Cómo Sefton maneja la PHI
Confianza y seguridad
Cómo Sefton protege tus datos. Operado por Sefton Health, Inc.
Nuestro papel bajo HIPAA
Sefton está diseñado para apoyar el cumplimiento de HIPAA. Para la información médica protegida (PHI), Sefton Health, Inc. actúa como Asociado Comercial de tu consultorio (la entidad cubierta), bajo un Acuerdo de Asociado Comercial firmado. Tu consultorio controla la PHI de los pacientes; nosotros la procesamos únicamente para prestar el servicio.
Salvaguardas
- Cifrado en tránsito y en reposo
- Controles de acceso con privilegio mínimo; aislamiento por inquilino
- Opciones de autenticación multifactor y con passkey (WebAuthn)
- Registro de auditoría consciente de la PHI y respuesta a incidentes
- Gestión de secretos y encabezados de seguridad / controles de origen
Nuestro compromiso sobre la IA y tus datos
No vendemos tu información y no usamos PHI para entrenar, ajustar ni mejorar ningún modelo de IA o de aprendizaje automático — propio o de terceros, de propósito general o específico — salvo únicamente para entregar a tu propio consultorio la función que solicitaste. Este es uncompromiso contractual e irrenunciable dentro de nuestro Acuerdo de Asociado Comercial, no solo una declaración de política. Las funciones de IA brindan apoyo administrativo únicamente; tu clínico revisa y es responsable de cada nota y cada código.
Subprocesadores (que manejan PHI)
Estos proveedores procesan PHI para prestar el servicio y operan bajo Acuerdos de Asociado Comercial firmados:
| Subprocesador | Alcance | BAA |
|---|---|---|
| Proveedor de infraestructura en la nube | Alojamiento apto para HIPAA, ejecución con PHI y procesamiento de IA/medios cuando está activado | Firmado |
| Claim.MD | Clearinghouse y ERA / remesas | Firmado |
Proveedores fuera del alcance clínico
Los proveedores de notificaciones push, identidad de inicio de sesión y control de código fuente se mantienen deliberadamente fuera del alcance de la PHI — sus datos no contienen ningún expediente, nota, diagnóstico ni detalle de visita del paciente.
Los pagos son el único punto donde los datos del propio paciente llegan a un tercero, y lo decimos con claridad. El pago del paciente se cobra en la página alojada del procesador de pagos, así que el paciente ingresa su nombre y su tarjeta directamente con ese procesador; Sefton nunca guarda una tarjeta. Lo que Sefton envía junto con un pago es una referencia interna al expediente del paciente y de la reclamación — nunca una nota, un diagnóstico ni un detalle de la visita. El inventario completo de proveedores está disponible para clientes bajo NDA, previa solicitud.
Aviso de cambios
Actualizaremos esta página y daremos aviso por medios razonables antes de agregar un nuevo subprocesador que maneje PHI.
Certificaciones
Actualmente no contamos con certificaciones de seguridad de terceros, y no exageramos el estado de nuestras certificaciones. La documentación de seguridad disponible puede compartirse bajo acuerdo de confidencialidad con los clientes que la soliciten.
Cómo reportar una inquietud
Preguntas o reportes de seguridad: privacy@sefton.health. Si crees que se han vulnerado tus derechos de privacidad, también puedes comunicarte con tu proveedor de salud (la entidad cubierta) o con la Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos de los Estados Unidos.