Dropbox Fax est-il conforme à HIPAA ?

Les tarifs publics consultés n'indiquent aucun plan Dropbox Fax incluant un Business Associate Agreement. Les organisations de santé doivent obtenir une confirmation écrite attestant que leur service Fax, leur compte et leur flux de travail sont bien couverts avant d'envoyer des informations de santé protégées. Pour connaître les fonctionnalités générales du produit, consultez notre présentation des fonctionnalités de Dropbox Fax.

Un accord négocié séparément pourrait modifier l'évaluation pour un compte donné. La décision dépend du service et du flux de travail couverts par cet accord, ainsi que des paramètres et des mesures de protection requis.

Cette distinction est importante lorsque Dropbox Fax, Dropbox Sign et le stockage de fichiers Dropbox sont utilisés ensemble. Le fait qu'ils partagent la même marque ne signifie pas qu'un seul accord couvre tous les services.

Ce que les informations publiques de Dropbox Fax établissent

Nous avons consulté la documentation publique le 20 octobre 2026.

La page de tarifs de Fax présente les abonnements et les volumes inclus, mais nous n'y avons repéré aucun plan fax mentionnant expressément un BAA. Payer pour un volume plus élevé ne règle pas cette question contractuelle.

Les conditions de Dropbox Sign incluent expressément Dropbox Fax parmi les services qu'elles décrivent. La section 4.2(xii) interdit de stocker, de transmettre ou de traiter de toute autre manière des PHI, sauf si le client et Dropbox concluent séparément un BAA HIPAA.

Cette condition établit la nécessité d'un accord distinct selon ces conditions. Elle ne précise pas quel plan Fax est éligible, si un accord est disponible pour votre compte, ni quelles méthodes d'envoi et de réception il couvrirait.

Demandez ces précisions avant de considérer un abonnement comme adapté aux documents de patients.

Dropbox Fax, Dropbox Sign et le stockage Dropbox sont des services distincts

Lorsque quelqu'un affirme que « Dropbox est conforme à HIPAA », déterminez de quel service et de quel accord il s'agit.

Un accord portant sur le stockage d'un document ne garantit pas, à lui seul, la couverture de son envoi via un service de fax distinct. Dropbox publie des recommandations HIPAA distinctes pour le stockage de fichiers Dropbox et pour Dropbox Sign ; vérifiez le périmètre de chaque dispositif.

De même, l'éligibilité à un plan de signature Dropbox Sign ne doit pas être présentée comme la preuve de l'existence d'une option BAA pour Dropbox Fax. Demandez que le service couvert soit désigné expressément.

Par exemple, un cabinet peut récupérer une lettre d'orientation dans le stockage de fichiers, la téléverser dans Fax, puis en recevoir une copie par email. Examinez chacun des services impliqués dans ce parcours, y compris la messagerie qui reçoit la pièce jointe.

Ce qu'il faut vérifier au-delà du BAA

Lorsqu'un fournisseur cloud traite des PHI électroniques pour le compte de votre organisation, un BAA fait partie des dispositions obligatoires. Votre organisation doit également évaluer les risques et mettre en place des mesures de protection adaptées ; un stockage chiffré ne suffit pas à répondre à ces obligations. Recommandations du HHS sur le cloud computing.

Demandez des preuves correspondant au déploiement réel du fax :

• Accès du personnel : qui peut ouvrir les documents entrants, modifier les attributions et supprimer les utilisateurs qui quittent l'organisation ?
• Informations sur l'activité : quels événements sont enregistrés, de quelles informations dispose-t-on, et combien de temps les enregistrements sont-ils conservés ?
• Protection des documents : où le chiffrement s'applique-t-il pour le stockage, la livraison et les services connectés ?
• Emplacement : où sont stockés les documents et les sauvegardes, et où le traitement a-t-il lieu ?
• Conservation : que deviennent les documents du portail, les pièces jointes des emails et les copies téléchargées ?

Il s'agit de questions à vérifier, et non d'une liste de limitations confirmées de Dropbox Fax.

Il convient également de vérifier le périmètre des rapports de sécurité et des certifications. Une certification associée à un autre produit ne prouve pas que toutes les fonctionnalités de fax sont couvertes.

Demander à Dropbox une réponse écrite propre au service de fax

Décrivez le flux de travail que vous comptez utiliser. Un petit cabinet qui envoie des orientations depuis un navigateur n'a pas les mêmes exigences qu'une organisation qui connecte le fax via une API.

Demandez à Dropbox de confirmer :

• Le service Fax et le compte exacts couverts par le BAA proposé.
• L'abonnement, le contrat, les paramètres et les étapes d'activation requis.
• Si l'envoi depuis un navigateur, l'email-to-fax, les pièces jointes entrantes et les intégrations envisagées sont couverts.
• Les contrôles disponibles pour l'accès, la conservation et la consultation de l'activité.
• Le prix complet et toute restriction qui s'appliquerait à l'usage envisagé.

Une assurance générale selon laquelle Dropbox prend en charge le secteur de la santé ne suffit pas à clarifier ces points.

Conservez l'accord et les informations de configuration pertinentes avec les dossiers fournisseurs de l'organisation. Utilisez des documents représentatifs ne concernant aucun patient pour tester le flux de travail avant d'y introduire des PHI.

Que faire si votre cabinet utilise déjà Dropbox Fax ?

Examinez l'accord associé au compte existant avant de tirer une conclusion. Votre organisation peut disposer de documents contractuels qui ne figurent pas sur une page de tarifs publique.

Si la couverture reste incertaine, utilisez un canal approuvé par l'organisation et dont le dispositif de protection des PHI a été confirmé. Demandez à l'équipe chargée de la confidentialité ou de la conformité d'évaluer l'utilisation passée et de définir les prochaines étapes, notamment les informations de transmission et de compte à conserver.

Comparaison avec le dispositif de Fax.Plus pour le secteur de la santé

Fax.Plus publie ce guide. Pour les PHI, le dispositif de fax requis pour le secteur de la santé est Enterprise, avec Advanced Security Controls activé et un BAA signé. Basic, Premium et Business ne proposent pas d'autre configuration compatible avec HIPAA. Exigences de Fax.Plus pour le secteur de la santé.

Pour un cabinet à la recherche d'un point de départ clairement documenté, cela indique quel abonnement Fax.Plus et quels contrôles évaluer.

Le personnel doit toujours vérifier les destinataires, gérer les accès et traiter les documents de manière appropriée. Un rapport de confirmation peut faciliter le suivi, mais la réussite de la transmission ne prouve ni une révision clinique ni un classement.

Si vous décidez de changer de fournisseur

Vérifiez si votre numéro actuel peut être transféré et consultez les exigences du fournisseur destinataire avant de résilier quoi que ce soit.

Selon les conditions actuelles de Dropbox, la portabilité des numéros de fax peut être prise en charge, en entrée comme en sortie, aux États-Unis, au Royaume-Uni et au Canada, éventuellement moyennant des frais supplémentaires. Confirmez les modalités applicables à votre numéro.

Préparez les accès du personnel, les attributions de réception et les accords requis avant d'introduire des PHI dans le nouveau service. Maintenez le service du numéro existant actif jusqu'à ce que son transfert soit terminé et vérifié, et déterminez qui surveille les documents entrants pendant la transition.