HIPAA és a Gravity Forms

Gyakori kérdés, hogy a Gravity Forms megfelel-e a HIPAA előírásainak. A válasz ritkán egyszerű, mert a megfelelés nagyrészt másokon múlik: a tárhelyszolgáltatón, a tárolási környezeten, a bővítmények kiválasztásán, az adatkezelési folyamatokon, a jogosultságkezelésen és a munkatársak hozzáférésén. Ez a fejezet a HIPAA alapjait foglalja össze, és azt, amit a Gravity Forms érinthet. Nem jogi tanács, és nem kötelező érvényű állásfoglalás. Ha a megfelelés az üzleted számára kritikus, kérj szakember segítségét.

A megfelelés alapjai

Az 1996-os Health Insurance Portability and Accountability Act (HIPAA) az elektronikus egészségügyi adatok (ePHI) kezelésére a következő fő követelményeket írja elő:

1. Szállítás titkosítása: az adat az interneten mindig titkosítva halad.
2. Mentés: az egészségügyi adat soha nem vész el, rendszeresen mentik, és szükség esetén helyreállítható.
3. Jogosultság: az adathoz csak arra jogosult személyek férnek hozzá, egyedi, naplózott hozzáféréssel.
4. Integritás: az adatot semmilyen folyamat nem módosítja jogosulatlanul, és ha mégis, az kiderül.
5. Tárolás titkosítása: az adatot tároláskor is titkosítani kell.
6. Megsemmisítés: az adat végleg törölhető, ha már nincs rá szükség.
7. Omnibus/HITECH: az adatot tároló szolgáltatóval üzleti társulási megállapodásod (Business Associate Agreement) van, vagy a saját kiszolgálóidat a HIPAA biztonsági előírásai szerint védi.

A Gravity Forms helye ebben

A Gravity Forms alapértelmezetten nem küldi el az űrlapokkal gyűjtött adatot a gyártónak vagy más harmadik félnek, és nem tárolja azokat a gyártó saját kiszolgálóin. Hogy hová kerül és hol tárolódik az adat, azt az oldal üzemeltetője szabja meg. Ezért a fenti követelmények közül sok kívül esik a termék tervezésén.

A leggyakoribb kérdések:

• Megfelel-e a Gravity Forms a szállítás titkosításának?
• Megfelel-e a tárolás titkosításának?
• Teljesíti-e az adatintegritás irányelveit?
• Aláír-e üzleti társulási megállapodást a gyártó?

Szállítás titkosítása

Ez a környezetedtől függ, és kívül esik a Gravity Forms tervezésén. A fő tényezők az érvényes, megfelelően beállított biztonsági tanúsítvány (HTTPS), valamint a tárhely és az adatbázis helye. A Gravity Forms nem ír elő követelményeket erre a beállításra.

Tárolás titkosítása

Itt a termék kialakítása érintheti a megfelelést. Ha szükséged van rá, tudnod kell, hogy a Gravity Forms által gyűjtött adat alapértelmezetten nem titkosított tároláskor. Ha kell, a tárolt adat titkosítását kiegészítőnek vagy egyéni kódnak kell biztosítania (lásd lent).

Adatintegritás

Az adat módosítatlanságának igazolhatósága inkább a szállítás és a tárolás titkosításának megválasztásán múlik. A Gravity Forms tervezésében nincs olyan elem, amely ellenőrizhető ellenőrzőösszeget adna a bejegyzések adataihoz.

Üzleti társulási megállapodás

Mivel a gyártó nem üzemelteti és nem tárolja a begyűjtött adatot, ilyen megállapodást nem ír alá. Erről a tárhelyszolgáltatóddal vagy az adatszolgáltatóddal kell egyeztetned.

Külső kiegészítők

A fenti funkciók egy része külső bővítményekkel is megvalósítható. Az alábbi nem teljes lista a gyártó által ismert megoldásokat mutatja. Ezek telepítése sem garantálja a megfelelést: a megfelelés biztosítása és bizonyítása a te dolgod.

• HIPAA Forms (Code Monkeys): HIPAA-kompatibilis webűrlapok hozzáadása a WordPress-oldalhoz.
• Gravity Forms Encrypted Fields (PluginOwl): titkosított mezők.

A külső szolgáltatások, bővítmények és kódrészletek csak javaslatok: nem értékeljük, nem teszteljük és nem támogatjuk őket. Te felelsz azért, hogy megfelelnek-e a funkcionális, biztonsági, jogi és költségigényeidnek.