当社は、取り扱うPHIの機密保持、完全性、可用性を合理的かつ適切に保護するため、管理的・物理的・技術的な安全対策を実施しています。
当社は、PHIに対する潜在的なリスクを特定するために定期的なリスク分析を行い、これらのリスクを許容可能な水準まで低減するためのセキュリティ対策を実施しています。
当社の従業員は全員、HIPAA規則に関する包括的な研修を受け、PHIを保護するうえでの自身の役割を理解しています。
Heidiは、HIPAAに基づくビジネス・アソシエイトです。当社は、提携するすべての対象事業体とBAA（事業提携契約）を締結し、HIPAAのプライバシールールおよびセキュリティルールに従って保護対象保健情報（PHI）を適切に保護しています。また、お客様が患者に対するHIPAA上の義務を果たすために必要な対応をサポートします。
当社は、GDPR（一般データ保護規則）に従って個人データを適切に取り扱い、そのことを確認・証明できるよう、必要な技術面・組織面の対策を講じています。また、不正・違法なデータ処理や、データの紛失、破壊、損傷を防ぐための対策も実施しています。
当社は、「必要最小限」の原則に基づき、権限を付与された担当者のみがPHIにアクセスできるよう、厳格なアクセス制御を実施しています。
当社はデータ主権を重視し、すべてのデータをお客様の拠点と同じ国・地域内でローカルホスティングすることでデータ主権を重視しています。この方針により、データのセキュリティと処理速度を高めるとともに、各国のデータ保護規制への準拠にも対応しています。
日本のお客様のデータは、3省2ガイドラインの考え方を踏まえた設計・運用のもと、Microsoft AzureのJapan East（東日本）リージョンで保管されます。