Slack está em conformidade com a HIPAA?

Sim, Slack pode suportar a colaboração de equipas sujeita ao HIPAA ao abrigo do seu acordo empresarial abrangido, de um BAA celebrado e da configuração exigida. Uma subscrição normal de Slack ou uma aplicação de fax instalada não estabelece, por si só, que um fluxo de trabalho de documentos de doentes esteja abrangido.

Para uma clínica que coordena a receção de referenciações, a pergunta útil é o que chega a Slack: uma notificação, informações de identificação, uma ligação ou o próprio fax. O acordo de Slack, o acordo do fornecedor de fax e os controlos de acesso têm de corresponder a esse fluxo real.

Que organização e que acordo de Slack estão abrangidos?

Os termos atuais de Slack exigem um plano de nível empresarial abrangido, um Business Associate Agreement (BAA) assinado e a confirmação da ativação do HIPAA na organização designada. As compras atuais exigem também o Slack HIPAA Enabled SKU, o item de encomenda dedicado a esse acordo. GovGrid está excluído.

Confirme a organização Enterprise+ ou Grid legada indicada no acordo e os espaços de trabalho que abrange. A cobertura de uma organização designada não se estende automaticamente a todas as outras organizações que o cliente possua.

Obtenha, através de Slack, o BAA aplicável, o guia atual para entidades sujeitas ao HIPAA e a confirmação da ativação. A sua organização continua a ser responsável pela sua conformidade global com o HIPAA, incluindo a utilização permitida, o acesso, a monitorização e o tratamento de documentos.

Quem pode receber notificações de fax relacionadas com doentes?

O guia HIPAA de Slack indica que as organizações devem utilizar canais privados para partilhar informações de saúde protegidas (PHI). Reveja o histórico existente do canal antes de adicionar alguém: a adesão pode expor discussões anteriores relacionadas com doentes, bem como as mensagens futuras.

Mantenha o público alinhado com os profissionais que tratam os documentos. Reveja os convidados, os participantes externos, as alterações aos canais e a saída de colaboradores. No caso de Slack Connect, confirme as permissões e a partilha legalmente permitida; a funcionalidade não elimina esses requisitos. Inclua o acesso autorizado de exportação e Discovery na avaliação do público, uma vez que a visibilidade de um canal privado não se limita aos seus membros habituais.

O acordo HIPAA destina-se à colaboração entre profissionais e não à comunicação com doentes. O guia de Slack proíbe a comunicação com doentes, beneficiários de planos, respetivos familiares ou entidades patronais, e proíbe adicioná-los como utilizadores ou convidados do espaço de trabalho ou de canais. Um alerta de referenciação num canal da equipa de cuidados é uma utilização diferente de enviar uma mensagem ao doente sobre a referenciação.

O que faz a integração de Fax.Plus com o Slack?

Fax.Plus disponibiliza uma integração nativa com o Slack para notificações de novos faxes e o estado dos faxes enviados. As definições gerais da integração incluem anexos opcionais, mas o comportamento disponível para a área da saúde é diferente.

Para PHI organizacional, o envio de faxes na área da saúde com o Fax.Plus exige Enterprise, Advanced Security Controls (ASC) ativado e um BAA assinado. A disponibilidade geral da integração no plano Business não faz desse plano um acordo equivalente para PHI.

Com o ASC, as notificações de Slack continuam sem ficheiros de fax anexados. Obtenha o fax no ambiente aprovado de Fax.Plus. A documentação da integração ASC descreve esse limite; a documentação da integração nativa com o Slack explica a sua função geral de notificação.

Estes alertas não criam um editor nativo de novos faxes dentro de Slack. Um alerta, por si só, também não estabelece quem assumiu a responsabilidade de rever o documento.

Que informações expõe um alerta sem anexos?

Inspecione os campos reais da notificação na configuração aprovada da conta. Um número de fax, um identificador ou uma mensagem contextual podem revelar informações sensíveis mesmo quando o documento permanece em Fax.Plus.

Verifique tanto o público de Slack como as permissões de qualquer recurso associado. A capacidade de um membro do canal ver uma notificação e a sua autorização para abrir o fax são decisões distintas. Se a equipa estiver a escolher uma plataforma de colaboração, compare a coordenação de faxes através do Microsoft Teams ao abrigo das suas próprias regras de conta e de notificação.

Por exemplo, um canal privado de admissão pode alertar os profissionais adequados de que um fax requer atenção, enquanto o documento permanece na conta de fax. Reveja os campos visíveis e os utilizadores autorizados antes de adotar esse processo. Não presuma que sem anexos significa sem PHI. Configure as pré-visualizações de notificações móveis para que o conteúdo relacionado com doentes não apareça antes de o dispositivo ser desbloqueado.

E os emails e anexos de fax?

Os anexos seguros opcionais por email de Fax.Plus têm requisitos próprios e não alteram a política de anexos de Slack com o ASC. Ativar uma opção de email não ativa os ficheiros de fax anexados em Slack.

A entrega segura de faxes por email não estabelece que o reencaminhamento de faxes de doentes para o Slack esteja aprovado. A ingestão de emails é uma integração distinta cuja disponibilidade, requisitos de transporte, destinatários e cópias conservadas exigem uma avaliação independente. Para a coordenação de faxes de doentes, utilize o fluxo de trabalho aprovado de notificação nativa e obtenção de documentos.

O BAA de Slack abrange o fornecedor de fax?

Não. O BAA de Slack não abrange automaticamente um serviço de fax independente nem um fornecedor de aplicações de terceiros. Quando ambos os fornecedores tratam PHI eletrónica, cada relação necessita da sua própria cobertura contratual aplicável.

Confirme o acordo com a Slack e celebre o BAA de Fax.Plus, juntamente com os requisitos de Enterprise e ASC. A documentação HIPAA da Alohi explica os pré-requisitos da conta de fax. A presença numa lista de aplicações ou uma ligação bem-sucedida não substitui o acordo de nenhum dos fornecedores.

Onde devem ficar os registos e as responsabilidades de revisão?

Slack não deve ser o sistema de registo de PHI. Mantenha o documento de fax no fluxo de trabalho documental aprovado e conclua qualquer arquivo clínico necessário de acordo com a política de registos da sua organização.

Harmonize a retenção das mensagens relevantes, dos documentos de fax, das exportações e das cópias transferidas. Defina a monitorização e a prevenção de perda de dados para o ambiente Slack e confirme que evidências os administradores podem realmente consultar. Uma exportação de mensagens não deve ser tratada como um registo completo de todas as visualizações ou transferências de documentos.

Defina quem verifica os faxes recebidos, como outro colaborador assegura as ausências e como se regista a conclusão. Um alerta entregue não atribui um responsável, não comprova a revisão clínica nem atualiza automaticamente o processo do doente. Teste a configuração proposta de notificações e de acesso com documentos sintéticos antes de a utilizar em trabalho com doentes.