Empresa: Servidor Regular vs. Servidor Compatible con HIPAA

Cuando primero habilites las características que permiten el cumplimiento de HIPAA, deberás estar al tanto de algunas diferencias iniciales:

• Seguridad
• Integraciones
• Flujos de Aprobación
• Correos Electrónicos
• ¿Qué Más?

Seguridad

Con Jotform Enterprise, tus datos están cifrados en reposo por defecto, lo cual es bueno para la PII. La solución Enterprise está completamente aislada del entorno de Jotform, por lo que nada se comparte con otros usuarios. Los datos se cifran automáticamente mientras se escriben. Cada clave de cifrado también se cifra con claves maestras gestionadas por nuestro socio de hospedaje, Google Cloud Platform.

El cifrado en reposo de la base de datos, disponible cuando habilitas las características compatibles con HIPAA, es un nivel por encima de eso. Nuestros servidores obtienen los datos sin procesar, y mientras los escriben en la base de datos, los ciframos con AES256 (cada envío individual tiene una clave única), y cada clave individual AES256 también se cifra con la clave pública del usuario (RSA2048). Las claves son invisibles para los usuarios y están completamente gestionadas por Jotform.

En resumen, la configuración empresarial regular proporciona cifrado de disco, mientras que HIPAA añade cifrado de base de datos sobre ello.

Integraciones

En comparación con las más de 100 integraciones disponibles para servidores no compatibles con HIPAA, el número de integraciones disponibles se reduce a más de 60.

Aquí tienes las opciones disponibles:

• 2CheckOut
• ActiveCampaign
• Afterpay
• Airtable
• Apple Pay & Google Pay
• Asana
• Authorize.Net
• AWeber
• BluePay
• BlueSnap
• Box
• Braintree
• Campaign Monitor
• CardConnect
• Cash App Pay
• Chargify
• Clearpay
• ClickUp
• Constant Contact
• CyberSource
• Dropbox
• eCheck.Net
• Egnyte
• Eway
• GoCardless
• Google Calendar
• Google Drive
• Google Sheets
• HubSpot
• iyzico
• Keap
• Keragon
• Klarna (Anteriormente Sofort)
• Mailchimp
• MailerLite
• Make
• Microsoft Teams
• Mollie
• monday.com
• Moneris
• OneDrive
• PagSeguro
• Payfast
• PayJunction
• Paymentwall
• PayPal Business
• PayPal Checkout
• PayPal Invoicing
• PayPal Personal
• Paysafe
• PayU
• Orden de Compra
• Salesforce
• SensePass
• Skrill
• Slack
• Square
• Stripe
• Stripe ACH
• Stripe ACH Manual
• Stripe Checkout
• Venmo
• Webhooks
• WorldPay UK
• Zapier
• Zoho CRM
• Zoom

Esto se debe a que dos requisitos de HIPAA exigen cifrado de extremo a extremo y trazabilidad de cada acceso a la PHI por una persona conocida y única.

Incluso con estas integraciones disponibles, mantener políticas compatibles con HIPAA es tu responsabilidad legal. Por ejemplo, si integraste los datos de envío de tu formulario con una hoja de cálculo de Google y la hiciste disponible abiertamente en internet, esa no sería una integración compatible con HIPAA.

Flujos de Aprobación

Como se mencionó anteriormente, las regulaciones de HIPAA dictan que cada acceso a la PHI (Información de Salud Protegida) debe ser trazable a un individuo único con credenciales de inicio de sesión identificables. Esto puede o no impactar tus flujos de trabajo.

Por ejemplo, acceder a los datos sin una cuenta de usuario, como reenviar un enlace de edición de envío por correo electrónico, puede que ya no funcione. Supongamos que alguna vez construyes flujos de trabajo donde tienes aprobadores. En ese caso, esos aprobadores deben tener sus propias cuentas para aprobar o rechazar un envío.

La edición de envíos solo está disponible para el propietario del formulario u otro usuario con acceso a los envíos del formulario; cualquier acción de edición solo es posible dentro de Jotform.

Correos Electrónicos

Uno de los canales inseguros para compartir datos de PHI son los emails.

En cuentas compatibles con HIPAA, aún puedes usar notificaciones y correos autorespondedores teniendo en cuenta que es tu responsabilidad legal usarlos de manera compatible con HIPAA. En Jotform, es posible seleccionar qué campos del formulario están recopilando datos de PHI y marcar esos campos como ‘Protegidos’.

La información recopilada con campos ‘Protegidos’ se ocultará en los correos electrónicos. Para obtener más información sobre cómo utilizar los campos PHI en formularios, por favor consulta este artículo: Cómo Configurar Campos PHI en Tus Formularios

A continuación se proporciona un buen ejemplo de cómo mantener protegidos los datos de PHI en correos electrónicos:

¿Qué Más?

Otras limitaciones importantes que deben mencionarse son:

• Cargas de archivos recopiladas con cualquier cuenta compatible con HIPAA no pueden estar disponibles sin iniciar sesión, así que si esperas descargar archivos a través de enlaces de archivo enviados por correo electrónico, por favor inicia sesión en tu cuenta compatible con HIPAA.
• Cuando habilitas las características compatibles con HIPAA, también habilitas el cumplimiento de SOC2 y viceversa. Tanto los cumplimientos de HIPAA como de SOC2 necesitan operar en este entorno más seguro. Consulta Cumplimiento SOC2 para obtener más información.