검토용 초안: 사이트를 공개하기 전에 변호사의 검토를 받으세요.
저희가 의료 제공자를 위해 전화를 받거나, 청구를 처리하거나, 소프트웨어를 운영할 때 보호 대상 건강 정보(PHI)를 다룰 수 있습니다. 이 고지는 건강보험 이전 및 책임에 관한 법률(HIPAA)과 각 고객과의 계약에 따라 저희가 이를 어떻게 보호하는지 설명합니다.
이 페이지의 내용
HIPAA에 따른 저희의 역할
의사, 진료소, 기타 의료 제공자와 같은 저희 고객은 HIPAA상의 적용 대상 기관(covered entity)입니다. 저희가 고객을 대신하여 PHI와 관련된 프런트 데스크, 청구, 수익 주기 또는 소프트웨어 서비스를 수행할 때 InCareMD는 고객의 업무 제휴자(business associate)로서 활동합니다. 저희는 업무 제휴 계약과 HIPAA가 허용하는 범위 내에서만, 그리고 고객이 요청한 서비스를 제공하기 위해서만 PHI를 사용하고 공개합니다.
업무 제휴 계약
저희는 업무를 시작하기 전, 그리고 PHI를 받기 전에 모든 고객과 업무 제휴 계약(BAA)을 체결합니다. BAA에는 저희가 PHI를 사용할 수 있는 방식, 유지하는 보호 조치, 사고 보고 방법, 관계 종료 시 PHI 처리 방법이 명시됩니다. 고객은 BAA에 전자 서명하고 서명된 PDF를 기록용으로 보관할 수 있습니다.
최소 필요 사용
저희는 최소 필요 기준을 따릅니다. 팀원은 특정 병원에 배정되며, 업무에 필요한 병원과 모듈만 볼 수 있습니다. 소프트웨어 화면은 기본적으로 민감한 값을 가립니다. 예를 들어 번호는 마지막 자릿수만 보여 주고, 전체 생년월일 대신 나이를 표시합니다.
직원 교육 및 책임
모든 팀원은 고객 정보를 다루기 전에 HIPAA 개인정보 보호 및 보안 교육을 이수하고, 저희의 기밀 유지 및 허용 가능한 사용 규칙에 동의합니다. 교육은 정기적으로 갱신됩니다. 직원이 역할을 변경하거나 퇴사하면 접근 권한이 즉시 해제되며, 정책 위반 시 징계 조치가 따릅니다.
보호 조치
관리적 보호 조치
- 책임자가 지정된 서면 개인정보 보호 및 보안 정책.
- 서비스와 시스템이 변경될 때 위험 평가 및 보호 조치 검토.
- 각 사람과 각 병원별로 승인된 역할 기반 접근.
물리적 보호 조치
- 화면 잠금이 설정된 회사 승인 기기에서 업무를 수행합니다.
- PHI를 저장하는 시스템은 보안이 확보되고 접근이 통제된 호스팅 시설에서 운영됩니다.
기술적 보호 조치
- 암호화: Pulseline과 MDClaim360에서는 환자 이름, 생년월일, 통화 내용, 예약 사유, 약물과 같은 민감한 필드를 AES-256-GCM으로 암호화하며, 데이터는 전송 중에도 암호화됩니다.
- 2단계 인증 로그인: 직원 계정에 필수입니다.
- 역할 기반 접근: 각 사람은 허용된 모듈과 병원만 볼 수 있으며, 모든 작업마다 확인됩니다.
- 감사 로그: 환자 기록의 모든 조회와 내보내기가 기록되며, 로그는 수정하거나 삭제할 수 없습니다.
- 자동 로그아웃: 15분 동안 활동이 없으면 먼저 경고를 표시한 후 세션이 종료됩니다.
- 백업 및 보존: 암호화된 백업, 보존 설정, 법적 보존 조치.
데이터 보호 방법에 대한 자세한 내용은 보안 페이지를 참조하세요.
하도급 업체
호스팅 제공업체처럼 저희를 위해 PHI를 생성, 수신, 유지 또는 전송하는 하도급 업체를 이용하는 경우, 먼저 해당 하도급 업체와 업무 제휴 계약을 체결하여 저희가 고객에게 제공하는 것과 동일한 보호를 요구합니다.
침해 통지
보안 조치되지 않은 PHI의 침해를 발견하면, 부당한 지체 없이, 그리고 HIPAA 침해 통지 규칙과 BAA가 요구하는 기한 내에 영향을 받은 고객에게 통지합니다. 발생한 일, 관련된 정보, 저희가 취하고 있는 조치, 고객이 해야 할 수 있는 일을 공유하며, 고객이 환자와 규제 기관에 대한 자체 통지 의무를 이행하도록 돕습니다.
환자의 권리
귀하가 저희 고객 병원의 환자라면, 기록을 열람하거나 사본을 받거나 정정할 권리와 같은 HIPAA상의 권리는 귀하의 의료 제공자가 처리합니다. 담당 의료 제공자의 사무실에 직접 문의해 주세요. 저희가 환자로부터 요청을 받으면 해당 의료 제공자에게 전달하고 응답을 돕습니다.
고객이 계약을 종료할 때
저희 요금제는 월 단위입니다. 고객과의 관계가 종료되면 BAA에 따라 PHI를 반환하거나 파기하며, 고객의 보존 설정을 따릅니다. 반환이나 파기가 불가능한 경우에는 해당 정보를 계속 보호하고 추가 사용을 제한합니다.
이 웹사이트는 PHI용이 아닙니다
이 웹사이트는 업무 문의 전용입니다. 양식, 실시간 채팅 또는 웹사이트 어시스턴트인 Ava를 통해 환자의 건강 정보를 보내지 마세요. 웹사이트에서 공유하신 정보는 개인정보 처리방침의 적용을 받습니다.
우려 사항 신고
고객을 비롯한 누구든지 언제든 개인정보 보호 또는 보안 관련 우려 사항을 저희에게 신고할 수 있습니다. 저희는 모든 신고를 조사합니다.
- 이메일: contact@incaremd.com
- 전화: (833) 4-CARE-98(월~금 9 AM~5 PM EST, 작업 실행 24/7)
이 고지는 업무 제휴자로서 저희의 업무 관행을 설명합니다. 환자를 위한 개인정보 처리 관행 고지(Notice of Privacy Practices)가 아니며, 법률 자문이 아닙니다.