HIPAA uyumluluğu

Ortak sorumluluklar

HIPAA kapsamındaki rolümüz

Kliniğin faks alma numarası veya belge kabul sayfasında BAA, SingleFax'ın klinik adına sağladığı hizmetler için klinikle yapılır. Başka kapsamdaki sağlayıcıya ait ayrı gönderim hizmeti kendi uygun BAA'sını gerektirir. Kişisel kayıtlarında SingleFax'ı bağımsız kullanan hastanın sırf kayıtlar tıbbi diye BAA yapması gerekmez.

Kapsamdaki Kuruluş (CE) veya üst konumdaki İş Ortağı (BA), SingleFax'ı PHI/ePHI içeren belge iletmek için görevlendirdiğinde SingleFax, 45 C.F.R. § 160.103 kapsamında İş Ortağı (veya alt yüklenici BA) olarak hareket eder. PHI'yi yalnızca Koşullar ve BAA'daki Hizmetleri yerine getirmek için oluşturur, alır, saklar veya iletiriz; başlıca faks iletimi, geçici işleme depolaması, teslimat durumu, makbuz ve uyum kayıtları.

• Yaptıklarımız

  Müşterinin sunduğu belgeleri iletmek; HIPAA modu teknik kontrollerini uygulamak; BAA kayıtlarını oluşturup saklamak; PHI dosyalarını saklama politikasına göre temizlemek.

• Yapmadıklarımız

  Hekimlik yapmak; tedaviye karar vermek; PHI satmak; PHI'yi pazarlamamızda kullanmak veya Gizlilik Uygulamaları Bildiriminizin ya da personel eğitiminizin yerini almak.

HIPAA Secure ne zaman kullanılır?

Belge PHI/ePHI içeriyorsa ve CE veya CE adına ileten BA iseniz HIPAA modu kullanın. Standart faks başına ödeme PHI dışı iş belgeleri ve kendi kayıtlarını gönderen bireyler içindir. Bireysel göndericiler BAA olmadan aynı güvenli gönderim fiyatlarıyla Gelişmiş Gizlilik seçebilir. Sözleşme gereğini OCR değil, hangi sıfatla hareket ettiğiniz belirler.

Gelişmiş Gizlilik, kuruluş BAA'sı olmadan güvenli belge saklama, gizliliği koruyan bildirimler ve güvenli tutulan iletim makbuzlarını kullanır. Kişisel kullanımda isteğe bağlıdır; uçtan uca şifreli faks teslimatı veya alıcının belgeyi işlemesi üzerinde kontrol sağlamaz. Standart yüklemeler de şifrelidir; üst düzey etiket standart gönderimde güvence olmadığı anlamına gelmez.

OCR sağlık bilgisine ilişkin yönlendirici hatırlatma gösterebilir. Gönderici rolünüzü seçmez, fiyatınızı değiştirmez veya uyum sağlamaz. Kapsamdaki sağlayıcılar ve iş ortakları hasta bilgisi yüklemeden BAA'yı kabul etmelidir. Bireysel göndericiler kliniğin BAA'sını imzalamadan gizlilik seçeneğini belirler.

İş Ortağı Sözleşmesi

HIPAA Secure'da kapsamdaki sağlayıcı veya iş ortağı adına yüklemeden önce, tüzel kişiliğinizin yetkili imza sahibi İş Ortağı Sözleşmemizi elektronik kabul etmelidir. Kabul organization-scoped, sürümlü ve belge özetleri ile beyan kutularıyla kaydedilir: kuruluşu bağlama yetkisi ve gerekli asgari bilgi.

• 45 C.F.R. § 164.504(e) kapsamındaki zorunlu unsurlarla uyumludur: izin verilen kullanımlar, güvenlik önlemleri, alt yükleniciler, ihlal bildirimi, HHS erişimi, iade/imha ve fesih.
• Kabul sonrasında imzalanmış PDF kopyası indirilebilir.
• Yeni sürümler önceki kabullerin yerini alır; koşullar değiştiğinde yeniden kabul gerekebilir.

Güvenlik önlemleri

HIPAA modu ePHI için SingleFax, Güvenlik Kuralına (45 C.F.R. Bölüm 164, Alt Bölüm C) uygunluğu sağlamak üzere makul ve uygun tasarlanmış güvenceler uygular. Örnek kontroller:

Sağlık bilgisi yaşam döngüsü

1. 1
   Alım

   Yalnızca BAA kabulünden sonra yükleme. Faks iletimi için gerektiğinde belge dönüştürme.

2. 2
   İşleme ve iletim

   Özel kontrollerle geçici saklama; faks operatörü API'leriyle iletim; yapılandırmaya göre yeniden deneme.

3. 3
   Durum ve makbuzlar

   Makbuz ve denetim için gereken teslimat durumu, zaman damgaları ve uyum üst verilerini tutarız; ödeme sistemlerinde serbest klinik metin tutmayız.

4. 4
   Güvenli silme

   HIPAA modu belge dosyaları kısa işletim saklama süresine ve silme kanıtıyla otomatik temizlemeye tabidir. BAA kabulleri, imzalanmış PDF'ler ve zorunlu uyum kayıtları, HIPAA belgeleme gereklerine göre en az altı (6) yıl tutulur.

Alt yükleniciler ve hizmet sağlayıcıları

SingleFax Hizmetler için özenle seçilmiş alt veri işleyenleri kullanır: örneğin nesne depolama, telekomünikasyon/faks sonlandırma, ödeme, e-posta ve altyapı barındırma. Bizim adımıza PHI oluşturan, alan, saklayan veya ileten alt veri işleyenden 45 C.F.R. § 164.502(e) ve § 164.308(b) ile uyumlu yazılı güvenceler alırız; genellikle BAA veya eşdeğer sözleşmesel korumalar. Alternatif olarak sağlayıcının içeriği almadığı akış kurarız. Örneğin Stripe Checkout ve faturalar, dosya adı veya içeriği yerine opak sipariş kimlikleri, “HIPAA gönderimi” tanımı ve alıcı faks numarası kullanır.

Aktif BAA'sı olan kapsama giren kuruluş müşterileri, makul gizlilik koşullarıyla önemli alt hizmet sağlayıcıların güncel listesini talep edebilir.

İhlal bildirimi ve olaylar

BAA'mız uyarınca SingleFax, Tespitten sonra makul olmayan gecikme olmadan ve en geç altmış (60) takvim günü içinde, yasa gerektiriyorsa daha erken, Müşteriye şunları bildirecektir:

• Haberdar olduğumuz, BAA'nın izin vermediği PHI kullanım veya açıklamaları;
• Haberdar olduğumuz Güvenlik Olayları: başarılı yetkisiz erişim, kullanım, açıklama, değiştirme, imha veya sistem işleyişine müdahale; ve
• 45 C.F.R. § 164.410'un gerektirdiği bilgiler dahil Güvenceye Alınmamış PHI İhlalleri.

Rutin başarısız yoklama ve taramalar kaydedilebilir ve istek üzerine toplu raporlanabilir. Kapsamdaki Kuruluş için gerektiğinde bireylere, HHS'ye veya medyaya sonraki bildirimlerden Müşteri sorumlu kalır.

Sorumluluklarınız

HIPAA uyumu ortak sorumluluktur. HIPAA modu kullanıp BAA'yı kabul ederek şunları beyan ve kabul edersiniz:

• 01Kliniği bağlayan bireysel hasta değil, Kapsamdaki Kuruluş veya SingleFax'ı alt yüklenici BA olarak görevlendiren İş Ortağısınız.
• 02İmza sahibinin belirtilen kuruluşu hukuken bağlama yetkisi vardır.
• 03Geçerli olduğu yerde gerekli asgari bilgi şartlarına uyarsınız (45 C.F.R. § 164.502(b)). HIPAA'nın tedavi amaçlı açıklamalar dahil istisnaları vardır.
• 04Doğrudan sizin yapmanız halinde yasak olacak kullanım veya açıklama talep etmezsiniz; HIPAA Kurallarının BA'lara açıkça izin verdiği durumlar hariç.
• 05CE veya BA için gerekli kendi politikalarınızı, personel eğitiminizi, erişim kontrollerinizi ve hasta hakları süreçlerinizi sürdürürsünüz.
• 06PHI için HIPAA modu, standart gönderimi yalnızca uygun olduğunda kullanırsınız; yanlış sınıflandırma standart trafik için BAA oluşturmaz.

Kayıtlar ve erişim

SingleFax PHI'yi Belirlenmiş Kayıt Kümesinde tuttuğu ölçüde erişim (45 C.F.R. § 164.524), değişiklik (§ 164.526) ve açıklama dökümü (§ 164.528) için gereken PHI'yi makul sürede destek kanallarından Müşteriye sunarız. HIPAA Kurallarına uyumu belirlemek üzere PHI ile ilgili iç uygulama, defter ve kayıtlarımızı HHS Sekreterine sunarız (45 C.F.R. § 164.504(e)(2)(ii)(I)).

İşletim faks dosyaları genellikle kısa ömürlüdür; uyum belgeleri (BAA, kabul kayıtları, silme kanıtları) daha uzun tutulur. Dosya ömrümüzün ötesinde gereken klinik içerik için kendi kayıt düzeninizi planlayın.

İletişim ve gizlilik

BAA soruları, SingleFax'ı içeren güvenlik olayları veya uyum belgesi talepleri için: