Patientendaten, gesperrt.

Überblick

Der Schutz von Patientendaten ist Bestandteil all unserer Dienstleistungen. Unser Programm kombiniert ein HIPAA-geschultes Team, eine mit jedem Kunden unterzeichnete Vereinbarung zur Auftragsverarbeitung und Software, die den von Krankenhäusern erwarteten Schutzmaßnahmen entspricht. Diese Seite beschreibt unsere Kontrollmechanismen. Es handelt sich hierbei nicht um eine Zertifizierung, und wir beanspruchen keine Zertifizierungen Dritter, die wir nicht besitzen. Wie wir die Anforderungen an einen Auftragsverarbeiter gemäß HIPAA erfüllen, erfahren Sie in unserer HIPAA-Mitteilung.

Datenschutz

• Während der Übertragung: Verbindungen zu unserer Software und dieser Website werden mit TLS (HTTPS) verschlüsselt, und Browser werden angewiesen, immer eine sichere Verbindung zu verwenden.
• Im Ruhezustand: in Pulseline und MDClaim360 werden sensible Felder wie Patientennamen, Geburtsdaten, Anrufdetails, Termingründe und Medikamente mit AES-256-GCM verschlüsselt.
• Standardmäßig maskiert: Listen zeigen nur die letzten Ziffern von Zahlen und ein Alter anstelle eines vollständigen Geburtsdatums an.
• Integrationen: Jede Verbindung zu einem EHR-System, einem Telefonsystem oder einer Clearingstelle erhält nur den benötigten Zugriff, nach Möglichkeit nur lesend, und kann jederzeit pausiert oder entfernt werden.

Zugangskontrolle

• Für Mitarbeiterkonten in unserer Software ist die Zwei-Faktor-Authentifizierung erforderlich. Bis diese eingerichtet ist, können nur die Kontoseiten geöffnet werden.
• Rollenbasierter Zugriff und Prinzip der minimalen Berechtigungen: Jede Person sieht nur die Module und Praktiken, zu denen sie berechtigt ist; dies wird bei jeder Aktion überprüft.
• Automatische Abmeldung nach 15 Minuten Inaktivität mit einer Warnung und einer Sitzungsbegrenzung von 30 Minuten.
• Nur Einzelkonten: Keine gemeinsamen Logins. Der Zugriff wird bei Rollenwechsel überprüft und bei Ausscheiden umgehend entfernt.

Überwachung und Protokollierung

Jede Ansicht und jeder Export einer Patientenakte in unserer Software wird in einem nicht bearbeitbaren oder löschbaren Audit-Log protokolliert, und jede Integrationssynchronisierung wird aufgezeichnet. Wir werten die Logs bei der Untersuchung von Problemen aus und achten auf ungewöhnliche Aktivitäten, wie z. B. wiederholte fehlgeschlagene Anmeldeversuche, die begrenzt sind.

Sichere Entwicklung

Geheimnisse und API-Schlüssel werden in den Servereinstellungen gespeichert, niemals im Quellcode. Benutzereingaben werden validiert und formatierter Text bereinigt, bevor sie gespeichert werden. Änderungen werden vor der Veröffentlichung geprüft und getestet, und wir halten Drittanbieterkomponenten stets auf dem neuesten Stand.

Diese Website

• Das Admin-Portal ist nur für namentlich genannte InCareMD-Teammitglieder zugänglich, die jeweils über ein individuelles Konto und eine Rolle (z. B. Inhaber, Administrator, Redakteur oder Support) verfügen, die einschränkt, was sie sehen und ändern können.
• Passwörter werden ausschließlich als gesalzene Scrypt-Hashes gespeichert, niemals im Klartext. Teammitglieder können sich auch mit ihrem Microsoft-Geschäftskonto anmelden.
• Angemeldete Sitzungen laufen nach 12 Stunden ab, und ein ausgeschaltetes Konto verliert sofort den Zugriff.
• Chats mit Ava sind an den Browser des Besuchers gebunden und werden nach 24 Stunden automatisch gelöscht.
• Sicherheitsheader weisen Browser an, das Ausspähen von Inhalten, das Einbetten von Inhalten durch andere Websites und den Zugriff auf die Kamera zu blockieren.

Lieferanten und Subunternehmer

Wir wählen Dienstleister aus, die unsere Sicherheits- und HIPAA-Verpflichtungen erfüllen, gewähren jedem nur die benötigten Zugriffsrechte und schließen mit jedem Anbieter, der für uns geschützte Gesundheitsdaten (PHI) verarbeitet, eine Vereinbarung zur Auftragsverarbeitung ab. Beispielsweise nutzen wir Microsoft 365 für E-Mails und Kalender sowie einen Hosting-Anbieter für unsere Server.

Datensicherung und Geschäftskontinuität

Unsere Software erstellt verschlüsselte Backups mit festgelegten Aufbewahrungsfristen und rechtlichen Aufbewahrungspflichten. Website-Daten werden regelmäßig gesichert und ältere Kopien fortlaufend ersetzt, sodass sie im Fehlerfall wiederhergestellt werden können. Unser Team arbeitet in den USA, Australien, Kanada, den Vereinigten Arabischen Emiraten, Pakistan, Indien, den Philippinen und Neuseeland. Der Betrieb läuft parallel zu 24/7, sodass die Arbeit für unsere Kunden über verschiedene Zeitzonen hinweg reibungslos weiterläuft.

Reaktion auf Zwischenfälle

Bei Verdacht auf einen Sicherheitsvorfall ergreifen wir Maßnahmen, um diesen einzudämmen, den Vorfall zu untersuchen, die Ursache zu beheben und die gewonnenen Erkenntnisse zu dokumentieren. Wenn ein Vorfall geschützte Gesundheitsdaten (PHI) von Kunden betrifft, benachrichtigen wir den Kunden gemäß unserer Vereinbarung mit Geschäftspartnern und der HIPAA-Regel zur Meldung von Datenschutzverletzungen und unterstützen ihn bei der Erfüllung seiner eigenen Pflichten.

Verantwortungsvolle Offenlegung

Wenn Sie glauben, eine Sicherheitslücke auf unserer Website oder in unserer Software entdeckt zu haben, senden Sie bitte eine E-Mail an contact@incaremd.com mit dem Betreff „Sicherheitsbericht“ und beschreiben Sie darin die Schritte zur Reproduktion des Problems. Bitte geben Sie uns ausreichend Zeit, das Problem zu beheben, bevor Sie es an Dritte weitergeben. Greifen Sie nicht auf Daten zu, die Ihnen nicht gehören, und verändern Sie diese nicht. Führen Sie keine Tests durch, die unsere Dienste oder unsere Kunden beeinträchtigen könnten. Wir bestätigen den Eingang Ihres Berichts, halten Sie auf dem Laufenden und werden keine rechtlichen Schritte gegen gutgläubige Forschung einleiten, die diese Regeln befolgt.

Was Kunden tun können

• Aktivieren Sie die Zwei-Faktor-Authentifizierung für jeden Benutzer und halten Sie Ihre Kontaktdaten aktuell.
• Weisen Sie jedem Mitarbeiter einen eigenen Login zu und entfernen Sie den Zugriff, wenn Mitarbeiter das Unternehmen verlassen.
• Patientendaten werden niemals per E-Mail, SMS oder über die Formulare dieser Website weitergegeben.
• Melden Sie sich umgehend bei uns, wenn Ihnen etwas Ungewöhnliches in Ihrem Konto auffällt.

Kontaktieren Sie uns

• E-Mail: contact@incaremd.com
• Telefon: (833) 4-CARE-98 (Mo–Fr 9 AM–5 PM EST; Betrieb läuft 24/7)
• Postanschrift: InCareMD, 12910 Cloverleaf Center Dr, Suite 110, Germantown, MD 20874, Vereinigte Staaten
• Postanschrift: InCareMD, 6/13 Hunter St, Parramatta NSW 2150, Australien