Vérificateur de Conformité HIPAA

Entrée

Pratiques de traitement des données

We are a telehealth startup. Patient video visits run through a third-party API, session notes are stored in a cloud Postgres database, and clinicians access records via a web app with email/password login. PHI is sometimes emailed to patients as PDFs. Backups are stored in cloud object storage. We have not yet signed BAAs with all vendors.

Type d'entité

Entité Couvert (fournisseur, plan, chambre de compensation)

Domaine ciblé

Évaluation Complète de la HIPAA

Sortie (extrait)

Aperçu de la conformité HIPAA

Lacunes signalées :
1. Accords BAA manquants — Tout fournisseur en contact avec des PHI (API vidéo, base de données cloud, stockage d'objets) requiert un Business Associate Agreement signé. Priorité ÉLEVÉE.
2. Authentification — L'e-mail/mot de passe seul est faible ; imposez le MFA pour l'accès des cliniciens.
3. Envoi de PHI par e-mail — Les e-mails PDF non chiffrés risquent une divulgation interdite ; utilisez un portail patient sécurisé ou une remise chiffrée.
4. Chiffrement — Confirmez que les PHI sont chiffrées au repos et en transit.

Prochaine étape : Priorisez les accords BAA et le MFA. Ceci est à titre informatif, pas un conseil juridique.

Entrée

Pratiques de traitement des données

We are a medical billing company that processes claims on behalf of several clinics. We receive patient demographics, diagnosis codes, and insurance details via SFTP. Staff work remotely on company laptops. We have BAAs with our clinic clients but our staff sometimes use personal phones to check work email.

Type d'entité

Associé Commercial

Domaine ciblé

Règle de Sécurité

Sortie (extrait)

Revue de la Security Rule (Business Associate)

Points forts : SFTP pour les transferts et accords BAA clients en place.

Risques :
1. Usage d'appareils personnels — Accéder aux PHI sur des téléphones personnels non gérés viole les contrôles d'appareils ; exigez un MDM ou limitez aux appareils de l'entreprise.
2. Postes distants — Assurez le chiffrement intégral du disque et le verrouillage automatique sur tous les ordinateurs portables.
3. Contrôles d'accès — Mettez en place un accès par rôle et une journalisation d'audit indiquant qui consulte quels dossiers.
4. Recommandé : analyse de risque documentée et formation à la sécurité du personnel.

Entrée

Pratiques de traitement des données

We run a small wellness coaching business that collects client health intake forms, including conditions and medications, stored in a shared cloud drive. We are not sure whether we count under HIPAA. Forms are sometimes printed and kept in an unlocked filing cabinet at the front desk.

Type d'entité

Pas Sûr

Domaine ciblé

Règle de confidentialité

Sortie (extrait)

Revue de confidentialité (statut incertain)

D'abord : La HIPAA s'applique généralement si vous facturez l'assurance par voie électronique ou agissez pour une entité couverte. Si vous n'acceptez que des espèces et ne transmettez jamais de demandes de remboursement, vous pourriez ne pas relever de la HIPAA — mais les lois locales sur la confidentialité s'appliquent toujours.

Quel que soit votre statut, corrigez ceci :
1. Classeur non verrouillé — Verrouillez tous les dossiers papier contenant des informations de santé.
2. Lecteur cloud partagé — Restreignez l'accès au personnel nommé ; évitez les liens de partage trop larges.
3. Ajoutez un avis de confidentialité clair décrivant l'usage des données des clients.