powiadomienie HIPAA

Nasza rola w ramach HIPAA

Nasi klienci, tacy jak lekarze, kliniki i inni dostawcy usług opieki zdrowotnej, są podmiotami objętymi przepisami HIPAA. Kiedy świadczymy w ich imieniu usługi recepcji, rozliczeń, cyklu przychodów lub oprogramowania, które obejmują chronione informacje zdrowotne (PHI), InCareMD działa jako ich partner biznesowy. Wykorzystujemy i ujawniamy chronione informacje zdrowotne wyłącznie w zakresie dozwolonym przez naszą umowę o współpracy biznesowej i HIPAA, a także wyłącznie w celu świadczenia usług, o które poprosił klient.

Umowy z podmiotami współpracującymi

Z każdym klientem podpisujemy umowę o współpracy biznesowej (BAA) przed rozpoczęciem jakichkolwiek prac i przed otrzymaniem jakichkolwiek chronionych informacji medycznych (PHI). Umowa BAA określa, jak możemy wykorzystywać chronione informacje medyczne, jakie zabezpieczenia stosujemy, jak zgłaszamy incydenty oraz co dzieje się z chronionymi informacjami medycznymi po zakończeniu współpracy. Klienci mogą podpisać umowę BAA elektronicznie i zachować podpisany plik PDF do swojej dokumentacji.

Minimalne niezbędne użycie

Stosujemy minimalne standardy. Członkowie zespołu są przypisani do konkretnych praktyk i widzą tylko te praktyki i moduły, których wymaga ich praca. Ekrany oprogramowania domyślnie maskują wrażliwe wartości, na przykład wyświetlając tylko ostatnie cyfry liczby i wiek zamiast pełnej daty urodzenia.

Szkolenie i odpowiedzialność pracowników

Każdy członek zespołu przechodzi szkolenie z zakresu prywatności i bezpieczeństwa HIPAA przed rozpoczęciem pracy z informacjami klienta i akceptuje nasze zasady poufności i dozwolonego użytku. Szkolenie jest regularnie uaktualniane. Dostęp jest natychmiast blokowany w przypadku zmiany roli lub odejścia pracownika, a naruszenia naszych zasad skutkują podjęciem działań dyscyplinarnych.

Zabezpieczenia

Zabezpieczenia administracyjne

• Pisemne zasady ochrony prywatności i bezpieczeństwa wraz z wyznaczoną osobą odpowiedzialną za nie.
• Ocena ryzyka i przegląd naszych zabezpieczeń w miarę zmian w naszych usługach i systemach.
• Dostęp oparty na rolach zatwierdzony dla każdej osoby i każdej praktyki.

Zabezpieczenia fizyczne

• Prace wykonywane są na urządzeniach zatwierdzonych przez firmę i wyposażonych w blokadę ekranu.
• Systemy przechowujące chronione informacje zdrowotne działają w bezpiecznych ośrodkach hostingowych z kontrolą dostępu.

Zabezpieczenia techniczne

• Szyfrowanie: w Pulseline i MDClaim360 pola wrażliwe, takie jak imiona i nazwiska pacjentów, daty urodzenia, szczegóły połączeń, powody wizyt i leki, są szyfrowane za pomocą algorytmu AES-256-GCM, a dane są szyfrowane podczas przesyłania.
• Dwuskładnikowe logowanie: wymagane dla kont pracowniczych.
• Dostęp oparty na rolach: każda osoba widzi tylko te moduły i ćwiczenia, do których ma dostęp, sprawdzane przy każdej akcji.
• Rejestrowanie audytu: każde wyświetlenie i eksportowanie dokumentacji medycznej jest rejestrowane. Rejestru nie można edytować ani usunąć.
• Automatyczne wylogowanie: sesje kończą się po 15 minutach bezczynności, najpierw wyświetlane jest ostrzeżenie.
• Kopie zapasowe i przechowywanie: szyfrowane kopie zapasowe, ustawienia przechowywania i zabezpieczenie prawne.

Więcej informacji o tym, jak chronimy dane, znajdziesz na naszej stronie poświęconej bezpieczeństwu.

Podwykonawcy

Jeśli korzystamy z podwykonawcy, który tworzy, odbiera, przechowuje lub przesyła dla nas chronione informacje zdrowotne (PHI), np. dostawcy usług hostingowych, podpisujemy najpierw umowę o współpracy biznesowej z tym podwykonawcą, która wymaga takiej samej ochrony, jaką zapewniamy naszym klientom.

Powiadomienie o naruszeniu

Jeśli odkryjemy naruszenie niezabezpieczonych danych osobowych (PHI), powiadomimy o tym klienta bez zbędnej zwłoki, nie później niż wymaga tego Reguła powiadamiania o naruszeniach HIPAA oraz nasza umowa BAA. Przekażemy klientowi informacje o zdarzeniu, informacje, których dotyczyło, nasze działania w związku z tym oraz ewentualne obowiązki, jakie powinien on podjąć, a także pomożemy mu w wypełnieniu jego własnych obowiązków powiadamiania pacjentów i organów regulacyjnych.

Prawa pacjenta

Jeśli jesteś pacjentem jednego z naszych klientów, Twoje prawa wynikające z HIPAA, takie jak prawo do wglądu, otrzymania kopii lub poprawienia dokumentacji medycznej, są obsługiwane przez Twojego lekarza. Skontaktuj się bezpośrednio z gabinetem swojego lekarza. Jeśli otrzymamy prośbę od pacjenta, przekażemy ją do odpowiedniego lekarza i pomożemy mu w udzieleniu odpowiedzi.

Kiedy klient odchodzi

Nasze plany obejmują comiesięczne przetwarzanie. Po zakończeniu współpracy z klientem zwracamy lub niszczymy PHI zgodnie z wymogami BAA i stosujemy się do ustawień klienta dotyczących przechowywania danych. Jeśli zwrot lub zniszczenie nie jest możliwe, nadal chronimy informacje i ograniczamy ich dalsze wykorzystanie.

Ta strona internetowa nie jest przeznaczona do przechowywania informacji chronionych prawem autorskim

Ta strona internetowa jest przeznaczona wyłącznie do zapytań biznesowych. Prosimy nie przesyłać informacji o stanie zdrowia pacjentów za pośrednictwem formularzy, czatu na żywo ani Ava, asystenta strony. Informacje udostępniane na stronie internetowej podlegają naszej Polityce prywatności.

Zgłoś problem

Klienci i wszyscy inni mogą w każdej chwili zgłosić nam problem dotyczący prywatności lub bezpieczeństwa. Sprawdzamy każde zgłoszenie.

• Adres e-mail: contact@incaremd.com
• Telefon: (833) 4-CARE-98 (poniedziałek–piątek 9 AM–5 PM EST; operacje odbywają się 24/7)

Niniejsza informacja opisuje nasze praktyki jako partnera biznesowego. Nie stanowi ona Informacji o Praktykach Prywatności dla Pacjentów ani porady prawnej.