Conformità HIPAA

Responsabilità condivise

Il nostro ruolo secondo HIPAA

Per un numero di ricezione o una pagina di raccolta documenti di una clinica, il BAA viene stipulato con la clinica per i servizi SingleFax forniti per suo conto. Un servizio di invio separato per un altro fornitore sanitario richiede il proprio BAA appropriato. Un paziente che usa SingleFax autonomamente per documenti personali non necessita di BAA solo perché i documenti sono sanitari.

Quando un'entità soggetta a HIPAA (CE) o un business associate a monte (BA) incarica SingleFax di trasmettere documenti contenenti PHI/ePHI, SingleFax agisce come Business associate, o BA subfornitore, ai sensi di 45 C.F.R. § 160.103. Creiamo, riceviamo, conserviamo o trasmettiamo PHI esclusivamente per eseguire i Servizi descritti nei Termini e nel BAA: principalmente trasmissione fax, archiviazione temporanea, stato della consegna, ricevute e registri di conformità.

• Cosa facciamo

  Trasmettiamo documenti del Cliente, applichiamo controlli tecnici HIPAA, stipuliamo e conserviamo i BAA ed eliminiamo i file PHI secondo la politica di conservazione.

• Cosa non facciamo

  Esercitare la medicina, decidere trattamenti, vendere PHI, usarle per il nostro marketing o sostituire l'informativa sulle pratiche di riservatezza o la formazione del personale.

Quando usare HIPAA Secure

Usa Modalità HIPAA quando il documento contiene PHI/ePHI e sei una CE o un BA che trasmette per conto di una CE. L'invio standard a consumo serve per documenti aziendali senza PHI e per privati che inviano i propri documenti. I privati possono scegliere Privacy avanzata agli stessi prezzi dell'invio sicuro senza BAA. Il ruolo in cui agisci determina il requisito dell'accordo, non l'OCR.

Privacy avanzata usa conservazione sicura dei documenti, notifiche rispettose della privacy e ricevute custodite in sicurezza, senza BAA dell'organizzazione. È facoltativa per uso personale e non offre fax crittografati end-to-end né controllo sulla gestione del destinatario. Anche i caricamenti standard sono crittografati: l'etichetta premium non implica assenza di protezioni nell'invio standard.

L'OCR può mostrare un avviso sulla possibile presenza di informazioni sanitarie. Non sceglie il ruolo del mittente, non cambia il prezzo e non stabilisce la conformità. Fornitori sanitari soggetti a HIPAA e business associate devono accettare il BAA prima di caricare dati dei pazienti. I privati scelgono l'opzione di privacy senza firmare il BAA di una clinica.

Business Associate Agreement

Prima di ogni caricamento HIPAA Secure per conto di un fornitore sanitario soggetto a HIPAA o di un business associate, un firmatario autorizzato della tua entità giuridica deve accettare elettronicamente il nostro Business Associate Agreement. L'accettazione è organization-scoped, associata a una versione e registrata con impronte dei documenti e caselle di attestazione su potere di vincolare l'entità e minimo necessario.

• Comprende gli elementi richiesti dal 45 C.F.R. § 164.504(e): usi consentiti, protezioni, subfornitori, segnalazione di violazioni dei dati, accesso HHS, restituzione o distruzione e risoluzione.
• Copia sottoscritta scaricabile in PDF dopo l'accettazione.
• Le nuove versioni sostituiscono le accettazioni precedenti; può servire una nuova accettazione se cambiano le condizioni.

Misure di sicurezza

Per le ePHI in modalità HIPAA, SingleFax applica protezioni ragionevolmente e adeguatamente progettate per rispettare la Security Rule, 45 C.F.R. parte 164, sottoparte C. Esempi di controlli:

Ciclo di vita delle informazioni sanitarie

1. 1
   Acquisizione

   Caricamento solo dopo l'accettazione del BAA. Conversione dei documenti quando necessaria alla trasmissione fax.

2. 2
   Elaborazione e trasmissione

   Archiviazione temporanea con controlli dedicati; trasmissione tramite API degli operatori fax; nuovi tentativi secondo configurazione.

3. 3
   Stato e ricevute

   Conserviamo stato della consegna, orari e metadati di conformità necessari a ricevute e audit, non testo clinico libero nei sistemi di pagamento.

4. 4
   Cancellazione sicura

   I file in modalità HIPAA sono soggetti a una breve conservazione operativa ed eliminazione automatica con prova della cancellazione. Accettazioni BAA, PDF sottoscritti e registri obbligatori sono conservati per almeno sei (6) anni, come previsto dai requisiti di documentazione HIPAA.

Subfornitori e fornitori di servizi

SingleFax usa subresponsabili selezionati per erogare i Servizi, per esempio archiviazione a oggetti, telecomunicazioni e terminazione fax, pagamenti, email e hosting. Quando un subresponsabile crea, riceve, conserva o trasmette PHI per nostro conto, otteniamo garanzie scritte conformi a 45 C.F.R. § 164.502(e) e § 164.308(b), normalmente BAA o protezioni contrattuali equivalenti, oppure progettiamo il flusso affinché non riceva i contenuti. Per esempio, Stripe Checkout e fatture usano identificativi d'ordine opachi e descrittori come «invio HIPAA» e il fax di destinazione, non nomi o contenuti dei file.

I clienti che sono Covered Entity con un BAA attivo possono richiedere l'elenco aggiornato dei subfornitori rilevanti, nel rispetto di ragionevoli vincoli di riservatezza.

Notifica delle violazioni e incidenti

In base al BAA, SingleFax informerà il Cliente senza ritardo ingiustificato e comunque entro sessanta (60) giorni di calendario dalla Scoperta, o prima se Richiesto dalla legge, di:

• Utilizzi o comunicazioni di PHI non consentiti dal BAA di cui veniamo a conoscenza;
• Incidenti di sicurezza di cui veniamo a conoscenza: accesso, uso, comunicazione, modifica o distruzione non autorizzati riusciti, oppure interferenze con il funzionamento dei sistemi; e
• Violazioni di PHI non protette, incluse le informazioni richieste da 45 C.F.R. § 164.410.

Sondaggi e scansioni di attacco ordinari non riusciti possono essere registrati e riportati in forma aggregata su richiesta. Il Cliente resta responsabile delle notifiche successive a persone, HHS o mezzi di informazione quando richieste a una Covered Entity.

Le tue responsabilità

La conformità HIPAA è condivisa. Usando la modalità HIPAA e accettando il BAA, dichiari e accetti che:

• 01Sei una Covered Entity o un Business Associate che incarica SingleFax come BA subfornitore, non un paziente privato che vincola una clinica.
• 02Il firmatario ha il potere legale di vincolare l'entità indicata.
• 03Rispetterai i requisiti del minimo necessario quando applicabili, ai sensi di 45 C.F.R. § 164.502(b). HIPAA prevede eccezioni, comprese le comunicazioni per il trattamento sanitario.
• 04Non richiederai usi o comunicazioni che sarebbero vietati se effettuati direttamente da te, salvo quanto espressamente consentito ai BA dalle regole HIPAA.
• 05Mantieni politiche, formazione del personale, controlli di accesso e procedure per i diritti dei pazienti richiesti a una CE o un BA.
• 06Usi la modalità HIPAA per le PHI e l'invio standard solo quando appropriato; una classificazione errata non crea un BAA per il traffico standard.

Registri e accesso

Quando SingleFax conserva PHI in un insieme di registri designato, le rende disponibili al Cliente per accesso (45 C.F.R. § 164.524), modifica (§ 164.526) e rendiconto delle comunicazioni (§ 164.528), entro tempi ragionevoli tramite assistenza. Rendiamo pratiche interne, libri e registri relativi alle PHI disponibili al Segretario HHS per verificare la conformità alle regole HIPAA, ai sensi di 45 C.F.R. § 164.504(e)(2)(ii)(I).

I file operativi fax durano normalmente poco; le prove di conformità, come BAA, registri di accettazione e cancellazione, vengono conservate più a lungo. Organizza la tua archiviazione dei contenuti clinici che ti servono oltre la durata dei nostri file.

Contatti e privacy

Per domande sul BAA, incidenti di sicurezza che coinvolgono SingleFax o richieste di documentazione sulla conformità: