Política de Privacidad

1. Resumen

Esta Política de Privacidad describe cómo FirstMedical Health Plan ("FirstMedical", "nosotros") recopila, usa y protege la información a través del Portal de Desarrolladores y las APIs de Interoperabilidad. Esta política aplica a los desarrolladores que se registran para acceder a la API y a los datos que se intercambian a través de las APIs.

2. Información que recopilamos

Información de la cuenta de desarrollador

• Nombre de la organización e información de contacto
• Nombre y descripción de la aplicación
• Detalles técnicos (URIs de redirección, tipo de cliente OAuth)
• Dirección de correo electrónico para comunicaciones

Datos de uso de la API

• Registros de llamadas a la API (endpoint, fecha y hora, código de respuesta)
• Client ID asociado a cada solicitud
• Uso de los límites de tasa y tasas de error
• Direcciones IP para la supervisión de seguridad

Información de salud protegida (PHI)

La PHI se intercambia a través de las APIs solo por indicación de pacientes o proveedores autorizados. FirstMedical procesa la PHI conforme a las regulaciones de HIPAA y CMS. La PHI nunca se almacena en el Portal de Desarrolladores.

3. Cómo usamos la información

• Autenticar y autorizar el acceso a la API
• Supervisar el uso de la API y aplicar los límites de tasa
• Detectar y prevenir amenazas de seguridad
• Generar los informes de cumplimiento que exige CMS
• Comunicarnos con los desarrolladores sobre cambios o incidentes de la API
• Mantener registros de auditoría según 45 CFR 170.210(e)(1) (retención de 7 años)

4. Compartir datos

No vendemos la información de los desarrolladores ni los datos de uso de la API. Podemos compartir información:

• Con CMS, según se requiera para los informes de cumplimiento regulatorio
• Con las autoridades, cuando la ley lo exija
• Con los servicios en la nube de Azure (Microsoft) para la operación de la infraestructura
• De forma agregada y anonimizada para análisis operativos

5. Seguridad de los datos

Protegemos los datos mediante:

• Cifrado TLS 1.2 o superior en todas las comunicaciones de la API
• OAuth 2.0 / SMART on FHIR 2.0 para la autenticación
• Azure Entra ID para la gestión de identidades en producción
• Almacenamiento cifrado de todas las credenciales y secretos
• Aislamiento de red mediante Azure VNet y puntos de conexión privados
• Auditorías de seguridad y pruebas de penetración periódicas

6. Retención de datos

• Registros de auditoría de la API: 7 años (según exige CMS)
• Información de la cuenta de desarrollador: mientras dure la cuenta más 1 año
• Métricas de uso de la API: 3 años para los informes de cumplimiento
• Datos del sandbox: solo sintéticos, sin PHI, retenidos indefinidamente

7. Sus derechos

Como desarrollador, usted puede:

• Solicitar acceso a la información de su cuenta
• Actualizar los datos de su organización y de sus aplicaciones
• Eliminar su cuenta de desarrollador y sus aplicaciones
• Solicitar una copia de sus datos de uso de la API

Los derechos de los pacientes sobre su PHI se rigen por HIPAA y por las políticas de privacidad para afiliados de FirstMedical.

8. Entorno sandbox

El entorno sandbox usa únicamente datos sintéticos (ficticios). No hay PHI real en el sandbox. Los registros de pacientes de prueba se generan solo con fines de desarrollo y no corresponden a personas reales.

9. Cambios a esta política

Podemos actualizar esta política para reflejar cambios en las regulaciones o en nuestras prácticas. Notificaremos por correo electrónico a los desarrolladores registrados cualquier cambio sustancial con al menos 30 días de antelación a su entrada en vigor.

10. Contacto

Para consultas sobre privacidad, use el formulario de soporte.

Vea también: Aviso de privacidad general de FirstMedical