الامتثال لـHIPAA

المسؤوليات المشتركة

دورنا وفق HIPAA

بالنسبة إلى رقم استقبال العيادة أو صفحة استقبال المستندات لديها، تُبرم BAA مع العيادة للخدمات التي يقدمها SingleFax نيابةً عنها. وتتطلب خدمة إرسال منفصلة لمقدم رعاية مشمول آخر اتفاقية BAA مناسبة خاصة بها. لا يحتاج المريض الذي يستخدم SingleFax مستقلًا لسجلاته الشخصية إلى BAA لمجرد أن السجلات طبية.

عندما تستعين جهة مشمولة (CE) أو شريك أعمال (BA) متعاقد معنا لإرسال مستندات تتضمن معلومات صحية محمية ورقية أو إلكترونية (PHI/ePHI)، يعمل SingleFax بصفته شريك أعمال (أو شريك أعمال مقاولًا من الباطن) بموجب 45 C.F.R. § 160.103. ننشئ المعلومات الصحية المحمية أو نستقبلها أو نحتفظ بها أو نرسلها فقط لأداء الخدمات الموضحة في شروطنا واتفاقية شراكة الأعمال (BAA)، ولا سيما إرسال الفاكس والتخزين المؤقت للمعالجة وحالة التسليم والإيصالات وحفظ سجلات الامتثال.

• نقوم بـ

  إرسال المستندات المقدّمة من العميل؛ وتطبيق الضوابط التقنية لوضع HIPAA؛ وإبرام اتفاقيات BAA والاحتفاظ بسجلاتها؛ وحذف الملفات التي تحتوي على معلومات صحية محمية وفق سياسة الاحتفاظ.

• لا نقوم بـ

  ممارسة الطب؛ أو تحديد العلاج؛ أو بيع المعلومات الصحية المحمية؛ أو استخدامها في تسويقنا؛ أو الحلول محل إشعار ممارسات الخصوصية لديك أو تدريب موظفيك.

متى تستخدم HIPAA Secure

استخدم وضع HIPAA كلما احتوى المستند على معلومات صحية محمية أو إلكترونية محمية، وكنت جهة مشمولة (CE) أو شريك أعمال (BA) يرسل نيابةً عنها. الإرسال العادي بالدفع مقابل كل فاكس مخصص لمستندات الأعمال غير المتضمنة لهذه المعلومات (وللأفراد الذين يرسلون سجلاتهم الخاصة). يمكن للمرسلين الأفراد اختيار الخصوصية المعززة بأسعار الإرسال الآمن نفسها دون اتفاقية BAA. يحدد الدور الذي تعمل بموجبه الحاجة إلى الاتفاقية؛ ولا يحددها التعرف الضوئي على النصوص (OCR).

تستخدم الخصوصية المعززة الاحتفاظ الآمن بالمستندات وإشعارات تحمي الخصوصية وإيصالات إرسال محفوظة بأمان، دون BAA للمؤسسة. هي اختيارية للاستخدام الشخصي، ولا توفر تشفير الفاكس من طرف إلى طرف أو تتحكم في كيفية تعامل المستلم معه. عمليات الرفع العادية مشفرة أيضًا؛ ولا يعني وصف الخدمة بأنها مميزة أن الإرسال العادي بلا ضمانات.

قد يعرض OCR تذكيرًا إرشاديًا عن المعلومات الصحية. لا يحدد صفة إرسالك ولا يغير السعر ولا يثبت الامتثال. على مقدمي الرعاية المشمولين وشركاء الأعمال قبول BAA قبل رفع معلومات المرضى. ويختار المرسلون الأفراد خيار الخصوصية دون توقيع BAA خاصة بعيادة.

اتفاقية شريك الأعمال

قبل أي رفع في HIPAA Secure نيابةً عن مقدم رعاية مشمول أو شريك أعمال، يجب على مفوّض بالتوقيع عن كيانك القانوني قبول اتفاقية شريك الأعمال إلكترونيًا. يكون القبول organization-scoped، ومحدد الإصدار، ويُسجل مع بصمات المستندات ومربعات الإقرار (صلاحية إلزام الجهة؛ والحد الأدنى اللازم من المعلومات).

• متوافق مع العناصر المطلوبة في 45 C.F.R. § 164.504(e) (الاستخدامات المسموح بها، والضمانات، والمتعاقدون من الباطن، والإبلاغ عن الخروقات، ووصول HHS، والإعادة أو الإتلاف، والإنهاء).
• تتوفر نسخة نافذة للتنزيل بعد القبول (PDF).
• تحل الإصدارات الجديدة محل الموافقات السابقة؛ وقد يلزم القبول مجددًا عند تغير الشروط.

تدابير الأمان

للمعلومات الصحية المحمية الإلكترونية في وضع HIPAA، يطبق SingleFax ضمانات مصممة بصورة معقولة وملائمة للوفاء بقاعدة الأمن (45 C.F.R. Part 164, Subpart C). تشمل أمثلة الضوابط:

دورة حياة المعلومات الصحية

1. 1
   استيعاب البيانات

   لا ترفع إلا بعد قبول اتفاقية BAA. يُحوّل المستند حسب الحاجة لإرساله بالفاكس.

2. 2
   المعالجة والإرسال

   تخزين مؤقت يخضع لضوابط مخصصة؛ وإرسال عبر واجهات API لمشغلي الفاكس؛ وإعادة المحاولة وفق الإعدادات.

3. 3
   الحالة والإيصالات

   نحتفظ بحالة التسليم والطوابع الزمنية وبيانات الامتثال الوصفية اللازمة للإيصالات والتدقيق، ولا نحتفظ بنصوص سريرية حرة في أنظمة الدفع.

4. 4
   حذف آمن

   تخضع وسائط المستندات في وضع HIPAA لفترة احتفاظ تشغيلية قصيرة وحذف آلي مع أدلة على الحذف. تُحفظ موافقات BAA وملفات PDF الموقعة وسجلات الامتثال المطلوبة لمدة لا تقل عن ست (6) سنوات وفق متطلبات توثيق HIPAA.

المتعاقدون من الباطن ومزودو الخدمات

يستخدم SingleFax معالجين فرعيين مختارين بعناية لتقديم الخدمات (مثل تخزين الكائنات، والاتصالات/إنهاء إرسال الفاكس، ومعالجة المدفوعات، وتسليم البريد الإلكتروني، واستضافة البنية التحتية). عندما يُنشئ معالج فرعي معلومات صحية محمية أو يستقبلها أو يحتفظ بها أو يرسلها بالنيابة عنا، نحصل على ضمانات مكتوبة تتوافق مع 45 C.F.R. § 164.502(e) و§ 164.308(b)، عادةً في صورة اتفاقية BAA أو ضمانات تعاقدية مكافئة، أو نصمم مسار البيانات بحيث لا يتلقى ذلك المزود محتويات المستندات (مثلًا، تستخدم Stripe Checkout والفواتير معرّفات طلبات لا تكشف محتواها، مع أوصاف فوترة مثل «إرسال HIPAA» ورقم فاكس الوجهة، دون أسماء الملفات أو محتوياتها).

يمكن لعملاء الجهات المشمولة الذين لديهم اتفاقية BAA سارية طلب قائمة حالية بالجهات الفرعية المعالجة ذات الأهمية، مع مراعاة متطلبات سرية معقولة.

الإبلاغ عن الخروقات والحوادث

بموجب اتفاقية BAA، يُبلغ SingleFax العميل دون تأخير غير معقول، وفي جميع الأحوال في موعد لا يتجاوز ستون (60) يومًا تقويميًا بعد الاكتشاف (أو قبل ذلك إذا اقتضى القانون):

• أي استخدام أو إفصاح عن معلومات صحية محمية لا تسمح به اتفاقية BAA ونصبح على علم به؛
• الحوادث الأمنية التي نعلم بها (الوصول أو الاستخدام أو الإفصاح أو التعديل أو الإتلاف غير المصرح به الذي وقع بالفعل، أو تعطيل عمليات الأنظمة)؛ و
• خروقات المعلومات الصحية المحمية غير المؤمّنة، بما يشمل المعلومات المطلوبة بموجب 45 C.F.R. § 164.410.

قد نسجل محاولات الاستطلاع والفحص الروتينية غير الناجحة ونبلغ عنها إجمالًا عند الطلب. يظل العميل مسؤولًا عن إخطار الأفراد أو HHS أو الإعلام عند وجوب ذلك على الجهة المشمولة.

مسؤولياتك

الامتثال لـHIPAA مسؤولية مشتركة. باستخدام وضع HIPAA وقبول BAA، تقر وتوافق على ما يلي:

• 01أنت جهة مشمولة أو شريك أعمال يستعين بـSingleFax بصفته شريك أعمال مقاولًا من الباطن، ولست مريضًا فردًا يُلزم عيادة بالاتفاقية.
• 02يملك الموقّع سلطة قانونية لإلزام الكيان المذكور.
• 03ستلتزم بمتطلبات الحد الأدنى اللازم حيث تنطبق (45 C.F.R. § 164.502(b)). تتضمن HIPAA استثناءات، بما فيها الإفصاح لأغراض العلاج.
• 04لن تطلب استخدامات أو إفصاحات غير مسموح بها لو نفذتها بنفسك مباشرةً (إلا ما تسمح به قواعد HIPAA صراحةً لشركاء الأعمال).
• 05تضع سياساتك الخاصة وتدرب العاملين وتطبق ضوابط الوصول وإجراءات حقوق المرضى المطلوبة من الجهة المشمولة أو شريك الأعمال.
• 06تستخدم وضع HIPAA للمعلومات الصحية المحمية، والإرسال العادي حين يكون مناسبًا فقط؛ ولا يؤدي التصنيف الخاطئ إلى إنشاء اتفاقية شراكة أعمال (BAA) لعمليات الإرسال العادية.

السجلات والوصول

بقدر ما يحتفظ SingleFax بمعلومات صحية محمية ضمن مجموعة سجلات معيّنة، سنُتيحها للعميل حسب الحاجة لحق الوصول (45 C.F.R. § 164.524)، والتعديل (§ 164.526)، وبيان الإفصاحات (§ 164.528)، خلال مدة معقولة عبر قنوات الدعم. وسنُتيح ممارساتنا الداخلية ودفاترنا وسجلاتنا المتعلقة بالمعلومات الصحية المحمية لوزير الصحة والخدمات الإنسانية الأمريكي لتحديد الامتثال لقواعد HIPAA ‏(45 C.F.R. § 164.504(e)(2)(ii)(I)).

وسائط الفاكس التشغيلية قصيرة العمر عادةً؛ وتُحفظ سجلات الامتثال مثل BAA وسجلات القبول وأدلة الحذف لمدة أطول. خطط لحفظ المحتوى الطبي الذي تحتاج إليه بعد انتهاء مدة صلاحية الوسائط لدينا.

التواصل والخصوصية

لأسئلة BAA أو الحوادث الأمنية المتعلقة بـSingleFax أو طلبات وثائق الامتثال: