HIPAA Compliance Checker

Invoer

Practices

We are a telehealth startup. Patient video visits run through a third-party API, session notes are stored in a cloud Postgres database, and clinicians access records via a web app with email/password login. PHI is sometimes emailed to patients as PDFs. Backups are stored in cloud object storage. We have not yet signed BAAs with all vendors.

Entity Type

covered

Focus

full

Uitvoer (fragment)

HIPAA-nalevingsmomentopname

Gemarkeerde gaten:
1. BAA's ontbreken - Elke leverancier die met PHI in aanraking komt (video-API, cloud-DB, objectopslag) vereist een ondertekende Business Associate Agreement. HOGE prioriteit.
2. Authenticatie - Alleen e-mail/wachtwoord is zwak; forceer MFA voor toegang van clinici.
3. PHI e-mailen - Onversleutelde pdf-e-mails riskeren een ontoelaatbare openbaarmaking; gebruik een beveiligd patiëntenportaal of versleutelde aflevering.
4. Versleuteling - Bevestig dat PHI versleuteld is in rust en tijdens transport.

Volgende stap: Geef prioriteit aan BAA's en MFA. Dit is informatief, geen juridisch advies.

Invoer

Practices

We are a medical billing company that processes claims on behalf of several clinics. We receive patient demographics, diagnosis codes, and insurance details via SFTP. Staff work remotely on company laptops. We have BAAs with our clinic clients but our staff sometimes use personal phones to check work email.

Entity Type

business_associate

Focus

security

Uitvoer (fragment)

Beoordeling Security Rule (business associate)

Sterke punten: SFTP voor overdrachten en BAA's met klanten aanwezig.

Risico's:
1. Gebruik van privéapparaten - PHI benaderen op onbeheerde privételefoons schendt de apparaatcontroles; vereis MDM of beperk tot bedrijfsapparaten.
2. Externe endpoints - Zorg voor volledige schijfversleuteling en automatische vergrendeling op alle laptops.
3. Toegangscontroles - Implementeer op rollen gebaseerde toegang en auditlogging voor wie welke gegevens inziet.
4. Aanbevolen worden een gedocumenteerde risicoanalyse en beveiligingstraining voor het personeel.

Invoer

Practices

We run a small wellness coaching business that collects client health intake forms, including conditions and medications, stored in a shared cloud drive. We are not sure whether we count under HIPAA. Forms are sometimes printed and kept in an unlocked filing cabinet at the front desk.

Entity Type

unsure

Focus

privacy

Uitvoer (fragment)

Privacybeoordeling (status onduidelijk)

Eerst: HIPAA is doorgaans van toepassing als je verzekeringen elektronisch factureert of optreedt namens een covered entity. Als je alleen contant geld aanneemt en nooit claims verzendt, val je mogelijk buiten HIPAA - maar staatsprivacywetten zijn nog steeds van toepassing.

Los ongeacht de status het volgende op:
1. Ongesloten archiefkast - Sluit alle papieren dossiers met gezondheidsinformatie af.
2. Gedeelde cloudschijf - Beperk de toegang tot benoemde medewerkers; vermijd brede deellinks.
3. Voeg een duidelijke privacyverklaring toe die beschrijft hoe cliëntgegevens worden gebruikt.