اطلاعیه انطباق با قانون HIPAA — گیلنکس

آخرین به‌روزرسانی: ۲۸ ژوئن ۲۰۲۶

---

۱. دامنه کاربرد

این اطلاعیه برای ارائه‌دهندگان خدمات بهداشتی، برنامه‌های درمانی و تبادل‌کنندگان اطلاعات بهداشتی («نهادهای تحت پوشش» مطابق ۴۵ C.F.R. § ۱۶۰.۱۰۳) که از پلتفرم گیلنکس استفاده می‌کنند و ممکن است اطلاعات بهداشتی محافظت‌شده (⁨PHI⁩) را ارسال، ذخیره یا پردازش کنند، اعمال می‌شود.

استفاده از گیلنکس به‌تنهایی سازمان شما را منطبق با ⁨HIPAA⁩ نمی‌کند. قوانین ⁨HIPAA⁩ زمانی اعمال می‌شوند که نهادهای تحت پوشش یا شرکای تجاری آن‌ها ⁨PHI⁩ را مدیریت کنند. اگر نهاد تحت پوشش نیستید یا ⁨PHI⁩ را از طریق گیلنکس پردازش نمی‌کنید، سیاست حریم خصوصی ما به‌جای این اطلاعیه بر داده‌های شما حاکم است.

---

۲. نقش گیلنکس به‌عنوان شریک تجاری

زمانی که یک نهاد تحت پوشش از گیلنکس برای خدماتی که شامل ⁨PHI⁩ است بهره می‌گیرد و موافقت‌نامه شریک تجاری (⁨BAA⁩) را به‌طور کامل با گیلنکس اجرا کرده است، گیلنکس به‌عنوان «شریک تجاری» مطابق ⁨HIPAA⁩ و ⁨HITECH⁩ عمل می‌کند.

بدون ⁨BAA⁩ اجراشده، گیلنکس شریک تجاری شما نیست و نباید ⁨PHI⁩ را به پلتفرم یا از طریق آن ارسال کنید.

---

۳. موافقت‌نامه شریک تجاری (⁨BAA⁩)

موافقت‌نامه شریک تجاری (⁨BAA⁩) پیش از هر انتقال ⁨PHI⁩ به یا از طریق پلتفرم گیلنکس الزامی است.

برای درخواست ⁨BAA⁩:

• ایمیل: ⁨⁦info@…⁩⁩ (موضوع: «BAA Request — [نام مطب]»)
• زمان پردازش: حداکثر ۵ روز کاری
• گیلنکس ⁨BAA⁩ استاندارد ارائه می‌دهد یا نسخه‌ای قابل‌قبول برای هر دو طرف مذاکره می‌کند

هیچ ⁨PHI⁩ نباید پیش از اجرای کامل ⁨BAA⁩ ارسال شود.

---

۴. اقدامات حفاظتی فنی (قاعده امنیت ⁨HIPAA⁩ — ۴۵ C.F.R. § ۱۶۴.۳۱۲)

| اقدام حفاظتی | نحوه اجرا | |---|---| | کنترل دسترسی | دسترسی مبتنی بر نقش، شناسه کاربری منحصربه‌فرد، خروج خودکار | | کنترل ممیزی | ثبت جامع دسترسی و فعالیت‌ها | | کنترل یکپارچگی | اعتبارسنجی داده و تشخیص دستکاری | | امنیت انتقال | رمزگذاری ⁨TLS 1.2+⁩ برای تمامی داده‌های در حال انتقال | | رمزگذاری در حالت ذخیره | ⁨AES-256⁩ برای داده‌های ذخیره‌شده | | احراز هویت | احراز هویت چندعاملی برای دسترسی مدیریتی | | کنترل نیروی کار | بررسی سوابق، آموزش ⁨HIPAA⁩، توافق‌نامه‌های محرمانگی |

---

۵. اقدامات حفاظتی اداری (۴۵ C.F.R. § ۱۶۴.۳۰۸)

• مسئول امنیت مشخص برای انطباق با ⁨HIPAA⁩
• تحلیل ریسک حداقل به‌صورت سالانه
• برنامه آموزش ⁨HIPAA⁩ برای نیروی کار
• رویه‌های واکنش به حادثه و اطلاع‌رسانی نقض
• موافقت‌نامه‌های شریک تجاری با تمامی پردازشگران فرعی مرتبط

---

۶. وضعیت ⁨HIPAA⁩ پردازشگران فرعی

گیلنکس روابط پردازشگر فرعی منطبق با ⁨HIPAA⁩ را برای مشتریان حوزه بهداشت حفظ می‌کند:

| پردازشگر فرعی | وضعیت ⁨BAA⁩ | یادداشت | |---|---|---| | ⁨Stripe, Inc.⁩ | ⁨BAA⁩ در دسترس | فقط پردازش پرداخت | | ⁨Twilio, Inc.⁩ | ⁨BAA⁩ در دسترس | پیامک/تماس صوتی — نیازمند پلن واجد شرایط بهداشتی | | ⁨Vercel, Inc.⁩ | ⁨BAA⁩ در دسترس | نیازمند پلن سازمانی | | ⁨Google Cloud⁩ | ⁨BAA⁩ در دسترس | ⁨BAA⁩ استاندارد در دسترس است؛ استنتاج ⁨Gemini⁩ برای چت‌بات |

گیلنکس فقط از پیکربندی‌های واجد شرایط ⁨HIPAA⁩ برای مشتریانی که تحت ⁨BAA⁩ امضاشده فعالیت می‌کنند استفاده خواهد کرد.

---

۷. رویه‌های مدیریت ⁨PHI⁩

• ⁨PHI⁩ فقط تا حد لازم برای ارائه خدمات قراردادی پردازش می‌شود
• ⁨PHI⁩ برای تجزیه‌وتحلیل داخلی، بازاریابی یا توسعه محصول گیلنکس استفاده نمی‌شود
• ⁨PHI⁩ جز طبق مجوز ⁨BAA⁩ به اشخاص ثالث افشا نمی‌شود
• پس از خاتمه ⁨BAA⁩، ⁨PHI⁩ مطابق الزامات ⁨HIPAA⁩ بازگردانده یا از بین برده می‌شود

---

۸. اطلاع‌رسانی نقض داده (۴۵ C.F.R. § ۱۶۴.۴۰۰–۴۱۴)

در صورت وقوع یا شبهه نقض ⁨PHI⁩:

۱. گیلنکس ظرف ۲۴ ساعت از کشف موضوع، نقض را بررسی و ارزیابی خواهد کرد ۲. گیلنکس ظرف ۶۰ روز تقویمی از کشف موضوع، نهاد تحت پوشش آسیب‌دیده را مطلع خواهد کرد ۳. اطلاع‌رسانی شامل موارد زیر خواهد بود: شرح نقض، انواع ⁨PHI⁩ درگیر، اقدامات کاهش آسیب، و اطلاعات تماس ۴. گیلنکس در هرگونه اطلاع‌رسانی الزامی به افراد، وزارت بهداشت و خدمات انسانی (⁨HHS⁩)، و رسانه‌ها، همکاری کامل خواهد داشت

---

۹. انطباق با قانون ⁨CMIA⁩ کالیفرنیا

برای نهادهای تحت پوشش مستقر در کالیفرنیا، گیلنکس همچنین تعهدات خود را طبق قانون محرمانگی اطلاعات پزشکی کالیفرنیا (⁨CMIA⁩ — بخش ۵۶ قانون مدنی کالیفرنیا و بعد از آن) می‌پذیرد که ممکن است حفاظت‌های اضافی فراتر از ⁨HIPAA⁩ اعمال کند.

---

۱۰. تماس: مسئول حریم خصوصی گیلنکس

⁨⁦info@…⁩⁩ ⁦22647 Ventura Blvd, Suite 873, Woodland Hills, CA 91364⁩ ⁦+1 (310) 598-2636⁩