मरीज़ों का डेटा, पूरी तरह सुरक्षित।

अवलोकन

मरीज़ों की जानकारी की सुरक्षा हमारी हर सेवा का हिस्सा है। हमारे कार्यक्रम में HIPAA-प्रशिक्षित टीम, हर क्लाइंट के साथ हस्ताक्षरित बिज़नेस एसोसिएट एग्रीमेंट और ऐसा सॉफ़्टवेयर शामिल है जिसमें वे सुरक्षा उपाय हैं जिनकी अस्पताल अपेक्षा करते हैं। यह पेज हमारे नियंत्रणों का वर्णन करता है। यह कोई प्रमाणन नहीं है, और हम ऐसे किसी थर्ड-पार्टी प्रमाणन का दावा नहीं करते जो हमारे पास नहीं है। बिज़नेस एसोसिएट के रूप में हम HIPAA का पालन कैसे करते हैं, यह जानने के लिए हमारा HIPAA नोटिस पढ़ें।

डेटा सुरक्षा

• ट्रांज़िट में: हमारे सॉफ़्टवेयर और इस वेबसाइट के कनेक्शन TLS (HTTPS) से एन्क्रिप्ट होते हैं, और ब्राउज़रों को हमेशा सुरक्षित कनेक्शन का उपयोग करने का निर्देश दिया जाता है।
• स्टोरेज में: Pulseline और MDClaim360 में मरीज़ों के नाम, जन्म तिथि, कॉल विवरण, अपॉइंटमेंट के कारण और दवाइयों जैसे संवेदनशील फ़ील्ड AES-256-GCM से एन्क्रिप्ट किए जाते हैं।
• डिफ़ॉल्ट रूप से छिपा हुआ: सूचियों में नंबरों के सिर्फ़ आखिरी अंक दिखते हैं और पूरी जन्म तिथि की जगह उम्र दिखती है।
• इंटीग्रेशन: EHR, फ़ोन सिस्टम या क्लियरिंगहाउस से हर कनेक्शन को सिर्फ़ उतनी एक्सेस मिलती है जितनी ज़रूरी है, जहाँ संभव हो केवल पढ़ने की, और उसे कभी भी रोका या हटाया जा सकता है।

एक्सेस नियंत्रण

• हमारे सॉफ़्टवेयर में स्टाफ़ खातों के लिए टू-फ़ैक्टर साइन-इन अनिवार्य है। जब तक यह सेट नहीं होता, सिर्फ़ खाते के पेज ही खुलते हैं।
• भूमिका-आधारित एक्सेस और न्यूनतम अधिकार: हर व्यक्ति सिर्फ़ वही मॉड्यूल और प्रैक्टिस देखता है जिनकी उसे अनुमति है, और हर कार्रवाई पर इसकी जाँच होती है।
• 15 मिनट तक निष्क्रिय रहने पर चेतावनी के साथ अपने-आप साइन-आउट, और 30 मिनट की सत्र सीमा।
• सिर्फ़ व्यक्तिगत खाते: कोई साझा लॉगिन नहीं। भूमिका बदलने पर एक्सेस की समीक्षा की जाती है और व्यक्ति के जाने पर उसे तुरंत हटा दिया जाता है।

निगरानी और लॉगिंग

हमारे सॉफ़्टवेयर में मरीज़ के रिकॉर्ड का हर व्यू और एक्सपोर्ट एक ऐसे ऑडिट लॉग में लिखा जाता है जिसे बदला या डिलीट नहीं किया जा सकता, और हर इंटीग्रेशन सिंक दर्ज किया जाता है। समस्याओं की जाँच करते समय हम लॉग की समीक्षा करते हैं और असामान्य गतिविधि पर नज़र रखते हैं, जैसे बार-बार असफल साइन-इन, जिनकी दर सीमित की जाती है।

सुरक्षित डेवलपमेंट

सीक्रेट और API कुंजियाँ सर्वर सेटिंग में रखी जाती हैं, कभी सोर्स कोड में नहीं। उपयोगकर्ता के इनपुट को सत्यापित किया जाता है और रिच टेक्स्ट को स्टोर करने से पहले साफ़ किया जाता है। रिलीज़ से पहले बदलावों की समीक्षा और परीक्षण किया जाता है, और हम थर्ड-पार्टी कंपोनेंट को अप-टू-डेट रखते हैं।

यह वेबसाइट

• एडमिन पोर्टल सिर्फ़ नामित InCareMD टीम सदस्यों के लिए खुला है, जिनमें से हर एक का व्यक्तिगत खाता और एक भूमिका (जैसे owner, admin, editor या support) है, जो सीमित करती है कि वे क्या देख और बदल सकते हैं।
• पासवर्ड केवल सॉल्टेड scrypt हैश के रूप में स्टोर होते हैं, कभी सादे टेक्स्ट में नहीं। टीम सदस्य अपने Microsoft कार्य खाते से भी साइन इन कर सकते हैं।
• साइन-इन किए गए सत्र 12 घंटे बाद समाप्त हो जाते हैं, और बंद किया गया खाता तुरंत एक्सेस खो देता है।
• Ava के साथ चैट विज़िटर के ब्राउज़र से जुड़ी होती हैं और 24 घंटे बाद अपने-आप डिलीट हो जाती हैं।
• सुरक्षा हेडर ब्राउज़रों को कंटेंट स्निफ़िंग, दूसरी साइटों द्वारा फ़्रेमिंग और कैमरे तक पहुँच को रोकने का निर्देश देते हैं।

विक्रेता और उप-ठेकेदार

हम ऐसे सेवा प्रदाता चुनते हैं जो हमारे सुरक्षा और HIPAA दायित्वों का समर्थन करते हैं, हर एक को सिर्फ़ उतनी एक्सेस देते हैं जितनी उसे चाहिए, और हमारे लिए PHI संभालने वाले हर प्रदाता के साथ बिज़नेस एसोसिएट एग्रीमेंट पर हस्ताक्षर करते हैं। उदाहरण के लिए, हम ईमेल और कैलेंडर के लिए Microsoft 365 और अपने सर्वरों के लिए एक होस्टिंग प्रदाता का उपयोग करते हैं।

बैकअप और व्यवसाय की निरंतरता

हमारा सॉफ़्टवेयर रिटेंशन सेटिंग्स और लीगल होल्ड के साथ एन्क्रिप्टेड बैकअप रखता है। वेबसाइट डेटा का नियमित रूप से बैकअप लिया जाता है, और पुरानी प्रतियों को समय-समय पर बदला जाता है, ताकि किसी गड़बड़ी की स्थिति में उसे पुनर्स्थापित किया जा सके। हमारी टीम संयुक्त राज्य अमेरिका, ऑस्ट्रेलिया, कनाडा, यूएई, पाकिस्तान, भारत, फिलीपींस और न्यूजीलैंड में काम करती है, और संचालन 24/7 पर आधारित है, इसलिए क्लाइंट के साथ काम समय क्षेत्रों में भी जारी रहता है।

घटना पर प्रतिक्रिया

अगर हमें किसी सुरक्षा घटना का संदेह होता है, तो हम उसे रोकने, जो हुआ उसकी जाँच करने, कारण को ठीक करने और सीख को दर्ज करने के लिए कार्रवाई करते हैं। जब किसी घटना में क्लाइंट का PHI शामिल होता है, तो हम अपने बिज़नेस एसोसिएट एग्रीमेंट और HIPAA Breach Notification Rule की आवश्यकता के अनुसार क्लाइंट को सूचित करते हैं, और उनके अपने दायित्वों को पूरा करने में उनकी मदद करते हैं।

ज़िम्मेदार प्रकटीकरण

अगर आपको लगता है कि आपको हमारी वेबसाइट या सॉफ़्टवेयर में कोई सुरक्षा समस्या मिली है, तो कृपया "Security report" विषय के साथ, उसे दोहराने के चरणों सहित, contact@incaremd.com पर ईमेल करें। कृपया किसी और को बताने से पहले हमें समस्या ठीक करने के लिए उचित समय दें, ऐसा डेटा एक्सेस न करें या न बदलें जो आपका नहीं है, और ऐसे परीक्षण न चलाएँ जो हमारी सेवाओं या हमारे क्लाइंट्स को बाधित कर सकते हैं। हम आपकी रिपोर्ट की पुष्टि करेंगे, आपको अपडेट देते रहेंगे और इन नियमों का पालन करने वाले सद्भावपूर्ण शोध के ख़िलाफ़ कोई कानूनी कार्रवाई नहीं करेंगे।

क्लाइंट क्या कर सकते हैं

• हर उपयोगकर्ता के लिए टू-फ़ैक्टर साइन-इन चालू करें और अपने संपर्क विवरण अपडेट रखें।
• हर स्टाफ़ सदस्य को उसका अपना लॉगिन दें और लोगों के जाने पर एक्सेस हटा दें।
• मरीज़ों की जानकारी कभी भी सामान्य ईमेल, टेक्स्ट या इस वेबसाइट के फ़ॉर्म से साझा न करें।
• अगर आपको अपने खाते में कुछ भी असामान्य दिखे तो हमें तुरंत बताएँ।

हमसे संपर्क करें

• ईमेल: contact@incaremd.com
• फ़ोन: (833) 4-CARE-98 (सोम-शुक्र 9 AM–5 PM EST; संचालन 24/7 चलता है)
• मेल: InCareMD, 12910 क्लोवरलीफ सेंटर ड्राइव, सुइट 110, जर्मनटाउन, मैरीलैंड 20874, संयुक्त राज्य अमेरिका
• मेल: InCareMD, 6/13 हंटर स्ट्रीट, पैरामाटा, न्यू साउथ वेल्स 2150, ऑस्ट्रेलिया