Verificación en dos pasos
Obligatoria en todas las cuentas que uso para la empresa, empezando por Microsoft 365.
HIPAA
Cómo cuido la información de tus clientes
En el análisis, Cleared RCM es asociado de negocios (Business Associate) de tu agencia, como lo define HIPAA. Por eso firmamos el acuerdo HIPAA (BAA) antes de que me compartas un solo archivo, y por eso trabajo solo con lo que tú exportas, sin entrar a tu sistema.
- Acuerdo HIPAA (BAA)
- Antes de recibir datos
- Junto con una carta de una página que dice qué incluye el análisis.
- Acceso a tu sistema
- Ninguno
- Tú exportas los reportes. No te pido usuario ni contraseña.
- Por dónde viajan los archivos
- Tu carpeta privada
- En Microsoft 365. Nunca por correo ni por WhatsApp.
- Cifrado
- En tránsito y guardado
- TLS 1.2 o superior al viajar. Disco cifrado con BitLocker y cifrado de Microsoft 365 al guardarse.
- Verificación en dos pasos
- Obligatoria
- En todas las cuentas de la empresa.
- Al terminar
- Borro todas mis copias
- Después de dos semanas para que descargues todo, y te lo confirmo por escrito.
El acuerdo
Qué es un asociado de negocios
HIPAA llama entidad cubierta a tu agencia, y asociado de negocios a quien trabaja con información de salud de tus clientes por encargo tuyo, como yo en el análisis.
El acuerdo que firmamos (BAA) dice para qué puedo usar esa información, cómo la protejo, qué pasa si algo sale mal y qué pasa al terminar. Lo firmamos junto con la carta de alcance, desde el teléfono o la computadora, y hasta entonces no recibo ningún dato.
Tus archivos
El camino de tus archivos, de principio a fin
-
1
Firmamos
El BAA y la carta de alcance. Antes de eso, ningún archivo.
-
2
Tu carpeta privada
Un sitio de Microsoft 365 solo para tu agencia, compartido únicamente con las personas que tú me digas, cada una con su propia invitación, que se confirma con un código que le llega al correo. Subes tus archivos a una carpeta y en otra encuentras el informe. No uso enlaces que cualquiera pueda abrir.
-
3
La videollamada
Sacamos los reportes juntos por Microsoft Teams. La llamada no se graba, porque en tu pantalla pueden aparecer nombres de clientes.
-
4
Mi copia de trabajo
Descargo tus archivos a una computadora cifrada, en una carpeta que no se sincroniza ni se respalda. Para armar el informe guardo solo lo que el análisis usa: no guardo nombres, datos de contacto, fechas de nacimiento ni números de afiliado, y cada cliente pasa a ser un número. La hoja que dice quién es cada número se queda en tu carpeta.
-
5
Al terminar
Tus archivos, tu informe y la hoja quedan dos semanas en tu carpeta para que los descargues. Después borro todo, también el sitio, siempre dentro de los sesenta días que fija el BAA, y te mando una constancia por escrito. Si me lo pides por escrito, lo borro antes.
Las protecciones
Lo que está en marcha desde el primer día
Cifrado
TLS 1.2 o superior cuando la información viaja. Cifrado de disco completo con BitLocker en la computadora y cifrado de Microsoft 365 en sus servidores. Bloqueo de pantalla a los cinco minutos.
Registro de accesos
Microsoft 365 registra quién abre tu carpeta, y yo anoto cada vez que trabajo con tu copia. Exporto ese registro en la reunión de resultados y al final, y lo guardo seis años, como dice el BAA. Si lo pides, te lo doy.
Nada de inteligencia artificial con tus datos
Tus archivos, la base con la que armo el informe y el informe nunca se abren ni se pegan en un asistente de inteligencia artificial ni en ningún servicio que no tenga un BAA.
Solo yo
Trabajo solo, sin subcontratistas. Si algún día hay alguien más, firmará un BAA y hará la capacitación de HIPAA antes de ver cualquier dato.
Políticas por escrito y capacitación
Un programa escrito de seguridad (WISP) y un plan de respuesta a incidentes, firmados el 19 de octubre de 2026. Ese día completé la capacitación de HIPAA del Departamento de Salud y Servicios Humanos (HHS), y la repito cada año.
Si algo sale mal
Qué hago y cuándo te aviso
Ojalá nunca pase. Si pasa, este es el plan, y está por escrito.
En las primeras 24 horas
Contengo el problema
Cierro accesos y guardo la evidencia, y procuro mandarte un primer aviso por correo en ese mismo plazo.
En 10 días, como máximo
Te aviso por escrito
Con lo que se sabe y lo que todavía no. Es el aviso formal que pide el BAA.
A los 30 días
Informe final
Qué pasó, por qué, a quién afectó y qué cambié para que no se repita.
Como entidad cubierta, tu agencia es quien avisa a las familias y a las autoridades cuando la ley lo pide. Yo te ayudo con todo lo que necesites para hacerlo a tiempo.
Para familias
Si eres familia de un cliente de una agencia con la que trabajo
Tu agencia es la entidad cubierta y quien guarda tus registros. Para ver o corregir tu información, o para pedir la lista de a quién se le ha dado, comunícate con tu agencia. Yo no me comunico con familias; si tu agencia me lo pide por escrito, le ayudo a responderte.
Preguntas
Lo que suelen preguntarme sobre HIPAA
¿Qué información recibes?
Solo los dos reportes que tú exportas: reclamaciones (con lo pagado) y autorizaciones. Ahí vienen, por ejemplo, el cliente, la aseguradora, las fechas de servicio, los códigos, lo facturado, lo pagado y el estado de cada reclamación. No necesito notas clínicas ni planes de tratamiento.
¿Necesitas entrar a nuestro sistema?
No. En la videollamada tú compartes la pantalla y yo te digo qué elegir. No te pido usuario ni contraseña.
¿De quién es el BAA que firmamos?
Tengo uno preparado para este análisis. Te lo mando antes de empezar para que lo leas con calma, y lo firmas desde el teléfono o la computadora.
¿Usas inteligencia artificial con nuestros datos?
No. Tus archivos y tu informe nunca pasan por un asistente de inteligencia artificial ni por ningún servicio que no tenga un BAA.
¿Qué pasa con nuestros datos al terminar?
Quedan dos semanas en tu carpeta privada para que los descargues. Después borro todas mis copias y el sitio, dentro de los sesenta días que fija el BAA, y te mando una constancia por escrito.
¿Quieres leer el BAA antes de empezar?
Escríbeme y te lo mando, junto con la carta de alcance. Te respondo yo mismo en un día hábil.