Czy Dropbox Fax jest zgodny z HIPAA?

Przeanalizowany publiczny cennik nie wskazuje planu Dropbox Fax, który obejmuje Business Associate Agreement. Placówki medyczne powinny uzyskać pisemne potwierdzenie, że ich konkretna usługa Fax, konto i sposób pracy są objęte umową, zanim wyślą chronione informacje zdrowotne. Informacje o ogólnych możliwościach produktu znajdziesz w naszej recenzji funkcji Dropbox Fax.

Odrębnie wynegocjowana umowa mogłaby zmienić ocenę w przypadku konkretnego konta. Decyzja zależy od usługi i sposobu pracy objętych tą umową, a także od wymaganych ustawień i zabezpieczeń.

Rozróżnienie ma znaczenie, gdy obok siebie pojawiają się Dropbox Fax, Dropbox Sign i usługa przechowywania plików Dropbox. Wspólna marka nie oznacza, że jedna umowa obejmuje każdą z tych usług.

Co wynika z publicznych informacji o Dropbox Fax

Publiczną dokumentację przeanalizowano 20 października 2026 r.

Strona z cennikiem Fax zawiera listę subskrypcji i limitów użycia, ale nie znaleziono planu fax z wyraźnie wskazaną umową BAA. Wykupienie większego limitu nie rozstrzyga tej kwestii umownej.

Warunki Dropbox Sign wprost uwzględniają Dropbox Fax wśród opisanych usług. Punkt 4.2(xii) zabrania przechowywania, przesyłania lub innego przetwarzania PHI, chyba że klient i Dropbox zawrą odrębną umowę HIPAA BAA.

Ten warunek potwierdza konieczność zawarcia odrębnej umowy na podstawie tych warunków. Nie wskazuje jednak, który plan Fax się kwalifikuje, czy umowa jest dostępna dla Twojego konta ani jakie metody wysyłania i odbierania by obejmowała.

Zanim uznasz subskrypcję za odpowiednią do dokumentów pacjentów, poproś o odpowiedzi na te pytania.

Dropbox Fax, Dropbox Sign i przechowywanie plików w Dropbox to różne usługi

Gdy ktoś mówi, że „Dropbox jest zgodny z HIPAA”, ustal, o jaką usługę i umowę mu chodzi.

Umowa dotycząca przechowywania dokumentu sama w sobie nie potwierdza objęcia nią wysyłania tego dokumentu przez odrębną usługę fax. Dropbox publikuje oddzielne wytyczne HIPAA dla przechowywania plików w Dropbox i dla Dropbox Sign; sprawdź zakres każdego z tych rozwiązań.

Podobnie uprawnienie do planu podpisywania Dropbox Sign nie powinno być przedstawiane jako dowód dostępności BAA dla Dropbox Fax. Poproś o wyraźne wskazanie objętej usługi.

Na przykład gabinet może pobrać skierowanie z usługi przechowywania plików, przesłać je do Fax i otrzymać kopię e-mailem. Przeanalizuj każdą usługę uczestniczącą w tym procesie, w tym skrzynkę pocztową odbierającą załącznik.

Co sprawdzić poza umową BAA

W przypadku dostawcy usług w chmurze (cloud), który przetwarza elektroniczne PHI w imieniu Twojej organizacji, umowa BAA jest elementem wymaganych ustaleń. Organizacja musi też ocenić ryzyka i wdrożyć odpowiednie zabezpieczenia; samo szyfrowane przechowywanie nie wyczerpuje tych obowiązków. Wytyczne HHS dotyczące przetwarzania w chmurze.

Poproś o dowody dotyczące rzeczywistego wdrożenia usługi fax:

• Dostęp pracowników: Kto może otwierać przychodzące dokumenty, zmieniać przypisania i usuwać odchodzących użytkowników?
• Informacje o aktywności: Jakie zdarzenia są rejestrowane, jakie szczegóły są dostępne i jak długo przechowuje się zapisy?
• Ochrona dokumentów: Gdzie stosuje się szyfrowanie w przechowywaniu, dostarczaniu i połączonych usługach?
• Lokalizacja: Gdzie są przechowywane dokumenty i kopie zapasowe oraz gdzie odbywa się przetwarzanie?
• Przechowywanie danych: Co dzieje się z dokumentami w portalu, załącznikami e-mail i pobranymi kopiami?

To pytania do weryfikacji, a nie lista potwierdzonych ograniczeń Dropbox Fax.

Należy też sprawdzić zakres raportów bezpieczeństwa i certyfikatów. Poświadczenie powiązane z innym produktem nie oznacza, że objęte są wszystkie funkcje usługi fax.

Poproś Dropbox o pisemną odpowiedź dotyczącą usługi fax

Opisz planowany sposób korzystania z usługi. Mały gabinet wysyłający skierowania z przeglądarki ma inne wymagania niż organizacja łącząca usługę fax przez API.

Poproś Dropbox o potwierdzenie:

• Dokładnej usługi Fax i konta objętych proponowaną umową BAA.
• Wymaganej subskrypcji, umowy, ustawień i kroków aktywacji.
• Czy objęte są wysyłanie z przeglądarki, email-to-fax, załączniki przychodzące i proponowane integracje.
• Dostępnych mechanizmów kontroli dostępu, przechowywania danych i przeglądu aktywności.
• Pełnej ceny i wszelkich ograniczeń dotyczących planowanego zastosowania.

Ogólne zapewnienie, że Dropbox obsługuje sektor ochrony zdrowia, nie wystarczy do rozstrzygnięcia tych szczegółów.

Przechowuj umowę i istotne informacje o konfiguracji w dokumentacji dostawców organizacji. Przed wprowadzeniem PHI przetestuj proces na reprezentatywnych dokumentach niezawierających danych pacjentów.

Co zrobić, jeśli Twoja placówka już korzysta z Dropbox Fax?

Przed wyciągnięciem wniosków przejrzyj umowę powiązaną z istniejącym kontem. Organizacja może mieć dokumenty umowne, które nie są widoczne na publicznej stronie z cennikiem.

Jeśli kwestia objęcia umową pozostaje nierozstrzygnięta, korzystaj z kanału zatwierdzonego przez organizację, dla którego ustalenia dotyczące PHI zostały potwierdzone. Poproś zespół ds. prywatności lub zgodności o ocenę dotychczasowego użycia i ustalenie dalszych kroków, w tym tego, jakie informacje o transmisjach i koncie należy zachować.

Jak na tym tle wypada rozwiązanie Fax.Plus dla ochrony zdrowia

Fax.Plus publikuje ten poradnik. W przypadku PHI wymagane rozwiązanie fax dla ochrony zdrowia to Enterprise, włączone Advanced Security Controls i podpisana umowa BAA. Basic, Premium i Business nie oferują alternatywnej konfiguracji kwalifikującej się do HIPAA. Wymagania Fax.Plus dla ochrony zdrowia.

Dla placówki szukającej jasno udokumentowanego punktu wyjścia wskazuje to, którą subskrypcję Fax.Plus i jakie mechanizmy kontroli należy ocenić.

Personel nadal musi weryfikować odbiorców, zarządzać dostępem i odpowiednio postępować z dokumentami. Raport potwierdzenia może wspierać dalsze działania, ale pomyślna transmisja nie oznacza przeglądu klinicznego ani zarchiwizowania.

Jeśli zdecydujesz się zmienić dostawcę

Sprawdź, czy Twój obecny numer można przenieść, i zapoznaj się z wymaganiami dostawcy przyjmującego, zanim cokolwiek anulujesz.

Aktualne warunki Dropbox wskazują, że przenoszenie numerów fax może być obsługiwane zarówno do Dropbox, jak i z Dropbox w USA, Wielkiej Brytanii i Kanadzie, potencjalnie za dodatkową opłatą. Potwierdź ustalenia dotyczące Twojego konkretnego numeru.

Przed wprowadzeniem PHI do nowej usługi przygotuj dostęp dla personelu, przypisania odbioru i wymagane umowy. Utrzymuj aktywną usługę dla dotychczasowego numeru do czasu zakończenia i zweryfikowania jego przeniesienia oraz ustal, kto monitoruje przychodzące dokumenty w trakcie zmiany.