Dati del paziente, bloccati.

Panoramica

La protezione delle informazioni dei pazienti è parte integrante di ogni servizio che offriamo. Il nostro programma combina un team formato secondo gli standard HIPAA, un accordo di collaborazione commerciale firmato con ogni cliente e un software progettato con le protezioni che gli ospedali si aspettano. Questa pagina descrive i nostri controlli. Non si tratta di una certificazione e non rivendichiamo alcuna certificazione di terze parti che non possediamo. Per informazioni su come soddisfiamo gli standard HIPAA in qualità di partner commerciali, si prega di leggere la nostra informativa HIPAA.

Protezione dei dati

• In transito: le connessioni al nostro software e a questo sito web sono crittografate con TLS (HTTPS) e ai browser viene indicato di utilizzare sempre una connessione sicura.
• A riposo: in Pulseline e MDClaim360, i campi sensibili come i nomi dei pazienti, le date di nascita, i dettagli delle chiamate, i motivi degli appuntamenti e i farmaci sono crittografati con AES-256-GCM.
• Mascherato per impostazione predefinita: gli elenchi mostrano solo le ultime cifre dei numeri e l'età invece della data di nascita completa.
• Integrazioni: ogni connessione a una cartella clinica elettronica, a un sistema telefonico o a una clearinghouse ottiene solo l'accesso necessario, in sola lettura ove possibile, e può essere sospesa o rimossa in qualsiasi momento.

Controllo degli accessi

• L'accesso a due fattori è richiesto per gli account del personale nel nostro software. Finché non viene configurato, si aprono solo le pagine dell'account.
• Accesso basato sui ruoli e principio del minimo privilegio: ogni persona vede solo i moduli e le pratiche a cui è autorizzata ad accedere, verificati per ogni azione.
• Disconnessione automatica dopo 15 minuti di inattività, con un avviso e un limite di sessione di 30 minuti.
• Solo account individuali: nessun accesso condiviso. L'accesso viene verificato quando le persone cambiano ruolo e rimosso tempestivamente quando lasciano l'azienda.

Monitoraggio e registrazione

Ogni visualizzazione ed esportazione di una cartella clinica nel nostro software viene registrata in un registro di controllo che non può essere modificato o eliminato, e ogni sincronizzazione di integrazione viene registrata. Analizziamo i registri quando indaghiamo sui problemi e monitoriamo attività insolite, come tentativi di accesso falliti ripetuti, che sono soggetti a limitazioni di frequenza.

Sviluppo sicuro

Le chiavi segrete e le chiavi API sono conservate nelle impostazioni del server, mai nel codice sorgente. L'input dell'utente viene convalidato e il testo formattato viene ripulito prima di essere memorizzato. Le modifiche vengono esaminate e testate prima del rilascio e manteniamo aggiornati i componenti di terze parti.

Questo sito web

• Il portale di amministrazione è aperto solo ai membri del team InCareMD nominati, ognuno con un account individuale e un ruolo (come proprietario, amministratore, editor o supporto) che limita ciò che possono visualizzare e modificare.
• Le password vengono memorizzate esclusivamente come hash Scrypt con salt, mai in chiaro. I membri del team possono inoltre accedere con il proprio account aziendale Microsoft.
• Le sessioni con accesso attivo scadono dopo 12 ore e un account disattivato perde immediatamente l'accesso.
• Le chat con Ava sono associate al browser del visitatore e vengono eliminate automaticamente dopo 24 ore.
• Le intestazioni di sicurezza indicano ai browser di bloccare l'intercettazione dei contenuti, l'incorporazione di frame da parte di altri siti e l'accesso alla fotocamera.

Fornitori e subappaltatori

Selezioniamo fornitori di servizi che supportino i nostri obblighi di sicurezza e HIPAA, concediamo a ciascuno solo l'accesso necessario e stipuliamo un accordo di associazione commerciale con qualsiasi fornitore che gestisca informazioni sanitarie protette (PHI) per nostro conto. Ad esempio, utilizziamo Microsoft 365 per la posta elettronica e i calendari e un fornitore di hosting per i nostri server.

Backup e continuità operativa

Il nostro software mantiene backup crittografati con impostazioni di conservazione e blocco legale. I dati del sito web vengono sottoposti a backup regolarmente, con le copie più vecchie sostituite a rotazione, in modo che possano essere ripristinati in caso di problemi. Il nostro team opera negli Stati Uniti, in Australia, Canada, Emirati Arabi Uniti, Pakistan, India, Filippine e Nuova Zelanda, e le operazioni vengono eseguite su 24/7, quindi il lavoro con i clienti continua attraverso i fusi orari.

Risposta agli incidenti

Se sospettiamo un incidente di sicurezza, interveniamo per contenerlo, indaghiamo su quanto accaduto, ne risolviamo la causa e registriamo le informazioni apprese. Quando un incidente coinvolge informazioni sanitarie protette (PHI) del cliente, lo notifichiamo come previsto dal nostro accordo con il partner commerciale e dalla norma HIPAA sulla notifica delle violazioni, e lo aiutiamo a rispettare i propri obblighi.

Divulgazione responsabile

Se ritieni di aver individuato una vulnerabilità di sicurezza nel nostro sito web o software, ti preghiamo di inviare un'e-mail all'indirizzo contact@incaremd.com con oggetto "Segnalazione di sicurezza", includendo i passaggi per riprodurre il problema. Ti preghiamo di concederci un tempo ragionevole per risolvere il problema prima di informare chiunque altro, di non accedere o modificare dati che non ti appartengono e di non eseguire test che potrebbero interrompere i nostri servizi o quelli dei nostri clienti. Confermeremo la ricezione della tua segnalazione, ti terremo aggiornato e non intraprenderemo azioni legali contro ricerche condotte in buona fede nel rispetto di queste regole.

Cosa possono fare i clienti

• Attiva l'autenticazione a due fattori per ogni utente e mantieni aggiornati i tuoi dati di contatto.
• Assegnate a ciascun membro dello staff un proprio login e revocate l'accesso quando la persona lascia l'azienda.
• Non condividere mai le informazioni dei pazienti tramite e-mail, SMS o i moduli di questo sito web.
• Segnalaci immediatamente se noti qualcosa di insolito nel tuo account.

Contattaci

• E-mail: contact@incaremd.com
• Telefono: (833) 4-CARE-98 (lunedì–venerdì 9 AM–5 PM EST; le operazioni si svolgono alle ore 24/7)
• Indirizzo postale: InCareMD, 12910 Cloverleaf Center Dr, Suite 110, Germantown, MD 20874, Stati Uniti
• Indirizzo postale: InCareMD, 6/13 Hunter St, Parramatta NSW 2150, Australia