HIPAA y datos de salud

Cuándo aplica HIPAA

HIPAA aplica a las entidades cubiertas —la mayoría de proveedores de salud y aseguradoras— y a sus asociados comerciales. Una app de bienestar directa al consumidor no queda cubierta automáticamente.

Cuando usas NurturaCare a través de una clínica, hospital o aseguradora, actuamos como asociado comercial de esa organización para la información de salud protegida que tratamos por su cuenta, bajo un acuerdo firmado.

Cuando te registras directamente como consumidora, HIPAA normalmente no aplica a tu cuenta, pero sí puede aplicar la FTC Health Breach Notification Rule, y nuestros compromisos de seguridad y privacidad se te aplican igual.

Qué significa en la práctica

Diseñamos la arquitectura para que un despliegue regulado por HIPAA sea una configuración, no una reescritura.

• Cifrado en tránsito y en reposo, con cifrado a nivel de campo para datos de salud en texto libre.
• Control de acceso por roles, mínimo privilegio y MFA obligatorio para cuentas del personal.
• Un registro de auditoría de solo escritura de cada acceso a datos de las personas usuarias, protegido por un disparador de base de datos.
• Seguridad a nivel de fila que aplica el aislamiento entre organizaciones en la base de datos, no solo en el código.
• Procedimientos documentados de respuesta a incidentes, investigación de brechas y notificación.
• Acuerdos de asociado comercial con cada proveedor que pueda tratar información de salud protegida.

Notificación de brechas

Mantenemos procedimientos de clasificación, investigación y notificación de incidentes que cubren tanto la notificación de brechas de HIPAA como la FTC Health Breach Notification Rule, junto con la retención de evidencias y las obligaciones de los proveedores.

Esto no es asesoramiento legal

Esta página describe nuestra postura técnica y operativa. Si HIPAA aplica a un despliegue concreto es una determinación legal que se toma con asesoría jurídica.