HIPAA et données de santé
L’évaluation, l’entente et les mesures requises avant d’utiliser un déploiement MigiHub pour des données de santé régies par HIPAA.
Sur cette page
1. Confirmer l’usage avant de transmettre des données de santé
Les obligations HIPAA et HITECH dépendent du rôle des parties et des renseignements concernés. MigiHub peut être évaluée pour des processus de planification et de services liés à la santé, mais un abonnement général ou le présent avis n’autorise pas le téléversement de renseignements de santé protégés (« PHI »).
Avant de traiter des PHI, confirmez les services couverts, le déploiement, les intégrations permises, les exigences de sécurité et un accord de partenaire commercial (« BAA ») signé applicable avec InnuCloud. D’autres lois sur la vie privée peuvent également encadrer les obligations de santé d’une organisation canadienne.
2. Rôles et portée contractuelle
Lorsque la définition légale est remplie, InnuCloud agit comme partenaire commercial ou sous-traitant d’un partenaire commercial pour les PHI traitées au nom d’une entité couverte ou d’un autre partenaire. Le BAA précise les utilisations, communications, protections, déclarations et modalités de restitution ou suppression.
Les activités du site et d’administration commerciale d’InnuCloud sont évaluées séparément. Le BAA d’un fournisseur ou ses documents de conformité infonuagique ne couvrent pas automatiquement tous les processus MigiHub ni toutes les intégrations externes.
3. Renseignements minimaux nécessaires
Une réservation, une coordonnée liée à un patient, un lieu de rendez-vous, une pièce jointe ou une feuille de temps peut contenir des PHI selon le contexte. Évitez les diagnostics, dossiers cliniques, identifiants gouvernementaux et détails inutiles dans les champs libres et notifications. Utilisez des codes de référence et des champs à accès restreint lorsque cela convient.
Une dépersonnalisation revendiquée au titre de HIPAA exige une méthode reconnue. Retirer uniquement le nom ne suffit pas. Évaluez les exigences Safe Harbor ou Expert Determination avant de considérer un jeu de données comme dépersonnalisé.
4. Protections et responsabilités partagées
L’évaluation porte sur l’identification unique, le moindre privilège, les options d’authentification et de connexion unique, le chiffrement, la traçabilité, la surveillance, les sauvegardes et la reprise, les incidents et les vulnérabilités. Les contrôles exacts et responsabilités sont documentés pour le déploiement couvert.
Le client gère ses utilisateurs, la formation de son personnel, sa propre analyse de risques, les communications licites et la conservation. Les sous-traitants qui traitent des PHI doivent être liés par les modalités appropriées. Les connexions facultatives de messagerie, vidéo, IA ou autres doivent être évaluées avant de recevoir des PHI.
5. Incidents et assurance
Lorsqu’elle agit comme partenaire commercial, InnuCloud signale les incidents et violations selon le BAA et la loi applicable, sans retard déraisonnable, et fournit les renseignements disponibles pour soutenir l’évaluation et les avis du client. Le BAA précise les exigences opérationnelles de déclaration.
Le HHS ne reconnaît pas les « certifications HIPAA » privées comme preuve de conformité. L’assurance repose sur le BAA, l’analyse de risques, les protections documentées et leur application continue. Contactez info@innucloud.com pour discuter de l’usage prévu avant de transmettre des PHI.