HIPAA Hinweis

Unsere Rolle unter HIPAA

Unsere Kunden, wie z. B. Ärzte, Kliniken und andere Gesundheitsdienstleister, fallen unter die Bestimmungen von HIPAA. Wenn wir in ihrem Auftrag Empfangs-, Abrechnungs-, Erlöszyklus- oder Softwaredienstleistungen erbringen, die den Umgang mit geschützten Gesundheitsdaten (PHI) beinhalten, agiert InCareMD als ihr Geschäftspartner. Wir verwenden und geben PHI ausschließlich im Rahmen unserer Geschäftspartnervereinbarung und gemäß den Vorgaben von HIPAA weiter und nur zur Erbringung der vom Kunden angeforderten Dienstleistungen.

Vereinbarungen mit Geschäftspartnern

Wir schließen mit jedem Kunden vor Beginn der Arbeit und vor Erhalt von Gesundheitsdaten eine Vereinbarung zur Auftragsverarbeitung (Business Associate Agreement, BAA) ab. Die BAA regelt die Verwendung der Gesundheitsdaten, die von uns getroffenen Sicherheitsvorkehrungen, die Meldung von Vorfällen und den Umgang mit den Gesundheitsdaten nach Beendigung der Geschäftsbeziehung. Kunden können die BAA elektronisch unterzeichnen und eine unterzeichnete PDF-Datei für ihre Unterlagen aufbewahren.

Minimale notwendige Nutzung

Wir halten uns an den Standard des absolut Notwendigen. Teammitglieder sind bestimmten Aufgabenbereichen zugeordnet und sehen nur die für ihre Arbeit erforderlichen Bereiche und Module. Software-Oberflächen blenden standardmäßig sensible Daten aus, beispielsweise werden nur die letzten Ziffern einer Zahl und das Alter anstelle des vollständigen Geburtsdatums angezeigt.

Personalschulung und Verantwortlichkeit

Alle Teammitglieder absolvieren vor der Arbeit mit Kundendaten eine Datenschutz- und Sicherheitsschulung (Version 0) und verpflichten sich zu unseren Vertraulichkeits- und Nutzungsrichtlinien. Die Schulung wird regelmäßig aufgefrischt. Bei einem Positionswechsel oder Ausscheiden aus dem Unternehmen wird der Zugriff umgehend gesperrt, und Verstöße gegen unsere Richtlinien ziehen Disziplinarmaßnahmen nach sich.

Schutzmaßnahmen

Administrative Schutzmaßnahmen

• Schriftliche Datenschutz- und Sicherheitsrichtlinien mit einer namentlich genannten verantwortlichen Person.
• Risikobewertung und Überprüfung unserer Sicherheitsvorkehrungen im Zuge von Änderungen unserer Dienstleistungen und Systeme.
• Rollenbasierter Zugriff für jede Person und jede Praxis genehmigt.

Physische Schutzmaßnahmen

• Die Arbeiten werden auf firmeneigenen Geräten mit Bildschirmsperre durchgeführt.
• Systeme, die PHI speichern, laufen in gesicherten, zugangskontrollierten Rechenzentren.

Technische Schutzmaßnahmen

• Verschlüsselung: in Pulseline und MDClaim360, sensible Felder wie Patientennamen, Geburtsdaten, Anrufdetails, Termingründe und Medikamente werden mit AES-256-GCM verschlüsselt, und die Daten werden während der Übertragung verschlüsselt.
• Zwei-Faktor-Authentifizierung: erforderlich für Mitarbeiterkonten.
• Rollenbasierter Zugriff: Jede Person sieht nur die Module und Praktiken, zu denen sie berechtigt ist; dies wird bei jeder Aktion überprüft.
• Audit-Protokollierung: Jede Ansicht und jeder Export eines Patientendatensatzes wird protokolliert, und das Protokoll kann nicht bearbeitet oder gelöscht werden.
• Automatische Abmeldung: Sitzungen enden nach 15 Minuten Inaktivität, wobei zuvor eine Warnung ausgegeben wird.
• Backups und Aufbewahrung: verschlüsselte Backups, Aufbewahrungseinstellungen und rechtliche Aufbewahrungspflicht.

Mehr darüber, wie wir Daten schützen, erfahren Sie auf unserer Seite Security.

Subunternehmer

Wenn wir einen Subunternehmer einsetzen, der für uns PHI erstellt, empfängt, verwaltet oder übermittelt, wie beispielsweise einen Hosting-Anbieter, schließen wir zuvor mit diesem Subunternehmer eine Vereinbarung über Geschäftspartner ab, die die gleichen Schutzmaßnahmen vorschreibt, die wir unseren Kunden gewähren.

Benachrichtigung über Datenschutzverletzung

Sollten wir eine Verletzung des Schutzes ungesicherter Patientendaten feststellen, benachrichtigen wir den betroffenen Kunden unverzüglich, spätestens jedoch gemäß der HIPAA-Regel zur Meldung von Datenschutzverletzungen und unserer Vereinbarung zur Auftragsverarbeitung. Wir informieren ihn über den Vorfall, die betroffenen Daten, unsere Maßnahmen und die gegebenenfalls erforderlichen Schritte. Zudem unterstützen wir ihn bei der Erfüllung seiner Meldepflichten gegenüber Patienten und Aufsichtsbehörden.

Patientenrechte

Wenn Sie Patient eines unserer Kunden sind, werden Ihre Rechte gemäß HIPAA, wie beispielsweise das Recht auf Einsicht, Erhalt einer Kopie oder Berichtigung Ihrer Patientenakte, von Ihrem Gesundheitsdienstleister wahrgenommen. Bitte wenden Sie sich direkt an die Praxis Ihres Gesundheitsdienstleisters. Wenn wir eine Anfrage von einem Patienten erhalten, leiten wir diese an den zuständigen Gesundheitsdienstleister weiter und unterstützen ihn bei der Beantwortung.

Wenn ein Kunde geht

Unsere Verträge sind monatlich kündbar. Bei Beendigung einer Kundenbeziehung geben wir die geschützten Gesundheitsdaten (PHI) gemäß den Vorgaben des BAA zurück oder vernichten sie und befolgen die Aufbewahrungseinstellungen des Kunden. Ist eine Rückgabe oder Vernichtung nicht möglich, schützen wir die Daten weiterhin und beschränken ihre weitere Verwendung.

Diese Website ist nicht für den Schutz von Gesundheitsdaten bestimmt.

Diese Website dient ausschließlich geschäftlichen Anfragen. Bitte senden Sie keine Patientendaten über die Formulare, den Live-Chat oder den Website-Assistenten. Die von Ihnen auf der Website angegebenen Informationen unterliegen unserer Datenschutzrichtlinie.

Ein Problem melden

Kunden und alle anderen können uns jederzeit Bedenken hinsichtlich Datenschutz oder Sicherheit melden. Wir gehen jeder Meldung nach.

• E-Mail: contact@incaremd.com
• Telefon: (833) 4-CARE-98 (Mo–Fr 9 AM–5 PM EST; Betrieb läuft 24/7)

Diese Mitteilung beschreibt unsere Vorgehensweise als Geschäftspartner. Sie ist keine Datenschutzerklärung für Patienten und stellt keine Rechtsberatung dar.