Acuity Scheduling et HIPAA

Assurez-vous que votre compte Acuity est conforme à la loi HIPAA.

Acuity Scheduling a été conçu pour vous permettre de vous conformer aux exigences de la règle Security Rule (sécurité) de la loi américaine HIPAA. Les autres éléments de la plateforme Squarespace, notamment les fonctionnalités de type formulaire de contact comme le bloc Formulaire, ne peuvent pas être utilisés dans le cadre d’une solution conforme à la loi HIPAA. Pour recueillir de manière sécurisée des informations en ligne sur les patients en dehors d’Acuity, il est fortement conseillé d’ajouter un lien vers un service externe conforme.

Ce guide explique comment Acuity gère les informations médicales protégées (PHI) telles que définies par la législation américaine. Si vous ne travaillez pas dans le secteur de la santé, ce guide ne s’applique probablement pas à vous.

Remarque : à l’heure actuelle, Acuity est la seule fonctionnalité Squarespace conçue pour proposer des services conformes aux obligations HIPAA. Votre accord Business Associate Addendum (BAA) ne couvre pas les autres fonctionnalités de Squarespace. Il est fortement déconseillé de conserver ou de transmettre des informations médicales protégées dans Squarespace (hormis dans Acuity).

Vous pouvez vous assurer que votre compte Acuity est compatible HIPAA si vous disposez du forfait Premium ou Powerhouse.

Conformité d’Acuity à HIPAA

Un consultant tiers spécialisé dans la sécurité des informations a analysé Acuity et a confirmé que cet outil peut répondre aux exigences de la règle Security Rule (sécurité) de la loi HIPAA.

Rendre votre compte compatible HIPAA

Si vous disposez du forfait Premium ou Powerhouse, vous pouvez activer la conformité HIPAA pour votre compte. Si vous n’avez pas de compte Acuity mais que vous souhaitez avoir un aperçu du BAA, commencez un essai gratuit du forfait Premium ou Powerhouse. Pendant votre essai, vous pouvez télécharger et consulter le BAA.

Pour que votre compte soit compatible HIPAA :

1. Vérifiez que vous vous êtes abonné(e) au forfait Premium ou Powerhouse.
2. Dans Acuity, cliquez sur Page Rendez-vous, puis sur Paramètres.
3. Sous le menu déroulant Langue du compte, cliquez sur le lien BAA pour commencer la procédure de signature d’un accord BAA.
4. Étudiez le BAA et assurez-vous de comprendre vos obligations.
5. Signez l’accord BAA en fournissant les informations nécessaires et en cliquant sur Envoyer.

Vos responsabilités dans le cadre de la loi HIPAA

Il ne suffit pas d’activer les fonctionnalités HIPAA dans Acuity pour devenir conforme à la loi HIPAA. Pour rester conforme, vous devez également vous assurer que vos pratiques commerciales et vos systèmes fonctionnent avec Acuity.

Pour que votre utilisation d’Acuity soit conforme à la règle Security Rule (sécurité) de la loi HIPAA, vous devez connaître vos responsabilités au moment de configurer votre compte. Vous devez notamment choisir consciencieusement la quantité et le type d’informations médicales protégées électroniques que vous incluez dans les SMS et les e-mails, et celles que vous excluez. Vous devez également signer un accord Business Associate Addendum (BAA) avec Squarespace.

Un accord BAA régit l’utilisation et la protection des informations médicales protégées échangées entre une « entité couverte » et un « associé ». Dans cette situation, si vous êtes une entité couverte d’après la loi HIPAA, Squarespace est alors un associé pour vous. Pour en savoir plus, rendez-vous sur le site du département de la Santé et des Services sociaux des États-Unis.

Conditions générales

• Vous devez disposer du forfait Premium ou Powerhouse pour activer les services HIPAA et signer un accord BAA avec Squarespace.
• Vérifiez que votre compte Acuity est compatible HIPAA avant de conserver des informations médicales protégées sur votre compte ou de les transférer via votre compte.
• Chacun de vos comptes Acuity doit être compatible HIPAA. Un compte n’est compatible HIPAA qu’une fois qu’un accord BAA distinct est signé pour ce compte.
• Vous seul(e) êtes responsable de veiller à ce que les contrôles, les paramètres et les restrictions en place répondent à vos besoins et permettent la conformité à la loi HIPAA. Chaque organisation contrôle et détermine ses propres pratiques de conformité à la loi HIPAA, y compris la manière de mettre en œuvre certains contrôles, l’anonymisation et les types d’informations échangées entre votre organisation, vos clients et Squarespace. Chaque organisation est différente et a des besoins différents. C’est pourquoi nous vous proposons des paramètres qui vous aident à respecter votre propre programme de conformité.

Protections supplémentaires pour les comptes Acuity Scheduling compatibles HIPAA

Tous les comptes Acuity ont en commun la plupart des protections techniques et des protections de sécurité, mais des protections supplémentaires existent pour les comptes compatibles HIPAA :

• Les notifications par e-mail que nous vous envoyons ne contiennent aucune réponse saisie par le client dans le formulaire.
• Dans les formulaires de renseignements, les fichiers ne peuvent être chargés qu’à partir d’un appareil ou d’un ordinateur local. Il est impossible de les charger à partir de Google Docs ou d’autres services similaires.
• Les clients ne peuvent pas utiliser d'adresse e-mail pour vérifier le solde des packs, des chèques-cadeaux ou des codes d'abonnement.
• La synchronisation de calendriers avec Office 365, Outlook.com, Live.com, Exchange et iCloud n’est pas disponible. Avant de rendre votre compte Acuity compatible HIPAA, vous devez désactiver toute synchronisation avec ces services.
• L’intégration avec les Campagnes e-mail Squarespace n’est pas disponible. Si cette intégration est active, vous devez la désactiver avant de rendre votre compte Acuity compatible HIPAA.
• La fonctionnalité de facturation d’Acuity n’est pas activée.
• L’intégration à Réserver avec Google n’est pas activée.
• Les e-mails de rappel de renouvellement d’abonnement ne contiennent pas de nom d’abonnement.
• Vous serez déconnecté(e) de votre compte au bout de quatre heures d’inactivité.

Supprimer les informations médicales protégées (PHI) des notifications par e-mail et par texto

Les notifications par e-mail et par SMS peuvent contenir par défaut des informations médicales protégées (PHI), notamment le nom des clients, leur adresse e-mail, les types de rendez-vous ainsi que la date et l’heure des rendez-vous. Vous avez la responsabilité de modifier les informations contenues dans les messages en mettant à jour vos paramètres de notification.

Pour supprimer les informations médicales protégées (PHI) de vos notifications de rendez-vous :

• Modifiez vos modèles d’e-mails et supprimez les balises qui contiennent des informations personnelles concernant le rendez-vous.
• Vous pouvez désactiver les notifications internes par e-mail qui vous sont envoyées, à vous et à votre personnel, pour empêcher que le nom et l’adresse e-mail du client ne soient envoyés dans les champs De et Réponse.
• Modifiez vos rappels par texto pour supprimer des balises personnalisées, ou utilisez les boutons de la section Afficher pour exclure les informations personnelles de votre texto de rappel.
• Les textos envoyés aux clients figurant sur votre liste d’attente n’indiqueront ni le type de rendez-vous ni le nom d’entreprise si votre compte est compatible HIPAA.

Supprimer les fichiers du calendrier ICS des notifications par e-mail

Par défaut, les e-mails de confirmation et de reprogrammation qui sont envoyés au client et à vous-même contiennent un fichier de calendrier (invitation ICS) en pièce jointe. Cette invitation ICS contient le nom du client, le type de rendez-vous et l’heure du rendez-vous. Pour désactiver la pièce jointe ICS dans vos notifications par e-mail, contactez-nous.

Comment les clients peuvent-ils refuser de recevoir des notifications ?

Les clients peuvent se désabonner des e-mails marketing en cliquant sur Se désabonner. Ils continueront à recevoir des e-mails automatiques indiquant les transactions effectuées. Ils peuvent se désinscrire des SMS en répondant STOP au message reçu. Lorsque vous prenez un rendez-vous pour un client, vous pouvez ne pas saisir son adresse e-mail ni son numéro de téléphone dans les détails du rendez-vous afin que les notifications ne soient pas envoyées.

Intégrations tierces et HIPAA

De nombreuses intégrations tierces ne prennent pas en charge HIPAA. Vous pouvez désactiver certaines de ces intégrations, voire toutes, avant de rendre votre compte Acuity compatible HIPAA.

Si vous connectez Acuity à des intégrations tierces telles que Google Agenda ou Stripe, vous avez la responsabilité de déterminer si l’intégration est acceptable pour votre entreprise et/ou de modifier votre utilisation, vos paramètres, vos critères de sécurité et vos informations afin de respecter vos pratiques et vos obligations en matière de conformité à la loi HIPAA. Il vous incombe également de passer tout nouvel accord contractuel nécessaire pour respecter vos pratiques et vos obligations au titre de la loi HIPAA. Vous devez prendre ces mesures avant d’utiliser le service tiers.

Accéder à votre BAA

Vous pouvez consulter ou télécharger votre Accord de Partenariat (BAA) à tout moment :

1. Dans Acuity, cliquez sur Page Rendez-vous, puis sur Paramètres.
2. Cliquez sur Afficher et télécharger votre BAA signé.
3. Vous pouvez également cliquer sur Télécharger au format PDF pour en télécharger une copie.