HIPAA
Un logiciel de laboratoire conforme à HIPAA, avec un BAA pour chaque laboratoire américain.
Lab Desk intègre les garanties HIPAA au produit et signe un Business Associate Agreement avec chaque laboratoire américain. Votre équipe se concentre sur son travail.
Business Associate Agreement
Un BAA pour chaque laboratoire américain, pas seulement pour les grands.
Lorsque Lab Desk stocke et traite les informations de santé de vos patients, nous agissons en tant que business associate de votre laboratoire. Le BAA précise comment nous protégeons ces informations et ce que nous faisons en cas de problème.
Simple à mettre en place.
Acceptez-le d'un clic à l'inscription, ou demandez-nous un exemplaire signé.
Notification des violations.
Nous informons votre laboratoire d'une violation de données sans retard injustifié, et au plus tard 60 jours après sa découverte.
Sous-traitants ultérieurs.
Chaque service qui traite des données de patients est couvert par son propre BAA avec nous.
Restitution ou suppression.
Lorsque vous partez, vous pouvez exporter vos données. Nous les supprimons ensuite et confirmons la suppression.
Mesures de sécurité
Comment Lab Desk répond à HIPAA.
HIPAA ne prévoit aucun certificat officiel. Voici les garanties que nous mettons en place et documentons.
| Fonctionnalité | Comment Lab Desk le gère | Exigence HIPAA |
|---|---|---|
| Identifiants personnels | Chaque membre de l'équipe a son propre compte. Aucun identifiant partagé. | Identification unique des utilisateurs |
| Authentification multifacteur | Une deuxième étape à la connexion, en plus du mot de passe. | Authentification des personnes ou entités |
| Déconnexion automatique | Les sessions se terminent après une période d'inactivité. | Déconnexion automatique |
| Accès selon le rôle | Chaque membre de l'équipe ne voit que ce dont son rôle a besoin. | Norme du minimum nécessaire |
| Journal d'audit | Les consultations, modifications, partages et exports sont enregistrés. Les administrateurs peuvent consulter et exporter le journal. | Contrôles d'audit |
| Chiffrement | TLS 1.2 ou supérieur en transit. Base de données, fichiers et sauvegardes chiffrés au repos. | Chiffrement et sécurité des transmissions |
| Liens de résultats sécurisés | Les liens expirent et demandent une vérification d'identité. Chaque ouverture est journalisée. | Contrôle d'accès et contrôles d'audit |
| E-mails et paiements | Les e-mails ne contiennent qu'un avis et un lien. Aucun résultat ni nom d'analyse n'est envoyé à Stripe. | Norme du minimum nécessaire |
| Sauvegardes | Sauvegardes régulières aux États-Unis, avec des restaurations testées. | Plan de sauvegarde des données et de reprise après sinistre |
| Notification des violations | Nous informons votre laboratoire sans retard injustifié, et dans les 60 jours suivant la découverte. | Notification des violations par un business associate |
Correspondance avec les règles HIPAA Security, Privacy et Breach Notification. Votre conseiller peut confirmer comment elle s'articule avec les politiques de votre laboratoire.
Infrastructure
Hébergé sur AWS, dans le cadre d'un BAA avec AWS.
Lab Desk fonctionne sur Amazon Web Services aux États-Unis. Nous avons conclu un BAA avec AWS et n'utilisons que des services AWS éligibles HIPAA pour les données des patients.
Cela couvre l'hébergement, la base de données, le stockage des fichiers et les sauvegardes, l'IA qui signale les résultats et rédige les résumés (Amazon Bedrock), et les e-mails de résultats (Amazon SES).
- Les données saisies dans l'IA ne sont jamais utilisées pour entraîner des modèles
- Les e-mails ne contiennent qu'un avis générique et un lien sécurisé
- Données de carte traitées par Stripe, jamais stockées par Lab Desk
Responsabilité partagée
Ce qui reste de la responsabilité de votre laboratoire.
HIPAA s'applique à votre laboratoire en tant que covered entity. Lab Desk vous fournit les outils, et certaines obligations restent les vôtres.
Vos politiques.
Votre propre analyse des risques, vos politiques de sécurité et un responsable de la confidentialité et de la sécurité désigné.
Qui a accès.
Décider quel membre de l'équipe reçoit quel rôle, et retirer l'accès lorsque quelqu'un part.
Formation de l'équipe.
Former votre équipe à la confidentialité, aux mots de passe et à la manipulation des informations des patients.
Déclaration des violations.
Informer les patients concernés et le HHS lorsque c'est obligatoire, à l'aide des informations que nous vous fournissons.
Vérification des résultats.
Contrôler chaque signalement et chaque résumé IA avant publication. L'IA assiste. Elle ne pose pas de diagnostic.
Informations aux patients.
Votre avis sur les pratiques de confidentialité (notice of privacy practices) et toute autorisation des patients dont votre laboratoire a besoin.
Questions fréquentes
Lab Desk est-il conforme à HIPAA ?
Oui. Lab Desk respecte les exigences de HIPAA en matière de protection des informations de santé et signe un BAA avec chaque laboratoire américain. Il n'existe aucune certification officielle HIPAA : la conformité se démontre par des garanties, des accords et des registres.
Signez-vous un BAA ?
Oui, avec chaque laboratoire américain, quelle que soit la formule. Acceptez-le à l'inscription ou demandez-nous un exemplaire signé.
Dans quel délai nous informerez-vous d'une violation de données ?
Sans retard injustifié, et au plus tard 60 jours après sa découverte, avec les informations dont votre laboratoire a besoin pour décider de ses propres notifications.
L'e-mail est-il un moyen sûr d'envoyer les résultats ?
L'e-mail n'est pas sécurisé de bout en bout : Lab Desk n'y met donc jamais de résultats. L'e-mail contient un avis générique et un lien sécurisé. Le patient passe une vérification d'identité pour voir ses résultats.
L'IA envoie-t-elle des données de patients en dehors de Lab Desk ?
Non. L'IA intégrée fonctionne sur AWS dans le cadre de notre BAA avec AWS, et les données saisies ne sont jamais utilisées pour entraîner des modèles.
Pas un avis juridique
Ces pages décrivent les garanties fournies par Lab Desk. Elles ne constituent pas un avis juridique. Veuillez confirmer vos propres obligations auprès de votre conseiller juridique ou en conformité.
Besoin d'un BAA avant de commencer ?
Rejoignez l'accès anticipé, ou contactez-nous et nous vous enverrons le BAA pour examen.