Avis HIPAA

Notre rôle au titre de la HIPAA

Nos clients, tels que les médecins, les cliniques et les autres professionnels de santé, sont des entités couvertes (covered entities) au sens de la HIPAA. Lorsque nous fournissons pour leur compte des services d'accueil, de facturation, de gestion du cycle de revenus ou de logiciels impliquant des PHI, InCareMD agit en tant que partenaire commercial (business associate). Nous n'utilisons et ne divulguons les PHI que dans la mesure permise par notre accord de partenaire commercial et par la HIPAA, et uniquement pour fournir les services demandés par le client.

Accords de partenaire commercial (BAA)

Nous signons un accord de partenaire commercial (BAA) avec chaque client avant le début de tout travail et avant de recevoir la moindre PHI. Le BAA définit comment nous pouvons utiliser les PHI, les mesures de protection que nous maintenons, la manière dont nous signalons les incidents et ce qu'il advient des PHI à la fin de la relation. Les clients peuvent signer le BAA électroniquement et conserver un PDF signé dans leurs archives.

Utilisation limitée au minimum nécessaire

Nous appliquons la norme du minimum nécessaire. Les membres de l'équipe sont affectés à des cabinets précis et ne voient que les cabinets et les modules dont leur travail a besoin. Les écrans des logiciels masquent par défaut les valeurs sensibles, par exemple en n'affichant que les derniers chiffres d'un numéro et un âge plutôt qu'une date de naissance complète.

Formation et responsabilité du personnel

Chaque membre de l'équipe suit une formation sur la confidentialité et la sécurité HIPAA avant de travailler avec des informations clients et accepte nos règles de confidentialité et d'utilisation acceptable. La formation est renouvelée régulièrement. Les accès sont retirés rapidement lorsqu'une personne change de poste ou quitte l'entreprise, et les manquements à nos politiques entraînent des mesures disciplinaires.

Mesures de protection

Mesures de protection administratives

• Des politiques écrites de confidentialité et de sécurité, avec une personne nommément désignée qui en est responsable.
• Évaluation des risques et révision de nos mesures de protection à mesure que nos services et nos systèmes évoluent.
• Un accès par rôle approuvé pour chaque personne et chaque cabinet.

Mesures de protection physiques

• Le travail est effectué sur des appareils approuvés par l'entreprise, avec verrouillage de l'écran.
• Les systèmes qui stockent des PHI fonctionnent dans des centres d'hébergement sécurisés à accès contrôlé.

Mesures de protection techniques

• Chiffrement : dans Pulseline et MDClaim360, les champs sensibles tels que les noms des patients, les dates de naissance, le détail des appels, les motifs de rendez-vous et les médicaments sont chiffrés en AES-256-GCM, et les données sont chiffrées en transit.
• Connexion à deux facteurs : obligatoire pour les comptes du personnel.
• Accès par rôle : chaque personne ne voit que les modules et les cabinets auxquels elle est autorisée à accéder, avec une vérification à chaque action.
• Journalisation d'audit : chaque consultation et chaque export d'un dossier patient sont enregistrés, et le journal ne peut être ni modifié ni supprimé.
• Déconnexion automatique : les sessions prennent fin après 15 minutes d'inactivité, après un avertissement.
• Sauvegardes et conservation : sauvegardes chiffrées, paramètres de conservation et conservation à des fins juridiques (legal hold).

Découvrez comment nous protégeons les données sur notre page Sécurité.

Sous-traitants

Si nous faisons appel à un sous-traitant qui crée, reçoit, conserve ou transmet des PHI pour notre compte, comme un hébergeur, nous signons d'abord un accord de partenaire commercial avec ce sous-traitant, qui exige les mêmes protections que celles que nous offrons à nos clients.

Notification des violations de données

Si nous découvrons une violation de PHI non sécurisées, nous en informerons le client concerné sans retard injustifié, et au plus tard dans les délais exigés par la règle de notification des violations de la HIPAA (Breach Notification Rule) et par notre BAA. Nous indiquerons ce qui s'est passé, les informations concernées, ce que nous faisons pour y remédier et ce que le client pourrait devoir faire, et nous aiderons le client à remplir ses propres obligations de notification envers les patients et les autorités de réglementation.

Droits des patients

Si vous êtes le patient de l'un de nos clients, vos droits au titre de la HIPAA, comme le droit de consulter vos dossiers, d'en obtenir une copie ou de les faire corriger, sont gérés par votre professionnel de santé. Veuillez contacter directement le cabinet de votre professionnel de santé. Si nous recevons une demande d'un patient, nous la transmettons au professionnel concerné et l'aidons à y répondre.

Lorsqu'un client nous quitte

Nos offres sont sans engagement, au mois. Lorsqu'une relation client prend fin, nous restituons ou détruisons les PHI comme l'exige le BAA et respectons les paramètres de conservation du client. Si la restitution ou la destruction n'est pas possible, nous continuons à protéger les informations et à en limiter toute utilisation ultérieure.

Ce site web n'est pas destiné aux PHI

Ce site web est réservé aux demandes professionnelles. Veuillez ne pas envoyer d'informations de santé sur des patients par ses formulaires, le chat en direct ou Ava, l'assistante du site. Les informations que vous partagez sur le site sont couvertes par notre Politique de confidentialité.

Signaler un problème

Les clients, comme toute autre personne, peuvent nous signaler à tout moment un problème de confidentialité ou de sécurité. Nous examinons chaque signalement.

• E-mail : contact@incaremd.com
• Téléphone: (833) 4-CARE-98 (du lundi au vendredi 9 du matin au 5 PM EST; les opérations se déroulent le 24/7)

Cet avis décrit nos pratiques en tant que partenaire commercial. Il ne s'agit pas d'un avis de pratiques de confidentialité (Notice of Privacy Practices) destiné aux patients, ni d'un avis juridique.