Is Zapier HIPAA-compliant?

Nee. Zapier stelt dat het niet HIPAA-conform is, geen Business Associate Agreement (BAA) ondertekent en niet mag worden gebruikt om beschermde gezondheidsinformatie (PHI) op te slaan, te verzenden of te automatiseren. Ook in de gepubliceerde FAQ over de Enterprise-overeenkomst staat dat er geen BAA wordt aangeboden.

Voor een zorginstelling die binnenkomende faxen of verzoeken om dossiers automatiseert, is het gegevenspad daarmee doorslaggevend. Een toegestaan faxaccount of een toegestane bestemming geeft geen toestemming om patiëntgegevens daartussen via Zapier te routeren.

Wat betekent het beleid van Zapier voor een workflow met patiëntfaxen?

De voorwaarden van Zapier die per 9 april 2026 van kracht zijn, verbieden het uploaden of verzenden van Sensitive Personal Data, een categorie die patiënt-, medische en door HIPAA gereguleerde informatie omvat. De beperking is ruimer dan de vraag of er een document aan een automatisering is gekoppeld.

Een betaald abonnement, een Enterprise-abonnement, een versleutelde verbinding of een SOC 2-rapport vervangt de ontbrekende BAA niet en heft het gepubliceerde PHI-beleid niet op. Beoordeel beveiligingsbewijs binnen de reikwijdte ervan en beschouw het niet als contractuele toestemming.

Als uw organisatie een covered entity of business associate is en providers selecteert die elektronische PHI verwerken, controleer dan de rol en de overeenkomst van elke provider. De BAA van een upstream-faxdienst dekt geen afzonderlijk automatiseringsplatform.

Waar kan PHI in faxautomatisering terechtkomen?

Neem als voorbeeld een voorgestelde workflow die reageert op een nieuwe verwijsfax en informatie doorstuurt naar een ander systeem. De PDF is één mogelijke vorm van openbaarmaking, maar de gebeurtenis kan ook informatie bevatten die de patiënt identificeert of de verleende zorg onthult.

Controleer het volledige pad voordat u een live account koppelt:

• Trigger en testen: Welke velden, voorbeeldrecords, bestandsnamen, nummers, identificatiegegevens of links komen in de automatiseringsdienst terecht?
• Verwerking en acties: Welke stappen ontvangen de oorspronkelijke payload, geëxtraheerde inhoud of bestemmingsgegevens, en welke andere diensten ontvangen het resultaat?
• Geschiedenis en operationele registraties: Wat blijft er achter in testgegevens, uitvoeringsgeschiedenis, nieuwe pogingen, foutmeldingen, waarschuwingen of downstream-opslag?

Een latere filter kan informatie die al in een eerdere stap is ontvangen niet ongedaan maken. Ook kan een workflow die bij de uiteindelijke uitvoer onschuldig lijkt, toch patiëntgegevens blootleggen in de trigger of de uitvoeringsgeschiedenis.

Maakt het verwijderen van de faxbijlage de workflow geschikt?

Niet automatisch. Een faxnummer, een aan een patiënt gekoppelde identificatiecode, een bestandstitel of een document-URL kan ook zonder de PDF zelf gevoelige context onthullen. Beoordeel de inhoud en de onderlinge verbanden, in plaats van de payload alleen op basis van het formaat te beoordelen.

Het verwijderen van namen of het vervangen ervan door een token zorgt op zichzelf niet voor HIPAA-de-identificatie. HHS beschrijft specifieke de-identificatiestandaarden; de toepasselijke methode en de resulterende gegevens moeten passend worden beoordeeld.

Voor Fax.Plus-accounts met Advanced Security Controls is de Zapier-koppeling in alle gevallen uitgeschakeld. Een payload zonder bijlage verandert niets aan die productbeperking.

Kan een zorginstelling Zapier gebruiken zonder PHI?

De richtlijnen van Zapier staan werkzaamheden in de zorg toe waarbij geen PHI betrokken is, met inachtneming van de voorwaarden en andere toepasselijke verplichtingen. Een werkelijk PHI-vrije administratieve workflow kan dus los van de verwerking van patiëntdocumenten worden beoordeeld.

Stel vast wat de daadwerkelijke trigger, acties en geschiedenissen bevatten. Ga er niet van uit dat planning, facturering, herinneringen of een uitvoer die geaggregeerd lijkt vrij zijn van patiëntgegevens, alleen omdat hun benaming administratief klinkt.

De afwezigheid van PHI heft ook de beperkingen voor andere Sensitive Personal Data niet op. Beoordeel de volledige informatie en de dienstvoorwaarden voordat u een workflow in een organisatie gebruikt.

Waarom is Zapier niet beschikbaar onder Fax.Plus ASC?

Fax.Plus deactiveert Zapier wanneer Advanced Security Controls (ASC) zijn ingeschakeld. Dit is de huidige beperking van de integratie en geen optionele instelling per patiëntdocument. De documentatie over ASC-integraties bevestigt ook dat de API beschikbaar blijft.

Voor PHI-verwerking door organisaties met Fax.Plus zijn de accountvereisten Enterprise, ingeschakelde ASC en een ondertekende BAA. Enterprise alleen is niet voldoende, en de beschikbaarheid van een algemene Zapier-connector bij andere configuraties maakt een organisatie niet geschikt voor gebruik in de zorg.

Beschikbaarheid van de API biedt geen uitzondering voor het routeren van PHI via Zapier. Een aangepaste request-, webhook-, formatter- of codestap brengt het platform nog steeds in het gegevenspad; de overeenkomst van de faxprovider wordt daar niet door uitgebreid.

Wat is een alternatief voor automatisering van patiëntfaxen?

Een directe, naar behoren beoordeelde integratie met de Fax.Plus API is een afzonderlijke implementatieoptie. Hiervoor zijn het in aanmerking komende Enterprise-account, ingeschakelde ASC en een ondertekende BAA vereist, samen met een goedgekeurde omgeving voor de rest van de workflow.

Beoordeel de systemen die documenten ontvangen, authenticatie en machtigingen, opslag, operationele logs, foutafhandeling en bestemmingen. Elke dienst die elektronische PHI verwerkt, heeft een passende contractuele en technische regeling nodig voor zijn rol.

Houd die architectuur buiten een platform dat deze gegevens verbiedt. Dezelfde API via Zapier koppelen levert geen goedgekeurd alternatief op. De HHS-richtlijnen voor cloud leggen uit welke verantwoordelijkheden covered entities en business associates hebben wanneer zij cloudproviders gebruiken.

Een kleine praktijk hoeft niet voor elke faxtaak maatwerk te laten ontwikkelen. Zij kan documenten blijven verwerken in haar goedgekeurde faxomgeving en ondertussen beoordelen of automatisering het implementatie- en governancewerk rechtvaardigt.

Wat moet u vaststellen voordat u live documenten gebruikt?

Bepaal welke taak u wilt automatiseren, welke diensten erbij betrokken zijn en welke informatie elke dienst ontvangt. Controleer hun overeenkomsten en accountconfiguraties en test het beoogde gedrag vervolgens met synthetische documenten in plaats van met echte patiëntendossiers.

Bepaal wie een mislukte actie afhandelt, waar het gezaghebbende document blijft en hoe medewerkers de afronding bevestigen. Een geslaagde technische verzending of automatiseringsrun bewijst niet dat een clinicus het document heeft beoordeeld of dat een patiëntendossier correct is bijgewerkt.