conformidade com a HIPAA

Responsabilidades compartilhadas

Nossa função sob a HIPAA

Para um número de recebimento ou página de entrada de uma clínica, o BAA é firmado com a clínica pelos serviços prestados em seu nome. Um envio separado para outro prestador sujeito à HIPAA exige seu próprio BAA adequado. Um paciente usando o SingleFax por conta própria não precisa de BAA só porque os registros são médicos.

Quando uma entidade sujeita à HIPAA (CE) ou um parceiro comercial contratante (BA) contrata o SingleFax para transmitir PHI/ePHI, atuamos como parceiro comercial ou BA subcontratado conforme 45 C.F.R. § 160.103. Criamos, recebemos, mantemos ou transmitimos PHI apenas para os Serviços dos nossos Termos e BAA: principalmente transmissão por fax, armazenamento temporário de processamento, status, comprovantes e registros de conformidade.

• O que fazemos

  Transmitir documentos do cliente; aplicar controles técnicos do modo HIPAA; firmar e manter registros do BAA; eliminar arquivos de PHI conforme a política de retenção.

• O que não fazemos

  Praticar medicina, decidir tratamentos, vender PHI, usá-la em nosso marketing ou substituir seu aviso de práticas de privacidade ou treinamento da equipe.

Quando usar HIPAA Secure

Use modo HIPAA se o documento contiver PHI/ePHI e você atuar como CE ou BA em nome de uma CE. O envio padrão por fax é para documentos empresariais sem PHI e pessoas enviando os próprios registros. Estas podem escolher privacidade reforçada pelo mesmo preço do envio seguro sem BAA. A função em que você atua determina a exigência do acordo, não o OCR.

A privacidade reforçada usa retenção segura, notificações que preservam a privacidade e comprovantes guardados com segurança sem BAA da organização. É opcional para uso pessoal e não oferece criptografia de ponta a ponta nem controle sobre o tratamento do fax pelo destinatário. O envio de arquivos padrão também é criptografado; uma etiqueta premium não significa ausência de proteção no padrão.

O OCR pode mostrar um aviso orientativo de informações de saúde. Não define sua função, muda o preço ou comprova conformidade. Prestadores e BAs sujeitos à HIPAA devem aceitar o BAA antes de enviar informações de pacientes. Pessoas físicas escolhem a privacidade sem assinar o BAA de uma clínica.

Contrato de parceiro comercial

Antes de enviar arquivos em HIPAA Secure por uma entidade ou BA sujeito à HIPAA, um signatário autorizado da pessoa jurídica deve aceitar nosso BAA eletronicamente. A aceitação é organization-scoped, tem versão e é registrada com resumos criptográficos do documento e declarações de autoridade para vincular e mínimo necessário.

• Alinhado aos elementos exigidos de 45 C.F.R. § 164.504(e) (usos permitidos, salvaguardas, subcontratados, denúncia de violação, acesso do HHS, devolução/destruição, rescisão).
• Cópia firmada disponível em PDF após a aceitação.
• Novas versões substituem aceitações anteriores; mudanças nos termos podem exigir nova aceitação.

Medidas de segurança

Para ePHI no modo HIPAA, aplicamos medidas razoáveis e adequadas para atender à Regra de Segurança, 45 C.F.R. Parte 164, Subparte C. Controles representativos incluem:

Ciclo de vida das informações de saúde

1. 1
   Recebimento de arquivos

   Envio de arquivos somente após aceitar o BAA. O documento é convertido conforme necessário para a transmissão por fax.

2. 2
   Processamento e transmissão

   Armazenamento temporário com controles específicos; transmissão pelas APIs da operadora de fax; tentativas conforme a configuração.

3. 3
   Status e comprovantes

   Mantemos status, horários e metadados de conformidade necessários para comprovantes e auditoria, não texto clínico livre nos sistemas de pagamento.

4. 4
   Exclusão segura

   Os documentos do modo HIPAA têm retenção operacional curta e exclusão automática com evidências. Aceitações do BAA, PDFs firmados e registros obrigatórios são mantidos por pelo menos seis (6) anos, conforme os requisitos documentais da HIPAA.

Subcontratados e prestadores de serviços

O SingleFax usa suboperadores cuidadosamente selecionados, por exemplo, para armazenamento, telecomunicações e terminação de fax, pagamentos, e-mail e infraestrutura. Se criarem, receberem, mantiverem ou transmitirem PHI em nosso nome, obtemos garantias escritas conforme 45 C.F.R. § 164.502(e) e § 164.308(b), normalmente um BAA ou proteção contratual equivalente, ou projetamos o fluxo para não receberem o conteúdo. Por exemplo, Stripe Checkout e faturas usam identificadores opacos do pedido e descrições como “envio HIPAA” e o fax de destino, não nomes ou conteúdo de arquivos.

Clientes que sejam entidades cobertas e tenham BAA ativo podem solicitar uma lista atualizada dos principais suboperadores de dados, sujeita a condições razoáveis de confidencialidade.

Notificação de violações e incidentes

Conforme nosso BAA, informaremos o cliente sem demora injustificada e, no máximo, sessenta (60) dias corridos após a descoberta, ou antes se a lei exigir:

• Usos ou divulgações de PHI não permitidos pelo BAA dos quais tomarmos conhecimento;
• Incidentes de segurança conhecidos: acesso, uso, divulgação, alteração ou destruição não autorizados bem-sucedidos ou interferência nas operações; e
• Violações de PHI não protegida, incluindo as informações exigidas por 45 C.F.R. § 164.410.

Sondagens e varreduras rotineiras sem sucesso podem ser registradas e informadas de forma agregada mediante solicitação. O cliente continua responsável pelas notificações posteriores a pessoas, HHS ou imprensa quando exigidas de uma entidade sujeita à HIPAA.

Suas responsabilidades

A conformidade com a HIPAA é compartilhada. Ao usar o modo HIPAA e aceitar o BAA, você declara e concorda que:

• 01Você é uma entidade sujeita à HIPAA ou parceiro comercial que contrata o SingleFax como BA subcontratado, não um paciente vinculando uma clínica.
• 02Quem assina tem autoridade legal para vincular a entidade indicada.
• 03Você seguirá o requisito de mínimo necessário quando aplicável, conforme 45 C.F.R. § 164.502(b). A HIPAA tem exceções, incluindo divulgações para tratamento.
• 04Você não solicitará usos ou divulgações que não poderia fazer diretamente, exceto o que as Regras HIPAA permitem expressamente aos BAs.
• 05Você mantém suas próprias políticas, treinamento de equipe, controles de acesso e processos de direitos do paciente exigidos de uma CE ou BA.
• 06Você usa o modo HIPAA para PHI e o envio padrão apenas quando adequado; uma classificação incorreta não cria BAA para o tráfego padrão.

Registros e acesso

Se o SingleFax mantiver PHI em um conjunto designado de registros, disponibilizaremos ao cliente o necessário para acesso, 45 C.F.R. § 164.524, alteração, § 164.526, e prestação de contas de divulgações, § 164.528, em prazo razoável pelos canais de suporte. Disponibilizaremos ao secretário do HHS práticas, livros e registros internos relacionados à PHI para avaliar a conformidade com HIPAA, conforme 45 C.F.R. § 164.504(e)(2)(ii)(I).

Arquivos operacionais de fax costumam ter vida curta; registros de conformidade, como BAA, aceitação e evidências de exclusão, ficam por mais tempo. Planeje seu próprio arquivo clínico para o conteúdo necessário além desse prazo.

Contato e privacidade

Para dúvidas sobre BAA, incidentes de segurança envolvendo o SingleFax ou pedidos de documentação de conformidade: