق InCareMD، لكل منهم حساب فردي ودور (مثل المالك أو المسؤول أو المحرر أو الدعم) يحدد ما يمكنه رؤيته وتغييره.
• لا تُخزَّن كلمات المرور إلا على شكل تجزئات scrypt مُملَّحة، ولا تُخزَّن أبدًا كنص عادي. ويمكن لأعضاء الفريق أيضًا تسجيل الدخول باستخدام حساب العمل الخاص بهم على Microsoft.
• تنتهي صلاحية جلسات تسجيل الدخول بعد 12 ساعة، ويفقد أي حساب يتم تعطيله صلاحية الوصول فورًا.
• ترتبط المحادثات مع Ava بمتصفح الزائر وتُحذف تلقائيًا بعد 24 ساعة.
• توجّه ترويسات الأمان المتصفحات إلى منع استنتاج نوع المحتوى، ومنع تضمين الموقع في إطارات مواقع أخرى، ومنع الوصول إلى الكاميرا.

الموردون والمتعاقدون من الباطن

نختار مزودي خدمات يدعمون التزاماتنا المتعلقة بالأمان وHIPAA، ونمنح كلًّا منهم الصلاحيات التي يحتاجها فقط، ونوقّع اتفاقية شريك أعمال مع أي مزود يتعامل مع المعلومات الصحية المحمية (PHI) نيابة عنا. على سبيل المثال، نستخدم Microsoft 365 للبريد الإلكتروني والتقويمات، ومزود استضافة لخوادمنا.

النسخ الاحتياطية واستمرارية الأعمال

يحتفظ برنامجنا بنسخ احتياطية مشفرة مع إعدادات احتفاظ محددة وحفظ قانوني. يتم نسخ بيانات الموقع الإلكتروني احتياطيًا بشكل دوري، مع استبدال النسخ القديمة بشكل متجدد، مما يتيح استعادتها في حال حدوث أي مشكلة. يعمل فريقنا في الولايات المتحدة الأمريكية، وأستراليا، وكندا، والإمارات العربية المتحدة، وباكستان، والهند، والفلبين، ونيوزيلندا، وتعمل عملياتنا بنظامي 24/7، مما يضمن استمرارية عمل عملائنا بغض النظر عن المناطق الزمنية.

الاستجابة للحوادث

إذا اشتبهنا في وقوع حادث أمني، نتصرف لاحتوائه، ونحقق فيما حدث، ونعالج السبب، ونوثّق ما تعلمناه. وعندما يتعلق الحادث بالمعلومات الصحية المحمية لأحد العملاء، نُخطر العميل وفقًا لما تقتضيه اتفاقية شريك الأعمال وقاعدة الإخطار بالاختراقات في HIPAA، ونساعده على الوفاء بالتزاماته.

الإفصاح المسؤول

إذا كنتم تعتقدون أنكم اكتشفتم مشكلة أمنية في موقعنا أو برمجياتنا، يُرجى مراسلتنا عبر البريد الإلكتروني contact@incaremd.com بعنوان «Security report» (تقرير أمني)، مع ذكر خطوات إعادة إنتاج المشكلة. يُرجى منحنا وقتًا معقولًا لإصلاح المشكلة قبل إبلاغ أي شخص آخر، وعدم الوصول إلى بيانات لا تخصكم أو تغييرها، وعدم إجراء اختبارات قد تعطّل خدماتنا أو عملاءنا. سنؤكد استلام تقريركم، ونبقيكم على اطلاع، ولن نتخذ أي إجراء قانوني ضد البحث بحسن نية الذي يلتزم بهذه القواعد.

ما يمكن للعملاء فعله

• فعّلوا تسجيل الدخول بخطوتين لكل مستخدم، وحافظوا على تحديث بيانات الاتصال الخاصة بكم.
• امنحوا كل موظف بيانات دخول خاصة به، وألغوا الصلاحيات عند مغادرة الأشخاص.
• لا تشاركوا معلومات المرضى أبدًا عبر البريد الإلكتروني العادي أو الرسائل النصية أو نماذج هذا الموقع.
• أبلغونا فورًا إذا لاحظتم أي شيء غير معتاد في حسابكم.

اتصلوا بنا

• البريد الإلكتروني: contact@incaremd.com
• الهاتف: (833) 4-CARE-98 (من الاثنين إلى الجمعة 9 صباحًا – 5 مساءً بتوقيت شرق الولايات المتحدة؛ تشغيل العمليات 24/7)
• البريد: InCareMD، 12910، كلوفرليف سنتر درايف، جناح 110، جيرمانتاون، ماريلاند 20874، الولايات المتحدة الأمريكية
• البريد: InCareMD، 6/13 شارع هنتر، باراماتا، نيو ساوث ويلز 2150، أستراليا