Seguridad HIPAA
Seguridad y HIPAA: cómo EzPraxis protege sus datos.
Las preguntas que hará su responsable de cumplimiento, respondidas con las salvaguardas que EzPraxis realmente tiene: dónde están los datos, quién los ve, qué queda registrado y el acuerdo BAA.
HIPAA y EzPraxis.
No existe una certificación oficial de HIPAA para software, y el cumplimiento depende de cómo trabaja cada consultorio, no solo de los sistemas que usa. Lo que un proveedor puede hacer es ofrecer las salvaguardas y el Acuerdo de Socio Comercial (BAA) que exige HIPAA. Esto es lo que ofrece EzPraxis.
Alojado en AWS en Estados Unidos
La aplicación funciona en Amazon Web Services en EE. UU.: Amazon ECS para la aplicación, una base de datos SQL Server, Amazon S3 para los documentos, Amazon Cognito para el inicio de sesión del personal y Amazon SES para el correo. Cada consultorio nuevo recibe su propia base de datos aislada.
Cifrado en tránsito
Todas las conexiones usan HTTPS, con HSTS para que el navegador nunca vuelva a una conexión sin cifrar.
Acceso por roles
Ocho roles predefinidos y unos 95 permisos, cada uno limitado a los clientes del propio usuario, a sus supervisados o a todo el consultorio, y asignado por sede. Una persona puede tener varios roles.
Verificación en dos pasos para el personal
El personal puede confirmar su inicio de sesión con una aplicación de autenticación o con un código enviado por correo. Las sesiones se cierran solas tras un tiempo de inactividad.
Un registro de auditoría que hace visible cualquier alteración
El registro de actividad guarda los cambios campo por campo (antes y después), los accesos a expedientes y documentos de clientes, las impresiones y exportaciones, los inicios y cierres de sesión, y la configuración de la verificación en dos pasos. Solo admite añadir registros, va encadenado con hashes y se conserva siete años antes de archivarse. Los administradores ven la actividad de todos; los demás usuarios, la suya.
Acceso al portal del cliente
Los clientes entran al portal con un enlace seguro que vence y una verificación de fecha de nacimiento, y cada pago requiere un código de un solo uso enviado por correo. Las sesiones del portal se cierran tras 15 minutos de inactividad.
Exportaciones cuidadosas
Las exportaciones llegan como PDF en un solo archivo ZIP que puede protegerse con contraseña, y la descarga vence a las 48 horas. Las notas de psicoterapia quedan fuera salvo que usted las incluya, con una advertencia de autorización HIPAA.
Pagos con tarjeta a través de Stripe
Con el complemento Client Payments, Stripe procesa los pagos con tarjeta a través de la propia cuenta de Stripe de su consultorio.
Su Acuerdo de Socio Comercial.
EzPraxis ofrece un Acuerdo de Socio Comercial (BAA, Business Associate Agreement) estándar, que el consultorio acepta al registrarse o al iniciar sesión. Está publicado en la aplicación (en inglés) y enlazado en cada correo del sistema. Entre sus términos:
- Aviso de una brecha a su consultorio en un plazo de 72 horas, o de 48 horas si afecta notas de psicoterapia, expedientes de trastornos por consumo de sustancias o a 500 personas o más.
- Al terminar el servicio, 30 días para exportar sus datos y, después, su destrucción según NIST 800-88, con un certificado.
Para su responsable de cumplimiento.
Un resumen para comenzar su revisión. Para cualquier punto que no aparezca aquí, escríbanos. sales@ezpraxis.com
| Área | Lo que hace EzPraxis |
|---|---|
| Alojamiento | Amazon Web Services, Estados Unidos |
| Separación de datos | Una base de datos aislada para cada consultorio nuevo |
| Cifrado en tránsito | HTTPS con HSTS |
| Inicio de sesión del personal | Amazon Cognito, con verificación en dos pasos por aplicación de autenticación o código por correo |
| Control de acceso | Por roles: 8 roles predefinidos, unos 95 permisos, asignados por sede |
| Registro de auditoría | Solo añade registros, encadenado con hashes; 7 años y luego se archiva |
| Cierre automático de sesión | Sesiones del personal y del portal del cliente (15 minutos) |
| Portal del cliente | Enlace seguro que vence, verificación de fecha de nacimiento, código de un solo uso antes de pagar |
| Exportaciones | PDF en un ZIP, con contraseña opcional; el enlace vence a las 48 horas |
| BAA | Acuerdo estándar, aceptado al registrarse o iniciar sesión |
| Aviso de brecha (según el BAA) | 72 horas; 48 horas para notas de psicoterapia, expedientes de consumo de sustancias o 500+ personas |
Preguntas de seguridad.
¿EzPraxis cumple con HIPAA?
No existe una certificación oficial de HIPAA para software, y el cumplimiento también depende de cómo trabaja cada consultorio. EzPraxis le ofrece las salvaguardas: un Acuerdo de Socio Comercial (BAA), alojamiento en AWS en EE. UU., cifrado en tránsito, acceso por roles, verificación en dos pasos para el personal y un registro de auditoría que hace visible cualquier alteración.
¿EzPraxis ofrece un BAA?
Sí. El Acuerdo de Socio Comercial de EzPraxis es un acuerdo estándar que el consultorio acepta al registrarse o al iniciar sesión, y puede leerlo en la aplicación (en inglés).
¿Dónde se guardan nuestros datos?
En Estados Unidos, en Amazon Web Services.
¿Nuestros datos están separados de los de otros consultorios?
Cada consultorio nuevo recibe su propia base de datos aislada.
¿El personal puede usar verificación en dos pasos?
Sí, con una aplicación de autenticación o con un código enviado por correo.
¿EzPraxis registra quién vio el expediente de un cliente?
Sí. El registro de actividad guarda los accesos a expedientes y documentos de clientes, además de los cambios, impresiones, exportaciones e inicios de sesión.
Vea EzPraxis con su propio flujo de trabajo.
Solicite una demostración y nuestro equipo le mostrará la agenda, la documentación y la facturación en EzPraxis.