Comment choisir une API vidéo conforme à la norme HIPAA pour votre application de santé

L'intégration d'une fonctionnalité vidéo dans une application de santé semble simple, jusqu'à la première évaluation de sécurité. Chaque appel pouvant contenir des informations médicales protégées (PHI), la couche vidéo doit respecter les mêmes normes que le reste de votre produit. Choisir dès le départ une API vidéo conforme à la norme HIPAA vous évite des mois de retouches et peut même déterminer si les hôpitaux approuveront ou non votre solution.

Le moment choisi a également son importance. Twilio a annoncé qu'il allait mettre fin à son service « Programmable Video », puis est revenu sur cette décision en octobre 2024 (Twilio). De nombreuses équipes qui ont commencé à chercher des alternatives en sont encore à l'étape de l'évaluation. Si vous en faites partie, voici les points à vérifier.

Qu'est-ce qui caractérise une API vidéo conforme à la loi HIPAA ?

Il n'existe pas de certification HIPAA officielle pour les logiciels. Une API vidéo conforme à la loi HIPAA est une API qui offre les garanties requises par la loi HIPAA en matière de données médicales protégées (PHI), et dont le fournisseur est prêt à assumer la responsabilité des éléments qu'il traite. Cela implique généralement la signature d'un accord de partenariat commercial (BAA). Dans la pratique, veillez à vérifier les points suivants :

• Médias et signalisation cryptés, tels que le SRTP pour l'audio et la vidéo et le TLS pour la signalisation
• Sessions sécurisées, en utilisant des jetons cryptés afin que seuls les utilisateurs autorisés puissent rejoindre un appel
• Contrôles d'accès, y compris la modération de l'animateur, du coanimateur et des participants
• Commandes d'enregistrement, avec la possibilité de choisir clairement l'emplacement de stockage des enregistrements

Déploiement : où sont stockées les données de vos clients

Les hôpitaux n'ont pas tous les mêmes règles. Certains exigent que les données restent dans un seul pays. D'autres interdisent que les données médicales protégées (PHI) quittent leur propre centre de données. Si vous commercialisez vos produits en Europe, le RGPD et les règles nationales en matière de souveraineté des données ajoutent une couche supplémentaire de complexité.

Optez pour une API vidéo conforme à la norme HIPAA qui prend en charge les déploiements sur site, dans le cloud privé et en mode hybride. Vous pourrez ainsi répondre aux besoins de chaque client sans avoir à gérer plusieurs versions de votre produit.

Fiabilité sur des réseaux hospitaliers réels

Le WebRTC fonctionne bien dans le cadre d'une démonstration. Mais dans les réseaux hospitaliers, c'est une autre histoire : Wi-Fi saturé, pare-feu, appareils obsolètes et patients se connectant via des signaux mobiles faibles. Un appel sécurisé qui s'interrompt reste un échec pour le personnel soignant.

Renseignez-vous sur les performances de chaque API vidéo conforme à la norme HIPAA en cas de faible bande passante, et pas seulement sur son niveau de sécurité. Les technologies adaptatives telles que le codec vidéo évolutif (SVC) ajustent la qualité en temps réel en fonction de chaque connexion, ce qui permet de maintenir la qualité des appels même lorsque le réseau est défaillant.

Combien de temps prend l'insertion professionnelle ?

Vos développeurs devraient consacrer leur temps aux fonctionnalités qui font la valeur de votre produit, et non à l'infrastructure vidéo. Recherchez :

• SDK pour le Web, les applications mobiles et les applications natives
• Des exemples d'applications, de la documentation et un essai gratuit pour que votre équipe puisse tester le produit avant de s'engager
• Des mises en page personnalisables et une solution en marque blanche, pour que la vidéo s'intègre parfaitement à votre produit
• Intégration des dossiers médicaux électroniques (DME), en particulier Epic, si vos clients souhaitent pouvoir lancer une vidéo directement depuis le dossier médical

Pourquoi la stabilité des fournisseurs est un enjeu de conformité

Dans le secteur de la santé, changer de fournisseur de solutions vidéo ne se résume pas à une simple modification du code. Chaque hôpital client peut devoir faire l'objet d'un nouvel audit de sécurité. C'est pourquoi la stabilité du fournisseur doit être prise en compte dans votre décision en matière de conformité, et pas seulement dans celle relative à l'achat. Renseignez-vous sur l'ancienneté du produit, sur son propriétaire et sur les engagements pris par le fournisseur concernant sa feuille de route.

Liste de contrôle pour évaluer la conformité d'une API vidéo à la loi HIPAA

1. Les données et la transmission sont-elles chiffrées, et selon quels protocoles ?
2. Le fournisseur signera-t-il un accord de confidentialité (BAA) ?
3. Est-il possible de déployer la solution sur site, dans un cloud privé ou en mode hybride ?
4. Où sont stockés les enregistrements, et qui en a le contrôle ?
5. Quelles sont les performances de la vidéo sur les réseaux à faible bande passante ?
6. Existe-t-il des SDK pour toutes les plateformes que vous prenez en charge ?
7. Pouvez-vous vous approprier cette expérience ?
8. Est-ce que cette solution s'intègre aux dossiers médicaux électroniques (DME) utilisés par vos clients ?
9. Le fournisseur assurera-t-il toujours le support technique de ce produit dans cinq ans ?

Comment Vidyo s'intègre

Vidyo propose aux éditeurs de logiciels de santé une API vidéo conforme à la norme HIPAA qu’ils peuvent intégrer et personnaliser à leur image. VidyoPlatform utilise le chiffrement multimédia SRTP, la signalisation TLS et HTTPS avec une infrastructure PKI conforme aux normes du secteur, ainsi que des jetons de session chiffrés. Cette solution est conforme à la norme HIPAA et au RGPD. Les partenaires peuvent la déployer sur site, dans un cloud privé ou en mode hybride.

Sa technologie SVC s'adapte à chaque connexion, avec une qualité pouvant atteindre la 4K lorsque le réseau le permet. Les développeurs disposent de kits de développement logiciel (SDK) pour les applications web, mobiles et natives, d'exemples d'applications gratuits, d'une documentation complète et d'un essai gratuit. Des services professionnels sont disponibles si vous avez besoin d'aide. Vidyo s'intègre également à Epic et a été le premier intégrateur de télésanté avec Epic (Vidéo Enghouse). Elle bénéficie du soutien d'Enghouse Systems, qui développe des logiciels d'entreprise depuis plus de 35 ans.

Choisir votre API vidéo conforme à la loi HIPAA

Une API vidéo conforme à la loi HIPAA doit satisfaire aux exigences de sécurité de vos clients, fonctionner sur leurs réseaux et ne pas entraver le travail de vos développeurs. Utilisez la liste de contrôle ci-dessus pour évaluer chaque fournisseur que vous comparez.

Chez Enghouse Video, nous pensons que la communication doit fonctionner aussi naturellement que les équipes de soins qui l'utilisent. Nos solutions aident les établissements à tirer le meilleur parti de leurs investissements dans les technologies de santé en facilitant les soins virtuels sécurisés, la collaboration clinique, la gestion vidéo d'entreprise et la communication connectée dans l'ensemble de l'écosystème de santé. Alors que les hôpitaux continuent de rechercher des moyens concrets de se moderniser, les établissements qui connaîtront le plus grand succès ne seront pas nécessairement ceux qui réalisent les investissements les plus importants. Ce seront ceux qui tireront le meilleur parti des investissements technologiques qu’ils ont déjà réalisés dans le domaine de la santé.