Conformité HIPAA

ActorDO, en tant que système dorsal qui alimente l’assistant IA intelligent, est conforme à la réglementation HIPAA.

Voici tout ce que vous devez savoir sur la conformité d’Actor à la réglementation HIPAA.

Notre approche en matière de conformité à la loi HIPAA

• Politiques et procédures : Aperçu de vos politiques internes conçues pour respecter les normes HIPAA.
• Mesures de protection des données : Résumé des mesures de protection techniques (chiffrement, contrôles d’accès, journaux d’audit).
• Mesures de protection administratives : Formation des employés, évaluations des risques, rôles des responsables de la conformité.
• Mesures de protection physiques : Sécurité des centres de données, protections matérielles.

Si vous utilisez la messagerie électronique ou le calendrier en tant que l’une des entités suivantes, vous pouvez utiliser Actor en toute sécurité comme assistant IA conforme et solution conforme pour la messagerie électronique et le calendrier.

• Prestataires de soins de santé
  • Médecins 
  • Cliniques 
  • Psychologues 
  • Dentistes 
  • Chiropraticiens 
  • Maisons de retraite médicalisées 
  • Pharmacies 
  • Régime d’assurance maladie  
• Compagnies d’assurance maladie
  • Organismes de maintien de la santé (HMO) 
  • Régimes d’assurance maladie d’entreprise 
  • Régimes publics d’assurance maladie 

Politiques d’Actor en matière de conformité à la loi HIPAA

Politiques et procédures	Voir ci-dessous
Mesures de protection des données	Tout ce qui relève de la sécurité des données
Mesures de protection administratives
Mesures de protection physiques	Tout support physique des données que nous gérons est couvert par notre politique de sécurité des données

Actor protège toutes les données suivantes susceptibles de contenir des informations de santé permettant d’identifier une personne :

• Noms et dates de naissance 
• Dates relatives à la naissance ou au décès d’un patient, à son calendrier de traitement, à sa maladie ou à ses soins médicaux 
• Coordonnées, notamment les numéros de téléphone, les adresses postales et les adresses e-mail. 
• Numéros de sécurité sociale 
• Numéros de dossier médical 
• Photographies et images numériques 
• Empreintes digitales et enregistrements vocaux 
• Toute autre forme d’identifiant unique ou de numéro de compte 

Si l’une de ces informations est accessible dans le contenu des e-mails lus par Actor, les processus suivants sont en place.

ACTOR ne stocke aucune donnée sur ses serveurs ou dans ses bases de données. Nous récupérons les données, les traitons en mémoire, puis les supprimons immédiatement. Ne pas conserver les données est la méthode la plus sûre pour garantir la conformité.
ACTOR n’utilise pas les données pour entraîner des modèles d’IA ou d’apprentissage automatique. Les données ne sont utilisées pour entraîner aucun modèle d’apprentissage automatique ou d’IA, qu’il soit interne ou fourni par un tiers.
ACTOR ne permet à aucun être humain d’accéder au contenu de vos e-mails.. Notre équipe de développement ou commerciale ne peut en aucun cas accéder au contenu de vos e-mails.

Accord de partenariat commercial (BAA)

En tant que fournisseur SaaS conforme à la réglementation HIPAA, nous comprenons le rôle essentiel que joue le Business Associate Agreement (BAA) dans le maintien de la conformité aux règles HIPAA.

Si cela est une exigence pour votre entreprise, nous pouvons signer un accord précisant nos responsabilités en matière de protection de vos renseignements médicaux protégés (PHI) et garantissant que les deux parties respectent les exigences de la loi HIPAA.

Notre engagement

• Nous signons un BAA avec toutes les entités couvertes et les partenaires commerciaux qui utilisent notre solution SaaS et traitent des renseignements médicaux protégés.
• Notre BAA comprend toutes les clauses requises par la loi HIPAA et est conforme aux dernières normes réglementaires.
• Nous appliquons rigoureusement les politiques et les mesures de contrôle décrites dans le BAA afin de protéger vos données.
• Nous veillons à ce que tous les sous-traitants et tiers susceptibles d’avoir accès aux PHI respectent également la HIPAA au moyen d’accords similaires.

Comment demander un BAA

• Contactez simplement notre équipe d’assistance ou de conformité à l’adresse alex@actordo.com
• Nous vous fournirons un modèle de BAA pour examen et signature.
• Les BAA sont disponibles avec les offres professionnelles d’Actor.
• Une fois signé, le BAA sera intégré à votre contrat client, assurant ainsi une protection juridique aux deux parties.

Aperçu de la conformité à la loi HIPAA 

Les audits de conformité à la loi HIPAA peuvent être difficiles et perturber une journée de travail ordinaire. Voici quelques questions auxquelles vous pouvez répondre à l’avance pour mieux comprendre ce à quoi vous pourriez être confronté lors d’un audit de conformité à la loi HIPAA : 

• Qui a accès aux PHI/ePHI ? 
  • Personne. Aucune donnée de vos e-mails ou de votre calendrier n’est stockée sur nos systèmes.
    
• Vérifiez-vous régulièrement les autorisations afin qu’elles restent à jour ? 
  • Oui
    
• Êtes-vous sûr à 100 % qu’aucune ePHI n’a été enregistrée à votre insu ? 
  • Oui. Ne stocker aucune donnée est la première et la meilleure façon d’assurer la conformité.
    
• Pouvez-vous facilement identifier toute activité sur les fichiers contenant des ePHI ? 
  • Nous enregistrons toutes les actions des utilisateurs susceptibles de donner accès aux ePHI.
    
• Suivez-vous les pratiques de sécurité standard ?
  • Absolument. Les mesures de contrôle techniques et de sécurité des données sont présentées ici

Politiques et procédures internes

Nous appliquons des politiques et des procédures exhaustives qui garantissent le respect continu de la réglementation HIPAA, notamment :

• Évaluations des risques : Évaluations régulières visant à repérer et à atténuer les vulnérabilités potentielles qui affectent les informations de santé protégées (PHI).
• Contrôles d’accès : Protocoles stricts définissant les personnes autorisées à accéder aux PHI selon leur poste et leurs responsabilités.
• Gestion des incidents : Processus définis pour détecter les incidents de sécurité ou les violations, les signaler et y répondre.
• Formation du personnel : Formation obligatoire à la conformité HIPAA pour l’ensemble du personnel afin de renforcer la sensibilisation à la confidentialité et à la sécurité des données.
• Normes de traitement des données : Directives claires pour collecter, stocker, transmettre et éliminer les PHI de manière sécurisée tout au long de leur cycle de vie.

Nos politiques sont régulièrement examinées et mises à jour afin de tenir compte des évolutions réglementaires et des meilleures pratiques du secteur.

Mesures de protection administratives

Nos mesures de protection administratives garantissent que le respect de la loi HIPAA est intégré aux activités quotidiennes grâce à :

• Responsable de la conformité dédié : Chargé de superviser le respect des exigences HIPAA et de coordonner les activités de conformité. Voir les coordonnées.
• Formation et sensibilisation du personnel : Programmes de formation réguliers pour informer l’ensemble du personnel des exigences HIPAA et des bonnes pratiques en matière de protection des données.
• Gestion des accès : Procédures visant à attribuer, à réexaminer et à révoquer les accès des utilisateurs en fonction de leurs rôles et de leurs fonctions.
• Gestion des risques : Évaluations continues des risques et plans d’atténuation pour remédier aux vulnérabilités liées aux données de santé protégées (DSP).
• Plan de réponse aux incidents : Des protocoles établis permettent de gérer et de signaler rapidement les incidents de sécurité ou les violations de données.
• Gestion des partenaires commerciaux : Procédures d’évaluation et de suivi des prestataires tiers afin de vérifier leur conformité à la loi HIPAA, notamment au moyen d’accords officiels tels que les contrats de partenariat commercial (BAA).

Ces contrôles administratifs constituent le fondement de notre engagement à protéger vos données de santé sensibles.

Droits des utilisateurs et traitement des données

Nous prenons très au sérieux les droits que vous confère la loi HIPAA et avons mis en place des politiques et des procédures strictes afin que vos renseignements médicaux protégés (PHI) soient traités avec le plus grand soin et dans le respect des exigences applicables.

Accès, modification et portabilité

• Droit d’accès : Les utilisateurs autorisés ont le droit d’accéder à tout moment aux données de santé protégées (DSP) les concernant qui sont stockées dans notre système, ce qui leur garantit transparence et maîtrise de leurs données de santé personnelles.
• Droit de rectification : Les utilisateurs peuvent demander la correction ou la mise à jour de leurs données de santé protégées (DSP) s’ils estiment que les informations sont inexactes ou incomplètes, contribuant ainsi à préserver l’intégrité des données.
• Portabilité des données : Sur demande, nous fournissons aux utilisateurs une copie sécurisée de leurs données de santé protégées (DSP), dans un format lisible par machine, afin qu’ils puissent facilement les transférer vers d’autres systèmes ou prestataires conformes à la loi HIPAA.

Conservation et élimination des données

• Les données de santé protégées (DSP) que nous stockons ne peuvent être conservées qu’à des fins précises dans :
  • Prompts personnalisés pour Actor
  • Connaissances et contexte personnalisés que vous fournissez
• Nous conservons les éventuelles informations de santé protégées (PHI) uniquement pendant la durée requise par la loi HIPAA et les lois applicables, ou conformément à nos contrats de service.
  • Nous fournissons des notifications et des messages pour vous rappeler de ne pas saisir de données PHI.
• Lorsque les données PHI ne sont plus nécessaires, nous supprimons ou anonymisons les données de manière sécurisée afin d’empêcher tout accès ou toute divulgation non autorisés.
• Nos procédures d’élimination des données sont conformes aux normes HIPAA et aux meilleures pratiques du secteur afin de garantir la destruction complète des informations sensibles.

Notification des violations et réponse aux incidents

• Dans le cas peu probable d’une violation de données impliquant des PHI, nous disposons d’un plan complet de réponse aux incidents afin d’enquêter rapidement et de circonscrire la violation.
• Nous informerons les clients concernés et les autorités compétentes conformément aux exigences de notification des violations prévues par la loi HIPAA et dans les délais impartis.
• Notre équipe de sécurité analyse les causes profondes et met en œuvre des mesures correctives pour prévenir de futurs incidents.

Formation à la confidentialité et à la sécurité

• Tous les employés et sous-traitants ayant accès aux PHI suivent une formation HIPAA obligatoire axée sur la confidentialité, les pratiques de sécurité et la prévention des violations.
• Une formation continue permet à notre équipe de se tenir au courant des changements réglementaires et des nouvelles menaces.

Pour rappel, Actor ne stocke aucun contenu de courriel sur ses serveurs.

Votre vie privée, notre priorité

En choisissant la plateforme ActorDO, vous nous confiez des informations de santé sensibles. Nous nous engageons pleinement à protéger vos droits à la vie privée et à respecter toutes les exigences de la loi HIPAA.

Contact et assistance

Nos coordonnées pour toute question relative à la loi HIPAA (courriel, téléphone)

• alex@actordo.com
• (+41) 764 65 67 65