Este aviso de privacidad explica cómo Zhealus puede recopilar, usar, divulgar, proteger y gestionar la información relacionada con la salud enviada a través de la plataforma Zhealus. Está diseñado para proporcionar transparencia hacia los pacientes y describir las prácticas de datos de Zhealus. No reemplaza el Aviso de Privacidad HIPAA emitido por un proveedor de atención médica participante. Cuando Zhealus está disponible a través de un proveedor participante, Zhealus generalmente actúa como proveedor tecnológico y asociado comercial HIPAA para ese proveedor, no como el proveedor tratante o plan de salud del paciente.

Zhealus LLC ("Zhealus," "Nosotros," "nuestro,"o "nosotros") ofrece una plataforma web de seguimiento y evaluación de pacientes que puede ponerse a disposición de estos a través de proveedores de atención médica, clínicas, centros de atención de urgencia, hospitales u organizaciones similares participantes («Proveedores Participantes»). Los pacientes pueden enviar información directamente a Zhealus a través de la plataforma, incluidas las respuestas a preguntas de seguimiento posteriores a una consulta o atención médica.

Zhealus puede compartir información de pacientes con el Proveedor Participante que puso a disposición la plataforma Zhealus para ese paciente. Zhealus puede usar la información del paciente para generar informes, resúmenes, banderas de riesgo y otra información derivada que ayude al Proveedor Participante a priorizar el seguimiento de pacientes y mejorar la atención médica. Zhealus no proporciona atención médica, diagnóstico o tratamiento, y no reemplaza la comunicación directa con un proveedor de atención médica.

Este aviso está escrito en lenguaje sencillo cuando es posible. No tiene como objetivo crear servicios médicos de emergencia, reemplazar la comunicación directa con un clínico o proporcionar consejo médico. Los pacientes deben contactar a su proveedor de atención médica, llamar al 911 o buscar atención de emergencia si creen que están experimentando una emergencia médica.

Este Aviso de privacidad se aplica a la información recopilada, recibida, conservada, utilizada o divulgada por Zhealus a través de sus sitios web, aplicaciones, flujos de trabajo vinculados a SMS, herramientas de evaluación, herramientas de generación de informes y servicios relacionados.Este Aviso de privacidad está dirigido especialmente a los pacientes que acceden a Zhealus a través de un proveedor participante. Si un proveedor participante pone Zhealus a su disposición, dicho proveedor también puede conservar su propia historia clínica y emitir su propio Aviso de prácticas de privacidad conforme a HIPAA. El aviso del proveedor rige los usos y divulgaciones que el propio proveedor realiza de la información que él mismo conserva.Este Aviso de privacidad no se aplica a sitios web, sistemas o servicios que Zhealus no posea, opere ni controle, salvo en los casos en que Zhealus utilice subcontratistas o proveedores de servicios autorizados para dar soporte a su plataforma bajo las salvaguardias contractuales adecuadas.

Zhealus puede recopilar información de pacientes a través de la plataforma, incluyendo información que los pacientes proporcionan directamente y datos técnicos relacionados con el uso de la plataforma. La información recopilada puede incluir:

• Identificadores de pacientes: como nombre, número de teléfono, identificadores únicos de paciente o encuentro, fecha del servicio, o otra información necesaria para emparejar a un paciente con el flujo de trabajo correcto del Proveedor Participante.
• Información de contacto: como número de teléfono móvil, dirección de correo electrónico si se utiliza, preferencias de comunicación, y registros de suscripción o cancelación.
• Respuestas de evaluación: como estado de recuperación informado por el paciente, actualizaciones de síntomas, respuesta al tratamiento, selecciones de cambio positivo o negativo, indicadores de riesgo, o otras respuestas enviadas a través de la plataforma.
• Información relacionada con el proveedor: como el Proveedor Participante, ubicación, contexto del encuentro, o categoría de seguimiento si se proporciona a Zhealus o se configura dentro de él.
• Datos técnicos y operativos: como marcas de tiempo, registros de acceso, información de dispositivo/navegador, dirección IP, registros de auditoría, estado de entrega de mensajes, y información de eventos de seguridad.
• Informes y salidas derivadas: como resúmenes de prioridad de devoluciones de llamada, estratificación de riesgo, informes de estado, informes de calidad, y análisis operativos generados por la plataforma Zhealus.

Zhealus requests that patients submit only the information requested through the platform. Patients should not upload, copy, photograph, or transmit additional medical records, images, documents, or unrelated sensitive information unless Zhealus expressly enables and requests that function.

Zhealus puede usar la información del paciente para los siguientes propósitos:

• Seguimiento del paciente y soporte del proveedor: para recopilar información informada por el paciente y hacer que esa información esté disponible para el Proveedor Participante o su equipo de atención designado.
• Detección de riesgo y priorización de devoluciones de llamada: para identificar respuestas que puedan requerir revisión, seguimiento, escalada o priorización por parte del Proveedor Participante.
• Mejora de la calidad y soporte de operaciones de atención médica: para ayudar a los Proveedores Participantes a evaluar la calidad del servicio, los patrones de recuperación, la experiencia del paciente, las necesidades de seguimiento, el rendimiento operativo y los procesos relacionados con la prestación de cuidados.
• Operación y seguridad de la plataforma: para operar, solucionar problemas, monitorear, asegurar, auditar y mejorar la plataforma Zhealus.
• Comunicación: para enviar notificaciones SMS generales, recordatorios, enlaces seguros, mensajes relacionados con el servicio o comunicaciones administrativas.
• Conformidad y obligaciones legales: para cumplir con las leyes aplicables, obligaciones contractuales, citaciones, órdenes judiciales, auditorías, investigaciones o reportes legalmente requeridos.
• Desidentificación y agregación: para crear información desidentificada, agregada o no identificable que pueda ser utilizada para mejorar la plataforma, evaluar el rendimiento, apoyar el análisis, desarrollar conocimientos e incrementar la tecnología propia, en conformidad con las leyes aplicables y las obligaciones contractuales.

Zhealus puede divulgar información de las siguientes maneras:

• A Proveedores Participantes: Zhealus puede compartir respuestas de evaluación específicas del paciente, información de prioridad de devoluciones de llamada, informes, indicadores de riesgo o resultados relacionados con el Proveedor Participante que hizo disponible el flujo de trabajo de Zhealus al paciente.
• A miembros autorizados del personal del proveedor: Zhealus puede revelar información a personal designado del proveedor que está autorizado a recibir informes de seguimiento o información sobre el estado del paciente.
• A contratistas y proveedores de servicios: Zhealus puede utilizar proveedores de tecnología o contratistas que apoyen el alojamiento, bases de datos, transmisión segura, mensajería, autenticación, análisis, registro o otras operaciones de la plataforma. Donde tales proveedores puedan manejar PHI/ePHI, Zhealus utiliza salvaguardas contractuales y de seguridad apropiadas.
• Según lo requerido o permitido por la ley: Zhealus puede revelar información cuando sea requerido por ley federal, estatal o local; en respuesta a un proceso legal válido; para supervisión sanitaria; para actividades de salud pública; o para prevenir o reducir una amenaza seria e inminente para la salud o seguridad.
• Con autorización: Zhealus puede usar o divulgar información para otros propósitos si el paciente o representante autorizado proporciona una autorización escrita válida, donde sea requerida.
• En forma desidentificada o agregada: Zhealus puede usar o divulgar información desidentificada, agregada o no identificable de manera que no identifique a un paciente individual, en conformidad con las leyes aplicables y los compromisos contractuales.

Zhealus no vende información de salud protegida (PHI) identificable de los pacientes. Zhealus no utiliza la PHI de los pacientes para fines de publicidad o marketing no relacionados sin autorización, en los casos en que la ley exige dicha autorización.

Por lo general, Zhealus no actúa como el proveedor que brinda el tratamiento y no factura a los pacientes ni a sus aseguradoras por la atención clínica. Sin embargo, cuando Zhealus presta apoyo a un proveedor participante, la información del paciente puede utilizarse o divulgarse para facilitar el tratamiento, las operaciones de atención médica, la garantía de calidad, la coordinación de la atención, la seguridad del paciente, la gestión de riesgos y actividades conexas por parte de dicho proveedor.Zhealus no tiene la intención de utilizar la información de salud protegida (PHI) de los pacientes para cobrarles pagos. Por lo general, Zhealus celebra contratos con proveedores participantes u otros clientes comerciales para el uso de la plataforma. Zhealus no solicita información sobre el seguro del paciente a menos que un flujo de trabajo específico así lo requiera y se cuente con las salvaguardias adecuadas.Zhealus puede facilitar la comunicación relacionada con el tratamiento transmitiendo al proveedor participante las respuestas, los informes o las alertas del paciente. El proveedor participante sigue siendo responsable del criterio clínico, las decisiones de tratamiento, el asesoramiento médico, el diagnóstico, la prescripción y la atención del paciente.

Zhealus puede usar mensajes de texto SMS para proporcionar avisos generales, recordatorios, actualizaciones de servicio, comunicaciones de suscripción o cancelación, y enlaces a la plataforma web segura.

Zhealus diseña mensajes SMS para que el contenido del mensaje no incluya PHI cuando sea razonablemente practicable. Los pacientes deben entender que los mensajes SMS ordinarios pueden no proporcionar el mismo nivel de privacidad o seguridad que una aplicación web segura.

Los pacientes deben acceder al enlace seguro para proporcionar respuestas de evaluación. Los pacientes no deben responder a mensajes SMS con información médica detallada a menos que Zhealus les instruya expresamente para hacerlo a través de un flujo de trabajo aprobado.

Pueden aplicarse tarifas de mensaje y datos dependiendo del operador móvil del paciente y su plan. Los pacientes pueden darse de baja de los mensajes SMS según las instrucciones proporcionadas en el mensaje o poniéndose en contacto con Zhealus o el Proveedor Participante.

Zhealus utiliza salvaguardas administrativas, técnicas y físicas con el objetivo de proteger la PHI/ePHI y otra información sensible. Estas salvaguardas pueden incluir:

• encriptación en tránsito y, cuando sea apropiado, encriptación en reposo;
• controles de acceso basados en roles;
• autenticación multi-factor para acceso administrativo donde sea apropiado;
• registro de auditoría y monitoreo de acceso;
• prácticas de acceso mínimo necesario;
• gestión segura de proveedores y subcontratistas;
• procedimientos de respuesta a incidentes y notificación de violaciones;
• prácticas de retención y eliminación de datos;
• revisión periódica de controles de privacidad y seguridad.

Ninguna plataforma tecnológica puede garantizar una seguridad absoluta. Zhealus trabaja para reducir los riesgos de privacidad y seguridad mediante salvaguardas razonables, controles contractuales, capacitación del personal y un diseño de sistemas orientado a la seguridad.

Zhealus desarrolla y mantiene de forma independiente su plataforma tecnológica, software, flujos de trabajo de evaluación, lógica de puntuación, métodos de estratificación de riesgos, formatos de informes, estructuras de datos, procesos de análisis y la propiedad intelectual relacionada.Zhealus puede utilizar información desidentificada, agregada o no identificable para mejorar los servicios, desarrollar análisis, evaluar el rendimiento de la plataforma, apoyar la mejora de la calidad, identificar tendencias, perfeccionar su tecnología propia y generar análisis comparativos o información operativa, de conformidad con la legislación aplicable y las obligaciones contractuales.La información desidentificada o agregada tiene como finalidad eliminar o evitar la inclusión de datos que permitan identificar al paciente. Zhealus no intentará reidentificar información desidentificada, salvo cuando lo permitan la ley, el contrato o los requisitos de cumplimiento normativo.Ninguna parte de este Aviso de Privacidad debe interpretarse en el sentido de que Zhealus reclama la propiedad irrestricta de la información de salud protegida (PHI) identificable de los pacientes. La información identificable de los pacientes se gestiona de acuerdo con la legislación aplicable, la relación vigente con el proveedor y las obligaciones contractuales.

Los pacientes pueden tener derechos respecto a su información de salud según la Ley HIPAA, las leyes de privacidad estatales, las leyes de privacidad de salud del consumidor o cualquier otra ley aplicable. Algunos derechos pueden necesitar ser ejercidos a través del Proveedor Participante porque el proveedor mantiene el registro médico legal y dirige ciertos usos de la PHI.

Donde sea aplicable, y sujeto a límites legales y contractuales, los pacientes pueden solicitar:

• acceso a la información mantenida por Zhealus;
• una copia de la información mantenida por Zhealus;
• corrección o enmienda de la información que se crea que es incorrecta o incompleta;
• limitaciones en ciertos usos o divulgaciones;
• un recuento de ciertas divulgaciones;
• preferencias de comunicación confidencial donde Zhealus apoye tales preferencias;
• revocation of an authorization previously given, where applicable;
• information about how to file a privacy complaint.

Zhealus puede remitir al paciente al proveedor participante cuando la solicitud se refiera a la historia clínica, el registro de tratamiento, los registros de facturación o el conjunto de registros designados de dicho proveedor. Asimismo, es posible que Zhealus deba verificar la identidad y la autoridad de la persona que realiza la solicitud antes de dar respuesta a la misma.

Para solicitar acceso, una modificación o un informe de ciertas divulgaciones de información conservada por Zhealus, comuníquese con Zhealus por escrito a admin@zhealushealth.com. La solicitud debe describir la información requerida, el proveedor participante involucrado (si se conoce), la fecha aproximada del servicio o la evaluación, y la forma en que Zhealus puede contactar a la persona que realiza la solicitud.Zhealus puede denegar o limitar una solicitud cuando la ley lo permita; por ejemplo, cuando la información sea exacta y completa, no haya sido creada por Zhealus, no sea conservada por o para Zhealus, no esté disponible para su acceso conforme a la legislación aplicable o esté bajo el control del proveedor participante. Si se deniega una solicitud, Zhealus proporcionará información sobre los derechos de revisión o apelación, cuando así lo exija la ley.Zhealus puede cobrar una tarifa razonable basada en los costos por la obtención de copias, siempre que la ley lo permita. Zhealus notificará a la persona que realiza la solicitud antes de aplicar dicha tarifa, cuando así se requiera.

Zhealus puede divulgar información de salud protegida (PHI) identificable de los pacientes cuando la ley lo requiera o permita, incluyendo, entre otros, los siguientes casos:

• Salud pública: a las autoridades de salud pública autorizadas por ley para recibir información con el fin de prevenir o controlar enfermedades, lesiones, discapacidades u otras actividades de salud pública.Supervisión sanitaria: a los organismos de supervisión sanitaria para auditorías, investigaciones, inspecciones, otorgamiento de licencias, revisiones de cumplimiento u otras actividades de supervisión legalmente autorizadas.Procedimientos legales: en respuesta a una orden judicial, orden administrativa, citación, solicitud de divulgación de pruebas (*discovery*) u otro proceso legal legítimo, sujeto a las protecciones aplicables.Autoridades policiales: a los funcionarios encargados de hacer cumplir la ley cuando así lo exija o permita la ley.Amenaza grave para la salud o la seguridad: a personas u organizaciones capaces de ayudar a prevenir o mitigar una amenaza grave e inminente para la salud o la seguridad de una persona o del público.Compensación para trabajadores: según lo autorizado por las leyes de compensación para trabajadores o normativas similares, y en la medida necesaria para cumplir con ellas.Forenses, médicos examinadores y directores de funerarias: según lo permitido o exigido por la ley.Instituciones militares, de seguridad nacional y correccionales: según lo permitido o exigido por la ley para fines gubernamentales, correccionales o de seguridad autorizados.

Se prevé que estas divulgaciones sean poco frecuentes para Zhealus, pero se incluyen por razones de transparencia y exhaustividad legal.

Zhealus puede realizar o apoyar análisis, desarrollo de productos, mejora de calidad y actividades relacionadas con la investigación en conformidad con la ley aplicable y las obligaciones contractuales.

Si se utiliza PHI identificable para investigación que requiera autorización del paciente, Zhealus obtendrá o dependerá de una autorización válida a menos que un Comité de Revisión Institucional, Comité de Privacidad o otro mecanismo legalmente reconocido permita una exención o alteración de la autorización. Zhealus puede utilizar información desidentificada o agregada para análisis, mejora, benchmarking y desarrollo donde lo permita la ley y el contrato.

Zhealus retiene información durante el período necesario para proporcionar servicios, cumplir con obligaciones legales y contractuales, apoyar necesidades de auditoría y seguridad, resolver disputas y operar la plataforma. Los períodos de retención pueden variar según la relación con el Proveedor Participante, la ley aplicable y el tipo de información involucrada.

Cuando la información ya no sea necesaria, Zhealus eliminará, devolverá, desidentificará o conservará de forma segura según la ley aplicable, las obligaciones contractuales y los requisitos operativos.

Este Aviso de Privacidad no sustituye el Aviso de Prácticas de Privacidad de HIPAA del proveedor participante. Los pacientes deben comunicarse con su proveedor participante si tienen preguntas sobre los registros médicos, las decisiones de tratamiento, los registros de facturación, el asesoramiento clínico, las prácticas de privacidad o la información de salud controlada por dicho proveedor. Cuando Zhealus actúa como asociado comercial, el uso y la divulgación de información de salud protegida (PHI, por sus siglas en inglés) que realiza también se rigen por el Acuerdo de Asociado Comercial aplicable o por otro acuerdo por escrito con el proveedor participante. En caso de conflicto entre este Aviso de Privacidad y un Acuerdo de Asociado Comercial con respecto a la PHI manejada para un proveedor participante, prevalecerán el Acuerdo de Asociado Comercial y la legislación aplicable.

Los pacientes también pueden contactar al Proveedor Participante respecto a la información mantenida por ese proveedor. Los pacientes no serán penalizados o represaliados por presentar una queja de privacidad.

Si un paciente cree que sus derechos de HIPAA han sido violados, también puede presentar una queja con el Departamento de Salud y Servicios Humanos de EE. UU., Oficina para Derechos Civiles, cuando sea aplicable.

Zhealus puede actualizar este Aviso de Privacidad periódicamente para reflejar cambios en las prácticas de datos, la legislación aplicable o los requisitos contractuales. La fecha de la última revisión se indica al inicio del aviso. Se recomienda a los pacientes revisar periódicamente este aviso para estar informados sobre cómo Zhealus protege y gestiona la información de salud.