Luottamus ja tietoturva

Yritystason tietoturva ja
maailmanlaajuinen vaatimustenmukaisuus.

PostDICOM tallentaa ja käsittelee miljoonia lääketieteellisiä kuvia yli 30 maassa. Tämä sivu esittelee tietoturva-arkkitehtuurimme, riippumattomat sertifioinnit ja vaatimustenmukaisuuskäytännöt – jotta voit tehdä tietoon perustuvan päätöksen.

CE-merkintä 1984-MDD-10-057
ISO 27001 Tietoturva
ISO 13485 Lääkinnälliset laitteet
ISO 9001 Laadunhallinta
ISO 15504 SPICE Taso 2
HIPAA Yhteensopiva arkkitehtuuri
GDPR Yhteensopiva arkkitehtuuri

Miten PostDICOM suojaa lääketieteellistä kuvantamisdataa kaikilla tasoilla?

PostDICOM soveltaa tietoturvakontrolleja salauksen, identiteetin, infrastruktuurin ja maksujen tasoilla – koska tietoturva ei ole ominaisuus, vaan perusta, jolle alusta on suunniteltu.

Tietojen salaus

Suojatut terveystiedot (PHI) on suojattu AES-256-salauksella levossa. Kaikki siirrettävät tiedot – kuvantamislaitteiden, selaimien ja pilvemme välillä – on suojattu TLS 1.2/1.3 -protokollalla.

Identiteetin ja pääsynhallinta

Roolipohjainen pääsynhallinta (RBAC) mahdollistaa tarkasti rajattujen käyttöoikeuksien myöntämisen jokaiselle tiimin jäsenelle. Kaksivaiheinen todennus (2FA) on tuettu kaikilla tileillä. Katselut, lataukset, jaot ja hallinnolliset toimet tallennetaan tarkastuslokiin, jota säilytetään aktiivisen tilauksen ajan.

Pilvi-infrastruktuuri ja vikasietoisuus

PostDICOM toimii Microsoft Azuressa – yhdessä maailman laajimmin käytetyistä yrityspilvialustoista. Tietosi tallennetaan alueelle, jonka valitset tilin luomisen yhteydessä. Microsoft Azurella on ISO 27001-, SOC 2- ja HIPAA-yhteensopivuussertifioinnit maailmanlaajuisessa infrastruktuurissaan.

Maksu- ja laskutusturvallisuus

Maksunkäsittelystä vastaa yksinomaan Stripe, PCI DSS Level 1 -sertifioitu palveluntarjoaja. PostDICOM ei tallenna, siirrä tai käsittele luottokorttinumeroita omilla palvelimillaan. Kaikissa uusissa tilauksissa käytetään Stripe Setup Intents -toimintoa ja 3D Secure (SCA) -todennusta, jotka varmistavat korttisi voimassaolon ja valtuutuksen ennen kokeilujakson alkamista.

Voinko hallita, missä maassa potilastietoni säilytetään?

Kyllä. PostDICOM hyödyntää 12 itsenäistä Microsoft Azure -aluetta, joten voit valita lainkäyttöalueen, jossa potilastietosi säilytetään – tämä tukee alueellisia terveydenhuollon tietosuojalakeja, jotka edellyttävät tietojen säilyttämistä tietyillä maantieteellisillä alueilla.

Kun määrität PostDICOM-tilisi, valitset ensisijaisen alueesi. DICOM-tiedostosi, tietokantasi ja lokisi on suunniteltu pysymään valitun lainkäyttöalueen sisällä.

Paikallinen redundanssi
EU:n GDPR-yhteensopiva arkkitehtuuri
Yhdysvaltain HIPAA-yhteensopiva arkkitehtuuri

Aktiiviset PostDICOM-alueet

Microsoft Azuren runkoverkko

Euroopan unioni

Frankfurt (Saksa)

Pariisi (Ranska)

Yhdysvallat

New York City (USA)

Los Angeles (USA)

Dallas (USA)

Yhdistynyt kuningaskunta

Lontoo (Yhdistynyt kuningaskunta)

Sveitsi

Zürich (Sveitsi)

Kanada

Montreal (Kanada)

Aasia ja Tyynenmeren alue

Singapore

Sydney (Australia)

Pune (Intia)

Etelä-Amerikka

São Paulo (Brasilia)

Mitä sertifiointeja PostDICOMilla on ja kuka ne on auditoinut?

PostDICOMilla on CE-merkintä (luokka IIb), ISO 27001, ISO 13485, ISO 9001 ja ISO 15504 -sertifioinnit, jotka ovat myöntäneet riippumattomat kolmannen osapuolen auditointielimet – ne eivät ole itsearvioituja. Jokainen niistä edustaa jatkuvaa sitoutumista, ei kertaluonteista saavutusta.

CE-merkintä, ISO 27001, ISO 13485, ISO 9001 ja ISO 15504 -sertifioinnit ovat Ekstrem Bir Bilgisayar Danışmanlık İç ve Dış Ticaret Limited Şirketi:n hallussa, joka on PostDICOM-ohjelmiston sertifioitu laillinen valmistaja. HIPAA- ja GDPR-merkinnät heijastavat yhteensopivaa arkkitehtuurisuunnittelua, eivät kolmannen osapuolen sertifiointeja.

CE-merkintä — Luokka IIb

1984-MDD-10-057

PostDICOM on CE-merkitty luokan IIb lääkinnällisenä laitteena lääkinnällisistä laitteista annetun direktiivin (MDD 93/42/EEC) mukaisesti.

ISO 27001:2022

Tietoturvan hallinta

Riippumattoman kolmannen osapuolen auditointi tietoturvan hallintajärjestelmästämme (ISMS), joka kattaa riskienhallinnan, pääsynvalvonnan, poikkeamien käsittelyn ja liiketoiminnan jatkuvuuden.

ISO 13485:2016

Lääkinnällisten laitteiden laadunhallinta

Laadunhallintajärjestelmämme sertifiointi, joka koskee erityisesti lääkinnällisten laitteiden suunnittelua, kehitystä ja markkinoille saattamisen jälkeistä valvontaa.

ISO 9001:2015

Laadunhallintajärjestelmä

Yleinen laadunhallinnan sertifiointi, joka kattaa asiakas- ja sääntelyvaatimukset täyttävien palvelujen johdonmukaisen toimittamisen.

ISO 15504 / SPICE

Taso 2 – Ohjelmistoprosessin kyvykkyys

Ohjelmistokehitysprosessimme kyvykkyyden arviointi tasolla 2 (Hallittu prosessi), joka vahvistaa, että ohjelmistokehitys on suunniteltua, valvottua ja sitä mukautetaan määriteltyjen tavoitteiden saavuttamiseksi.

HIPAA-yhteensopiva arkkitehtuuri

Yhdysvaltain terveystiedot

PostDICOMin infrastruktuuri on suunniteltu tukemaan HIPAA-yhteensopivia terveydenhuollon työnkulkuja. Kaikki suojatut potilastiedot (PHI) salataan levossa ja siirron aikana, pääsy kirjataan lokiin, ja järjestelmät on sijoitettu Microsoft Azureen yhdysvaltalaisissa datakeskuksissa Yhdysvaltain alueen asiakkaille.

GDPR-yhteensopiva arkkitehtuuri

Eurooppalainen ja maailmanlaajuinen tietosuoja

PostDICOM B.V. on rekisteröity Alankomaissa ja toimii Euroopan unionin lainsäädännön puitteissa. EU-asiakkaiden potilastiedot tallennetaan EU-pohjaisille Azure-alueille.

Mikä on PostDICOMin sääntelystatus ja etenemissuunnitelma?

PostDICOM on tällä hetkellä CE-merkitty luokan IIb lääkinnällisenä laitteena ja etenee aktiivisesti kohti EU:n MDR-vaatimustenmukaisuutta. Alla on avoin yleiskatsaus nykytilanteestamme ja tulevaisuuden suunnitelmistamme.

AKTIIVINEN

CE-merkintä — MDD-luokka IIb

1984-MDD-10-057

PostDICOM on tällä hetkellä CE-merkitty lääkinnällisistä laitteista annetun direktiivin (MDD 93/42/EEC) mukaisesti luokan IIb lääketieteellisen kuvantamisen ohjelmistona. Tämä sertifiointi on aktiivinen ja ylläpidetty.

KESKEN Tavoite 2028

EU MDR -siirtymä

Lääkinnällisiä laitteita koskeva asetus (EU) 2017/745

Lääkinnällisistä laitteista annettu direktiivi korvataan lääkinnällisiä laitteita koskevalla asetuksella (MDR). PostDICOMin laillinen valmistaja on aktiivisesti mukana MDR-siirtymäprosessissa. Tavoiteaika valmistumiselle: 2028.

Mitä kolmannen osapuolen palveluita PostDICOM käyttää alustansa operoimiseen?

PostDICOM tukeutuu pieneen määrään huolellisesti valittuja palveluntarjoajia – Microsoft Azureen pilvi-infrastruktuurissa ja Stripeen maksunkäsittelyssä. Alla on täydellinen luettelo käyttämistämme keskeisistä alikäsittelijöistä.

Microsoft Azure

Tarkoitus Pilvi-infrastruktuuri, tallennus ja verkkopalvelut
Sijainti Useita lainkäyttöalueita (asiakkaan valitsema)
Sert. ISO 27001 · SOC 2 · PCI DSS

Stripe

Tarkoitus Maksunkäsittely ja laskutus
Sijainti Yhdysvallat ja Euroopan unioni
Sert. PCI DSS Taso 1

Mitkä oikeushenkilöt ovat PostDICOMin takana?

PostDICOM toimii kahden yhtiön kautta: PostDICOM B.V. (Alankomaat), maailmanlaajuinen kaupallinen ja lisensointiyhtiö, ja Ekstrem Bir Bilgisayar Danışmanlık, sertifioitu laillinen valmistaja. Tämä selkeästi määritelty rakenne erottaa kaupallisen lisensoinnin säännellystä ohjelmistonvalmistuksesta.

PostDICOM B.V.

Maailmanlaajuinen pääkonttori

Osoite Vinkenburgstraat 2A, 3512 AB Utrecht, Alankomaat
KVK 74435442
Rooli Maailmanlaajuinen kaupallinen ja lisensointiyhtiö
Lainkäyttöalue Euroopan unioni

PostDICOM B.V. on yhtiö, jonka kanssa teet sopimuksen ostaessasi PostDICOM-tilauksen. Se vastaa asiakassopimuksista, laskutuksesta ja tietosuoja-asioista.

Ekstrem Bir Bilgisayar Danışmanlık İç ve Dış Ticaret Limited Şirketi

Teknologia- ja T&K-keskus

Osoite Hacettepe Teknokent, Ankara, Turkki
Rooli Laillinen valmistaja, ohjelmistokehitys ja T&K
Sertifioinnit CE-merkintä · ISO 27001 · ISO 13485 · ISO 9001 · ISO 15504

Ekstrem Bir Bilgisayar Danışmanlık İç ve Dış Ticaret Limited Şirketi on PostDICOM-ohjelmiston sertifioitu laillinen valmistaja. Sillä on kaikki lääkinnällisten laitteiden sertifioinnit ja se vastaa PostDICOM-alustan ohjelmistokehityksestä, laadunhallinnasta ja sääntelyn noudattamisesta.

Usein kysytyt tietoturvaa ja vaatimustenmukaisuutta koskevat kysymykset.

Suorat vastaukset yleisiin due diligence -kysymyksiin.

Tukeeko PostDICOM HIPAA-yhteensopivia työnkulkuja?

Kyllä. PostDICOMin infrastruktuuri ja prosessit on suunniteltu tukemaan HIPAA-yhteensopivia työnkulkuja: Suojatut potilastiedot (PHI) salataan levossa (AES-256) ja siirron aikana (TLS 1.2/1.3), pääsyä hallitaan roolipohjaisilla oikeuksilla ja kaksivaiheisella todennuksella, ja kaikki toiminnot tallennetaan tarkastuslokiin. Huomaa, että 'HIPAA-sertifiointia' ei ole olemassa virallisena standardina – HIPAA-yhteensopivuus on joukko käytäntöjä, ei kolmannen osapuolen myöntämä todistus.

Missä potilastietoni säilytetään?

Kun luot PostDICOM-tilisi, valitset ensisijaisen tallennussijaintisi 12 itsenäisestä Microsoft Azure -alueesta: EU (Saksa (Frankfurt), Ranska (Pariisi)), USA (Itä, Länsi, Etelä-Keski), Iso-Britannia (Lontoo), Sveitsi (Zürich), Kanada (Montreal), Aasia-Tyynimeri (Singapore, Australia (Sydney), Intia (Pune)) ja Etelä-Amerikka (Brasilia (São Paulo)). Tietosi isännöidään valitsemallasi lainkäyttöalueella, jotta voit täyttää paikalliset tietojen sijaintivaatimukset ja noudattaa alueellisia terveydenhuollon tietosuojalakeja (kuten GDPR tai HIPAA).

Mitä tiedoilleni tapahtuu, jos peruutan tilaukseni?

Ennen tilauksesi peruuttamista, lataa kaikki potilastiedot, jotka haluat säilyttää – mukaan lukien DICOM-tutkimukset, lääketieteelliset kuvat, asiakirjat ja muut ladatut tiedostot. Kun tilauksesi päättyy, kaikki jäljellä olevat potilastiedot poistetaan pysyvästi järjestelmistämme. Peruutuksen jälkeen ei ole armonaikaa. Tilitietosi säilytetään vain kirjanpito- ja laskutustarkoituksiin.