Manejo cuidadoso de la información del paciente.
Los sistemas de Equinox trabajan con información de salud protegida, y eso determina cómo los construimos y cómo contratamos. Esta página describe nuestro enfoque. Para los detalles específicos que su equipo de cumplimiento necesita por escrito, pregúntenos — preferimos enviar documentación en lugar de hacer afirmaciones en una página de marketing.
Acuerdo de Asociado Comercial (BAA)
Firmamos un BAA con los consultorios antes de manejar información de salud protegida, en el que se establece cómo puede usarse, protegerse y divulgarse la PHI.
Cifrado en tránsito y en reposo
Los datos que se mueven entre sus sistemas y los nuestros se cifran en tránsito, y los datos almacenados se cifran en reposo.
Acceso de privilegio mínimo
El acceso a los sistemas de producción y a los datos de los clientes se limita a las personas cuyo rol lo requiere, y se revisa periódicamente.
Registros de auditoría
Las acciones realizadas en la plataforma quedan registradas para que su equipo pueda reconstruir qué ocurrió y cuándo.
Escalar en lugar de suponer
Cuando un sistema no puede completar una tarea con confianza — una respuesta de cobertura ambigua, una persona que llama con una solicitud inusual — marca el caso para una persona en lugar de adivinar.
Revisión humana donde importa
La documentación clínica y las sugerencias de codificación requieren revisión y aprobación del proveedor. Los documentos capturados quedan en cola para revisión del personal antes de subirse a la ficha.
Dónde corre realmente Equinox.
Todo lo que operamos está alojado en plataformas de nube importantes que admiten cargas de trabajo elegibles para HIPAA bajo un Acuerdo de Asociado Comercial — no en hardware en un clóset.
Alojado en AWS y Microsoft Azure
Los sistemas de Equinox funcionan en Amazon Web Services y Microsoft Azure. Ambos ofrecen servicios elegibles para HIPAA y firmarán un Acuerdo de Asociado Comercial que cubre los servicios sobre los que construimos, lo cual es un requisito previo para cualquier cosa que toque PHI.
Microsoft se queda dentro de su tenant
Cuando un sistema trabaja con servicios de Microsoft — las alertas de Teams que envía Nova cuando un paciente se registra, por ejemplo — opera dentro del entorno privado de Microsoft de su propia organización, bajo su tenant y el control de sus administradores, en lugar de uno que operamos nosotros en su nombre.
Seguridad de Azure activada antes del lanzamiento
Durante la incorporación trabajamos con su equipo de TI en la configuración de seguridad de Azure y confirmamos que las protecciones relevantes estén activadas en su tenant antes de que cualquier sistema entre en funcionamiento.
Como Microsoft funciona dentro de su propio entorno, sus políticas existentes de identidad, acceso y retención se aplican a él — no le pedimos que enrute información de salud protegida a través de un espacio de trabajo separado que controlemos nosotros. Su equipo de TI conserva los derechos administrativos que ya tiene.
Qué preguntarnos
Sí. Se firma un Acuerdo de Asociado Comercial antes de que manejemos información de salud protegida en su nombre. Su asesor legal puede revisarlo y proponer cambios.
En AWS y Microsoft Azure, ambos con soporte para cargas de trabajo elegibles para HIPAA bajo un Acuerdo de Asociado Comercial. Para su revisión de seguridad pondremos los detalles por escrito — qué regiones, qué servicios, qué subprocesadores, periodos de retención y controles de acceso internos — en lugar de pedirle que se base en un resumen aquí.
Funcionan dentro del entorno privado de Microsoft de su propia organización. Las alertas que envía Nova en el registro se entregan dentro de su tenant, regidas por sus acuerdos existentes con Microsoft, sus controles de identidad y sus políticas de retención, con sus administradores conservando los derechos que ya tienen. No movemos ese tráfico a un espacio de trabajo que operemos nosotros. Como parte de la incorporación, trabajamos con su equipo de TI en la configuración de seguridad de Azure y confirmamos que las protecciones relevantes estén activadas antes del lanzamiento.
Esta es exactamente el tipo de pregunta que merece una respuesta contractual y no una de marketing. Pregúntenos durante su revisión y pondremos por escrito nuestra postura y cualquier término de los proveedores de modelos.
Pregunte por nuestro estado actual. Preferimos decirle con precisión en qué punto estamos — incluyendo lo que está en progreso y lo que no ha comenzado — que insinuar una certificación que no tenemos.
Las obligaciones de respuesta a incidentes y notificación se establecen en el BAA y el acuerdo de servicio. Explicaremos el proceso a su equipo antes de que firme.
Una nota sobre esta página
Las afirmaciones de seguridad deben ser verificables. Si algo aquí es importante para su decisión, pídalo por escrito y exíjanos que cumplamos el documento y no la página web.
Envíenos su cuestionario de seguridad.
Preferimos trabajar en su revisión desde el principio que descubrir un obstáculo después de la demo.