Verificador de Cumplimiento de HIPAA

Entrada

Prácticas de tratamiento de datos

We are a telehealth startup. Patient video visits run through a third-party API, session notes are stored in a cloud Postgres database, and clinicians access records via a web app with email/password login. PHI is sometimes emailed to patients as PDFs. Backups are stored in cloud object storage. We have not yet signed BAAs with all vendors.

Tipo de entidad

Entidad Cubierta (proveedor, plan, cámara de compensación)

Área de enfoque

Evaluación Completa de HIPAA

Salida (extracto)

Resumen de cumplimiento de HIPAA

Brechas señaladas:
1. Faltan BAA: cualquier proveedor que maneje PHI (API de vídeo, base de datos en la nube, almacenamiento de objetos) requiere un Acuerdo de Asociado Comercial firmado. Prioridad ALTA.
2. Autenticación: solo correo/contraseña es débil; aplica MFA para el acceso de los clínicos.
3. Envío de PHI por correo: enviar PDF sin cifrar por correo arriesga una divulgación indebida; usa un portal de pacientes seguro o una entrega cifrada.
4. Cifrado: confirma que la PHI está cifrada en reposo y en tránsito.

Siguiente paso: prioriza los BAA y la MFA. Esto es informativo, no asesoramiento legal.

Entrada

Prácticas de tratamiento de datos

We are a medical billing company that processes claims on behalf of several clinics. We receive patient demographics, diagnosis codes, and insurance details via SFTP. Staff work remotely on company laptops. We have BAAs with our clinic clients but our staff sometimes use personal phones to check work email.

Tipo de entidad

Asociado de Negocios

Área de enfoque

Regla de Seguridad

Salida (extracto)

Revisión de la Regla de Seguridad (asociado comercial)

Fortalezas: SFTP para las transferencias y BAA con clientes en vigor.

Riesgos:
1. Uso de dispositivos personales: acceder a la PHI en teléfonos personales no gestionados infringe los controles de dispositivos; exige un MDM o restríngelo a dispositivos de la empresa.
2. Endpoints remotos: garantiza el cifrado de disco completo y el autobloqueo en todos los portátiles.
3. Controles de acceso: implementa el acceso basado en roles y el registro de auditoría de quién consulta cada expediente.
4. Se recomienda un análisis de riesgos documentado y formación de seguridad para el personal.

Entrada

Prácticas de tratamiento de datos

We run a small wellness coaching business that collects client health intake forms, including conditions and medications, stored in a shared cloud drive. We are not sure whether we count under HIPAA. Forms are sometimes printed and kept in an unlocked filing cabinet at the front desk.

Tipo de entidad

No Estoy Seguro

Área de enfoque

Regla de privacidad

Salida (extracto)

Revisión de privacidad (estatus poco claro)

Primero: HIPAA suele aplicar si facturas al seguro de forma electrónica o actúas en nombre de una entidad cubierta. Si solo cobras en efectivo y nunca transmites reclamaciones, podrías quedar fuera de HIPAA, pero las leyes estatales de privacidad siguen aplicando.

Independientemente del estatus, corrige esto:
1. Archivador sin cerrar: cierra con llave todos los registros en papel que contengan información de salud.
2. Unidad en la nube compartida: restringe el acceso al personal designado; evita los enlaces de uso compartido amplios.
3. Añade un aviso de privacidad claro que describa cómo se usan los datos de los clientes.