Compreenda o âmbito contratual HIPAA de Microsoft Teams e os limites relativos a documentos de doentes, notificações e fornecedores de fax que deve verificar antes de ligar um fluxo de trabalho de saúde.
- Microsoft inclui Teams na sua oferta HIPAA para clientes elegíveis, sujeita aos termos e à configuração aplicáveis.
- As obrigações do BAA estão incorporadas nos termos aplicáveis de Microsoft; não presuma a existência de um processo de assinatura separado.
- Um fornecedor de fax ligado introduz a sua própria conta, o seu próprio acordo e as suas próprias verificações de tratamento de dados.
- As notificações sem anexos podem, ainda assim, expor informações sensíveis.
- A utilização de PHI com Fax.Plus exige Enterprise, ASC e um BAA assinado; a disponibilidade do conector Teams e o tratamento de dados requerem confirmação separada.
Sim, Microsoft Teams está incluído no enquadramento contratual HIPAA de Microsoft para entidades abrangidas e subcontratantes elegíveis. A documentação da sua oferta HIPAA/HITECH identifica Teams no âmbito de serviço Commercial e Government Community Cloud (GCC). A sua organização continua a ter de verificar o acordo, a subscrição e a configuração que lhe são aplicáveis.
As obrigações do Business Associate Agreement (BAA) de Microsoft estão incorporadas na Adenda de Proteção de Dados e nos termos de serviço aplicáveis. Não se deve presumir a existência de um procedimento separado de pedido e assinatura. Essa cobertura contratual não torna uma organização automaticamente conforme com HIPAA.
Para uma clínica que trata documentos de doentes, a questão seguinte é para onde vão as informações de saúde protegidas (PHI): uma conversa de Teams, um canal, um armazenamento de ficheiros ligado, uma caixa de correio ou um fornecedor de fax. Cada limite afeta o acesso e as responsabilidades.
O que deve verificar no seu acordo com Microsoft?
Identifique o inquilino, o ambiente cloud, os serviços adquiridos e os termos aplicáveis à sua organização. Confirme que o serviço Teams que vai utilizar está abrangido pela oferta HIPAA aplicável; não alargue uma declaração sobre serviços elegíveis de Microsoft a todas as contas ou subscrições gratuitas.
Reveja que salvaguardas as suas licenças proporcionam. A prevenção de perda de dados, a auditoria, a retenção e outras capacidades de governação têm requisitos de licenciamento e configuração. Faça corresponder a subscrição aos controlos de que o seu fluxo de trabalho aprovado necessita.
A organização continua a ser responsável pela sua utilização global, pelo acesso do pessoal e pelo tratamento dos documentos. Um serviço abrangido é um ponto de partida para um fluxo de trabalho configurado.
Para onde vai realmente o documento do doente?
Separe uma mensagem de coordenação do documento a que diz respeito. Um fax pode permanecer numa conta de fax aprovada enquanto o pessoal coordena o acompanhamento, mas uma mensagem que identifique o doente ou exponha detalhes de encaminhamento pode conter, ela própria, PHI.
Em cada passo, identifique o que é publicado: texto de estado, um número de fax, um identificador do doente, uma ligação para um documento, um anexo ou uma pré-visualização. Depois, verifique quem pode aceder à conversa e quem pode abrir o documento subjacente. Numa implementação com Slack, verifique em separado os limites das notificações de fax em Slack.
A conversa de Teams, Teams Phone, o armazenamento de ficheiros ligado e uma aplicação de fax são partes diferentes de um fluxo de comunicação entre doentes e pessoal. Um BAA aplicável aos serviços de Microsoft não estabelece automaticamente cobertura contratual para um fornecedor de fax separado nem para todas as aplicações ligadas.
Como deve gerir canais, ficheiros e acesso do pessoal?
Confirme o público-alvo previsto antes de permitir notificações relacionadas com doentes num canal ou numa conversa. Inclua nessa avaliação o acesso de convidados, a participação externa e as alterações de pessoal.
Verifique tanto a pertença à conversa como as permissões dos documentos. Uma ligação pode conduzir a um recurso com regras de acesso diferentes, enquanto um anexo introduz uma cópia que requer o seu próprio tratamento. Reveja a retenção e a exportação na conversa, no armazenamento ligado e em quaisquer cópias transferidas.
Demonstre a configuração real com documentos sintéticos: quem recebe uma notificação, o que esta expõe, quem pode abrir o ficheiro e o que acontece quando o acesso dessa pessoa é removido. Uma demonstração bem-sucedida verifica o comportamento, mas não garante a conformidade global.
Como se enquadra a integração de Fax.Plus com Teams?
Fax.Plus tem uma integração nativa com Microsoft Teams. Fornece notificações de fax recebido e de estado de envio, incluindo resultados de envio ou falha, com os detalhes relevantes do fax e uma ligação. As opções gerais de integração incluem também anexos.
A integração nativa oferece notificação e acompanhamento; não disponibiliza um ecrã de composição ou envio de fax dentro de Teams. A documentação de Fax.Plus para Teams descreve a elegibilidade e a configuração gerais da integração.
Essas instruções gerais não estabelecem o comportamento exato permitido com Advanced Security Controls (ASC). Antes de utilizar a integração com PHI, confirme com Fax.Plus a disponibilidade, o conteúdo das mensagens, o tratamento de anexos e a configuração permitida para a sua conta.
As notificações sem anexos não estão automaticamente isentas de PHI. Números, identificadores ou outros detalhes da mensagem podem ser sensíveis. Não trate essa opção como prova de que um canal é adequado para atividades relacionadas com doentes.
O que deve abranger o acordo do fornecedor de fax?
A configuração de fax para saúde de Fax.Plus exige Enterprise, Advanced Security Controls ativados e um BAA assinado. A documentação HIPAA de Alohi explica estes pré-requisitos. A disponibilidade geral da integração com Teams em Business não torna esse plano um substituto elegível para PHI.
Se Microsoft e Fax.Plus criarem, receberem, mantiverem ou transmitirem PHI eletrónica como fornecedores separados, confirme os termos de BAA aplicáveis de Microsoft e celebre o BAA de Fax.Plus. O acordo de um fornecedor não abrange o outro. As orientações do HHS sobre cloud explicam os requisitos contratuais para entidades abrangidas e subcontratantes que utilizam fornecedores de cloud.
Mantenha os documentos de fax dentro do fluxo de trabalho de saúde aprovado enquanto a ligação a Teams está a ser avaliada. Zapier não está disponível com ASC de Fax.Plus, pelo que os seus exemplos gerais de automatização não constituem uma configuração para saúde nestas contas.
O que deve a clínica aprovar antes de ligar o fluxo de trabalho?
Defina qual o serviço que guarda o fax, que colaboradores o tratam e se é permitida a entrada de dados de doentes em Teams. Confirme em conjunto os termos de Microsoft, o acordo do fornecedor de fax e as definições de conta necessárias.
Para a receção, demonstre como um pedido de referenciação chega ao revisor previsto sem exposição desnecessária no canal. Para a equipa de TI, documente os campos de mensagem permitidos, as regras de acesso, a retenção e a remoção de utilizadores.
Se o comportamento da ligação em contexto de saúde não tiver sido confirmado, utilize a conta de fax aprovada para os documentos de doentes e siga o procedimento de comunicação estabelecido pela sua organização.
Perguntas frequentes
Microsoft Teams está em conformidade com a HIPAA?
Teams está incluído na oferta HIPAA de Microsoft para entidades abrangidas e subcontratantes elegíveis. Verifique o seu acordo, subscrição, configuração, tratamento de documentos e serviços ligados; a inclusão, por si só, não torna a organização automaticamente conforme.
Como é disponibilizado o BAA de Microsoft para Teams?
Microsoft incorpora as obrigações do BAA nos termos de proteção de dados e de serviço aplicáveis a clientes elegíveis. Confirme o acordo que abrange a sua entidade cliente, o inquilino e os serviços, em vez de presumir que é necessário um documento separado assinado manualmente.
Que licença de Microsoft Teams suporta a utilização conforme com a HIPAA?
Verifique os serviços, o ambiente cloud e os termos que abrangem a sua subscrição. Funcionalidades de governação, como a prevenção contra perda de dados, a auditoria e a retenção, têm requisitos de licenciamento e de configuração que devem corresponder ao fluxo de trabalho de documentos aprovado para os seus colaboradores.
É possível partilhar documentos de doentes em Teams?
Utilize o acordo contratual e técnico aprovado pela organização para documentos de doentes. Verifique a pertença ao canal, as permissões de ficheiros, o acesso de convidados e externo, a retenção e as cópias de anexos ou transferências, incluindo quem mantém o acesso após alterações na equipa.
O BAA de Microsoft abrange um fornecedor de fax ligado?
Se Microsoft e um fornecedor de fax distinto tratarem PHI eletrónica, cada relação necessita de cobertura contratual aplicável. Confirme separadamente, para os serviços utilizados, os termos de Microsoft e o BAA do fornecedor de fax, bem como a elegibilidade da conta, a configuração e o tratamento de documentos.
O que devem as organizações de saúde verificar antes de ligar Fax.Plus a Teams?
Verifique os termos aplicáveis de Microsoft e Fax.Plus Enterprise, com ASC ativado e um BAA assinado. Antes de introduzir PHI, confirme a disponibilidade da ligação, os campos de notificação, os anexos, as permissões, a retenção e o público previsto do canal para a sua conta.
Que informações deve expor uma notificação de fax em Teams?
Reveja cada campo da notificação e o respetivo público, incluindo números, identificadores, texto de estado, ligações e pré-visualizações. Remover anexos não garante mensagens sem PHI; aprove o conteúdo, as regras de acesso e as permissões dos documentos ligados antes da utilização.
O que exige Fax.Plus para o envio de fax em conformidade com a HIPAA?
Fax.Plus exige Enterprise, Advanced Security Controls ativados e um BAA assinado para PHI. Estes pré-requisitos da conta não validam o conector de Teams; confirme separadamente a sua disponibilidade permitida, os campos de notificação, o comportamento dos anexos e o acesso dos destinatários.
Artigos em destaque
Ver tudo
Confédération Suisse
Confederazione Svizzera
Confederaziun Svizra
Confederação Suíça
Innosuisse - Agência Suíça de Inovação
