Dados dos pacientes bem protegidos.

Visão geral

Proteger as informações dos pacientes faz parte de cada serviço que prestamos. O nosso programa combina uma equipe treinada em HIPAA, um contrato de associado comercial assinado com cada cliente e um software construído com as proteções que os hospitais esperam. Esta página descreve os nossos controles. Ela não é uma certificação, e não alegamos possuir nenhuma certificação de terceiros que não tenhamos. Para saber como cumprimos a HIPAA como associado comercial, leia o nosso aviso sobre a HIPAA.

Proteção de dados

• Em trânsito: as conexões com o nosso software e com este site são criptografadas com TLS (HTTPS), e os navegadores são instruídos a sempre usar uma conexão segura.
• Em repouso: no Pulseline e no MDClaim360, campos sensíveis, como nomes de pacientes, datas de nascimento, detalhes de ligações, motivos de consulta e medicamentos, são criptografados com AES-256-GCM.
• Mascarado por padrão: as listas mostram apenas os últimos dígitos dos números e a idade, em vez da data de nascimento completa.
• Integrações: cada conexão com um EHR, sistema de telefonia ou clearinghouse recebe apenas o acesso de que precisa, somente leitura sempre que possível, e pode ser pausada ou removida a qualquer momento.

Controle de acesso

• O login em duas etapas é obrigatório para as contas da equipe no nosso software. Até que seja configurado, apenas as páginas da conta podem ser abertas.
• Acesso por função e privilégio mínimo: cada pessoa vê apenas os módulos e consultórios que tem permissão para ver, com verificação em cada ação.
• Saída automática após 15 minutos de inatividade, com aviso, e limite de sessão de 30 minutos.
• Somente contas individuais: nada de logins compartilhados. O acesso é revisado quando as pessoas mudam de função e removido prontamente quando saem.

Monitoramento e registro

Cada visualização e exportação de um prontuário de paciente no nosso software é gravada em um log de auditoria que não pode ser editado nem excluído, e cada sincronização de integração é registrada. Revisamos os logs ao investigar problemas e ficamos atentos a atividades incomuns, como tentativas repetidas de login malsucedidas, que têm limite de frequência.

Desenvolvimento seguro

Segredos e chaves de API ficam nas configurações do servidor, nunca no código-fonte. As entradas dos usuários são validadas e o texto formatado é limpo antes de ser armazenado. As alterações são revisadas e testadas antes da publicação, e mantemos os componentes de terceiros atualizados.

Este site

• O portal administrativo é aberto apenas a membros identificados da equipe da InCareMD, cada um com uma conta individual e uma função (como proprietário, administrador, editor ou suporte) que limita o que pode ver e alterar.
• As senhas são armazenadas apenas como hashes scrypt com salt, nunca em texto simples. Os membros da equipe também podem entrar com a conta de trabalho da Microsoft.
• As sessões conectadas expiram após 12 horas, e uma conta desativada perde o acesso imediatamente.
• As conversas com a Ava ficam vinculadas ao navegador do visitante e são excluídas automaticamente após 24 horas.
• Cabeçalhos de segurança instruem os navegadores a bloquear a detecção de tipo de conteúdo, a incorporação por outros sites e o acesso à câmera.

Fornecedores e subcontratados

Escolhemos prestadores de serviços que apoiam as nossas obrigações de segurança e de HIPAA, damos a cada um apenas o acesso de que precisa e assinamos um contrato de associado comercial com qualquer prestador que trate PHI para nós. Por exemplo, usamos o Microsoft 365 para e-mail e agendas, e um provedor de hospedagem para os nossos servidores.

Backups e continuidade dos negócios

Nosso software mantém backups criptografados com configurações de retenção e proteção legal. Os dados do site são copiados regularmente, com as cópias mais antigas sendo substituídas de forma contínua, para que possam ser restauradas em caso de problemas. Nossa equipe trabalha nos Estados Unidos, Austrália, Canadá, Emirados Árabes Unidos, Paquistão, Índia, Filipinas e Nova Zelândia, e as operações são executadas em 24/7, permitindo a continuidade do trabalho com os clientes em diferentes fusos horários.

Resposta a incidentes

Se suspeitarmos de um incidente de segurança, agimos para contê-lo, investigamos o que aconteceu, corrigimos a causa e registramos o que aprendemos. Quando um incidente envolve PHI de um cliente, notificamos o cliente conforme exigem o nosso contrato de associado comercial e a HIPAA Breach Notification Rule, e o ajudamos a cumprir as próprias obrigações.

Divulgação responsável

Se você acredita ter encontrado um problema de segurança no nosso site ou software, envie um e-mail para contact@incaremd.com com o assunto "Security report", incluindo os passos para reproduzi-lo. Dê-nos um prazo razoável para corrigir o problema antes de contar a outras pessoas, não acesse nem altere dados que não sejam seus e não execute testes que possam prejudicar os nossos serviços ou os nossos clientes. Confirmaremos o recebimento do seu relato, manteremos você informado e não tomaremos medidas judiciais contra pesquisas de boa-fé que sigam estas regras.

O que os clientes podem fazer

• Ative o login em duas etapas para todos os usuários e mantenha os seus dados de contato atualizados.
• Dê a cada membro da equipe o próprio login e remova o acesso quando as pessoas saírem.
• Nunca compartilhe informações de pacientes por e-mail comum, SMS ou pelos formulários deste site.
• Avise-nos imediatamente se notar algo incomum na sua conta.

Fale conosco

• E-mail: contact@incaremd.com
• Telefone: (833) 4-CARE-98 (Seg–Sex 9 AM–5 PM EST; operações executadas 24/7)
• Endereço postal: InCareMD, 12910 Cloverleaf Center Dr, Suite 110, Germantown, MD 20874, Estados Unidos
• Correio: InCareMD, 6/13 Hunter St, Parramatta NSW 2150, Austrália