HumbleFaxはHIPAAに準拠していますか？

covered entityまたはbusiness associateが保護対象保健情報（PHI）にHumbleFaxを使用する予定の場合、確認した公開資料からは、その標準サブスクリプションがHIPAAに対応していることは確認できません。利用規約は署名済みのHIPAA Business Associate Agreement（BAA）を想定していますが、2026年10月20日に確認した資料には、医療機関向けプランの記載や、その契約の取得方法に関する説明はありませんでした。

患者が自身の記録を自分の意思で送信する場合は、PHIを取り扱うbusiness associateを組織が選定する場合とは状況が異なります。

HumbleFaxのBAA条項から何がわかりますか？

HumbleFaxの利用規約のセクションB.5は、HIPAA BAAが締結されているかどうかを条件として、HIPAAに関する同社の立場を説明しています。

この条項は、BAAがすべての契約者に提供されること、対象となるプラン、またはご利用のアカウントで契約が有効であることを確認するものではありません。また、HumbleFaxがBAAを一切締結しないことを示すものでもありません。

組織がcovered entityまたはbusiness associateであり、保護対象保健情報（PHI）を扱うサービスを選定する場合は、患者の文書をアップロードする前に、プロバイダーの役割、必要な契約、アカウントの適格性、運用上の管理策を確認してください。組織に適用される取り決めの証拠を保管してください。

定額サブスクリプションには医療向けの対応が含まれていますか？

2026年10月20日時点で、HumbleFaxは月額10米ドルでfaxを無制限に送信できるサブスクリプションを案内していました。この商業的な説明は、HIPAAの適格性や署名済みBAAを示すものではありません。

利用規約には、アカウントおよびフェアユースに関する条件が残っています。BAAが利用可能かどうか、また、それによって対象となるアカウント構成や商業条件が変わるかどうかを、別途確認してください。

メールとスタッフのアクセスについて何を確認すべきですか？

受信添付ファイルとEmail-to-Fax

HumbleFaxは、受信したfaxをPDFのメール添付ファイルとして配信する方法と、Email-to-Faxによる送信方法を案内しています。ご利用のアカウントでBAAが利用可能な場合は、これらの方法が対象に含まれるかどうか、またどの設定が必要かを確認してください。

受信した添付ファイルがどのように保護されるか、通信の暗号化が強制されるか、安全なメール配信を完了できない場合にどうなるかを確認してください。確認した公開情報には、PHI向けのメール設定やそのTLS強制ルールに関する記載はありませんでした。

評価には、ご自身のメールボックスと、転送やアーカイブに使用するサービスも含めてください。faxプロバイダーとの契約が、コピーを受け取るすべてのシステムを自動的にカバーするわけではありません。

個別ユーザーと共有電話番号

HumbleFaxは、追加ユーザーのアクセスと二要素ログインを案内しています。認証がないと決めつけたり、完全なエンタープライズ向けのロールモデルがあると思い込んだりせず、利用可能な権限を確認してください。HumbleFaxのレビューでは、より広いユーザー体験を検証しています。

共有電話番号で誰が文書を開けるか、送信faxが誰によるものとしてどのように記録されるか、退職者のアクセスがどのように削除されるかを実際に示してもらってください。管理者が実際に確認できるイベントも確認してください。送信メタデータは、すべての文書の閲覧やダウンロードの記録を示すものではありません。

セキュリティと記録に関する機能をどのように評価すべきですか？

HumbleFaxは、エンドツーエンドであるという主張を含め、暗号化を訴求しています。使用予定のアカウントと配信方法について、技術的な適用範囲を確認してください。確認した公開資料では、暗号化アーキテクチャの全体像は確認できず、外部の電話網のすべての区間にわたる保護も独自に検証されていませんでした。

HumbleFaxは、検索およびダウンロード可能なfax履歴と確認メールも提供しています。これらは文書の取り扱いや送信後のフォローアップに役立ちますが、確認メールは、臨床担当者がfaxを読んだことや、それに基づいて対応したことを証明するものではありません。

セクションF.9では、個人データについて目的に基づく保持期間の表現が使われており、アカウント解約後も一部の情報が残る可能性があります。faxの文書やバックアップがいつ消去されるかは示されていません。ご利用のアカウントにおける文書の保持、削除、バックアップ、エクスポートの仕組みについて、別途確認してください。

確認した公開資料には、現行の第三者保証の証拠や具体的な保存場所は記載されていませんでした。それらが存在する、あるいは存在しないと決めつけず、該当する資料を請求してください。

APIやZapierのアクセスは、HIPAAに関する判断を変えますか？

HumbleFaxはREST APIとZapier連携を提供しています。これらが利用できることは連携の手段があることを意味しますが、BAAが連携先アプリケーションや想定するデータの流れを対象としていることを示すものではありません。

PHIを受け取る各サービス、そのサービスに必要な権限、その取り扱いを対象とする契約を特定してください。患者情報を導入する前に、想定する構成を模擬文書でテストしてください。

プロバイダーを変更する場合、何を保全すべきですか？

必要なfax履歴をエクスポートし、スタッフが過去の文書をどのように取得するかを明確にしてください。ポートアウトの場合、HumbleFaxの利用規約では、アカウント解約の少なくとも30日前までに書面による通知と新しい通信事業者からの依頼が必要で、アカウントの料金が全額支払い済みであることが条件とされています。

ご利用の電話番号について確認を取り、移行と送受信の配信が確認できるまで、既存のサービスを有効にしておいてください。履歴が自動的にインポートされることや、中断なく切り替えられることを前提にしないでください。

医療分野のfaxにFax.Plusが求めるものは何ですか？

Fax.Plusはこのガイドを公開しており、Advanced Security Controlsを有効にし、署名済みのBAAを締結したEnterpriseで、HIPAAの規制対象となるfaxワークフローをサポートしています。前提条件についてはAlohiのHIPAAドキュメントで説明しています。下位のプランは、組織のPHIに関して同等の取り決めにはなりません。

Fax.PlusはAES-256を使用して保存ファイルを暗号化し、EnterpriseではSSOとロールベースの管理を提供します。これらの制御は、文書やアカウントへのアクセス管理に役立ちますが、あらゆるfaxに対するエンドツーエンド暗号化を保証するものではなく、契約の代わりになるものでもありません。

実際の医療向け構成が、貴組織のニーズに合っているかを確認してください。たとえば、記録を受け取る受付スタッフ、文書を確認する臨床担当者、アクセス、保持、承認済みの接続を管理するITの各担当者の観点から比較します。