Entreprise : Serveur Régulier vs Serveur Compatible HIPAA

Lorsque vous activez pour la première fois les fonctionnalités qui permettent la conformité HIPAA, vous devez être conscient de certaines différences initiales :

Sécurité
Intégrations
Flux de Travail d’Approbation
E-mails
Quoi d’Autre ?

Sécurité

Avec Jotform Enterprise, vos données sont cryptées par défaut lors de leur stockage, ce qui est bénéfique pour les informations personnelles identifiables (PII). La solution Enterprise est complètement isolée de l’environnement Jotform, donc rien n’est partagé avec d’autres utilisateurs. Les données sont automatiquement cryptées lors de leur écriture. Chaque clé de chiffrement est également cryptée avec des clés maîtresses gérées par notre partenaire d’hébergement, Google Cloud Platform.

Le cryptage au repos de la base de données, disponible lorsque vous activez les fonctionnalités compatibles HIPAA, est un niveau au-dessus. Nos serveurs reçoivent les données brutes et, lors de leur écriture dans la base de données, nous les cryptons avec AES256 (chaque soumission individuelle a une clé unique), et chaque clé AES256 individuelle est également cryptée avec la clé publique de l’utilisateur (RSA2048). Les clés sont transparentes pour les utilisateurs et entièrement gérées par Jotform.

En bref, la configuration régulière de l’entreprise offre le cryptage du disque, tandis que HIPAA ajoute un cryptage de base de données en plus.

Intégrations

Comparé aux 100+ intégrations disponibles pour les serveurs non-HIPAA, le nombre d’intégrations disponibles descend à 60+.

Voici les options disponibles :

2CheckOut
ActiveCampaign
Afterpay
Airtable
Apple Pay & Google Pay
Asana
Authorize.Net
AWeber
BluePay
BlueSnap
Box
Braintree
Campaign Monitor
CardConnect
Cash App Pay
Chargify
Clearpay
ClickUp
Constant Contact
CyberSource
Dropbox
eCheck.Net
Egnyte
Eway
GoCardless
Google Calendar
Google Drive
Google Sheets
HubSpot
iyzico
Keap
Keragon
Klarna (Précedemment Sofort)
Mailchimp
MailerLite
Make
Microsoft Teams
Mollie
monday.com
Moneris
OneDrive
PagSeguro
Payfast
PayJunction
Paymentwall
PayPal Business
PayPal Checkout
PayPal Invoicing
PayPal Personal
Paysafe
PayU
Bon de Commande
Salesforce
SensePass
Skrill
Slack
Square
Stripe
Stripe ACH
Stripe ACH Manual
Stripe Checkout
Venmo
Webhooks
WorldPay UK
Zapier
Zoho CRM
Zoom

Cela est dû au fait que deux exigences HIPAA imposent le chiffrement des données de bout en bout et la traçabilité de chaque accès aux données de santé protégées (PHI) à une personne connue et unique.

Même avec ces intégrations disponibles, il est de votre responsabilité légale de maintenir des politiques conformes à HIPAA. Par exemple, si vous avez intégré les données de soumission de votre formulaire avec une feuille Google et rendu cette feuille accessible ouvertement sur Internet, cela ne serait pas une intégration compatible HIPAA.

Flux de Travail d’Approbation

Comme mentionné ci-dessus, les réglementations HIPAA dictent que chaque accès aux informations de santé protégées (PHI) doit être traçable à une personne unique avec des identifiants de connexion identifiables. Cela peut ou non avoir un impact sur vos flux de travail.

Par exemple, accéder à des données sans compte utilisateur, comme transférer un lien d’édition de soumission par e-mail, peut ne plus fonctionner. Supposons que vous mettiez en place des flux de travail où vous avez des approbateurs. Dans ce cas, ces approbateurs doivent avoir leurs propres comptes pour approuver ou rejeter une soumission.

L’édition des soumissions n’est disponible que pour un propriétaire de formulaire ou un autre utilisateur ayant accès aux soumissions de formulaire, toute action d’édition n’est possible que dans Jotform.

E-mails

L’un des canaux non sécurisés pour partager des données de santé protégées (PHI) est l’email.

Dans les comptes compatibles HIPAA, vous pouvez toujours utiliser les e-mails de Notification et de Réponse Automatique en gardant à l’esprit qu’il est de votre responsabilité légale de les utiliser d’une manière compatible avec HIPAA. Chez Jotform, il est possible de sélectionner quels champs de formulaire collectent des données PHI et de marquer ces champs comme « Protégés ».

Les informations collectées avec des champs « Protégés » seront masquées dans les e-mails. Pour plus d’informations sur l’utilisation des champs PHI sur les formulaires, veuillez consulter cet article : Comment Définir des Champs PHI sur Vos Formulaires

Un bon exemple de protection des données PHI dans les e-mails est fourni ci-dessous :

Quoi d’Autre ?

D’autres limitations importantes à mentionner sont :

Téléchargements de fichiers collectés avec un compte compatible HIPAA ne peuvent pas être accessibles sans connexion, donc si vous prévoyez de télécharger des fichiers via des liens de fichiers envoyés par e-mail, veuillez vous connecter à votre compte compatible HIPAA.

Lorsque vous activez les fonctionnalités compatibles HIPAA, vous activez également la conformité SOC2 et vice versa. Les conformités HIPAA et SOC2 doivent fonctionner dans cet environnement plus sécurisé. Consultez Conformité SOC2 pour en savoir plus.