Aviso de HIPAA

Nuestra función conforme a HIPAA

Nuestros clientes, como médicos, clínicas y otros proveedores de atención médica, son entidades cubiertas conforme a HIPAA. Cuando prestamos en su nombre servicios de recepción, facturación, ciclo de ingresos o software que involucran PHI, InCareMD actúa como su socio comercial. Usamos y divulgamos la PHI solo según lo permitan nuestro acuerdo de socio comercial y HIPAA, y solo para prestar los servicios que el cliente ha solicitado.

Acuerdos de socio comercial

Firmamos un acuerdo de socio comercial (BAA) con cada cliente antes de comenzar cualquier trabajo y antes de recibir cualquier PHI. El BAA establece cómo podemos usar la PHI, las medidas de protección que mantenemos, cómo informamos los incidentes y qué sucede con la PHI cuando termina la relación. Los clientes pueden firmar el BAA electrónicamente y conservar un PDF firmado para sus registros.

Uso mínimo necesario

Seguimos el estándar del mínimo necesario. Los integrantes del equipo se asignan a consultorios específicos y solo ven los consultorios y módulos que su trabajo requiere. Las pantallas del software ocultan los valores confidenciales de forma predeterminada; por ejemplo, muestran solo los últimos dígitos de un número y una edad en lugar de la fecha de nacimiento completa.

Capacitación y responsabilidad del personal

Cada integrante del equipo completa la capacitación en privacidad y seguridad de HIPAA antes de trabajar con información de clientes y acepta nuestras reglas de confidencialidad y uso aceptable. La capacitación se actualiza periódicamente. El acceso se retira de inmediato cuando una persona cambia de función o se va, y las infracciones de nuestras políticas dan lugar a medidas disciplinarias.

Medidas de protección

Medidas de protección administrativas

• Políticas de privacidad y seguridad por escrito, con una persona designada como responsable de ellas.
• Evaluación de riesgos y revisión de nuestras medidas de protección a medida que cambian nuestros servicios y sistemas.
• Acceso según funciones aprobado para cada persona y cada consultorio.

Medidas de protección físicas

• El trabajo se realiza en dispositivos aprobados por la empresa con bloqueo de pantalla.
• Los sistemas que almacenan PHI funcionan en instalaciones de alojamiento protegidas y con acceso controlado.

Medidas de protección técnicas

• Cifrado: en Pulseline y MDClaim360, los campos confidenciales, como los nombres de los pacientes, las fechas de nacimiento, los detalles de las llamadas, los motivos de las citas y los medicamentos, se cifran con AES-256-GCM, y los datos se cifran en tránsito.
• Inicio de sesión en dos pasos: obligatorio para las cuentas del personal.
• Acceso según funciones: cada persona ve solo los módulos y consultorios que tiene permitidos, lo cual se verifica en cada acción.
• Registro de auditoría: cada consulta y exportación de un expediente de paciente queda registrada, y el registro no se puede editar ni eliminar.
• Cierre de sesión automático: las sesiones terminan después de 15 minutos de inactividad, con un aviso previo.
• Copias de seguridad y conservación: copias de seguridad cifradas, configuración de conservación y retención por motivos legales.

Obtenga más información sobre cómo protegemos los datos en nuestra página de Seguridad.

Subcontratistas

Si recurrimos a un subcontratista que crea, recibe, mantiene o transmite PHI por nosotros, como un proveedor de alojamiento, primero firmamos un acuerdo de socio comercial con ese subcontratista que exige las mismas protecciones que ofrecemos a nuestros clientes.

Notificación de violaciones de datos

Si descubrimos una violación de PHI no protegida, notificaremos al cliente afectado sin demoras injustificadas y a más tardar en el plazo que exigen la Norma de Notificación de Violaciones de HIPAA y nuestro BAA. Compartiremos lo que sucedió, la información involucrada, lo que estamos haciendo al respecto y lo que el cliente podría tener que hacer, y ayudaremos al cliente a cumplir sus propias obligaciones de notificación a los pacientes y a las autoridades reguladoras.

Derechos de los pacientes

Si usted es paciente de uno de nuestros clientes, sus derechos conforme a HIPAA, como el derecho a ver sus expedientes, obtener una copia o corregirlos, los gestiona su proveedor de atención médica. Comuníquese directamente con el consultorio de su proveedor. Si recibimos una solicitud de un paciente, la remitimos al proveedor correspondiente y le ayudamos a responder.

Cuando un cliente se va

Nuestros planes son mes a mes. Cuando termina la relación con un cliente, devolvemos o destruimos la PHI según lo exija el BAA y seguimos la configuración de conservación del cliente. Si la devolución o destrucción no es factible, seguimos protegiendo la información y limitamos cualquier uso posterior.

Este sitio web no es para PHI

Este sitio web es solo para consultas comerciales. No envíe información de salud de pacientes a través de sus formularios, del chat en vivo ni de Ava, el asistente del sitio web. La información que comparte en el sitio web está cubierta por nuestra Política de privacidad.

Informe una inquietud

Los clientes y cualquier otra persona pueden informarnos en cualquier momento una inquietud de privacidad o seguridad. Investigamos cada informe.

• Correo electrónico: contact@incaremd.com
• Teléfono: (833) 4-CARE-98 (lunes a viernes 9 a. m. a 5 p. m. EST; las operaciones se ejecutan 24/7)

Este aviso describe nuestras prácticas como socio comercial. No es un Aviso de Prácticas de Privacidad para pacientes ni constituye asesoramiento legal.