Verificador de Conformidade HIPAA

Entrada

Practices

We are a telehealth startup. Patient video visits run through a third-party API, session notes are stored in a cloud Postgres database, and clinicians access records via a web app with email/password login. PHI is sometimes emailed to patients as PDFs. Backups are stored in cloud object storage. We have not yet signed BAAs with all vendors.

Entity Type

covered

Focus

full

Saída (trecho)

Panorama de Conformidade HIPAA

Lacunas sinalizadas:
1. BAAs ausentes — Qualquer fornecedor que toque em PHI (API de vídeo, banco de dados em nuvem, armazenamento de objetos) exige um Business Associate Agreement assinado. Prioridade ALTA.
2. Autenticação — E-mail/senha sozinhos são frágeis; imponha MFA para o acesso dos profissionais de saúde.
3. Envio de PHI por e-mail — PDFs por e-mail não criptografados arriscam uma divulgação indevida; use um portal seguro do paciente ou entrega criptografada.
4. Criptografia — Confirme que a PHI está criptografada em repouso e em trânsito.

Próximo passo: Priorize BAAs e MFA. Isto é informativo, não constitui aconselhamento jurídico.

Entrada

Practices

We are a medical billing company that processes claims on behalf of several clinics. We receive patient demographics, diagnosis codes, and insurance details via SFTP. Staff work remotely on company laptops. We have BAAs with our clinic clients but our staff sometimes use personal phones to check work email.

Entity Type

business_associate

Focus

security

Saída (trecho)

Revisão da Security Rule (Business Associate)

Pontos fortes: SFTP para transferências e BAAs com clientes em vigor.

Riscos:
1. Uso de dispositivos pessoais — Acessar PHI em celulares pessoais não gerenciados viola os controles de dispositivo; exija MDM ou restrinja a dispositivos da empresa.
2. Endpoints remotos — Garanta criptografia de disco completo e bloqueio automático em todos os notebooks.
3. Controles de acesso — Implemente acesso baseado em função e registro de auditoria de quem visualiza quais registros.
4. Recomenda-se uma análise de riscos documentada e treinamento de segurança da força de trabalho.

Entrada

Practices

We run a small wellness coaching business that collects client health intake forms, including conditions and medications, stored in a shared cloud drive. We are not sure whether we count under HIPAA. Forms are sometimes printed and kept in an unlocked filing cabinet at the front desk.

Entity Type

unsure

Focus

privacy

Saída (trecho)

Revisão de Privacidade (Status Incerto)

Primeiro: A HIPAA geralmente se aplica se você fatura convênios eletronicamente ou atua em nome de uma entidade coberta. Se você só recebe em dinheiro e nunca transmite faturas, pode ficar fora da HIPAA — mas as leis estaduais de privacidade ainda se aplicam.

Independentemente do status, corrija estes pontos:
1. Arquivo destrancado — Tranque todos os registros em papel que contenham informações de saúde.
2. Drive em nuvem compartilhado — Restrinja o acesso a funcionários nomeados; evite links de compartilhamento amplos.
3. Adicione um aviso de privacidade claro descrevendo como os dados dos clientes são usados.