インテリジェントAIアシスタントを支えるバックエンドシステムであるActorDOは、 HIPAAに準拠しています。

ActorのHIPAA準拠について、 知っておきたいことをご紹介します。

当社のHIPAA遵守への取り組み

  • ポリシーと手順： HIPAA基準を満たすために策定された社内ポリシーの概要。
  • データ保護対策： 技術的な安全対策（暗号化、アクセス制御、監査ログ）の概要。
  • 管理上の保護措置： 従業員研修、リスク評価、コンプライアンス担当者の役割。
  • 物理的な保護措置： データセンターのセキュリティ、ハードウェアの保護。

以下のいずれかの立場でメールやカレンダーを利用している場合、準拠したAIアシスタントおよびメール・カレンダーソリューションとしてActorを安心してご利用いただけます。

  • 医療提供者
    • 医師 
    • 診療所 
    • 心理士 
    • 歯科医 
    • カイロプラクター 
    • 介護施設 
    • 薬局 
    • 医療保険プラン  
  • 医療保険会社
    • HMO（健康維持機構） 
    • 企業の医療保険プラン 
    • 政府が提供する医療保険プラン 

ActorのHIPAA遵守方針

ポリシーと手順以下をご覧ください
データ保護対策データセキュリティに関するすべて
管理上の安全対策
物理的な安全対策当社が管理するデータを支える物理的な設備はすべて、当社の データセキュリティポリシー

Actorは、個人を特定できる可能性のある以下の健康情報を保護します。

  • 氏名と生年月日 
  • 患者の出生、死亡、治療スケジュール、または病気や医療に関する日付 
  • 電話番号、住所、メールアドレスなどの連絡先情報。 
  • 社会保障番号 
  • 医療記録番号 
  • 写真およびデジタル画像 
  • 指紋および音声録音 
  • その他の固有識別情報または口座番号 

Actorが読み取るメールの内容にこれらの情報が含まれる場合、以下のプロセスが適用されます。

ACTORは、当社のサーバーやデータベースにデータを保存しません。 データを取得してメモリ上で処理し、直ちに破棄します。データを保存しないことが、コンプライアンスを維持する最も安全な方法です。
ACTORは、AI／機械学習モデルのトレーニングにデータを使用しません。 データは、社内外を問わず、いかなる機械学習／AIモデルのトレーニングにも使用されません。
ACTORは、いかなる人にもお客様のメール内容へのアクセスを許可しません。. 当社の開発チームや事業チームがメールの内容にアクセスすることはできません。

業務提携契約（BAA）

HIPAA準拠のSaaSプロバイダーとして、HIPAA規制への準拠を維持するうえで、業務提携契約（BAA）が重要な役割を果たすことを理解しています。

事業上必要な場合は、当社の責任を明確にし、保護対象保健情報（PHI）の保護と双方のHIPAA要件の遵守を定めた契約を締結できます。

当社の取り組み

  • 当社は 業務提携契約（BAA）を締結します 当社のSaaSソリューションを利用し、保護対象保健情報（PHI）を取り扱うすべての対象事業体およびビジネスアソシエイトと
  • 当社のBAAには、必要なHIPAA条項がすべて含まれており、最新の規制基準に準拠しています。
  • お客様のデータを保護するため、BAAに記載された方針と管理策を厳格に適用しています。
  • PHIにアクセスする可能性のあるすべての下請業者および第三者にも、同様の契約を通じてHIPAAを遵守するよう徹底しています。

BAAの申請方法

  • サポートチームまたはコンプライアンスチームまでご連絡ください。連絡先は alex@actordo.com
  • ご確認・ご署名いただけるよう、BAAのテンプレートをお送りします。
  • ActorのビジネスプランではBAAをご利用いただけます。
  • 締結後、BAAはお客様との契約に組み込まれ、双方を法的に保護します。

HIPAA遵守の概要 

HIPAA遵守監査は、通常の業務を妨げ、負担となることがあります。HIPAA遵守監査で直面する可能性のあることを把握するために、事前に確認しておける質問をいくつかご紹介します。 

  • PHI/ePHIにアクセスできるのは誰ですか？ 
    • 誰もアクセスできません。お客様のメールやカレンダーのデータは、当社のシステムに保存されていません。
  • 権限を定期的に監査し、最新の状態に保っていますか？ 
    • はい。
  • 把握していないePHIが保存されていないと、100%確信できますか？ 
    • はい。データを一切保存しないことが、コンプライアンスを遵守するための最初の、そして最善の方法です。
  • ePHIに関するすべてのファイル操作をすぐに特定できますか？ 
    • ePHIへのアクセスにつながる可能性のあるユーザー操作は、すべて記録しています。
  • 標準的なセキュリティ対策に従っていますか？

社内ポリシーおよび手順

当社は、HIPAA規制への継続的な遵守を確実にするため、以下を含む包括的な方針と手順を整備しています。

  • リスク評価： 保護対象保健情報（PHI）に影響を及ぼす可能性のある脆弱性を特定し、軽減するための定期的な評価。
  • アクセス制御： 職務上の役割と責任に基づいて、誰がPHIにアクセスできるかを定めた厳格な手順。
  • インシデント管理： セキュリティインシデントや情報漏えいの検知、報告、対応に関する明確なプロセス。
  • 従業員研修： データのプライバシーとセキュリティに対する意識を高めるため、全スタッフにHIPAA遵守の必須研修を実施。
  • データ取り扱い基準： PHIのライフサイクル全体を通じて、安全に収集、保管、送信、廃棄するための明確なガイドライン。

規制の変更や業界のベストプラクティスを反映するため、当社の方針は定期的に見直し、更新しています。

管理上の安全対策

当社の管理的安全対策では、以下を通じてHIPAA遵守を日々の業務に組み込んでいます。

  • 専任のコンプライアンス担当者： HIPAAの遵守状況を監督し、コンプライアンス関連の活動を調整します。連絡先情報をご覧ください。
  • 従業員のトレーニングと啓発： HIPAAの要件とデータ保護のベストプラクティスについて全従業員に周知するための定期的な研修プログラム。
  • アクセス管理： 役割や職務に応じて、ユーザーアクセスを付与、見直し、取り消すための手順。
  • リスク管理： PHIに関連する脆弱性に対処するための継続的なリスク評価と軽減計画。
  • インシデント対応計画： セキュリティインシデントや情報漏えいを迅速に管理・報告するための手順を定めています。
  • ビジネスアソシエイトの管理： BAAなどの正式な契約を含め、HIPAAへの準拠状況について、サードパーティベンダーを評価・監視するプロセス。

これらの管理体制は、お客様の機微な健康情報を保護するという当社の取り組みの基盤です。

ユーザーの権利とデータの取り扱い

当社はHIPAAに基づくお客様の権利を非常に重視し、保護対象保健情報（PHI）を最高水準の注意と法令遵守のもとで取り扱うため、厳格な方針と手順を導入しています。

アクセス、変更、移行

  • アクセス権： 認可されたユーザーは、当社のシステムに保存されている自身のPHIにいつでもアクセスでき、個人の健康データに対する透明性と管理権を確保できます。
  • 訂正権： 情報が不正確または不完全だと考える場合、ユーザーは自身のPHIの訂正や更新を申請できます。これにより、データの完全性を維持できます。
  • データポータビリティ： 申請に応じて、ユーザーに自身のPHIの安全な機械可読形式のコピーを提供し、HIPAA準拠の他のシステムや医療提供者への移行を容易にします。

データの保持と廃棄

  • 当社が保存するPHIは、目的に応じて以下に限り保存されます：
    • カスタムのActorプロンプト
    • お客様が提供するカスタムのデータ、ナレッジ、コンテキスト
  • 当社は、HIPAAおよび適用法令で求められる期間、またはサービス契約に定められた期間に限り、PHIを保持します。
    • 入力されたデータにPHIが含まれないよう、通知やメッセージを表示します。
  • PHIが不要になった場合、不正アクセスや情報開示を防ぐため、データを安全に削除または匿名化します。
  • 機密情報を完全に破棄できるよう、当社のデータ廃棄プロセスはHIPAA基準および業界のベストプラクティスに準拠しています。

情報漏えいの通知とインシデント対応

  • PHIに関わるデータ侵害が発生する可能性は極めて低いものの、万一に備えて包括的なインシデント対応計画を策定し、迅速に調査して侵害を封じ込めます。
  • HIPAAのデータ侵害通知要件に従い、義務付けられた期限内に、影響を受けるお客様および関係当局に通知します。
  • 当社のセキュリティチームは根本原因を分析し、再発防止のための是正措置を講じます。

機密保持とセキュリティに関する研修

  • PHIにアクセスできるすべての従業員および委託先は、機密保持、セキュリティ対策、侵害防止に関するHIPAA必須研修を受講します。
  • 継続的な教育を通じて、チームが規制の変更や新たな脅威に関する最新情報を把握できるようにしています。

念のためお知らせしますが、Actorはメールの内容を自社サーバーに保存しません。

お客様のプライバシーを最優先に

ActorDOプラットフォームを選択されることで、お客様は機微な健康情報を当社に託すことになります。当社は、お客様のプライバシーに関する権利を守り、HIPAAのすべての義務を遵守することに全力で取り組んでいます。

お問い合わせ・サポート

HIPAAに関するお問い合わせ先（メール、電話）

  • alex@actordo.com
  • (+41) 764 65 67 65