Партнер зі США надіслав питальник про HIPAA, а ми не знаємо, з чого почати.
Робимо аудит: що з даних ви збираєте, де вони лежать, хто має доступ. Отримуєте список розривів із пріоритетами та планом виправлень.
Сайт і сервіс, який можна легально запускати в медицині, фінансах та освіті
Ми налаштовуємо сайт, форми, CRM і ШІ-агентів під вимоги HIPAA (медичні дані в США), KYC (перевірка клієнтів у фінансах) і FERPA (дані учнів і студентів у США). Так сайт приводить клієнтів, а автоматизація не створює юридичних ризиків. Ми не юридична фірма: остаточну оцінку робить ваш юрист або аудитор.
Кошторис і строки після брифу
Кому підходить
- Клінікам, телемедичним сервісам і ІТ-компаніям, які працюють із пацієнтами зі США
- Фінтех-стартапам, обмінникам, кредитним і платіжним сервісам, яким потрібна перевірка клієнтів
- Освітнім платформам і школам, які мають учнів або студентів зі США
- Підрядникам, яких партнер просить пройти питальник із безпеки перед угодою
Які задачі вирішуємо
Форма запису на сайті надсилає дані пацієнта звичайною поштою.
Замінюємо її на захищену форму з шифруванням і журналом доступу. Прибираємо з таких сторінок трекери (Meta Pixel, аналітику), які можуть передавати дані третім сторонам.
Нові клієнти проходять перевірку вручну, заявки висять днями.
Підключаємо сервіс перевірки особи (Sumsub, Veriff або подібний): документ, селфі-перевірка, санкційні списки. Результат падає в CRM, а простих випадків не торкається людина.
Боїмося, що ШІ-чатбот або автоматизація витягне зайве з персональних даних.
Обмежуємо, які дані бачить бот, прибираємо зайве з журналів і перевіряємо, чи є у постачальника потрібна угода (наприклад, BAA для HIPAA). Якщо угоди немає, не підключаємо.
Що входить у роботу
- Аудит потоку даних: форми, пошта, CRM, аналітика, чати, сховища
- Список розривів із вимогами HIPAA, KYC або FERPA та пріоритетами
- Захищені форми й особисті кабінети з розмежуванням ролей
- Шифрування даних у дорозі й у сховищі, двофакторний вхід для персоналу
- Підключення сервісу KYC: перевірка документа, селфі-перевірка (liveness), санкційні списки
- Журнал дій (audit log): хто, коли й до чого мав доступ
- Правила зберігання й видалення даних, налаштовані в системі
- Політика приватності, згоди й тексти для форм (чернетки для вашого юриста)
- Налаштування CRM і ШІ-агентів так, щоб вони не отримували зайвих даних
- Інструкція для вашого персоналу: що можна й чого не можна робити з даними
Оберіть обсяг роботи
Пакет допомагає описати задачу. Кошторис і строки погоджуємо після брифу та уточнення вимог.
01
Аудит і план
Тим, хто ще не знає, наскільки далеко від вимог
- Карта потоків даних
- Список розривів із пріоритетами
- Оцінка вартості виправлень
- Перелік питань для вашого юриста
02
Впровадження
Сервісам, які готові виправляти розриви та запускатися
- Захищені форми й кабінети
- Інтеграція KYC-сервісу або обмеження доступу до даних
- Журнал дій і правила зберігання
- Документи-чернетки для юриста
- Навчання персоналу
03
Супровід
Тим, хто вже пройшов впровадження й хоче тримати все в порядку
- Щоквартальна перевірка доступів
- Оновлення форм і інтеграцій
- Допомога з питальниками партнерів
- Швидке виправлення знайдених проблем
Як працюємо
Бриф і вимоги
Ви описуєте задачу й поточний процес. Уточнюємо вимоги, обираємо перший етап і готуємо кошторис.
Аудит даних
Розбираємо, які дані ви збираєте та куди вони потрапляють. Складаємо список розривів і фіксуємо пілот із вимірюваним показником, наприклад: час перевірки клієнта або кількість форм без захисту.
Пілот
Спершу виправляємо один потік: одну форму або одну перевірку клієнта. Дивимося на результат за показником.
Впровадження
Розгортаємо рішення на решті потоків. Оплата йде поетапно, усі доступи й акаунти за погодженими умовами ваші.
Передача й навчання
Віддаємо документацію, проводимо інструктаж для персоналу й передаємо матеріали вашому юристу для підсумкової перевірки.
Межі роботи
- Не обіцяємо «сертифікат HIPAA»: офіційної сертифікації немає, є відповідність вимогам, яку оцінюють юрист або аудитор.
- Не замінюємо юриста: наші тексти політик і згод є чернетками, їх має затвердити ваш фахівець.
- Не гарантуємо схвалення регулятором, банком чи партнером: ми готуємо систему, а рішення ухвалюють вони.
Часті питання
Чи потрібен HIPAA, якщо я працюю тільки в Україні?
Ні. HIPAA стосується медичних даних у США. Він потрібен, якщо ви обробляєте дані пацієнтів зі США або працюєте підрядником для американської клініки чи страховика.
Що таке KYC і хто його вимагає?
KYC (know your customer) означає перевірку особи клієнта. Її вимагають закони про протидію відмиванню коштів, банки й платіжні сервіси. Вимоги залежать від країни та виду бізнесу, тому перелік перевірок уточнюємо з вашим юристом.
Чи зберігаєте ви документи моїх клієнтів?
Ми намагаємося цього не робити. Перевірка йде через сервіс KYC, а у вашій системі лишається результат і мінімум потрібних даних. Усі акаунти й доступи належать вам.
Чи можна підключити ШІ-агента, якщо в нас медичні дані?
Можна, якщо постачальник моделі підписує потрібну угоду й дані не потрапляють у навчання. Якщо таких умов немає, ми обмежуємо агента загальними питаннями без персональних даних.
Скільки це коштує порівняно із зарубіжними студіями?
Кошторис готуємо після брифу й уточнення вимог. Для першого етапу можемо взяти такий обсяг: карта потоків даних; Список розривів із пріоритетами. Склад робіт, оплату й строки погоджуємо до старту.
Як це пов'язано із сайтом і залученням клієнтів?
У медицині, фінансах і освіті клієнти й партнери часто питають про безпеку ще до першої угоди. Коли ви це закрили, сайт і реклама приводять клієнтів, а автоматизація (CRM, ШІ-агенти) працює без зайвих ризиків.
Почнемо з вашої задачі
Опишіть бізнес, бажаний результат і поточний процес. Після брифу уточнимо вимоги та підготуємо кошторис.