レビュー用草稿：サイト公開前に、弁護士にこの文章をレビューしてもらってください。
当社が医療機関からの電話に対応したり、保険金請求を処理したり、医療機関向けソフトウェアを実行したりする際に、保護対象医療情報（PHI）を取り扱う場合があります。この通知では、医療保険の携行性と説明責任に関する法律（HIPAA）および各クライアントとの契約に基づき、当社がPHIをどのように保護しているかについて説明します。
このページでは
HIPAAにおける私たちの役割
医師、診療所、その他の医療提供者など、当社のクライアントはHIPAAの対象となる事業体です。当社がクライアントに代わって受付業務、請求業務、収益サイクル管理、またはPHI（保護対象医療情報）を扱うソフトウェアサービスを提供する場合、InCareMDはクライアントのビジネスアソシエイトとして機能します。当社は、ビジネスアソシエイト契約およびHIPAAで許可されている範囲内でのみ、またクライアントが依頼したサービスを提供するためにのみ、PHIを使用および開示します。
ビジネスアソシエイト契約
当社は、業務開始前および個人健康情報（PHI）の受領前に、すべてのクライアントと業務提携契約（BAA）を締結します。BAAには、当社がPHIをどのように使用するか、当社が維持する安全対策、インシデント発生時の報告方法、および関係終了時のPHIの取り扱いについて規定されています。クライアントはBAAに電子署名し、署名済みのPDFファイルを記録として保管することができます。
必要最小限の使用
私たちは必要最低限の基準に従っています。チームメンバーは特定の業務に割り当てられ、自分の業務に必要な業務とモジュールのみを閲覧できます。ソフトウェア画面では、機密性の高い値はデフォルトでマスクされます。例えば、生年月日全体ではなく、数字の下1桁と年齢のみが表示されます。
従業員の研修と説明責任
チームメンバーは全員、顧客情報を取り扱う前にHIPAAプライバシーおよびセキュリティ研修を修了し、当社の機密保持および利用規約に同意します。研修は定期的に更新されます。担当者が役割を変更したり退職したりした場合は、アクセス権は速やかに削除され、当社のポリシーに違反した場合は懲戒処分が科されます。
安全対策
行政上の安全対策
- 文書化されたプライバシーおよびセキュリティに関する方針があり、それらを担当する責任者が明記されている。
- サービスやシステムの変更に伴うリスク評価と安全対策の見直し。
- 各個人および各業務に対して、役割に基づいたアクセス権限が承認されます。
物理的な安全対策
- 作業は、画面ロック機能付きの会社承認済み端末で行われます。
- 個人健康情報（PHI）を保存するシステムは、セキュリティが確保され、アクセスが制御されたホスティング施設で稼働します。
技術的安全対策
- 暗号化: Pulseline および MDClaim360 では、患者名、生年月日、通話の詳細、予約理由、投薬などの機密フィールドは AES-256-GCM で暗号化され、データは転送中に暗号化されます。
- 二段階認証:はスタッフアカウントに必要です。
- 役割ベースのアクセス:各ユーザーは、許可されたモジュールとプラクティスのみを表示でき、すべてのアクションでチェックされます。
- 監査ログ: 患者記録のすべての表示とエクスポートがログに記録され、ログは編集または削除できません。
- 自動サインアウト:セッションは15分間操作がないと警告が表示されて終了します。
- バックアップと保持:暗号化バックアップ、保持設定、法的保留。
データの保護方法については、セキュリティページをご覧ください。
下請業者
ホスティングプロバイダーなど、当社のために個人健康情報（PHI）を作成、受信、維持、または送信する下請業者を利用する場合、当社はまずその下請業者と業務提携契約を締結し、当社が顧客に提供するのと同等の保護措置を義務付けます。
情報漏洩通知
保護されていない個人健康情報（PHI）の漏洩が発覚した場合、当社は不当な遅延なく、かつHIPAA漏洩通知規則および当社との事業提携契約（BAA）で定められた期限内に、影響を受けたクライアントに通知します。当社は、発生した事象、関連情報、当社が講じている対策、およびクライアントが行う必要のある措置について説明し、クライアントが患者および規制当局に対する通知義務を果たすための支援を行います。
患者の権利
お客様が当社のクライアントの患者様である場合、HIPAAに基づくお客様の権利（記録の閲覧、コピーの取得、訂正の権利など）は、お客様の医療提供者によって処理されます。直接、担当の医療提供者のオフィスにお問い合わせください。患者様からご依頼があった場合は、適切な医療提供者に転送し、対応をサポートいたします。
クライアントが去るとき
当社の契約は月単位です。顧客との関係が終了した場合、BAA（事業提携契約）の規定に従い、顧客の保持設定に基づいてPHI（保護対象医療情報）を返却または破棄します。返却または破棄が不可能な場合は、引き続き情報を保護し、それ以上の使用を制限します。
このウェブサイトは個人健康情報（PHI）を扱うものではありません
このウェブサイトはビジネスに関するお問い合わせ専用です。フォーム、ライブチャット、またはウェブサイトアシスタントAvaを通じて患者の健康情報を送信しないでください。ウェブサイト上で共有される情報は、当社のプライバシーポリシーによって保護されます。
懸念事項を報告する
お客様をはじめとするどなたでも、プライバシーやセキュリティに関する懸念事項をいつでも当社にご報告いただけます。当社はすべての報告を調査します。
- メールアドレス: contact@incaremd.com
- 電話番号: (833) 4-CARE-98 (月曜～金曜 9 午前～5 午後 EST、オペレーションは 24/7 で実行されます)
本通知は、当社の業務提携先としての慣行について説明するものです。患者様向けのプライバシーに関する通知ではなく、法的助言でもありません。