# HIPAA és a Gravity Forms

> Mit érinthet a Gravity Forms a HIPAA-megfelelés követelményei közül: szállítás és tárolás titkosítása, adatintegritás, üzleti társulási megállapodás.

Gyakori kérdés, hogy a Gravity Forms megfelel-e a HIPAA előírásainak. A válasz ritkán egyszerű, mert a megfelelés nagyrészt másokon múlik: a tárhelyszolgáltatón, a tárolási környezeten, a bővítmények kiválasztásán, az adatkezelési folyamatokon, a jogosultságkezelésen és a munkatársak hozzáférésén. Ez a fejezet a HIPAA alapjait foglalja össze, és azt, amit a Gravity Forms érinthet. Nem jogi tanács, és nem kötelező érvényű állásfoglalás. Ha a megfelelés az üzleted számára kritikus, kérj szakember segítségét.

## A megfelelés alapjai

Az 1996-os Health Insurance Portability and Accountability Act (HIPAA) az elektronikus egészségügyi adatok (ePHI) kezelésére a következő fő követelményeket írja elő:

1. **Szállítás titkosítása:** az adat az interneten mindig titkosítva halad.
2. **Mentés:** az egészségügyi adat soha nem vész el, rendszeresen mentik, és szükség esetén helyreállítható.
3. **Jogosultság:** az adathoz csak arra jogosult személyek férnek hozzá, egyedi, naplózott hozzáféréssel.
4. **Integritás:** az adatot semmilyen folyamat nem módosítja jogosulatlanul, és ha mégis, az kiderül.
5. **Tárolás titkosítása:** az adatot tároláskor is titkosítani kell.
6. **Megsemmisítés:** az adat végleg törölhető, ha már nincs rá szükség.
7. **Omnibus/HITECH:** az adatot tároló szolgáltatóval üzleti társulási megállapodásod (Business Associate Agreement) van, vagy a saját kiszolgálóidat a HIPAA biztonsági előírásai szerint védi.

## A Gravity Forms helye ebben

A Gravity Forms alapértelmezetten nem küldi el az űrlapokkal gyűjtött adatot a gyártónak vagy más harmadik félnek, és nem tárolja azokat a gyártó saját kiszolgálóin. Hogy hová kerül és hol tárolódik az adat, azt az oldal üzemeltetője szabja meg. Ezért a fenti követelmények közül sok kívül esik a termék tervezésén.

A leggyakoribb kérdések:

- Megfelel-e a Gravity Forms a szállítás titkosításának?
- Megfelel-e a tárolás titkosításának?
- Teljesíti-e az adatintegritás irányelveit?
- Aláír-e üzleti társulási megállapodást a gyártó?

### Szállítás titkosítása

Ez a környezetedtől függ, és kívül esik a Gravity Forms tervezésén. A fő tényezők az érvényes, megfelelően beállított biztonsági tanúsítvány (HTTPS), valamint a tárhely és az adatbázis helye. A Gravity Forms nem ír elő követelményeket erre a beállításra.

### Tárolás titkosítása

Itt a termék kialakítása érintheti a megfelelést. Ha szükséged van rá, tudnod kell, hogy **a Gravity Forms által gyűjtött adat alapértelmezetten nem titkosított tároláskor.** Ha kell, a tárolt adat titkosítását kiegészítőnek vagy egyéni kódnak kell biztosítania (lásd lent).

### Adatintegritás

Az adat módosítatlanságának igazolhatósága inkább a szállítás és a tárolás titkosításának megválasztásán múlik. A Gravity Forms tervezésében nincs olyan elem, amely ellenőrizhető ellenőrzőösszeget adna a bejegyzések adataihoz.

### Üzleti társulási megállapodás

Mivel a gyártó nem üzemelteti és nem tárolja a begyűjtött adatot, ilyen megállapodást nem ír alá. Erről a tárhelyszolgáltatóddal vagy az adatszolgáltatóddal kell egyeztetned.

## Külső kiegészítők

A fenti funkciók egy része külső bővítményekkel is megvalósítható. Az alábbi nem teljes lista a gyártó által ismert megoldásokat mutatja. Ezek telepítése sem garantálja a megfelelést: a megfelelés biztosítása és bizonyítása a te dolgod.

- **HIPAA Forms** (Code Monkeys): HIPAA-kompatibilis webűrlapok hozzáadása a WordPress-oldalhoz.
- **Gravity Forms Encrypted Fields** (PluginOwl): titkosított mezők.

A külső szolgáltatások, bővítmények és kódrészletek csak javaslatok: nem értékeljük, nem teszteljük és nem támogatjuk őket. Te felelsz azért, hogy megfelelnek-e a funkcionális, biztonsági, jogi és költségigényeidnek.