eFax est-il conforme à HIPAA ?

Oui, eFax propose des services conçus pour prendre en charge l'envoi de fax conforme à HIPAA, mais le plan et l'accord sont déterminants. Son plan Business actuel mentionne un Business Associate Agreement (BAA). Personal n'en mentionne aucun. Les grandes organisations peuvent évaluer eFax Corporate via une proposition distincte. Notre analyse du produit eFax examine aussi les tarifs généraux et les flux de documents.

Ce guide porte sur eFax, accessible sur efax.com, le fournisseur. L'envoi de fax électronique et en ligne désigne la catégorie plus large. Une mention générique de « e-fax » n'identifie pas un fournisseur précis et n'établit pas l'éligibilité à HIPAA.

Pour un médecin, la question pratique est de savoir si le personnel peut envoyer et recevoir des documents de patients via le service couvert. Pour le service informatique, il s'agit de savoir si l'accord, les contrôles de compte et les systèmes connectés couvrent le déploiement réel.

Quels plans eFax mentionnent un BAA ?

La page tarifaire actuelle d'eFax distingue Personal et Business. La page destinée aux petites entreprises explique aussi la situation des abonnés à l'ancien plan Protect.

Les prix sont indiqués en dollars américains. Les tarifs Business ci-dessus correspondent à une facturation mensuelle après la promotion de lancement. Les cinq utilisateurs inclus peuvent convenir à un petit cabinet, mais un nombre d'utilisateurs inclus ne détermine pas les autorisations dont dispose chaque personne.

Si vous utilisez déjà Personal pour des documents ordinaires, clarifiez l'éligibilité avant d'ajouter des informations de santé protégées (PHI). Un changement de plan doit être vérifié en même temps que l'accord et les paramètres, sans présumer qu'il rend adaptés tous les flux de travail existants.

À quel service et à quel accord le BAA d'eFax s'applique-t-il ?

La section 24 des conditions publiées d'eFax contient un Business Associate Addendum et mentionne le « Secured Service » Business, Protect et Unite. Cet addendum s'applique à Consensus US lorsque le client est une entité couverte ou un partenaire commercial utilisant ce Secured Service. Lisez ce périmètre en parallèle de l'accord applicable à votre compte.

L'addendum public fournit des informations utiles avant l'achat. Il n'établit pas qu'un ancien compte en particulier, une commande Corporate, un routage d'email ou une application connectée soit couvert dans les mêmes conditions.

Avant d'envoyer des PHI, demandez à eFax de confirmer le service couvert, l'accord applicable à votre compte, la manière dont le BAA prend effet et toute configuration requise. Conservez cette confirmation avec les documents relatifs à votre fournisseur.

Un BAA définit les responsabilités entre votre organisation et le prestataire de services. Votre cabinet doit tout de même prévoir un accès adapté pour le personnel, une vérification des destinataires et des procédures pour la gestion des documents téléchargés ou transférés.

Vérifier le flux réel de traitement des documents des patients

Accès par navigateur et comptes du personnel

eFax Business met en avant l'envoi de fax sur le web, l'administration et les autorisations des utilisateurs. Testez le flux de travail avec des documents fictifs : une demande d'orientation arrive, l'accueil l'identifie, un clinicien la consulte et un membre du personnel autorisé envoie une réponse.

Vérifiez qui peut consulter les documents de chaque numéro, si chaque personne utilise un compte individuel et comment une personne quittant l'organisation perd son accès. Demandez quels contrôles d'authentification et d'administration sont disponibles avec le plan choisi ; évitez de supposer que les fonctionnalités de Corporate s'appliquent à Business.

Une confirmation de livraison du système de fax ne prouve pas qu'une personne a lu la demande d'orientation ni qu'elle l'a ajoutée au dossier du patient concerné. Déterminez qui vérifie les transmissions échouées ou mal acheminées et comment le cabinet y répond.

Pendant l'évaluation, vérifiez également :

• Si la MFA est disponible et appliquée pour les comptes prévus.
• Quels événements d'envoi, de réception et d'accès sont enregistrés, et si ces enregistrements peuvent être exportés.
• Comment le personnel vérifie les numéros des destinataires et réagit en cas d'envoi à un mauvais numéro.
• Comment les postes de travail partagés gèrent les téléchargements, et quand les accès du personnel sont revus.

Envoi d'emails, notifications et pièces jointes

eFax propose l'email-to-fax ainsi que des modes de réception liés à l'email. Examinez-les séparément : envoyer un email sous forme de fax, recevoir une notification et recevoir un document en pièce jointe créent des copies et des chemins d'accès différents.

Demandez ce qui arrive dans la messagerie avec la configuration couverte. Le message contient-il des PHI, une pièce jointe ou un lien vers un portail ? Quelles exigences de transport s'appliquent ? Qui peut le transférer ou le télécharger, et comment les copies sont-elles conservées ?

Votre fournisseur de messagerie et vos pratiques internes doivent également être évalués. Un BAA conclu pour le service de fax ne couvre pas automatiquement une boîte mail, une règle de transfert partagée ou une archive tierce. Les informations de sécurité d'eFax constituent un point de départ ; vérifiez le comportement démontré pour votre compte.

Conservation, export et clôture du compte

Déterminez combien de temps les documents restent disponibles, quels paramètres de conservation les administrateurs peuvent modifier et comment les enregistrements peuvent être exportés. Demandez comment la suppression, les sauvegardes et la clôture du compte sont gérées dans le cadre du service concerné.

Appliquez ces réponses à la politique de gestion des dossiers de votre cabinet. Une archive de fax en ligne n'est pas automatiquement un système complet de conservation des dossiers médicaux, et l'accès au portail ne doit pas être votre seul moyen de préserver les documents exigés.

Qu'en est-il d'eFax Corporate et des intégrations ?

eFax Corporate propose une offre pour grandes organisations, avec administration, gestion des comptes et fonctionnalités d'API. Son offre pour le secteur de la santé mérite d'être évaluée lorsque le fax s'inscrit dans un projet plus large de gestion documentaire ou d'interopérabilité.

Demandez une proposition précisant les produits, points de terminaison, autorisations et flux de données exacts. Les informations publiques sur l'API ne prouvent pas qu'elle est incluse dans l'abonnement Business à 39,99 $ ni qu'un accès immédiat en production est possible.

De même, évaluez les garanties de sécurité dans leur périmètre déclaré. Une mention HITRUST r2 associée à Corporate ne doit pas être présentée comme une certification couvrant automatiquement chaque plan, intégration ou configuration client d'eFax.

L'approche de Fax.Plus pour le fax conforme à HIPAA

Fax.Plus publie ce guide et constitue un fournisseur alternatif. Pour les PHI, ses exigences en matière de fax pour la santé sont explicites : Enterprise, Advanced Security Controls (ASC) activés et un BAA signé. Basic, Premium et Business ne remplacent pas ce dispositif. La documentation HIPAA d'Alohi détaille les conditions d'éligibilité.

Fax.Plus Enterprise inclut un nombre illimité de membres, le SSO et une administration d'équipe basée sur les rôles. Les administrateurs peuvent gérer l'attribution des numéros au sein de la structure de l'équipe, ce qui est utile lorsque le personnel d'accueil et les soignants ont besoin d'accès individuels. Évaluez ensemble les attributions et la consommation : un nombre illimité de membres ne signifie pas un usage de fax illimité.

Enterprise propose plus de 40 emplacements pour le stockage des documents fax et des sauvegardes. Ce choix concerne le stockage, et non l'ensemble des opérations de traitement ; examinez le périmètre documenté de la résidence des données au regard de vos exigences. L'API REST reste disponible avec ASC. L'envoi d'emails et les pièces jointes entrantes facultatives sont soumis à des conditions de sécurité spécifiques : validez donc le flux de travail d'email prévu avant d'y faire transiter des PHI.

La bonne comparaison oppose la configuration couverte d'eFax Business ou Corporate à Fax.Plus Enterprise avec ASC et le BAA. Comparez le flux de travail du personnel, les contrôles requis et le devis complet. Un abonnement grand public moins cher, chez l'un ou l'autre fournisseur, ne permet pas une comparaison équivalente en matière de HIPAA.

Si vous décidez de changer de fournisseur

Vérifiez l'éligibilité du nouveau compte avant de transférer des PHI. Conservez l'historique des fax exigé, vérifiez les conditions de transfert de numéro et maintenez le service actuel actif jusqu'à ce que le portage soit terminé et testé. Contrôlez la réception et l'envoi des fax ainsi que les accès du personnel avant de mettre fin à l'ancien dispositif.