FaxZero est-il conforme à HIPAA ?

FaxZero ne publie, dans la documentation publique examinée, aucune offre conforme à HIPAA ni aucune option de BAA. Un établissement de santé ne doit pas l'utiliser pour des informations de santé protégées (PHI) sans couverture contractuelle confirmée et sans mesures de protection appropriées.

Cette conclusion concerne un cabinet qui choisit un prestataire pour traiter des documents de patients. Elle ne signifie pas que toute personne qui envoie ses propres données de santé via un service de fax enfreint automatiquement HIPAA.

Nous avons consulté la page d'accueil publique, la FAQ, les conditions d'utilisation et la politique de confidentialité de FaxZero le 20 octobre 2026. Il s'agit surtout de distinguer les fonctionnalités documentées du cadre contractuel de santé qu'elles ne permettent pas d'établir.

Que doit vérifier une organisation qui traite des PHI ?

Une entité couverte ou un partenaire commercial (business associate) doit déterminer le rôle d'un prestataire qui traite des PHI électroniques pour son compte et si un BAA est nécessaire. Pour les fournisseurs de cloud en particulier, les recommandations du HHS expliquent qu'il faut un BAA approprié et une évaluation des risques liés au dispositif. Cela ne qualifie pas le rôle juridique de FaxZero.

Les documents publics de FaxZero n'indiquent ni plan dédié à la santé, ni option de BAA publiée, ni configuration de compte spécifique à HIPAA.

L'absence d'option publiée ne signifie pas que le prestataire refuse tout accord possible. Avant d'envoyer des PHI au nom d'une organisation, vérifiez le rôle du prestataire, le BAA requis, l'éligibilité du compte, les contrôles d'accès, la conservation des données et le traitement opérationnel. Si ces exigences ne peuvent pas être établies, choisissez un service disposant d'un cadre de santé documenté.

N'envoyer qu'une seule demande de consultation ou une courte demande de dossiers ne répond pas à cette exigence. Le volume de documents n'a aucun rapport avec la question de savoir si le prestataire choisi et le processus utilisé sont adaptés.

Payer pour FaxZero rend-il le service conforme à HIPAA ?

Au 20 octobre 2026, FaxZero proposait un envoi payant à 3,29 $US pour 25 pages maximum, avec envoi prioritaire et sans mention de FaxZero. L'avis sur le service FaxZero traite séparément les fonctionnalités d'envoi et l'éligibilité aux usages de santé.

Il s'agit de différences d'envoi et de présentation. L'option payante ne documente ni BAA ni évolution spécifique à HIPAA : elle doit donc répondre aux mêmes exigences en matière de PHI que l'option gratuite.

Que dit FaxZero du chiffrement ?

La FAQ de FaxZero décrit des envois en HTTPS et des communications SSL/TLS depuis ses serveurs.

Ces mentions concernent des connexions précises. Elles n'établissent pas un chiffrement de bout en bout sur l'ensemble du trajet du fax et ne répondent pas aux exigences relatives aux PHI évoquées plus haut.

Pour un cabinet, la décision doit porter sur l'ensemble du processus : qui téléverse le fichier, quel service le traite, ce qui parvient au destinataire et où des copies subsistent. Un téléversement chiffré ne suffit pas à répondre à ces questions.

Combien de temps FaxZero conserve-t-il les documents et les métadonnées ?

Selon sa FAQ, FaxZero supprime le contenu des fax dans les trois jours suivant la transmission. Il s'agit d'un délai défini, et non d'une suppression immédiate ni d'une absence de conservation.

La même FAQ indique que les métadonnées, y compris l'adresse email de l'expéditeur et le numéro de fax du destinataire, sont conservées indéfiniment. Sa politique de confidentialité emploie une formulation plus générale, évoquant une conservation pour les besoins nécessaires. Demandez des précisions si vos exigences dépendent de la conservation d'une catégorie de données en particulier.

La suppression par le service d'envoi n'efface pas non plus la copie du cabinet destinataire, votre fichier d'origine ni les copies créées ailleurs. Mettez en place votre propre procédure pour conserver les documents requis et gérer les informations sensibles.

FaxZero fournit-il des informations de livraison ?

Oui. Sa FAQ décrit des emails de confirmation de livraison ou d'échec, ainsi qu'une URL privée de page de statut fournie après la confirmation ou le paiement.

Ces éléments indiquent l'état de la transmission ; ils ne constituent pas une piste d'audit complète au niveau de l'organisation et ne prouvent pas qu'un professionnel de santé a lu le document ou l'a versé au dossier du patient.

Que faire si vous envoyez vos propres dossiers médicaux ?

Si vous envoyez vos propres dossiers, commencez par vous renseigner sur les exigences de l'organisation destinataire et réfléchissez à vos préférences en matière de confidentialité.

Pour envoyer vos propres dossiers médicaux, demandez à l'organisation destinataire quels canaux elle accepte et comment elle souhaite que le document lui soit adressé. Un portail patient approuvé ou une autre méthode proposée par cette organisation peut offrir une démarche plus claire.

Si vous optez pour un service de fax, vérifiez la façon dont il gère les documents, sa durée de conservation et les informations de statut avant de téléverser des données sensibles. N'incluez que ce dont le destinataire a besoin et vérifiez le numéro de fax par un autre moyen.

Quelle alternative documentée existe pour les PHI d'une organisation ?

Fax.Plus, l'éditeur de ce guide, prend en charge des processus de fax soumis à HIPAA avec le plan Enterprise, Advanced Security Controls activé et un BAA signé. Son quota gratuit et ses plans inférieurs ne constituent pas des cadres équivalents pour les PHI d'une organisation.

La documentation Alohi sur HIPAA explique les prérequis. Finalisez l'accord et la configuration du compte avant d'envoyer des PHI.

Fax.Plus chiffre les fichiers stockés avec AES-256. Enterprise propose le SSO et une administration basée sur les rôles pour aider à gérer l'accès de chaque membre du personnel. Ces contrôles soutiennent le processus configuré ; ils n'établissent pas un chiffrement de bout en bout sur le réseau téléphonique externe et ne remplacent pas le BAA.

Évaluez le processus configuré dans son ensemble : accès aux documents par l'accueil et par les équipes cliniques, ainsi que les exigences du service informatique en matière d'autorisations, de conservation et d'intégration.