Is Dropbox Fax HIPAA-compliant?

In de onderzochte openbare prijzen wordt geen Dropbox Fax-abonnement genoemd dat een Business Associate Agreement bevat. Zorgorganisaties moeten schriftelijke bevestiging verkrijgen dat hun exacte Fax-dienst, account en werkwijze gedekt zijn voordat zij beschermde gezondheidsinformatie versturen. Voor de algemene mogelijkheden van het product verwijzen wij naar onze review van de functies van Dropbox Fax.

Een afzonderlijk onderhandelde overeenkomst kan de beoordeling voor een specifiek account wijzigen. De beslissing hangt af van de dienst en de werkwijze die onder die overeenkomst vallen, samen met de vereiste instellingen en beveiligingsmaatregelen.

Het onderscheid is van belang wanneer Dropbox Fax, Dropbox Sign en Dropbox-bestandsopslag samen voorkomen. Het feit dat ze dezelfde merknaam delen, bewijst niet dat één overeenkomst alle diensten dekt.

Wat de openbare informatie van Dropbox Fax vaststelt

Wij hebben de openbare documentatie beoordeeld op 20 oktober 2026.

De prijspagina van Fax vermeldt abonnementen en gebruikslimieten, maar wij hebben geen benoemd fax-abonnement met BAA gevonden. Betalen voor een grotere limiet lost die contractuele kwestie niet op.

De voorwaarden van Dropbox Sign nemen Dropbox Fax uitdrukkelijk op in de diensten die ze beschrijven. Sectie 4.2(xii) verbiedt het opslaan, verzenden of anderszins verwerken van PHI, tenzij de klant en Dropbox afzonderlijk een HIPAA-BAA sluiten.

Die voorwaarde stelt vast dat onder die voorwaarden een afzonderlijke overeenkomst nodig is. Ze stelt niet vast welk Fax-abonnement in aanmerking komt, of er voor uw account een overeenkomst beschikbaar is, of welke verzend- en ontvangstmethoden daaronder zouden vallen.

Vraag deze antwoorden op voordat u een abonnement als geschikt beschouwt voor patiëntdocumenten.

Dropbox Fax, Dropbox Sign en Dropbox-opslag zijn verschillende diensten

Wanneer iemand zegt: „Dropbox is HIPAA-conform”, stel dan vast welke dienst en welke overeenkomst diegene bedoelt.

Een overeenkomst voor het opslaan van een document stelt op zichzelf niet vast dat het versturen van dat document via een aparte fax-dienst gedekt is. Dropbox publiceert afzonderlijke HIPAA-richtlijnen voor Dropbox-bestandsopslag en Dropbox Sign; controleer de reikwijdte van elke regeling.

Evenzo mag de geschiktheid voor een Dropbox Sign-ondertekeningsabonnement niet worden voorgesteld als bewijs van een BAA-optie voor Dropbox Fax. Vraag om de gedekte dienst uitdrukkelijk te benoemen.

Een praktijk kan bijvoorbeeld een verwijzing ophalen uit bestandsopslag, deze uploaden naar Fax en per e-mail een kopie ontvangen. Beoordeel elke dienst in dat traject, inclusief de mailbox die de bijlage ontvangt.

Wat u naast een BAA moet controleren

Voor een cloud-aanbieder die namens uw organisatie elektronische PHI verwerkt, maakt een BAA deel uit van de vereiste regeling. Uw organisatie moet ook risico’s beoordelen en passende beveiligingsmaatregelen treffen; versleutelde opslag alleen lost die verantwoordelijkheden niet op. HHS-richtlijnen voor cloud computing.

Vraag om bewijs dat betrekking heeft op de daadwerkelijke fax-implementatie:

• Toegang voor medewerkers: Wie kan binnenkomende documenten openen, toewijzingen wijzigen en vertrekkende gebruikers verwijderen?
• Activiteitsinformatie: Welke gebeurtenissen worden vastgelegd, welke details zijn beschikbaar en hoe lang worden de gegevens bewaard?
• Documentbescherming: Waar geldt versleuteling voor opslag, aflevering en gekoppelde diensten?
• Locatie: Waar worden documenten en back-ups opgeslagen en waar vindt de verwerking plaats?
• Bewaartermijn: Wat gebeurt er met documenten in de portal, e-mailbijlagen en gedownloade kopieën?

Dit zijn vragen ter verificatie, geen lijst met bevestigde beperkingen van Dropbox Fax.

Ook de reikwijdte van beveiligingsrapporten en certificeringen moet worden gecontroleerd. Een certificering die aan een ander product is verbonden, bewijst niet dat elke fax-functie wordt gedekt.

Vraag Dropbox om een schriftelijk antwoord specifiek voor fax

Beschrijf de werkwijze die u wilt gebruiken. Een kleine praktijk die verwijzingen vanuit een browser verstuurt, heeft andere eisen dan een organisatie die fax via een API koppelt.

Vraag Dropbox te bevestigen:

• Welke fax-dienst en welk account precies onder de voorgestelde BAA vallen.
• Het vereiste abonnement, het contract, de instellingen en de activeringsstappen.
• Of verzenden via de browser, Email-to-Fax, inkomende bijlagen en voorgestelde integraties zijn gedekt.
• De beschikbare controles voor toegang, bewaartermijnen en beoordeling van activiteit.
• De volledige prijs en eventuele beperkingen die het voorgenomen gebruik beïnvloeden.

Een algemene verzekering dat Dropbox de zorgsector ondersteunt, is onvoldoende om die details vast te stellen.

Bewaar de overeenkomst en de relevante configuratiegegevens bij de leveranciersdossiers van de organisatie. Gebruik representatieve documenten zonder patiëntgegevens om de werkwijze te testen voordat u PHI introduceert.

Wat als uw praktijk al Dropbox Fax gebruikt?

Controleer de overeenkomst die aan het bestaande account is gekoppeld voordat u een conclusie trekt. Uw organisatie kan beschikken over contractuele documenten die niet zichtbaar zijn op een openbare prijspagina.

Als de dekking onduidelijk blijft, gebruik dan een door de organisatie goedgekeurd kanaal waarvan de PHI-regeling is bevestigd. Vraag het privacy- of compliance-team om eerder gebruik te beoordelen en de vervolgstappen te bepalen, waaronder welke verzend- en accountgegevens bewaard moeten blijven.

Hoe de regeling van Fax.Plus voor de zorg zich verhoudt

Fax.Plus publiceert deze gids. Voor PHI is de vereiste fax-regeling voor de zorg Enterprise, ingeschakelde Advanced Security Controls en een ondertekende BAA. Basic, Premium en Business bieden geen alternatieve HIPAA-geschikte configuratie. Vereisten van Fax.Plus voor de zorg.

Voor een praktijk die een duidelijk gedocumenteerd uitgangspunt zoekt, geeft dit aan welk Fax.Plus-abonnement en welke controles u kunt evalueren.

Medewerkers moeten nog steeds ontvangers controleren, toegang beheren en documenten op passende wijze behandelen. Een bevestigingsrapport kan helpen bij de opvolging, maar een succesvolle verzending bewijst niet dat er een klinische beoordeling of archivering heeft plaatsgevonden.

Als u besluit van aanbieder te wisselen

Controleer of uw bestaande nummer kan worden overgedragen en bekijk de vereisten van de ontvangende aanbieder voordat u iets opzegt.

Volgens de huidige voorwaarden van Dropbox kan het porteren van faxnummers mogelijk worden ondersteund, zowel inkomend als uitgaand, in de VS, het VK en Canada, eventueel tegen een extra vergoeding. Bevestig de afspraken voor uw specifieke nummer.

Bereid de toegang van medewerkers, de toewijzingen voor ontvangst en de vereiste overeenkomsten voor voordat u PHI in de nieuwe dienst gebruikt. Houd de dienst voor het bestaande nummer actief totdat de overdracht is voltooid en gecontroleerd, en bepaal wie tijdens de overstap de inkomende documenten bewaakt.