HIPAA-Konformität

ActorDO, als das Backend-System, das den intelligenten KI-Assistenten antreibt, ist HIPAA-konform.

Hier finden Sie alles, was Sie wissen müssen über Actors HIPAA-Konformität.

Unser Ansatz zur HIPAA-Compliance

• Richtlinien und Verfahren: Überblick über Ihre internen Richtlinien, die darauf ausgelegt sind, HIPAA-Standards zu erfüllen.
• Maßnahmen zum Datenschutz: Zusammenfassung technischer Schutzmaßnahmen (Verschlüsselung, Zugriffskontrollen, Prüfprotokolle).
• Administrative Schutzmaßnahmen: Mitarbeiterschulung, Risikoabschätzungen, Aufgaben von Compliance-Beauftragten.
• Physische Schutzmaßnahmen: Datencenter-Sicherheit, Hardwareschutz.

Wenn Sie E-Mail oder Kalender in einer der folgenden Rollen verwenden, können Sie Actor als Ihre konforme Lösung für KI-Assistenten, E-Mail und Kalender sicher nutzen.

• Gesundheitsdienstleister
  • Ärzte  
  • Kliniken  
  • Psychologen  
  • Zahnärzte  
  • Chiropraktiker  
  • Pflegeheime  
  • Apotheken  
  • Krankenversicherungsplan   
• Krankenkassen
  • HMOs 
  • Betriebliche Krankenversorgungspläne  
  • Von der Regierung bereitgestellte Krankenversicherungspläne  

Actor-Richtlinien zur HIPAA-Compliance

Richtlinien & Verfahren	Siehe unten
Maßnahmen zum Datenschutz	Alles unter Datensicherheit
Administrative Schutzmaßnahmen
Physische Schutzmaßnahmen	Jegliche physische Unterstützung für die Daten, die wir verwalten, ist durch unsere Datensicherheitsrichtlinie

Actor schützt jede der folgenden Daten, die möglicherweise einzeln identifizierbare Gesundheitsinformationen darstellen:

• Namen und Geburtsdaten 
• Daten im Zusammenhang mit der Geburt, dem Tod, dem Behandlungsplan oder mit der Krankheit und medizinischen Versorgung eines Patienten 
• Kontaktinformationen wie Telefonnummern, physische Adressen und E-Mail-Adresse 
• Sozialversicherungsnummern 
• Krankenaktennummern 
• Fotografien und digitale Bilder 
• Fingerabdrücke und Sprachaufnahmen 
• Jede andere Form der eindeutigen Identifikation oder Kontonummer 

Wenn auf irgendeine dieser Informationen innerhalb von E-Mail-Inhalten zugegriffen werden kann, die Actor liest, sind die folgenden Prozesse implementiert.

ACTOR speichert keine Daten auf unseren Servern oder in unseren Datenbanken. Wir ziehen Daten, verarbeiten sie im Arbeitsspeicher und verwerfen sie sofort. Keine Daten zu speichern ist die sicherste Methode, um konform zu sein.
ACTOR verwendet Daten nicht zum Trainieren von AI/ML-Modellen. Daten werden nicht verwendet, um ML/AI-Modelle zu trainieren, weder intern noch von Drittanbietern.
ACTOR gewährt keinen Menschen Zugriff auf Ihre E-Mail-Inhalte. Es gibt keine Möglichkeit, dass unser Entwicklungs-/Geschäftsteam Zugriff auf Ihre E-Mail-Inhalte hat.

Vereinbarung mit Geschäftspartnern (BAA)

Als HIPAA-konformer SaaS-Anbieter verstehen wir die entscheidende Rolle der Business Associate Agreement (BAA) bei der Aufrechterhaltung der Einhaltung der HIPAA-Vorschriften

Falls dies für Ihr Unternehmen erforderlich ist, können wir eine Vereinbarung unterzeichnen, die unsere Verantwortlichkeiten beim Schutz Ihrer geschützten Gesundheitsinformationen (PHI) festlegt und sicherstellt, dass beide Parteien die HIPAA-Anforderungen einhalten.

Unser Engagement

• Wir eine BAA unterzeichnen mit allen Covered Entities und Business Associates, die unsere SaaS-Lösung nutzen und PHI verarbeiten
• Unsere BAA enthält alle erforderlichen HIPAA-Klauseln und entspricht den neuesten regulatorischen Standards
• Wir setzen die im BAA beschriebenen Richtlinien und Kontrollen strikt durch, um Ihre Daten zu schützen.
• Wir stellen sicher, dass alle Subunternehmer und Dritte, die möglicherweise Zugriff auf PHI haben, ebenfalls durch ähnliche Vereinbarungen HIPAA-konform sind.

So fordern Sie ein BAA an

• Kontaktieren Sie einfach unser Support- oder Compliance-Team unter alex@actordo.com
• Wir stellen Ihnen eine BAA-Vorlage zur Prüfung und Unterzeichnung zur Verfügung.
• BAAs sind für die Business-Pläne mit Actor verfügbar
• Nach Unterzeichnung wird die BAA in Ihre Kundenvereinbarung aufgenommen, um den rechtlichen Schutz beider Parteien zu gewährleisten.

Überblick zur HIPAA-Compliance 

HIPAA-Compliance-Prüfungen können schwierig sein und den normalen Arbeitstag stören. Hier sind einige Fragen, die Sie im Voraus beantworten können und die Ihnen helfen, besser zu verstehen, womit Sie bei einer HIPAA-Compliance-Prüfung rechnen müssen: 

• Wer hat Zugriff auf PHI/ePHI? 
  • Niemand. Es werden keine Daten aus Ihrer E-Mail oder Ihrem Kalender in unseren Systemen gespeichert
    
• Prüfen Sie regelmäßig Berechtigungen, damit sie aktuell und auf dem neuesten Stand sind? 
  • Ja
    
• Sind Sie sich 100% sicher, dass es keine gespeicherte ePHI gibt, von der Sie nichts wissen? 
  • Ja. Keine Daten zu speichern ist die erste und beste Methode, um konform zu sein.
    
• Können Sie alle Dateiaktivitäten, die an ePHI stattfinden, problemlos identifizieren? 
  • Wir protokollieren alle Benutzeraktionen, die möglicherweise Zugriff auf ePHI darstellen könnten.
    
• Befolgen Sie die üblichen Sicherheitspraktiken?
  • Absolut. Technische und Datensicherheitskontrollen werden hier dargestellt

Interne Richtlinien und Verfahren

Wir führen umfassende Richtlinien und Verfahren, die eine fortlaufende Einhaltung der HIPAA-Vorschriften gewährleisten, einschließlich:

• Risikobewertungen: Regelmäßige Bewertungen zur Identifizierung und Minderung potenzieller Schwachstellen, die geschützte Gesundheitsinformationen (PHI) betreffen.
• Zugriffskontrollen: Strikte Protokolle, die festlegen, wer basierend auf Aufgaben und Verantwortlichkeiten auf PHI zugreifen darf.
• Vorfallmanagement: Definierte Prozesse zur Erkennung, Meldung und Reaktion auf Sicherheitsvorfälle oder Datenschutzverletzungen.
• Mitarbeiterschulung: Verpflichtende HIPAA-Schulungen für alle Mitarbeitenden zur Stärkung des Bewusstseins für Datenschutz und Datensicherheit.
• Standards für den Umgang mit Daten: Klare Richtlinien für das sichere Erfassen, Speichern, Übermitteln und Entsorgen von PHI während des gesamten Lebenszyklus.

Unsere Richtlinien werden regelmäßig überprüft und aktualisiert, um regulatorische Änderungen und bewährte Branchenpraktiken zu berücksichtigen.

Administrative Schutzmaßnahmen

Unsere administrativen Schutzmaßnahmen stellen sicher, dass HIPAA-Compliance in den täglichen Abläufen verankert ist durch:

• Beauftragte(r) für Compliance: Verantwortlich für die Überwachung der HIPAA-Einhaltung und die Koordination von Compliance-Aktivitäten. Siehe Kontaktinformationen.
• Mitarbeitertraining und -sensibilisierung: Regelmäßige Schulungsprogramme zur Sensibilisierung aller Mitarbeitenden für HIPAA-Anforderungen und bewährte Verfahren im Datenschutz.
• Zugriffsverwaltung: Verfahren zur Zuweisung, Überprüfung und Entziehung von Benutzerzugriffen basierend auf Rollen und beruflichen Funktionen.
• Risikomanagement: Kontinuierliche Risikoanalysen und Minderungspläne zur Behebung von Schwachstellen im Zusammenhang mit PHI.
• Vorfallreaktionsplan: Es gibt festgelegte Protokolle für die umgehende Handhabung und Meldung von Sicherheitsvorfällen oder -verletzungen.
• Verwaltung von Geschäfts­partnern: Prozesse zur Bewertung und Überwachung von Drittanbietern auf HIPAA-Compliance, einschließlich formaler Vereinbarungen wie BAAs.

Diese administrativen Kontrollen bilden das Rückgrat unseres Engagements zum Schutz Ihrer sensiblen Gesundheitsdaten.

Nutzerrechte und Datenverarbeitung

Wir nehmen Ihre Rechte nach HIPAA sehr ernst und haben strenge Richtlinien und Verfahren umgesetzt, um sicherzustellen, dass Ihre geschützten Gesundheitsinformationen (PHI) mit höchster Sorgfalt und Konformität behandelt werden.

Zugriff, Änderung und Portabilität

• Zugriffsrecht: Autorisierte Benutzer haben jederzeit das Recht, auf ihre in unserem System gespeicherten PHI zuzugreifen, was Transparenz und Kontrolle über ihre persönlichen Gesundheitsdaten gewährleistet.
• Recht auf Berichtigung: Benutzer können Korrekturen oder Aktualisierungen ihrer PHI anfordern, wenn sie die Informationen für ungenau oder unvollständig halten, um die Datenintegrität zu gewährleisten.
• Datenportabilität: Auf Anfrage stellen wir Benutzern eine sichere, maschinenlesbare Kopie ihrer PHI zur Verfügung, um einen einfachen Transfer zu anderen HIPAA-konformen Systemen oder Anbietern zu ermöglichen.

Datenaufbewahrung und -entsorgung

• PHI-Daten, die wir speichern, dürfen nur mit festgelegtem Zweck gespeichert werden in:
  • benutzerdefinierte Actor-Aufforderungen
  • benutzerdefinierte Daten, Wissen & Kontext, die Sie bereitstellen
• Wir bewahren eventuell vorhandene PHI nur so lange auf, wie es nach HIPAA und geltendem Recht erforderlich ist oder wie in unseren Dienstleistungsverträgen angegeben.
  • Wir stellen Benachrichtigungen und Meldungen bereit, um sicherzustellen, dass Ihre eingefügten Daten keine PHI-Daten sind.
• Wenn PHI nicht mehr benötigt wird, löschen oder anonymisieren wir die Daten sicher, um unbefugten Zugriff oder Offenlegung zu verhindern.
• Unsere Prozesse zur Datenentsorgung entsprechen den HIPAA-Standards und den branchenüblichen Best Practices, um die vollständige Vernichtung sensibler Informationen zu gewährleisten.

Meldung von Verstößen und Vorfallreaktion

• Für den unwahrscheinlichen Fall einer Datenpanne, die PHI betrifft, haben wir einen umfassenden Incident-Response-Plan, um die Panne umgehend zu untersuchen und einzudämmen.
• Wir benachrichtigen betroffene Kunden und die zuständigen Behörden gemäß den HIPAA-Anforderungen für Meldungen von Verstößen innerhalb der vorgeschriebenen Fristen.
• Unser Sicherheitsteam führt Ursachenanalysen durch und setzt Korrekturmaßnahmen um, um zukünftige Vorfälle zu verhindern.

Vertraulichkeits- und Sicherheitsschulungen

• Alle Mitarbeitenden und Auftragnehmer mit Zugang zu PHI erhalten verpflichtende HIPAA-Schulungen mit Schwerpunkt auf Vertraulichkeit, Sicherheitspraktiken und Verhinderung von Verstößen.
• Fortlaufende Weiterbildung sorgt dafür, dass unser Team über regulatorische Änderungen und aufkommende Bedrohungen informiert bleibt.

Zur Erinnerung: Actor speichert keinerlei E-Mail-Inhalte auf seinen Servern

Ihre Privatsphäre, unsere Priorität

Wenn Sie der ActorDO-Plattform vertrauen, überlassen Sie uns sensible Gesundheitsinformationen, und wir verpflichten uns vollumfänglich dazu, Ihre Datenschutzrechte zu schützen und alle HIPAA-Vorgaben einzuhalten.

Kontakt & Support

Unsere Kontaktinformationen für HIPAA-bezogene Anfragen (E-Mail, Telefon)

• alex@actordo.com
• (+41) 764 65 67 65