Dữ liệu bệnh nhân, được bảo vệ chặt chẽ.

Tổng quan

Bảo vệ thông tin bệnh nhân là một phần trong mọi dịch vụ chúng tôi cung cấp. Chương trình của chúng tôi kết hợp một đội ngũ được đào tạo về HIPAA, thỏa thuận đối tác kinh doanh được ký với mọi khách hàng, và phần mềm được xây dựng với các biện pháp bảo vệ mà bệnh viện mong đợi. Trang này mô tả các biện pháp kiểm soát của chúng tôi. Đây không phải là một chứng nhận, và chúng tôi không tuyên bố có bất kỳ chứng nhận nào của bên thứ ba mà chúng tôi không có. Để biết cách chúng tôi đáp ứng HIPAA với tư cách là đối tác kinh doanh, vui lòng đọc thông báo HIPAA của chúng tôi.

Bảo vệ dữ liệu

• Khi truyền: các kết nối đến phần mềm của chúng tôi và trang web này được mã hóa bằng TLS (HTTPS), và trình duyệt được yêu cầu luôn sử dụng kết nối an toàn.
• Khi lưu trữ: trong Pulseline và MDClaim360, các trường nhạy cảm như họ tên bệnh nhân, ngày sinh, chi tiết cuộc gọi, lý do hẹn khám và thuốc được mã hóa bằng AES-256-GCM.
• Ẩn theo mặc định: các danh sách chỉ hiển thị vài chữ số cuối của các số và tuổi thay vì ngày sinh đầy đủ.
• Tích hợp: mỗi kết nối với EHR, hệ thống điện thoại hoặc clearinghouse chỉ được cấp quyền truy cập cần thiết, chỉ đọc khi có thể, và có thể tạm dừng hoặc gỡ bỏ bất cứ lúc nào.

Kiểm soát truy cập

• Đăng nhập hai lớp là bắt buộc đối với tài khoản nhân viên trong phần mềm của chúng tôi. Cho đến khi thiết lập xong, chỉ các trang tài khoản mới mở được.
• Phân quyền theo vai trò và đặc quyền tối thiểu: mỗi người chỉ thấy các mô-đun và phòng khám họ được phép, được kiểm tra trong mọi thao tác.
• Tự động đăng xuất sau 15 phút không hoạt động, có cảnh báo trước, và giới hạn phiên làm việc 30 phút.
• Chỉ dùng tài khoản cá nhân: không dùng chung thông tin đăng nhập. Quyền truy cập được rà soát khi nhân viên thay đổi vai trò và được thu hồi ngay khi họ nghỉ việc.

Giám sát và ghi nhật ký

Mọi lượt xem và xuất hồ sơ bệnh nhân trong phần mềm của chúng tôi đều được ghi vào nhật ký kiểm tra không thể chỉnh sửa hay xóa, và mọi lần đồng bộ tích hợp đều được ghi lại. Chúng tôi xem xét nhật ký khi điều tra sự cố và theo dõi các hoạt động bất thường, chẳng hạn đăng nhập thất bại nhiều lần, vốn bị giới hạn tần suất.

Phát triển an toàn

Các thông tin bí mật và khóa API được lưu trong phần cài đặt máy chủ, không bao giờ nằm trong mã nguồn. Dữ liệu người dùng nhập được kiểm tra hợp lệ và văn bản định dạng được làm sạch trước khi lưu. Các thay đổi được xem xét và kiểm thử trước khi phát hành, và chúng tôi luôn cập nhật các thành phần của bên thứ ba.

Trang web này

• Cổng quản trị chỉ mở cho các thành viên đội ngũ InCareMD được chỉ định, mỗi người có tài khoản cá nhân và một vai trò (chẳng hạn chủ sở hữu, quản trị viên, biên tập viên hoặc hỗ trợ) giới hạn những gì họ có thể xem và thay đổi.
• Mật khẩu chỉ được lưu dưới dạng giá trị băm scrypt có thêm salt, không bao giờ ở dạng văn bản thuần. Thành viên đội ngũ cũng có thể đăng nhập bằng tài khoản công việc Microsoft.
• Phiên đăng nhập hết hạn sau 12 giờ, và tài khoản bị vô hiệu hóa sẽ mất quyền truy cập ngay lập tức.
• Các cuộc trò chuyện với Ava được gắn với trình duyệt của khách truy cập và tự động bị xóa sau 24 giờ.
• Các tiêu đề bảo mật yêu cầu trình duyệt chặn việc dò đoán nội dung, việc bị trang khác nhúng vào khung và quyền truy cập camera.

Nhà cung cấp và nhà thầu phụ

Chúng tôi lựa chọn các nhà cung cấp dịch vụ hỗ trợ nghĩa vụ bảo mật và HIPAA của chúng tôi, chỉ cấp cho mỗi bên quyền truy cập cần thiết, và ký thỏa thuận đối tác kinh doanh với bất kỳ nhà cung cấp nào xử lý PHI (thông tin sức khỏe được bảo vệ) cho chúng tôi. Ví dụ, chúng tôi sử dụng Microsoft 365 cho email và lịch, và một nhà cung cấp dịch vụ lưu trữ cho máy chủ.

Sao lưu và duy trì hoạt động kinh doanh

Phần mềm của chúng tôi lưu trữ các bản sao lưu được mã hóa với cài đặt thời gian lưu giữ và giữ lại theo quy định pháp lý. Dữ liệu trang web được sao lưu định kỳ, các bản sao cũ hơn được thay thế liên tục, vì vậy có thể khôi phục nếu xảy ra sự cố. Nhóm của chúng tôi làm việc tại Hoa Kỳ, Úc, Canada, Các Tiểu vương quốc Ả Rập Thống nhất, Pakistan, Ấn Độ, Philippines và New Zealand, và hoạt động diễn ra theo múi giờ 24/7, vì vậy công việc của khách hàng vẫn tiếp tục xuyên suốt các múi giờ.

Ứng phó sự cố

Nếu nghi ngờ có sự cố bảo mật, chúng tôi hành động để ngăn chặn, điều tra những gì đã xảy ra, khắc phục nguyên nhân và ghi lại bài học kinh nghiệm. Khi sự cố liên quan đến PHI của khách hàng, chúng tôi thông báo cho khách hàng theo yêu cầu của thỏa thuận đối tác kinh doanh và Quy tắc Thông báo Vi phạm của HIPAA, đồng thời hỗ trợ họ đáp ứng các nghĩa vụ của chính họ.

Công bố có trách nhiệm

Nếu quý vị cho rằng mình đã phát hiện một vấn đề bảo mật trong trang web hoặc phần mềm của chúng tôi, vui lòng email tới contact@incaremd.com với tiêu đề “Security report”, kèm các bước để tái hiện vấn đề. Vui lòng cho chúng tôi thời gian hợp lý để khắc phục trước khi thông báo cho bất kỳ ai khác, không truy cập hoặc thay đổi dữ liệu không thuộc về quý vị, và không thực hiện các thử nghiệm có thể làm gián đoạn dịch vụ của chúng tôi hoặc khách hàng của chúng tôi. Chúng tôi sẽ xác nhận báo cáo của quý vị, thường xuyên cập nhật cho quý vị và sẽ không có hành động pháp lý đối với hoạt động nghiên cứu thiện chí tuân theo các quy tắc này.

Những điều khách hàng có thể làm

• Bật đăng nhập hai lớp cho mọi người dùng và luôn cập nhật thông tin liên hệ của quý vị.
• Cấp cho mỗi nhân viên một tài khoản đăng nhập riêng và thu hồi quyền truy cập khi họ nghỉ việc.
• Không bao giờ chia sẻ thông tin bệnh nhân qua email thông thường, tin nhắn văn bản hoặc các biểu mẫu trên trang web này.
• Báo cho chúng tôi ngay nếu quý vị nhận thấy bất kỳ điều gì bất thường trong tài khoản của mình.

Liên hệ với chúng tôi

• Email: contact@incaremd.com
• Điện thoại: (833) 4-CARE-98 (Thứ Hai–Thứ Sáu 9 AM–5 PM EST; hoạt động diễn ra 24/7)
• Địa chỉ gửi thư: InCareMD, 12910 Cloverleaf Center Dr, Suite 110, Germantown, MD 20874, Hoa Kỳ
• Địa chỉ gửi thư: InCareMD, 6/13 Hunter St, Parramatta NSW 2150, Úc