Tudo o que vale a pena saber, nada do que não vale.
Quando o envio de mensagens aciona a HIPAA
Três padrões. Um lembrete de consulta que menciona a clínica especializada ("a sua consulta de cardiologia") — Informação de Saúde Protegida (PHI). Uma notificação de resultado de exame ("os seus resultados de exames estão prontos") — PHI. Um aviso de retirada de receita ("a sua receita de Lipitor está na farmácia X") — PHI. Um lembrete genérico de consulta ("consulta amanhã às 15h") sem menção à especialidade pode ser considerado como não sendo PHI, mas a maioria das equipas de compliance o trata como PHI por segurança.
Acordo de Parceiro Comercial (BAA)
Qualquer fornecedor que processe PHI em nome de uma entidade coberta é um Business Associate. O Business Associate Agreement é obrigatório — sem ele, a entidade coberta estará em violação no momento em que enviar uma única mensagem contendo PHI através do fornecedor. Se você planeia enviar PHI, consulte-nos sobre os seus requisitos HIPAA primeiro; a disponibilidade de BAA é confirmada durante a contratação.
Requisitos de encriptação
A Norma de Segurança exige encriptação em trânsito e em repouso para informações de saúde protegidas (PHI). Os corpos das mensagens SMS entre um servidor SMS e o aparelho não são encriptados de ponta a ponta (o caminho OTA é controlado pela operadora e confidencial, mas não encriptado no sentido exigido pelo GDPR/HIPAA). Orientações do HHS: SMS é aceitável para PHI de acordo com a HIPAA, desde que o paciente tenha sido informado sobre a natureza não encriptada das mensagens e tenha dado o seu consentimento. Para maior confidencialidade, utilize o WhatsApp (encriptação de ponta a ponta) ou notificações push para um portal do paciente compatível com a HIPAA.
Notificação de violação
Em caso de violação de PHI (Informações de Saúde Protegidas), você deve notificar o paciente em até 60 dias, o HHS (Departamento de Saúde e Serviços Humanos dos EUA) em até 60 dias (ou imediatamente em casos de violações envolvendo mais de 500 pacientes) e, possivelmente, o conteúdo multimédia local. O CPaaS (Plataforma de Comunicação como Serviço) deve notificar a entidade coberta com rapidez suficiente para que ela possa cumprir o prazo de 60 dias. O nosso SLA (Acordo de Nível de Serviço) de resposta a incidentes para contas HIPAA é de 4 horas para notificação inicial e investigação completa da causa raiz em até 14 dias.