Rascunho para revisão: peça ao seu advogado que revise este texto antes de o site entrar no ar.
Quando atendemos ligações, trabalhamos cobranças ou operamos software para um prestador de saúde, podemos lidar com informações de saúde protegidas (PHI). Este aviso explica como as protegemos de acordo com a Health Insurance Portability and Accountability Act (HIPAA, lei de portabilidade e responsabilidade de seguros de saúde dos EUA) e com nossos contratos com cada cliente.
Nesta página
Nosso papel segundo a HIPAA
Nossos clientes, como médicos, clínicas e outros prestadores de saúde, são entidades abrangidas pela HIPAA. Quando prestamos, em nome deles, serviços de recepção, faturamento, ciclo de receita ou software que envolvem PHI, a InCareMD atua como associada comercial desses clientes. Usamos e divulgamos PHI somente conforme permitido pelo nosso contrato de associado comercial e pela HIPAA, e apenas para prestar os serviços solicitados pelo cliente.
Contratos de associado comercial
Assinamos um contrato de associado comercial (BAA) com cada cliente antes de começar qualquer trabalho e antes de recebermos qualquer PHI. O BAA define como podemos usar as PHI, as proteções que mantemos, como relatamos incidentes e o que acontece com as PHI quando a relação termina. Os clientes podem assinar o BAA eletronicamente e guardar um PDF assinado em seus registros.
Uso mínimo necessário
Seguimos o padrão do mínimo necessário. Os membros da equipe são designados a clínicas específicas e veem apenas as clínicas e os módulos que seu trabalho exige. As telas do software ocultam valores sensíveis por padrão, por exemplo mostrando apenas os últimos dígitos de um número e uma idade em vez da data de nascimento completa.
Treinamento e responsabilidade da equipe
Todo membro da equipe conclui o treinamento de privacidade e segurança da HIPAA antes de trabalhar com informações de clientes e concorda com nossas regras de confidencialidade e de uso aceitável. O treinamento é atualizado regularmente. O acesso é removido prontamente quando uma pessoa muda de função ou sai da empresa, e violações das nossas políticas resultam em medidas disciplinares.
Proteções
Proteções administrativas
- Políticas de privacidade e segurança por escrito, com uma pessoa designada como responsável por elas.
- Avaliação de riscos e revisão das nossas proteções à medida que nossos serviços e sistemas mudam.
- Acesso por função aprovado para cada pessoa e cada clínica.
Proteções físicas
- O trabalho é feito em dispositivos aprovados pela empresa, com bloqueio de tela.
- Os sistemas que armazenam PHI funcionam em instalações de hospedagem protegidas e com acesso controlado.
Proteções técnicas
- Criptografia: no Pulseline e no MDClaim360, campos sensíveis como nomes de pacientes, datas de nascimento, detalhes de ligações, motivos de consulta e medicamentos são criptografados com AES-256-GCM, e os dados são criptografados em trânsito.
- Login de dois fatores: obrigatório para as contas da equipe.
- Acesso por função: cada pessoa vê apenas os módulos e as clínicas a que tem permissão, verificados a cada ação.
- Registro de auditoria: cada visualização e exportação de um prontuário de paciente é registrada, e o registro não pode ser editado nem excluído.
- Saída automática: as sessões terminam após 15 minutos de inatividade, com um aviso prévio.
- Backups e retenção: backups criptografados, configurações de retenção e preservação para fins legais.
Saiba mais sobre como protegemos os dados na nossa página de Segurança.
Subcontratados
Se usarmos um subcontratado que crie, receba, mantenha ou transmita PHI para nós, como um provedor de hospedagem, primeiro assinamos um contrato de associado comercial com esse subcontratado, exigindo as mesmas proteções que oferecemos aos nossos clientes.
Notificação de violação
Se descobrirmos uma violação de PHI não protegidas, notificaremos o cliente afetado sem demora injustificada, e nunca depois do prazo exigido pela Regra de Notificação de Violação da HIPAA e pelo nosso BAA. Informaremos o que aconteceu, quais informações foram envolvidas, o que estamos fazendo a respeito e o que o cliente pode precisar fazer, e ajudaremos o cliente a cumprir suas próprias obrigações de notificação a pacientes e órgãos reguladores.
Direitos dos pacientes
Se você é paciente de um dos nossos clientes, seus direitos segundo a HIPAA, como o direito de ver, obter uma cópia ou corrigir seus registros, são tratados pelo seu prestador de saúde. Entre em contato diretamente com o consultório do seu prestador. Se recebermos uma solicitação de um paciente, nós a encaminhamos ao prestador correto e o ajudamos a responder.
Quando um cliente sai
Nossos planos são mês a mês. Quando a relação com um cliente termina, devolvemos ou destruímos as PHI conforme exigido pelo BAA e seguimos as configurações de retenção do cliente. Se a devolução ou destruição não for viável, continuamos protegendo as informações e limitamos qualquer uso adicional.
Este site não é para PHI
Este site destina-se apenas a contatos comerciais. Não envie informações de saúde de pacientes pelos formulários, pelo chat ao vivo ou pela Ava, a assistente do site. As informações que você compartilha no site são regidas pela nossa Política de privacidade.
Relate uma preocupação
Clientes e qualquer outra pessoa podem nos relatar uma preocupação de privacidade ou segurança a qualquer momento. Investigamos todos os relatos.
- E-mail: contact@incaremd.com
- Telefone: (833) 4-CARE-98 (Seg–Sex 9 AM–5 PM EST; operações executadas 24/7)
Este aviso descreve nossas práticas como associada comercial. Não é um Aviso de Práticas de Privacidade para pacientes nem constitui orientação jurídica.