HIPAA 声明

最后更新于十月 27、2026

供审阅的草稿：请在网站上线前请您的律师审阅本文。

当我们为医疗服务提供者接听电话、处理理赔或运行软件时，可能会处理受保护的健康信息（PHI）。本声明说明我们如何根据《健康保险流通与责任法案》（HIPAA）以及与每位客户签订的协议来保护这些信息。

本页内容

我们的客户，例如医生、诊所和其他医疗服务提供者，是 HIPAA 规定下的受保实体。当我们代表他们提供涉及 PHI 的前台、账单、收入周期或软件服务时，InCareMD 即作为他们的业务伙伴。我们仅在业务伙伴协议和 HIPAA 允许的范围内使用和披露 PHI，并且仅用于提供客户所要求的服务。

在开始任何工作之前、在接收任何 PHI 之前，我们都会与每位客户签署业务伙伴协议（BAA）。BAA 规定了我们可以如何使用 PHI、我们采取的保护措施、我们如何报告事件，以及合作关系结束时 PHI 的处理方式。客户可以通过电子方式签署 BAA，并保留一份已签署的 PDF 文件作为记录。

我们遵循最低必要标准。团队成员被分配到特定的诊所，只能看到其工作所需的诊所和模块。软件界面默认会隐藏敏感数值，例如只显示号码的最后几位数字，以及显示年龄而非完整的出生日期。

每位团队成员在接触客户信息之前，都要完成 HIPAA 隐私与安全培训，并同意遵守我们的保密规定和可接受使用规则。培训会定期更新。当人员调岗或离职时，其访问权限会被及时撤销；违反我们政策的行为将受到纪律处分。

加密：在 Pulseline 和 MDClaim360 中，患者姓名、出生日期、来电详情、预约原因和药物等敏感字段使用 AES-256-GCM 加密，数据在传输过程中也会加密。
双重验证登录：员工账户必须使用。
基于角色的访问控制：每个人只能看到其获准访问的模块和诊所，每一项操作都会进行核查。
审计日志：每一次查看和导出患者记录都会被记录，且日志无法被编辑或删除。
自动退出登录：闲置 15 分钟后会话将结束，结束前会先发出警告。
备份与保留：加密备份、保留期限设置和法律保全。

请访问我们的安全页面，进一步了解我们如何保护数据。

如果我们使用为我们创建、接收、维护或传输 PHI 的分包商（例如托管服务提供商），我们会首先与该分包商签署业务伙伴协议，要求其提供与我们向客户提供的同等保护。

如果我们发现未受保护的 PHI 遭到泄露，我们将在没有不合理延误的情况下通知受影响的客户，且不晚于 HIPAA《违规通知规则》和我们的 BAA 所要求的期限。我们将告知发生了什么、涉及哪些信息、我们正在采取哪些措施以及客户可能需要做什么，并帮助客户履行其向患者和监管机构发出通知的义务。

如果您是我们某位客户的患者，您在 HIPAA 下的权利（例如查看、获取副本或更正您的记录的权利）由您的医疗服务提供者负责处理。请直接联系您的医疗服务提供者的办公室。如果我们收到患者的请求，我们会将其转给相应的医疗服务提供者，并协助其作出答复。

我们的方案均按月签约。当客户关系结束时，我们会按照 BAA 的要求返还或销毁 PHI，并遵循客户的保留期限设置。如果无法返还或销毁，我们将继续保护这些信息，并限制其进一步使用。

本网站仅用于商业咨询。请勿通过网站表单、在线聊天或网站助手 Ava 发送患者健康信息。您在网站上分享的信息受我们的隐私政策保护。

客户和其他任何人都可以随时向我们报告隐私或安全问题。我们会调查每一份报告。

本声明描述的是我们作为业务伙伴的做法。它不是面向患者的《隐私惯例通知》，也不构成法律建议。