Fax.Plus ve Sign.Plus Artık Ontario Sağlık Hizmetleri için PHIPA Uyumlu

Yıllardır sağlık ekiplerinin hassas belgeleri aktarmasına yardımcı oluyoruz ve Kanadalı müşterilerimizden sürekli aynı soruyu alıyoruz: “Bu harika, ama PHIPA'ya uygun mu?” Bugün itibarıyla yanıt net: Evet.

Fax.Plus ve Sign.Plus artık Ontario'daki sağlık hizmeti sağlayıcıları için PHIPA'ya uygundur. Her iki hizmeti de kapsayan kapsamlı bir uyumluluk değerlendirmesinin ardından Ontario'nun sağlık gizliliği yasasının gerekliliklerini karşılıyoruz ve hasta sağlık bilgilerini işleyen kuruluşlar için özel bir PHIPA Hizmet Sağlayıcı Sözleşmesi sunuyoruz. Ontario'da bir klinik, hastane, eczane veya muayenehane işletiyor ve hâlâ hasta kayıtlarını faksla gönderiyor ya da yasal olarak bağlayıcı elektronik imzalar topluyorsanız, bu haber sizin için.

‍

PHIPA nedir?

PHIPA, Ontario'nun sağlık gizliliği yasasıdır ve açılımı Personal Health Information Protection Act (Kişisel Sağlık Bilgilerini Koruma Yasası) şeklindedir. Hasta sağlık bilgilerinin eyalet genelinde nasıl toplanacağını, kullanılacağını, saklanacağını ve paylaşılacağını düzenler ve 2004'ten beri yürürlüktedir.

Bunu anlamanın kolay yolu şu: PHIPA, çoğu kişinin zaten bildiği Amerikan sağlık gizliliği yasası HIPAA'nın Ontario'daki karşılığıdır. Hedef aynı, ülke farklı: hastanın tıbbi bilgilerini gizli ve güvende tutmak. Yasanın uygulanmasını, şikâyetleri ele alan ve ihlalleri inceleyen bağımsız bir düzenleyici kurum olan Ontario Bilgi ve Gizlilik Komiseri denetler. Komiser, 2024'ten bu yana bir kuruluşa 500.000 Kanada dolarına kadar idari para cezası uygulayabildiğinden kuralların gerçek bir ağırlığı var. Konunun Amerikan tarafını merak ediyorsanız HIPAA nedir başlıklı açıklayıcı yazımız bunu adım adım anlatıyor.

‍

PHIPA, Fax.Plus ve Sign.Plus gibi sağlayıcılar için geçerli mi?

PHIPA, Fax.Plus ve Sign.Plus için asıl hukuki yükümlülüğü taşıyan taraflar olarak değil, vekil (agent) sıfatıyla geçerlidir. Bu ayrımı anlamak önemlidir, çünkü bizden tam olarak neyi aldığınızı ve neyin sizin sorumluluğunuzda kaldığını gösterir.

PHIPA, temel sorumlulukları sağlık hizmeti sunan kuruluşun kendisi olan Sağlık Bilgisi Sorumlusu'na (Health Information Custodian) yükler: yani doktora, kliniğe, hastaneye. Sorumlu, hangi hasta bilgilerinin toplanacağına ve kime gönderileceğine karar verir. Fax.Plus ve Sign.Plus gibi hizmetler ise vekil veya elektronik hizmet sağlayıcı olarak görev yapar. Basitçe söylemek gerekirse biz güvenli belge iş akışı katmanını sağlarız. Neyi kime göndereceğinize siz karar verirsiniz; belgenin güvenle iletilmesini ve saklanmasını biz sağlarız. Hasta onayı almak gibi yükümlülükler sorumlu olarak sizde kalır. İletimin ve saklamanın güvenliği ise bizim sorumluluğumuzdadır. Kimin neyi üstlendiği konusunda karışıklık olmasın diye tüm değerlendirmemizi bu paylaşım üzerine kurduk.

‍

PHIPA değerlendirmesi neleri kapsadı?

Değerlendirme, bizim rolümüzdeki hizmet sağlayıcılar için geçerli olan her PHIPA gerekliliğini inceledi ve hiçbir risk düzeyinde açık bir eksik kalmadan tamamlandı. İnceleme, bir sağlık kuruluşunun gerçekten önem verdiği alanları kapsadı.

‍

Güvenlik önlemleri ve denetim izleme

Fax.Plus üzerinden gönderilen belgeler ve Sign.Plus ile işlenen belgeler, iletim sırasında (TLS 1.3) ve beklemede (kullanıcıya özel anahtarlarla 256 bit AES) şifrelenir. Erişim; benzersiz kullanıcı kimlikleri, role dayalı izinler, iki faktörlü kimlik doğrulama ve çoklu oturum açma ile yönetilir. Her dosya aktarımı ve erişim olayı kayıt altına alınır ve denetim için dışa aktarılabilir. PHIPA yalnızca kayıt tutmayı değil, etkin denetim izi izlemesini de bekler; bu nedenle kayıtları yalnızca bir olaydan sonra incelemek yerine her gün otomatik anomali kontrolleri yürütüyoruz. Ayrıntıları güvenlik ve gizlilik sayfamızda ya da Fax.Plus güvenli mi başlıklı incelememizde bulabilirsiniz.

‍

İhlal yönetimi

Bir güvenlik olayı bir müşterinin verilerini etkilerse olay müdahale sürecimiz, o müşteriyi ihtiyaç duyduğu ayrıntılarla birlikte hızla bilgilendirir. Bu, sağlayıcının etkilenen hastaları bilgilendirme ve gerekli durumlarda IPC'ye bildirimde bulunma yönündeki kendi PHIPA yükümlülüğünü yerine getirmesine yardımcı olur.

‍

Hizmet Sağlayıcı Sözleşmesi

Hasta sağlık bilgilerini işleyen sağlayıcılara, standart hizmet sözleşmesini tamamlayan ve gizlilik, ihlal bildirimi ile veri işleme koşullarını yazılı olarak belirleyen bir PHIPA Hizmet Sağlayıcı Sözleşmesi verilir.

‍

Saklama ve silme

Faksların ne kadar süre saklanacağını siz belirlersiniz. Kayıtlar tek tek, API üzerinden toplu olarak veya talep üzerine tamamen kaldırılabilir; silinen faks dosyaları geri getirilemeyecek şekilde yok edilir.

‍

Ontario'daki sağlık verileri Kanada'da kalabilir mi?

Evet. Ontario'daki sorumlular, bir sorumlu sözleşmesi kapsamında Fax.Plus kiracıları için Kanada'daki bir işleme bölgesini seçebilir ve bu seçim hem teknik olarak, bölgeye sabitleme (region-pinning) yoluyla, hem de sözleşmesel olarak güvence altına alınır. PHIPA aslında hasta verilerinin Ontario veya Kanada sınırları içinde kalmasını zorunlu kılmaz, ancak birçok sorumlu bunu tercih eder ve bazıları bunu kendi bilgi uygulamalarına dahil eder. Kanada bölgesi sunmak, bu konuyu bir itiraza dönüşmeden önce ortadan kaldırır.

‍

PHIPA uyumluluğu, HIPAA, ISO 27001 ve SOC 2 ile nasıl ilişkilidir?

PHIPA uyumluluğu, sıfırdan başlamak yerine Fax.Plus ve Sign.Plus'ın halihazırda sahip olduğu sertifikalar üzerine kurulur. Hizmetler bağımsız olarak denetlenen ISO 27001 ve SOC 2 Type II programları kapsamında çalışır, ABD'deki sağlık müşterileri için imzalı bir Business Associate Agreement ile HIPAA'yı destekler ve verileri, 40'tan fazla veri depolama konumu seçeneğiyle güçlü İsviçre gizlilik yasası kapsamında saklar.

Kısaltmalar hızla çoğaldığı için kısa bir açıklama yapalım. ISO 27001 ve SOC 2 Type II, özünde bir şirketin verileri nasıl koruduğuna dair, şirketin kendisi tarafından değil dış denetçiler tarafından yapılan bağımsız incelemelerdir. PHIPA uyumluluğu ise aynı temeli Ontario'nun kendine özgü yasal diline uyarlar. Bu sertifikalar sayesinde Fax.Plus'a veya Sign.Plus'a zaten güveniyorsanız, PHIPA uyumluluğu aynı temel üzerindeki bir sonraki katmandır.

‍

Ontario'daki sağlık hizmeti sağlayıcıları bundan sonra ne yapmalı?

Kuruluşunuz Ontario'da hasta sağlık bilgilerini işliyorsa ve Fax.Plus veya Sign.Plus kullanıyorsa, bir sonraki adım, tedarikçi yükümlülüklerinizin yazılı olarak belgelenmesi için PHIPA Hizmet Sağlayıcı Sözleşmesi'ni talep etmektir. Ayrıca gizlilik ekibinizin, hangi PHIPA yükümlülüklerinin sorumlu olarak sizde kaldığını doğrulaması da yararlı olacaktır; çünkü hasta rızası ve bir ihlalin ardından kişileri bilgilendirme gibi bazı sorumluluklar bir hizmet sağlayıcıya devredilemez.

Fax.Plus'ın gerçek bir sağlık hizmeti iş akışına nasıl uyum sağladığını görmek için sağlık hizmetleri faks çözümü sayfamızı ziyaret edin veya HIPAA uyumlu faks gönderimi hakkında bilgi edinin.

‍

SSS

‍

Fax.Plus ve Sign.Plus PHIPA'ya uyumlu mu?

Evet. Kapsamlı bir uyumluluk değerlendirmesinin ardından Fax.Plus ve Sign.Plus, Ontario'daki sağlık hizmeti sağlayıcıları için PHIPA gereklilikleriyle uyumludur ve hasta sağlık bilgilerini işleyen kuruluşlara yönelik bir PHIPA Hizmet Sağlayıcı Sözleşmesi sunar.

PHIPA, verilerimin Kanada'da kalmasını zorunlu kılıyor mu?

Hayır. PHIPA, hasta verilerinin Ontario veya Kanada içinde kalmasını zorunlu kılmaz; ancak Fax.Plus, yerel veri işlemeyi tercih eden veya gerektiren sorumlular için bir Kanada işleme bölgesi sunar.

‍

Hasta rızasından kim sorumlu: Fax.Plus, Sign.Plus yoksa sağlayıcı mı?

Sorumlu olarak sağlık hizmeti sağlayıcısı. Fax.Plus ve Sign.Plus, belgelerin güvenli bir şekilde iletilmesine, işlenmesine, imzalanmasına ve saklanmasına yardımcı olan vekiller olarak görev yapar; sağlayıcı adına hasta rızası toplamaz.

Bir PHIPA sertifikası veya kaydı var mı?

Hayır. PHIPA, merkezi bir sertifikasyon veya kayıt programı yürütmez. Uyumluluk, gerekli politikaların, güvenlik önlemlerinin ve ihlal prosedürlerinin yürürlükte olması ve talep üzerine bunların kanıtlanabilmesi anlamına gelir.

‍