La empresa de salud digital, Zerintia HealthTech, cumple ya los requisitos del Health Insurance Portability and Accountability Act (HIPAA) para operar en Estados Unidos y refuerza sus medidas de cumplimiento del Reglamento general de protección de datos (RGPD) de la Unión Europea.

Trabajar con hospitales y organizaciones sanitarias en Estados Unidos exige más que una tecnología pensada para el entorno clínico. La empresa que la desarrolla debe demostrar que sus procesos de protección y tratamiento de la información médica responden a los requisitos del sistema sanitario estadounidense. Por lo que, Zerintia HealthTech, que acaba de completar ese trabajo de adecuación, elimina una de las principales barreras de entrada en el país.

El HIPAA establece los requisitos para proteger la información médica en Estados Unidos. Este afecta a determinadas organizaciones sanitarias y, según su actividad, a las empresas que tratan datos en su nombre. A diferencia de normas como ISO/IEC 27001 o el Esquema Nacional de Seguridad, no existe una certificación HIPAA oficial que un organismo externo pueda emitir.

El proceso ha incluido el refuerzo y la implementación de medidas de seguridad, como la autenticación multifactor (MFA), los permisos de acceso diferenciados por rol y el registro de todos los accesos a la información para su auditoría, junto con la formalización de un protocolo de respuesta ante incidentes, con responsables y plazos de notificación definidos. También se ha revisado la documentación necesaria para operar en Estados Unidos, incluidos los acuerdos de socio comercial (Business Associate Agreement) y las políticas de privacidad aplicables.

En cuanto al RGPD, requisito legal que ya formaba parte del funcionamiento de Zerintia HealthTech y de la gestión de los proyectos desarrollados con 4RemoteHealth (su plataforma de telepresencia médica), lo que ha cambiado es el alcance de la revisión. Se han actualizado los plazos de conservación de la información, revisado los contratos con los encargados del tratamiento (Data Processing Agreement) y realizado una evaluación de impacto relativa a la protección de datos (EIPD), para comprobar que las medidas existentes siguen respondiendo a cómo ha evolucionado la compañía.