Les données des patients, sous clé.

Vue d’ensemble

La protection des informations des patients fait partie de chaque service que nous fournissons. Notre programme associe une équipe formée à la loi HIPAA, un accord de partenaire commercial signé avec chaque client et des logiciels dotés des protections qu’attendent les hôpitaux. Cette page décrit nos mesures de contrôle. Il ne s’agit pas d’une certification, et nous ne revendiquons aucune certification tierce que nous ne détenons pas. Pour savoir comment nous respectons la loi HIPAA en tant que partenaire commercial, consultez notre avis HIPAA.

Protection des données

• En transit : les connexions à nos logiciels et à ce site web sont chiffrées en TLS (HTTPS), et les navigateurs reçoivent l’instruction de toujours utiliser une connexion sécurisée.
• Au repos : dans Pulseline et MDClaim360, les champs sensibles, comme les noms des patients, les dates de naissance, les détails des appels, les motifs de rendez-vous et les médicaments, sont chiffrés en AES-256-GCM.
• Masqué par défaut : les listes n’affichent que les derniers chiffres des numéros et un âge au lieu de la date de naissance complète.
• Intégrations : chaque connexion à un DME, un système téléphonique ou une chambre de compensation n’obtient que l’accès dont elle a besoin, en lecture seule si possible, et peut être suspendue ou supprimée à tout moment.

Contrôle d’accès

• La connexion à deux facteurs est obligatoire pour les comptes du personnel dans nos logiciels. Tant qu’elle n’est pas configurée, seules les pages du compte s’ouvrent.
• Accès par rôle et moindre privilège : chaque personne ne voit que les modules et les cabinets auxquels elle est autorisée à accéder, ce qui est vérifié à chaque action.
• Déconnexion automatique après 15 minutes d’inactivité, avec un avertissement, et une durée de session limitée à 30 minutes.
• Comptes individuels uniquement : aucun identifiant partagé. Les accès sont revus lorsqu’une personne change de rôle et supprimés rapidement lorsqu’elle part.

Surveillance et journalisation

Chaque consultation et chaque export d’un dossier patient dans nos logiciels sont consignés dans un journal d’audit qui ne peut être ni modifié ni supprimé, et chaque synchronisation d’intégration est enregistrée. Nous examinons les journaux lors de l’analyse des problèmes et surveillons toute activité inhabituelle, comme des échecs de connexion répétés, dont le nombre est limité.

Développement sécurisé

Les secrets et les clés d’API sont conservés dans les paramètres du serveur, jamais dans le code source. Les saisies des utilisateurs sont validées et le texte enrichi est nettoyé avant d’être enregistré. Les modifications sont relues et testées avant leur mise en production, et nous maintenons à jour les composants tiers.

Ce site web

• Le portail d’administration est accessible uniquement aux membres de l’équipe InCareMD nommément désignés, chacun disposant d’un compte individuel et d’un rôle (propriétaire, administrateur, éditeur ou support, par exemple) qui limite ce qu’il peut voir et modifier.
• Les mots de passe sont stockés uniquement sous forme d’empreintes scrypt salées, jamais en clair. Les membres de l’équipe peuvent aussi se connecter avec leur compte professionnel Microsoft.
• Les sessions connectées expirent au bout de 12 heures, et un compte désactivé perd immédiatement son accès.
• Les conversations avec Ava sont liées au navigateur du visiteur et supprimées automatiquement au bout de 24 heures.
• Des en-têtes de sécurité demandent aux navigateurs de bloquer la détection de type de contenu (content sniffing), l’intégration du site dans d’autres sites et l’accès à la caméra.

Fournisseurs et sous-traitants

Nous choisissons des prestataires qui soutiennent nos obligations en matière de sécurité et de HIPAA, n’accordons à chacun que l’accès dont il a besoin et signons un accord de partenaire commercial avec tout prestataire qui traite des informations de santé protégées (PHI) pour nous. Par exemple, nous utilisons Microsoft 365 pour la messagerie et les agendas, et un hébergeur pour nos serveurs.

Sauvegardes et continuité d’activité

Notre logiciel effectue des sauvegardes chiffrées avec des paramètres de conservation et de mise sous séquestre légal. Les données du site web sont sauvegardées régulièrement, les copies les plus anciennes étant remplacées en continu, ce qui permet leur restauration en cas de problème. Notre équipe est présente aux États-Unis, en Australie, au Canada, aux Émirats arabes unis, au Pakistan, en Inde, aux Philippines et en Nouvelle-Zélande, et nos opérations fonctionnent en mode 24/7, garantissant ainsi la continuité des activités de nos clients malgré les décalages horaires.

Réponse aux incidents

Si nous soupçonnons un incident de sécurité, nous agissons pour le contenir, nous enquêtons sur ce qui s’est passé, nous corrigeons la cause et nous consignons les enseignements tirés. Lorsqu’un incident concerne des PHI d’un client, nous en informons le client comme l’exigent notre accord de partenaire commercial et la HIPAA Breach Notification Rule, et nous l’aidons à remplir ses propres obligations.

Divulgation responsable

Si vous pensez avoir découvert un problème de sécurité sur notre site web ou dans nos logiciels, veuillez écrire à contact@incaremd.com avec l’objet « Security report », en indiquant les étapes permettant de le reproduire. Merci de nous laisser un délai raisonnable pour corriger le problème avant d’en informer qui que ce soit, de ne pas accéder à des données qui ne vous appartiennent pas ni de les modifier, et de ne pas effectuer de tests susceptibles de perturber nos services ou nos clients. Nous accuserons réception de votre signalement, vous tiendrons informé et n’engagerons aucune action en justice contre une recherche menée de bonne foi dans le respect de ces règles.

Ce que les clients peuvent faire

• Activez la connexion à deux facteurs pour chaque utilisateur et tenez vos coordonnées à jour.
• Attribuez à chaque membre du personnel son propre identifiant et supprimez les accès lorsque des personnes partent.
• Ne partagez jamais d’informations sur les patients par e-mail ordinaire, par SMS ou par les formulaires de ce site web.
• Prévenez-nous immédiatement si vous remarquez quoi que ce soit d’inhabituel dans votre compte.

Nous contacter

• E-mail : contact@incaremd.com
• Téléphone: (833) 4-CARE-98 (du lundi au vendredi 9 du matin au 5 PM EST; les opérations se déroulent le 24/7)
• Mail: InCareMD, 12910 Cloverleaf Center Dr, Suite 110, Germantown, MD 20874, United States
• Adresse postale: InCareMD, 6/13 Hunter St, Parramatta NSW 2150, Australie