Richtlinie zur Informationssicherheit
Tietai ist die Ausführungsplattform für das Gesundheitswesen. Sie verbindet die Systeme von Krankenhäusern, Kliniken und Gesundheitsdiensten, vereinheitlicht die klinischen Informationen, die zwischen ihnen fließen, und führt auf dieser Grundlage gesteuerte Workflows und klinische KI aus.
Diese Informationen und die Systeme, auf denen sie beruhen, sind die kritischsten Werte, die wir verwalten. Ihre Sicherheit ist für uns deshalb keine unterstützende Funktion, sondern die Voraussetzung für die Erbringung unserer Leistung.
Diese Seite fasst die von der Geschäftsleitung der Tiet AI, S.L. genehmigte Richtlinie zur Informationssicherheit zusammen. Sie bildet den Referenzrahmen unseres Informationssicherheits-Managementsystems; alle weiteren internen Richtlinien, Standards und Verfahren leiten sich aus ihr ab.
1. Unsere Verpflichtung
Ziel der Richtlinie ist es, die Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität und Nachvollziehbarkeit der von uns verarbeiteten Informationen sowie die Privatsphäre der Personen, auf die sich diese Informationen beziehen, zu wahren. Sie verfolgt die Einhaltung der für uns geltenden Vorschriften sowie ein ausgewogenes Verhältnis zwischen dem akzeptierten Risiko und dem verhältnismäßigen Einsatz der Ressourcen der Organisation und dient als Rahmen für die Festlegung und Überprüfung unserer Sicherheitsziele.
Bei der Verarbeitung klinischer Daten handeln wir im Auftrag der Gesundheitseinrichtungen, die uns diese Informationen anvertrauen, und nach deren dokumentierten Weisungen. Unser Leistungsmodell beruht auf der Verarbeitung von Daten während der Übertragung, mit frühzeitiger Pseudonymisierung, wann immer der Anwendungsfall dies zulässt, und grundsätzlich ohne dauerhafte Speicherung klinischer Informationen.
Die Richtlinie ist für alle Personen bei Tiet AI, S.L. verbindlich (Gesellschafter, Geschäftsleitung, Mitarbeitende und externe Mitarbeitende) und erstreckt sich über unsere vertraglichen Verpflichtungen auf die Lieferanten und Dritten, die an der Erbringung der Leistung beteiligt sind.
2. Grundsätze
Die Geschäftsleitung verpflichtet sich zur kontinuierlichen Verbesserung des Managementsystems und legt die folgenden Grundsätze fest:
- Formale Sicherheitsgovernance. Ein von der Geschäftsleitung geleiteter Sicherheitsausschuss steuert das Managementsystem; die Rollen der Verantwortlichen für die Informationen, das System und die Sicherheit sind namentlich und dokumentiert zugewiesen.
- Risikobasierte Entscheidungen. Wir ermitteln und bewerten regelmäßig die Risiken für Informationen und Dienste, ergreifen die jeweils angemessenen Behandlungsmaßnahmen und legen das Restrisiko der Geschäftsleitung zur ausdrücklichen Genehmigung vor.
- Security by Design und by Default. Wir verankern Sicherheitsanforderungen im Entwicklungslebenszyklus, verschlüsseln Informationen bei der Übertragung und im Ruhezustand und steuern Zugriffe nach den Prinzipien der minimalen Rechtevergabe und des Need-to-know.
- Erkennung, Reaktion und Wiederherstellung. Wir verfügen über Verfahren und Mittel, um Sicherheitsvorfälle zu verhindern, zu erkennen, darauf zu reagieren und den Betrieb wiederherzustellen, sowie über Kontinuitäts- und Wiederherstellungspläne, die wir testen.
- Unverzügliche Meldung von Vorfällen. Alle Personen in der Organisation sind verpflichtet, jeden Vorfall oder Verdacht auf einen Vorfall unverzüglich zu melden; wir unterhalten die vorgeschriebenen Meldewege zu unseren Kunden und zu den zuständigen Behörden.
- Geschulte und sensibilisierte Menschen. Wir betreiben ein fortlaufendes Schulungs- und Sensibilisierungsprogramm mit spezifischen Inhalten zur Verarbeitung von Gesundheitsdaten, das sich ab dem ersten Tag an alle Mitarbeitenden richtet.
- Kontrolle der Lieferkette. Wir bewerten die Sicherheit der an der Leistung beteiligten Lieferanten und Unterauftragsverarbeiter, erlegen ihnen Pflichten auf, die den von uns übernommenen gleichwertig sind, und überwachen ihre Leistung während der gesamten Geschäftsbeziehung.
- Schutz personenbezogener Daten. Wir haben einen Datenschutzbeauftragten benannt und verarbeiten personenbezogene Daten gemäß der Datenschutz-Grundverordnung und den spanischen Durchführungsvorschriften, mit den verstärkten Garantien, die für Gesundheitsdaten gelten.
- Unabhängige Überprüfung und kontinuierliche Verbesserung. Wir unterziehen das Managementsystem internen Audits und externen Überprüfungen und messen seine Leistung anhand von Kennzahlen, die die Geschäftsleitung überprüft.
3. Referenzrahmen
Unser Managementsystem basiert auf der Norm UNE-EN ISO/IEC 27001 und auf dem spanischen Nationalen Sicherheitsschema (Esquema Nacional de Seguridad) gemäß Königlichem Dekret 311/2022, in der Kategorie, die der gesundheitsbezogenen Natur der von uns verarbeiteten Informationen entspricht. Darüber hinaus erfüllen wir die Pflichten aus dem Datenschutzrecht sowie die branchenspezifischen und vertraglichen Anforderungen an die Erbringung von Leistungen für Gesundheitseinrichtungen.
4. Überprüfung
Die Geschäftsleitung der Tiet AI, S.L. überprüft und genehmigt diese Richtlinie jährlich sowie bei wesentlichen Änderungen der Organisation, ihrer Leistungen, der Risiken, denen sie ausgesetzt ist, oder der für sie geltenden Vorschriften.
5. Kontakt
Für Fragen, Anregungen oder Mitteilungen zur Informationssicherheit schreiben Sie uns. Für die Ausübung Ihrer Rechte und alle Fragen zum Schutz personenbezogener Daten nutzen Sie die Datenschutzadresse.
- Informationssicherheit: security@tiet.ai
- Datenschutz: privacy@tiet.ai
