cumplimiento de HIPAA

Responsabilidades compartidas

Nuestra función según HIPAA

Para un número de recepción o página de admisión de una clínica, el BAA se celebra con esa clínica por los servicios que SingleFax presta en su nombre. Un servicio de envío separado para otro proveedor sujeto a HIPAA exige su propio BAA adecuado. Un paciente que use SingleFax por su cuenta no necesita BAA solo porque sus documentos sean médicos.

Cuando una entidad sujeta a HIPAA (CE) o un socio comercial principal (BA) contrata a SingleFax para transmitir PHI/ePHI, actuamos como socio comercial o BA subcontratado según 45 C.F.R. § 160.103. Solo creamos, recibimos, conservamos o transmitimos PHI para prestar los Servicios de nuestras Condiciones y BAA: principalmente transmisión por fax, almacenamiento temporal de procesamiento, estados, justificantes y registros de cumplimiento.

• Lo que hacemos

  Transmitir documentos del cliente; aplicar controles técnicos del modo HIPAA; formalizar y conservar registros del BAA; eliminar PHI según la política de conservación.

• Lo que no hacemos

  Ejercer la medicina, decidir tratamientos, vender PHI, usarla para nuestro marketing o sustituir tu aviso de prácticas de privacidad o formación del personal.

Cuándo usar HIPAA Secure

Usa modo HIPAA si el documento contiene PHI/ePHI y actúas como CE o BA en nombre de una CE. El pago por fax estándar es para documentos empresariales sin PHI y particulares que envían sus propios registros. Estos pueden elegir privacidad reforzada al mismo precio del envío seguro sin BAA. La función en que actúas determina el acuerdo necesario; no el OCR.

La privacidad reforzada usa conservación segura, notificaciones que protegen la privacidad y justificantes almacenados de forma segura sin un BAA de organización. Es opcional para uso personal y no ofrece cifrado de extremo a extremo ni control sobre cómo trata el fax el destinatario. La subida estándar también está cifrada; una etiqueta prémium no implica que carezca de protección.

El OCR puede mostrar un aviso orientativo de datos de salud. No elige tu función, cambia el precio ni acredita el cumplimiento. Los proveedores y BA sujetos a HIPAA deben aceptar el BAA antes de subir información de pacientes. Los particulares eligen su privacidad sin firmar el BAA de una clínica.

Acuerdo de socio comercial

Antes de subir archivos en HIPAA Secure por una entidad o BA sujeto a HIPAA, un firmante autorizado de tu entidad legal debe aceptar electrónicamente nuestro BAA. La aceptación es organization-scoped, tiene versión y queda registrada con resúmenes del documento y casillas de declaración sobre autoridad para vincular y mínimo necesario.

• Alineado con los elementos requeridos según el 45 C.F.R. § 164.504(e) (usos permitidos, salvaguardias, subcontratistas, notificación de incumplimientos, acceso del HHS, devolución/destrucción, terminación).
• Copia formalizada descargable en PDF tras la aceptación.
• Las nuevas versiones sustituyen las aceptaciones anteriores; si cambian las condiciones, puede exigirse una nueva aceptación.

Medidas de seguridad

Para ePHI del modo HIPAA, aplicamos medidas diseñadas de forma razonable y adecuada para cumplir la Regla de Seguridad, 45 C.F.R. parte 164, subparte C. Entre los controles representativos están:

Ciclo de vida de la información de salud

1. 1
   Recepción de archivos

   Subida solo tras aceptar el BAA. El documento se convierte según sea necesario para enviarlo por fax.

2. 2
   Procesamiento y transmisión

   Almacenamiento temporal con controles específicos; transmisión mediante API del operador de fax; reintentos según la configuración.

3. 3
   Estado y justificantes

   Conservamos estados, fechas y metadatos de cumplimiento necesarios para justificantes y auditorías, no texto clínico libre en los sistemas de pago.

4. 4
   Eliminación segura

   Los documentos del modo HIPAA tienen un plazo operativo corto y eliminación automática con pruebas de borrado. Las aceptaciones del BAA, PDF formalizados y registros obligatorios se conservan al menos seis (6) años, conforme a los requisitos documentales de HIPAA.

Subcontratistas y proveedores de servicios

SingleFax usa subencargados cuidadosamente seleccionados, por ejemplo para almacenamiento, telecomunicaciones y terminación de fax, pagos, correo e infraestructura. Si crean, reciben, conservan o transmiten PHI por nuestra cuenta, obtenemos garantías escritas conforme a 45 C.F.R. § 164.502(e) y § 164.308(b), normalmente un BAA o protección contractual equivalente, o diseñamos el flujo para que no reciban el contenido. Por ejemplo, Stripe Checkout y las facturas usan identificadores opacos del pedido y descripciones como «envío HIPAA» y el fax de destino, no nombres ni contenido de archivos.

Los clientes que sean entidades cubiertas y tengan un BAA activo pueden solicitar una lista actualizada de los principales subencargados del tratamiento, sujeta a condiciones razonables de confidencialidad.

Notificación de brechas e incidentes

Según nuestro BAA, notificaremos al cliente sin demora injustificada y, como máximo, sesenta (60) días naturales después del descubrimiento, o antes si lo exige la ley:

• Usos o divulgaciones de PHI no permitidos por el BAA de los que tengamos conocimiento;
• Incidentes de seguridad conocidos: acceso, uso, divulgación, modificación o destrucción no autorizados que se hayan materializado, o interferencias en el funcionamiento; y
• Brechas de PHI no protegida, incluida la información exigida por 45 C.F.R. § 164.410.

Las exploraciones rutinarias sin éxito pueden registrarse y comunicarse de forma agregada si se solicita. El cliente sigue siendo responsable de las notificaciones posteriores a particulares, HHS o medios cuando sean obligatorias para una entidad sujeta a HIPAA.

Tus responsabilidades

El cumplimiento de HIPAA es compartido. Al usar el modo HIPAA y aceptar el BAA, declaras y aceptas que:

• 01Eres una entidad sujeta a HIPAA o un socio comercial que contrata a SingleFax como BA subcontratado, no un paciente que vincula a una clínica.
• 02Quien firma tiene autoridad legal para vincular a la entidad indicada.
• 03Cumplirás el requisito de mínimo necesario cuando corresponda, según 45 C.F.R. § 164.502(b). HIPAA contempla excepciones, incluidas las divulgaciones para tratamiento.
• 04No solicitarás usos ni divulgaciones que no pudieras realizar directamente, salvo lo que las reglas HIPAA permitan expresamente a los BA.
• 05Mantienes tus propias políticas, formación del personal, controles de acceso y procesos de derechos del paciente exigidos a una CE o BA.
• 06Usas el modo HIPAA para PHI y el envío estándar solo cuando corresponde; una clasificación incorrecta no crea un BAA para el tráfico estándar.

Registros y acceso

Si SingleFax conserva PHI en un conjunto de registros designado, la pondremos a disposición del cliente para acceso, 45 C.F.R. § 164.524, rectificación, § 164.526, y contabilidad de divulgaciones, § 164.528, en un plazo razonable mediante soporte. Facilitaremos al secretario del HHS nuestras prácticas, libros y registros internos relativos a PHI para determinar el cumplimiento de HIPAA, según 45 C.F.R. § 164.504(e)(2)(ii)(I).

Los archivos operativos de fax suelen durar poco; los registros de cumplimiento, como BAA, aceptaciones y pruebas de borrado, se conservan más tiempo. Organiza tu propio archivo del contenido clínico que necesites más allá de nuestro plazo.

Contacto y privacidad

Para dudas sobre BAA, incidentes de seguridad relacionados con SingleFax o solicitudes de documentación de cumplimiento: