Seguridad

Sefton es operado por Sefton Health, Inc. y está diseñado para apoyar el cumplimiento de HIPAA. En lo que respecta a la PHI, Sefton Health, Inc. actúa como Socio Comercial del proveedor de atención médica (la Entidad Cubierta) y firma un Acuerdo de Socio Comercial (BAA) con los clientes cubiertos. Procesamos la Información de Salud Protegida (PHI) únicamente para prestar y dar soporte al Servicio.

• Cifrado en tránsito y en reposo para la PHI.
• Control de acceso basado en roles con acceso de mínimo privilegio.
• Opciones de autenticación multifactor y con passkey/WebAuthn.
• Aislamiento de inquilinos entre las prácticas de los clientes.
• Registro de auditoría consciente de la PHI sobre el acceso a los registros.
• Gestión de secretos, encabezados de seguridad y controles de origen.

El Servicio está alojado en Amazon Web Services (AWS) en una configuración elegible para HIPAA bajo un Acuerdo de Socio Comercial firmado. Los datos se procesan en los Estados Unidos.

Los subprocesadores que manejan PHI operan bajo Acuerdos de Socio Comercial firmados (actualmente AWS y Optum). Los proveedores de pagos (Stripe), notificaciones push, identidad y control de versiones se mantienen fuera del alcance de la PHI.

Para consultas sobre el BAA o el cumplimiento de HIPAA, escriba a compliance@sefton.health.

Mantenemos procedimientos de respuesta a incidentes y notificación de brechas conformes con HIPAA. En caso de una brecha de PHI no asegurada, notificamos a los proveedores afectados sin demora injustificada para que puedan cumplir con sus propias obligaciones de notificación como Entidad Cubierta.

Como Entidad Cubierta, su práctica es responsable de proteger las credenciales de la cuenta, gestionar el acceso de los usuarios, configurar opciones de seguridad como la autenticación multifactor y obtener los consentimientos de los pacientes requeridos para su uso del Servicio.