HIPAA-afstemming

Cognistase is een Europees bedrijf, maar talent en begaafdheid kennen geen grenzen. Gezinnen en professionals in de Verenigde Staten kunnen ook baat hebben bij ons platform. Daarom bereiden we onze architectuur nu al voor op de vereisten van HIPAA, de Health Insurance Portability and Accountability Act die de standaard zet voor het beschermen van gevoelige gezondheidsinformatie in de VS.

Waarom HIPAA relevant is voor een Europees bedrijf

Ontwikkelingsbeoordelingsgegevens worden beschouwd als Protected Health Information (PHI) onder HIPAA. Wanneer zorgverleners, scholen of klinieken in de VS Cognistase willen gebruiken, moeten wij voldoen aan de Administrative, Physical en Technical Safeguards van HIPAA. Het goede nieuws: onze strenge EU-gerichte architectuur implementeert veel van deze vereisten al standaard.

Safe Harbor de-identificatie

Ons de-identificatieproces volgt de HIPAA Safe Harbor-methode en verwijdert alle 18 categorieen van PHI-identificatoren. Wanneer gegevens worden gebruikt voor geaggregeerde analyse of systeemverbetering, worden ze volledig gede-identificeerd zodat heridentificatie redelijkerwijs niet mogelijk is. Geen half werk, volledige anonimisering.

PHI-isolatiezones

Protected Health Information wordt opgeslagen in speciale isolatiezones met extra toegangscontroles, encryptie en auditlogging bovenop onze standaard beveiligingsmaatregelen. Deze zones zijn zowel logisch als fysiek gescheiden van niet-PHI-gegevensopslag. Zo blijft de meest gevoelige informatie extra beschermd.

Business Associate Agreement

Wanneer Cognistase beschikbaar wordt op de Amerikaanse markt, bieden wij Business Associate Agreements (BAA's) aan aan covered entities. Een BAA formaliseert onze toezegging om PHI te beschermen en legt de verantwoordelijkheden van beide partijen onder HIPAA helder vast.

Technische waarborgen die al zijn geimplementeerd

Onze beveiligingsarchitectuur is nu al gebouwd op de principes die HIPAA vereist:

• Encryptie in rust (AES-256-GCM) en tijdens transport (TLS 1.3)
• Unieke gebruikersidentificatie en rolgebaseerde toegangscontrole
• Automatisch sessiebeheer en time-out
• Uitgebreide auditlogging van alle gegevenstoegangsgebeurtenissen
• Noodtoegangsprocedures voor geautoriseerd personeel

We bouwen niet achteraf compliance in, we ontwerpen er direct mee.