Datos de pacientes, bien protegidos.

Resumen

Proteger la información de los pacientes forma parte de cada servicio que prestamos. Nuestro programa combina un equipo capacitado en HIPAA, un acuerdo de asociado comercial firmado con cada cliente y software creado con las protecciones que esperan los hospitales. Esta página describe nuestros controles. No es una certificación, y no afirmamos tener ninguna certificación de terceros que no tengamos. Para saber cómo cumplimos con HIPAA como asociado comercial, lea nuestro aviso de HIPAA.

Protección de datos

• En tránsito: las conexiones a nuestro software y a este sitio web están cifradas con TLS (HTTPS), y se indica a los navegadores que siempre usen una conexión segura.
• En reposo: en Pulseline y MDClaim360, los campos sensibles, como nombres de pacientes, fechas de nacimiento, detalles de llamadas, motivos de las citas y medicamentos, se cifran con AES-256-GCM.
• Ocultos de forma predeterminada: las listas muestran solo los últimos dígitos de los números y la edad en lugar de la fecha de nacimiento completa.
• Integraciones: cada conexión con un EHR, sistema telefónico o cámara de compensación recibe solo el acceso que necesita, de solo lectura cuando es posible, y se puede pausar o eliminar en cualquier momento.

Control de acceso

• El inicio de sesión en dos pasos es obligatorio para las cuentas del personal en nuestro software. Hasta que se configura, solo se abren las páginas de la cuenta.
• Acceso basado en roles y mínimo privilegio: cada persona ve solo los módulos y las prácticas que tiene permitidos, y esto se verifica en cada acción.
• Cierre de sesión automático tras 15 minutos de inactividad, con una advertencia, y un límite de sesión de 30 minutos.
• Solo cuentas individuales: no se comparten credenciales. El acceso se revisa cuando las personas cambian de rol y se retira de inmediato cuando se van.

Monitoreo y registros

Cada consulta y exportación de un expediente de paciente en nuestro software se anota en un registro de auditoría que no se puede editar ni eliminar, y cada sincronización de integraciones queda registrada. Revisamos los registros al investigar problemas y vigilamos actividades inusuales, como intentos fallidos repetidos de inicio de sesión, que tienen un límite de frecuencia.

Desarrollo seguro

Los secretos y las claves de API se guardan en la configuración del servidor, nunca en el código fuente. Los datos que ingresan los usuarios se validan y el texto enriquecido se depura antes de almacenarse. Los cambios se revisan y se prueban antes de publicarse, y mantenemos actualizados los componentes de terceros.

Este sitio web

• El portal de administración solo está abierto a miembros identificados del equipo de InCareMD, cada uno con una cuenta individual y un rol (como propietario, administrador, editor o soporte) que limita lo que puede ver y cambiar.
• Las contraseñas se almacenan únicamente como hashes scrypt con sal, nunca en texto plano. Los miembros del equipo también pueden iniciar sesión con su cuenta de trabajo de Microsoft.
• Las sesiones iniciadas caducan después de 12 horas, y una cuenta desactivada pierde el acceso de inmediato.
• Los chats con Ava están vinculados al navegador del visitante y se eliminan automáticamente después de 24 horas.
• Los encabezados de seguridad indican a los navegadores que bloqueen el rastreo de contenido (content sniffing), la inserción del sitio en marcos de otros sitios y el acceso a la cámara.

Proveedores y subcontratistas

Elegimos proveedores de servicios que respaldan nuestras obligaciones de seguridad y de HIPAA, damos a cada uno solo el acceso que necesita y firmamos un acuerdo de asociado comercial con cualquier proveedor que maneje PHI (información de salud protegida) en nuestro nombre. Por ejemplo, usamos Microsoft 365 para el correo electrónico y los calendarios, y un proveedor de alojamiento para nuestros servidores.

Copias de seguridad y continuidad del negocio

Nuestro software realiza copias de seguridad cifradas con ajustes de retención y protección legal. Los datos del sitio web se respaldan periódicamente, y las copias antiguas se reemplazan de forma continua, lo que permite su restauración en caso de problemas. Nuestro equipo trabaja en Estados Unidos, Australia, Canadá, Emiratos Árabes Unidos, Pakistán, India, Filipinas y Nueva Zelanda, y operamos con las versiones 24/7, lo que garantiza la continuidad del trabajo con nuestros clientes en diferentes zonas horarias.

Respuesta a incidentes

Si sospechamos un incidente de seguridad, actuamos para contenerlo, investigamos lo sucedido, corregimos la causa y documentamos lo aprendido. Cuando un incidente involucra PHI de un cliente, notificamos al cliente según lo exigen nuestro acuerdo de asociado comercial y la Regla de Notificación de Infracciones de HIPAA, y lo ayudamos a cumplir con sus propias obligaciones.

Divulgación responsable

Si cree que ha encontrado un problema de seguridad en nuestro sitio web o software, escriba a contact@incaremd.com con el asunto "Informe de seguridad" e incluya los pasos para reproducirlo. Le pedimos que nos dé un tiempo razonable para corregir el problema antes de informarlo a otras personas, que no acceda ni modifique datos que no le pertenecen y que no realice pruebas que puedan interrumpir nuestros servicios o los de nuestros clientes. Confirmaremos la recepción de su informe, lo mantendremos al tanto y no emprenderemos acciones legales contra investigaciones de buena fe que sigan estas reglas.

Lo que pueden hacer los clientes

• Active el inicio de sesión en dos pasos para cada usuario y mantenga actualizados sus datos de contacto.
• Dé a cada miembro del personal su propio usuario y retire el acceso cuando alguien se vaya.
• Nunca comparta información de pacientes por correo electrónico normal, mensaje de texto ni por los formularios de este sitio web.
• Avísenos de inmediato si nota algo inusual en su cuenta.

Contáctenos

• Correo electrónico: contact@incaremd.com
• Teléfono: (833) 4-CARE-98 (lunes a viernes 9 a. m. a 5 p. m. EST; las operaciones se ejecutan 24/7)
• Dirección postal: InCareMD, 12910 Cloverleaf Center Dr, Suite 110, Germantown, MD 20874, Estados Unidos
• Dirección postal: InCareMD, 6/13 Hunter St, Parramatta NSW 2150, Australia