Thông báo HIPAA

Vai trò của chúng tôi theo HIPAA

Khách hàng của chúng tôi, chẳng hạn như bác sĩ, phòng khám và các nhà cung cấp dịch vụ y tế khác, là các thực thể được bảo vệ (covered entity) theo HIPAA. Khi chúng tôi thực hiện các dịch vụ lễ tân, thanh toán, chu kỳ doanh thu hoặc phần mềm có liên quan đến PHI thay mặt họ, InCareMD đóng vai trò là cộng sự kinh doanh của họ. Chúng tôi chỉ sử dụng và tiết lộ PHI trong phạm vi thỏa thuận cộng sự kinh doanh và HIPAA cho phép, và chỉ để cung cấp các dịch vụ mà khách hàng đã yêu cầu.

Thỏa thuận cộng sự kinh doanh

Chúng tôi ký thỏa thuận cộng sự kinh doanh (BAA) với mọi khách hàng trước khi bắt đầu bất kỳ công việc nào và trước khi nhận bất kỳ PHI nào. BAA quy định cách chúng tôi có thể sử dụng PHI, các biện pháp bảo vệ chúng tôi duy trì, cách chúng tôi báo cáo sự cố và điều gì xảy ra với PHI khi mối quan hệ kết thúc. Khách hàng có thể ký BAA điện tử và lưu giữ bản PDF đã ký trong hồ sơ của mình.

Sử dụng ở mức tối thiểu cần thiết

Chúng tôi tuân theo tiêu chuẩn mức tối thiểu cần thiết. Các thành viên trong đội ngũ được phân công cho những phòng khám cụ thể và chỉ thấy những phòng khám và mô-đun mà công việc của họ yêu cầu. Màn hình phần mềm mặc định che các giá trị nhạy cảm, ví dụ chỉ hiển thị vài chữ số cuối của một con số và tuổi thay vì ngày sinh đầy đủ.

Đào tạo nhân sự và trách nhiệm giải trình

Mọi thành viên trong đội ngũ đều hoàn thành khóa đào tạo về quyền riêng tư và bảo mật HIPAA trước khi làm việc với thông tin khách hàng và đồng ý với các quy tắc bảo mật thông tin và sử dụng hợp lệ của chúng tôi. Việc đào tạo được cập nhật thường xuyên. Quyền truy cập được thu hồi kịp thời khi một người thay đổi vai trò hoặc nghỉ việc, và việc vi phạm chính sách của chúng tôi sẽ dẫn đến biện pháp kỷ luật.

Các biện pháp bảo vệ

Biện pháp bảo vệ hành chính

• Chính sách bảo mật và quyền riêng tư bằng văn bản, với một người cụ thể chịu trách nhiệm.
• Đánh giá rủi ro và xem xét các biện pháp bảo vệ khi dịch vụ và hệ thống của chúng tôi thay đổi.
• Quyền truy cập theo vai trò được phê duyệt cho từng người và từng phòng khám.

Biện pháp bảo vệ vật lý

• Công việc được thực hiện trên các thiết bị được công ty phê duyệt, có khóa màn hình.
• Các hệ thống lưu trữ PHI vận hành tại các cơ sở lưu trữ được bảo mật và kiểm soát truy cập.

Biện pháp bảo vệ kỹ thuật

• Mã hóa: trong Pulseline và MDClaim360, các trường nhạy cảm như tên bệnh nhân, ngày sinh, chi tiết cuộc gọi, lý do hẹn khám và thuốc được mã hóa bằng AES-256-GCM, và dữ liệu được mã hóa trong quá trình truyền.
• Đăng nhập hai lớp: bắt buộc đối với tài khoản nhân viên.
• Quyền truy cập theo vai trò: mỗi người chỉ thấy những mô-đun và phòng khám mà họ được phép, được kiểm tra ở mọi thao tác.
• Ghi nhật ký kiểm tra: mọi lần xem và xuất hồ sơ bệnh nhân đều được ghi lại, và nhật ký không thể bị chỉnh sửa hoặc xóa.
• Tự động đăng xuất: phiên làm việc kết thúc sau 15 phút không hoạt động, có cảnh báo trước.
• Sao lưu và lưu giữ: bản sao lưu được mã hóa, cài đặt thời hạn lưu giữ và lưu giữ theo yêu cầu pháp lý.

Đọc thêm về cách chúng tôi bảo vệ dữ liệu trên trang Bảo mật của chúng tôi.

Nhà thầu phụ

Nếu chúng tôi sử dụng một nhà thầu phụ tạo, nhận, duy trì hoặc truyền PHI cho chúng tôi, chẳng hạn như nhà cung cấp dịch vụ lưu trữ, chúng tôi sẽ ký thỏa thuận cộng sự kinh doanh với nhà thầu phụ đó trước, yêu cầu các biện pháp bảo vệ tương tự như chúng tôi dành cho khách hàng.

Thông báo vi phạm

Nếu phát hiện vi phạm đối với PHI không được bảo mật, chúng tôi sẽ thông báo cho khách hàng bị ảnh hưởng mà không chậm trễ bất hợp lý, và không muộn hơn thời hạn mà Quy tắc thông báo vi phạm HIPAA và BAA của chúng tôi yêu cầu. Chúng tôi sẽ chia sẻ những gì đã xảy ra, thông tin liên quan, những gì chúng tôi đang làm để xử lý và những gì khách hàng có thể cần làm, và chúng tôi sẽ giúp khách hàng thực hiện nghĩa vụ thông báo của chính họ cho bệnh nhân và cơ quan quản lý.

Quyền của bệnh nhân

Nếu quý vị là bệnh nhân của một trong các khách hàng của chúng tôi, các quyền của quý vị theo HIPAA, chẳng hạn như quyền xem, nhận bản sao hoặc chỉnh sửa hồ sơ của mình, do nhà cung cấp dịch vụ y tế của quý vị xử lý. Vui lòng liên hệ trực tiếp với văn phòng của nhà cung cấp dịch vụ y tế của quý vị. Nếu chúng tôi nhận được yêu cầu từ bệnh nhân, chúng tôi sẽ chuyển yêu cầu đó đến đúng nhà cung cấp và giúp họ phản hồi.

Khi khách hàng ngừng hợp tác

Các gói dịch vụ của chúng tôi theo từng tháng. Khi mối quan hệ với khách hàng kết thúc, chúng tôi trả lại hoặc hủy PHI theo yêu cầu của BAA và tuân theo cài đặt lưu giữ của khách hàng. Nếu việc trả lại hoặc hủy không khả thi, chúng tôi tiếp tục bảo vệ thông tin và hạn chế việc sử dụng thêm.

Trang web này không dành cho PHI

Trang web này chỉ dành cho các yêu cầu kinh doanh. Vui lòng không gửi thông tin sức khỏe của bệnh nhân qua các biểu mẫu, khung trò chuyện trực tiếp hoặc Ava, trợ lý của trang web. Thông tin quý vị chia sẻ trên trang web được điều chỉnh bởi Chính sách quyền riêng tư của chúng tôi.

Báo cáo mối lo ngại

Khách hàng và bất kỳ ai khác đều có thể báo cáo mối lo ngại về quyền riêng tư hoặc bảo mật cho chúng tôi bất kỳ lúc nào. Chúng tôi điều tra mọi báo cáo.

• Email: contact@incaremd.com
• Điện thoại: (833) 4-CARE-98 (Thứ Hai–Thứ Sáu 9 AM–5 PM EST; hoạt động diễn ra 24/7)

Thông báo này mô tả các hoạt động của chúng tôi với tư cách là cộng sự kinh doanh. Đây không phải là Thông báo về thực hành quyền riêng tư dành cho bệnh nhân và không phải là tư vấn pháp lý.