Conformité HIPAA

Responsabilités partagées

Notre rôle au regard de HIPAA

Pour le numéro de réception ou la page de dépôt d’une clinique, le BAA est conclu avec la clinique pour les services fournis en son nom. Un service d’envoi distinct pour un autre organisme soumis à HIPAA nécessite son propre BAA approprié. Un patient utilisant SingleFax de manière indépendante pour ses dossiers n’a pas besoin de BAA du seul fait de leur nature médicale.

Lorsqu’une Covered Entity (CE) ou un Business Associate (BA) en amont engage SingleFax pour transmettre des documents contenant des PHI/ePHI, SingleFax agit comme Business Associate, ou BA sous-traitant, au sens de 45 C.F.R. § 160.103. Nous créons, recevons, conservons ou transmettons des PHI uniquement pour les services décrits dans nos conditions et le BAA : principalement transmission de fax, stockage temporaire de traitement, statuts, justificatifs et tenue des pièces de conformité.

• Ce que nous faisons

  Transmettre les documents fournis par le client ; appliquer les contrôles techniques du mode HIPAA ; signer et conserver les pièces du BAA ; supprimer les fichiers PHI selon la politique de conservation.

• Ce que nous ne faisons pas

  Pratiquer la médecine, décider des traitements, vendre des PHI, les utiliser pour notre marketing ou remplacer votre Notice of Privacy Practices ou la formation de votre personnel.

Quand utiliser HIPAA Secure

Utilisez le Mode HIPAA lorsque le document contient des PHI/ePHI et que vous êtes une CE ou un BA agissant pour une CE. L’envoi standard à l’unité convient aux documents professionnels sans PHI et aux particuliers envoyant leurs propres dossiers. Ces derniers peuvent choisir Enhanced Privacy aux mêmes tarifs sécurisés, sans BAA. Le besoin d’accord dépend de votre rôle, et non de l’OCR.

Enhanced Privacy offre une conservation sécurisée, des notifications respectueuses de la confidentialité et des justificatifs d’envoi protégés, sans BAA d’organisation. Cette option est facultative pour un usage personnel ; elle ne garantit ni le chiffrement de bout en bout de la livraison ni le traitement du fax par le destinataire. Les téléversements standard sont également chiffrés : une offre premium ne signifie pas que l’envoi standard est sans protection.

L’OCR peut afficher un rappel indicatif concernant des données de santé. Il ne détermine pas votre rôle, ne modifie pas le prix et n’établit pas la conformité. Les organismes et partenaires soumis à HIPAA doivent accepter le BAA avant de téléverser des données de patients. Les particuliers choisissent leur option de confidentialité sans signer le BAA d’une clinique.

Business Associate Agreement

Avant tout téléversement HIPAA Secure au nom d’un organisme ou partenaire soumis à HIPAA, un signataire habilité de votre entité doit accepter électroniquement notre Business Associate Agreement. L’acceptation est organization-scoped, versionnée et enregistrée avec les empreintes des documents et les cases d’attestation de pouvoir d’engagement et de minimum nécessaire.

• Conforme aux éléments requis du 45 C.F.R. § 164.504(e) : usages autorisés, protections, sous-traitants, signalement des violations, accès du HHS, restitution ou destruction et résiliation.
• L’accord signé peut être téléchargé en PDF après acceptation.
• Les nouvelles versions remplacent les acceptations précédentes ; une nouvelle acceptation peut être exigée si les conditions changent.

Mesures de sécurité

Pour les ePHI en mode HIPAA, SingleFax applique des garanties raisonnables et appropriées visant à respecter la Security Rule, 45 C.F.R. Part 164, Subpart C. Elles comprennent notamment :

Cycle de vie des données de santé

1. 1
   Réception des fichiers

   Téléversement uniquement après acceptation du BAA. Conversion du document si nécessaire pour le fax.

2. 2
   Traitement et transmission

   Stockage temporaire sous contrôles dédiés ; transmission via les API des opérateurs fax ; nouvelles tentatives selon la configuration.

3. 3
   Statuts et justificatifs

   Nous conservons les statuts, horodatages et métadonnées de conformité nécessaires aux justificatifs et audits, sans texte clinique libre dans les systèmes de paiement.

4. 4
   Suppression sécurisée

   Les fichiers du mode HIPAA sont soumis à une courte conservation opérationnelle puis à une suppression automatique avec preuve. Les acceptations du BAA, PDF signés et pièces de conformité requises sont conservés au moins six (6) ans, conformément aux exigences de documentation HIPAA.

Sous-traitants et prestataires

SingleFax fait appel à des sous-traitants soigneusement sélectionnés : stockage objet, télécommunications et acheminement fax, paiements, e-mails et hébergement. Lorsqu’un sous-traitant crée, reçoit, conserve ou transmet des PHI pour nous, nous obtenons des garanties écrites conformes à 45 C.F.R. § 164.502(e) et § 164.308(b), généralement un BAA ou des protections contractuelles équivalentes. Sinon, nous concevons le flux pour qu’il ne reçoive aucun contenu de document. Par exemple, Stripe Checkout et les factures utilisent des identifiants opaques et des libellés comme « HIPAA send » avec le numéro destinataire, sans noms ni contenus de fichiers.

Une liste à jour des principaux sous-traitants ultérieurs est fournie sur demande aux clients Covered Entity disposant d’un BAA actif, sous réserve d’une confidentialité raisonnable.

Notification des violations et incidents

Conformément au BAA, SingleFax informe le client sans retard injustifié et au plus tard soixante (60) jours calendaires après la découverte, ou plus tôt si la loi l’exige, des faits suivants :

• Les utilisations ou communications de PHI non autorisées par le BAA dont nous avons connaissance ;
• Les incidents de sécurité connus : accès, utilisation, communication, modification ou destruction non autorisés ayant abouti, ou perturbation des systèmes ; et
• Les violations de PHI non sécurisées, avec les informations exigées par 45 C.F.R. § 164.410.

Les tentatives et analyses infructueuses de routine peuvent être journalisées et communiquées sous forme agrégée sur demande. Le client reste responsable des notifications ultérieures aux personnes, au HHS ou aux médias lorsqu’elles incombent à une Covered Entity.

Vos responsabilités

La conformité HIPAA est partagée. En utilisant le mode HIPAA et en acceptant le BAA, vous déclarez et acceptez que :

• 01Vous êtes une Covered Entity ou un Business Associate engageant SingleFax comme BA sous-traitant, et non un patient particulier engageant une clinique.
• 02Le signataire a le pouvoir légal d’engager l’entité désignée.
• 03Vous respectez les exigences du minimum nécessaire lorsqu’elles s’appliquent, 45 C.F.R. § 164.502(b). HIPAA prévoit des exceptions, notamment pour les communications liées aux soins.
• 04Vous ne demandez aucune utilisation ou communication qui vous serait interdite directement, sauf autorisation expresse des règles HIPAA pour les BA.
• 05Vous maintenez vos propres politiques, formations du personnel, contrôles d’accès et procédures de droits des patients requis pour une CE ou un BA.
• 06Vous utilisez le mode HIPAA pour les PHI et l’envoi standard seulement lorsqu’il convient. Une mauvaise classification ne crée pas de BAA pour les envois standard.

Dossiers et accès

Dans la mesure où SingleFax conserve des PHI dans un Designated Record Set, nous les mettons à disposition du client, dans un délai raisonnable via l’assistance, pour l’accès, 45 C.F.R. § 164.524, la modification, § 164.526, et le relevé des communications, § 164.528. Nous mettons nos pratiques, livres et dossiers internes relatifs aux PHI à disposition du Secretary of HHS pour vérifier la conformité HIPAA, 45 C.F.R. § 164.504(e)(2)(ii)(I).

Les fichiers opérationnels des fax ont généralement une durée de vie courte ; les pièces de conformité, BAA, journaux d’acceptation et preuves de suppression, sont conservées plus longtemps. Prévoyez votre propre conservation des contenus cliniques au-delà de notre durée de stockage.

Contact et confidentialité

Pour les questions sur le BAA, les incidents de sécurité impliquant SingleFax ou les demandes de documents de conformité :