Zapier est-il conforme à HIPAA ?

Non. Zapier indique qu'il n'est pas conforme à HIPAA, qu'il ne signe pas de Business Associate Agreement (BAA) et qu'il ne doit pas être utilisé pour stocker, envoyer ou automatiser des informations de santé protégées (PHI). La FAQ publiée sur son contrat Enterprise précise également qu'il ne propose pas de BAA.

Pour un établissement de santé qui automatise le traitement des fax entrants ou des demandes de dossiers, le chemin suivi par les données est donc déterminant. Un compte de fax ou une destination autorisés ne permettent pas de faire transiter des informations sur les patients par Zapier entre les deux.

Que signifie la politique de Zapier pour un workflow de fax de patients ?

Les conditions de Zapier en vigueur au 9 avril 2026 interdisent de téléverser ou de transmettre des données personnelles sensibles (Sensitive Personal Data), une catégorie qui comprend les informations sur les patients, les informations médicales et les informations régies par HIPAA. Cette restriction ne se limite pas à la présence d'un document joint à une automatisation.

Un abonnement payant, un plan Enterprise, une connexion chiffrée ou un rapport SOC 2 ne remplacent pas le BAA manquant et ne l'emportent pas sur la politique publiée en matière de PHI. Évaluez les preuves de sécurité dans leur périmètre plutôt que d'y voir une autorisation contractuelle.

Si votre organisation est une entité couverte ou un sous-traitant (business associate) qui sélectionne des prestataires pour traiter des PHI électroniques, vérifiez le rôle et le contrat de chaque prestataire. Le BAA d'un service de fax en amont ne couvre pas une plateforme d'automatisation distincte.

Où les PHI peuvent-elles entrer dans l'automatisation des fax ?

Prenons l'exemple d'un workflow qui se déclenche à la réception d'un fax de recommandation et transmet des informations vers un autre système. Le PDF est une source possible de divulgation, mais l'événement peut aussi contenir des informations qui identifient le patient ou révèlent des soins.

Examinez l'ensemble du parcours avant de connecter un compte en production :

• Déclencheur et tests : quels champs, exemples d'enregistrements, noms de fichiers, numéros, identifiants ou liens entrent dans le service d'automatisation ?
• Traitement et actions : quelles étapes reçoivent la charge utile d'origine, le contenu extrait ou les informations de destination, et quels autres services reçoivent le résultat ?
• Historique et traces opérationnelles : que subsiste-t-il dans les données de test, l'historique d'exécution, les nouvelles tentatives, les messages d'erreur, les alertes ou le stockage en aval ?

Un filtre appliqué plus tard ne peut pas annuler des informations déjà reçues lors d'une étape antérieure. De même, un workflow dont le résultat final semble anodin peut tout de même exposer des informations sur les patients dans son déclencheur ou son historique d'exécution.

Supprimer la pièce jointe du fax rend-il le workflow acceptable ?

Pas automatiquement. Un numéro de fax, un identifiant lié à un patient, un titre de fichier ou l'URL d'un document peuvent révéler un contexte sensible sans le PDF lui-même. Examinez le contenu et les liens entre les éléments plutôt que de juger la charge utile uniquement d'après son format.

Supprimer les noms ou les remplacer par un jeton ne suffit pas, à lui seul, à établir une dé-identification conforme à HIPAA. Le HHS décrit des normes de dé-identification précises ; la méthode applicable et les données obtenues doivent faire l'objet d'une évaluation appropriée.

Pour les comptes Fax.Plus avec Advanced Security Controls, la connexion à Zapier est de toute façon désactivée. Une charge utile sans pièce jointe ne change rien à cette restriction du produit.

Un établissement de santé peut-il utiliser Zapier sans PHI ?

Les recommandations de Zapier autorisent les usages liés à la santé qui n'impliquent pas de PHI, sous réserve de ses conditions et des autres obligations applicables. Un workflow administratif réellement exempt de PHI peut donc être évalué séparément du traitement des documents de patients.

Déterminez ce que contiennent réellement le déclencheur, les actions et les historiques. Ne partez pas du principe que la planification, la facturation, les rappels ou un résultat qui semble agrégé ne contiennent aucune information sur les patients simplement parce que leurs intitulés évoquent l'administratif.

L'absence de PHI ne lève pas non plus les restrictions applicables aux autres données personnelles sensibles. Évaluez l'ensemble des informations et des conditions de service avant d'utiliser un workflow dans une organisation.

Pourquoi Zapier n'est-il pas disponible avec Fax.Plus ASC ?

Fax.Plus désactive Zapier lorsque Advanced Security Controls (ASC) est activé. Il s'agit de la restriction d'intégration actuelle, et non d'un paramètre facultatif à définir pour chaque document de patient. La documentation sur l'intégration avec ASC confirme également que l'API reste disponible.

Pour le traitement des PHI par une organisation avec Fax.Plus, les prérequis du compte sont Enterprise, ASC activé et un BAA signé. Enterprise seul ne suffit pas, et la disponibilité d'un connecteur Zapier générique avec d'autres configurations n'établit pas l'éligibilité pour le secteur de la santé.

La disponibilité de l'API ne constitue pas une exception permettant de faire transiter des PHI par Zapier. Une requête personnalisée, un webhook, une étape de mise en forme ou de code fait toujours entrer la plateforme dans le chemin des données ; cela n'étend pas le contrat du prestataire de fax.

Quelle alternative pour automatiser les fax de patients ?

Une intégration directe et correctement évaluée via l'API Fax.Plus constitue une option de mise en œuvre distincte. Elle nécessite le compte Enterprise éligible, ASC activé et un BAA signé, ainsi qu'un environnement approuvé pour le reste du workflow.

Évaluez les systèmes qui reçoivent les documents, l'authentification et les autorisations, le stockage, les journaux opérationnels, la gestion des erreurs et les destinations. Chaque service qui traite des PHI électroniques doit bénéficier d'un cadre contractuel et technique adapté à son rôle.

Conservez cette architecture en dehors d'une plateforme qui interdit ces données. Connecter la même API via Zapier ne crée pas une alternative approuvée. Les recommandations du HHS sur le cloud expliquent les responsabilités des entités couvertes et des sous-traitants (business associates) qui font appel à des fournisseurs de services cloud.

Un petit cabinet n'a pas besoin de commander un développement sur mesure pour chaque tâche liée aux fax. Il peut continuer à traiter ses documents dans son environnement de fax approuvé tout en évaluant si l'automatisation justifie le travail de mise en œuvre et de gouvernance.

Que faut-il établir avant d'utiliser des documents réels ?

Identifiez la tâche à automatiser, les services concernés et les informations que chacun reçoit. Vérifiez leurs contrats et la configuration de leurs comptes, puis testez le comportement prévu à l'aide de documents synthétiques plutôt que de dossiers de patients réels.

Définissez qui traite une action en échec, où se trouve le document de référence et comment le personnel confirme que la tâche est terminée. Une transmission technique ou une exécution d'automatisation réussie ne prouve pas qu'un clinicien a examiné le document ni que le dossier du patient a été correctement mis à jour.