Захист персональних медданих (HIPAA/GDPR)
Керований регуляторний ризик: законні підстави обробки медданих, межі використання, прозорі згоди/повідомлення.
Безпечні інтеграції й підрядники: DPA/BAA, SCC/TIA, вимоги до вендорів, аудит доступів і логів.
Готовність до перевірок та інцидентів: плани реагування, «папка за 15 хв», шаблони повідомлень.
Privacy-by-Design: правила в продукті/процесах з першого дня, без «латання» постфактум.
Прозорість: карта потоків даних, реєстри, календар строків/рев’ю, дашборд KPI/SLA.
Як працюємо (процес)
-
Інтейк і меппінг потоків даних: що збираєте, хто має доступ, де зберігаєте/передаєте.
-
GAP-аналіз (HIPAA/GDPR + локальні вимоги): правові підстави, спеціальні категорії, мінімізація/ретеншн, безпека.
-
Політики/угоди: privacy notice/згоди, DPA/BAA, внутрішні політики, правила доступів/логування.
-
Вендори та трансфери: due diligence, SCC/TIA, вимоги до SLA/безпеки, рольова модель (controller/processor).
-
Права суб’єктів: процеси запитів (доступ/видалення/обмеження), журнал інцидентів, відповіді регуляторам.
-
Моніторинг і навчання: регулярні рев’ю, тест інцидентів (tabletop), тренінги команди.
Що саме входить
Інвентаризація та меппінг
Каталог даних (пацієнтські/клінічні/технічні), джерела, цілі, системи/вендори, ролі (controller/processor), ланцюги передач
Доступи, безпека та журнали
Role-based access, найменші привілеї, логування/ревізія, сегрегація середовищ, політика пристроїв/месенджерів, вимоги до платформ (EHR/eHealth/VTC)
Правові підстави та політики
GDPR/HIPAA-фрейм: законні підстави/винятки для медданих, мінімізація, ретеншн, прозорість, реклама/комунікації
Права суб’єктів і звернення
Процеси DSAR (доступ/виправлення/видалення/обмеження/портативність), верифікація особи, шаблони відповідей, робота з регуляторами/скаргами
Контракти та трансфери
DPA/BAA, стандартні договірні положення, SCC/TIA для крос-бордер, вимоги до SLA/безпеки, репрезентації та право аудиту
Інциденти та моніторинг
Процедура виявлення/оцінки ризику, повідомлення суб’єктам/регуляторам у строк, журнал інцидентів, навчання/тести, регулярні рев’ю політик
Тарифи та обсяг послуг
Що ви отримуєте
-
Документи: privacy notice/згоди, політики доступів/ретеншну/інцидентів, DPA/BAA, SCC/TIA, шаблони відповідей суб’єктам і регуляторам, плейбук клауз.
-
Процеси: SOP для збору/зберігання/передачі, процедури DSAR, план реагування на інциденти, pre-release перевірки фіч/кампаній.
-
Реєстри/нагадування: реєстр операцій, журнал доступів/інцидентів, календар рев’ю політик і ретеншну, алерти на дедлайни.
-
Прозорість: дашборд KPI/SLA, one-pager звіти, статус-трекер завдань.
-
Інтеграції: вимоги до EHR/eHealth/VTC, CLM/e-Sign/CRM, helpdesk (макроси/теги), SIEM/логів (за потреби).