Zapier está em conformidade com a HIPAA?

Não. Zapier declara que não está em conformidade com a HIPAA, que não assina um Business Associate Agreement (BAA) e que não deve ser utilizada para armazenar, enviar ou automatizar informações de saúde protegidas (PHI). As suas FAQ publicadas sobre o contrato Enterprise também indicam que não oferece um BAA.

Para uma organização de saúde que automatize a receção de faxes ou pedidos de registos, isto torna o percurso dos dados decisivo. Uma conta de fax ou um destino permitido não autoriza o encaminhamento de informações de pacientes por Zapier pelo meio.

O que significa a política de Zapier para um fluxo de trabalho de fax de pacientes?

Os termos de Zapier em vigor desde 9 de abril de 2026 proíbem o carregamento ou a transmissão de Dados Pessoais Sensíveis, uma categoria que inclui informações de pacientes, médicas e regulamentadas pela HIPAA. A restrição é mais ampla do que saber se um documento está anexado a uma automatização.

Uma subscrição paga, um plano Enterprise, uma ligação encriptada ou um relatório SOC 2 não substitui o BAA em falta nem anula a política de PHI publicada. Avalie as provas de segurança dentro do seu âmbito, em vez de as tratar como permissão contratual.

Se a sua organização for uma entidade abrangida ou um associado comercial que selecione fornecedores para tratar PHI eletrónica, reveja a função e o contrato de cada fornecedor. O BAA de um serviço de fax a montante não cobre uma plataforma de automatização distinta.

Onde pode a PHI entrar na automatização de faxes?

Considere um fluxo de trabalho proposto que reage à receção de um fax de referenciação e encaminha informações para outro sistema. O PDF é uma possível divulgação, mas o evento também pode conter informações que identificam o paciente ou revelam os cuidados prestados.

Reveja o percurso completo antes de ligar uma conta real:

• Gatilho e testes: Que campos, registos de exemplo, nomes de ficheiros, números, identificadores ou ligações entram no serviço de automatização?
• Processamento e ações: Que passos recebem o payload original, o conteúdo extraído ou os detalhes do destino, e que outros serviços recebem o resultado?
• Histórico e registos operacionais: O que permanece nos dados de teste, no histórico de execução, nas novas tentativas, nas mensagens de erro, nos alertas ou no armazenamento a jusante?

Um filtro posterior não anula informações já recebidas num passo anterior. Do mesmo modo, um fluxo de trabalho que parece inofensivo no resultado final pode expor informações de pacientes no seu gatilho ou no histórico de execução.

Remover o anexo do fax torna o fluxo de trabalho adequado?

Não automaticamente. Um número de fax, um identificador associado ao paciente, o título de um ficheiro ou o URL de um documento podem revelar contexto sensível sem o PDF em si. Analise o conteúdo e as relações, em vez de avaliar o payload apenas pelo seu formato.

Remover nomes ou substituí-los por um token não estabelece, por si só, a desidentificação nos termos da HIPAA. O HHS descreve normas específicas de desidentificação; o método aplicável e os dados resultantes requerem uma avaliação adequada.

Nas contas Fax.Plus com Advanced Security Controls, a ligação a Zapier fica desativada em qualquer caso. Um payload sem anexos não altera essa restrição do produto.

Pode uma organização de saúde utilizar Zapier sem PHI?

As orientações de Zapier permitem trabalho na área da saúde que não envolva PHI, sujeito aos seus termos e a outras obrigações aplicáveis. Um fluxo de trabalho administrativo genuinamente sem PHI pode, assim, ser avaliado separadamente do tratamento de documentos de pacientes.

Determine o que o gatilho, as ações e os históricos reais contêm. Não presuma que marcações de consultas, faturação, lembretes ou um resultado de aspeto agregado estão isentos de informações de pacientes só porque as suas designações soam administrativas.

A ausência de PHI também não anula as restrições sobre outros Dados Pessoais Sensíveis. Avalie as informações e os termos do serviço na sua totalidade antes de utilizar um fluxo de trabalho numa organização.

Porque é que Zapier não está disponível com o ASC de Fax.Plus?

Fax.Plus desativa Zapier quando o Advanced Security Controls (ASC) está ativado. Esta é a restrição atual da integração, e não uma definição opcional para cada documento de paciente. A documentação de integração do ASC confirma também que a API continua disponível.

Para o tratamento organizacional de PHI em Fax.Plus, os pré-requisitos da conta são Enterprise, ASC ativado e um BAA assinado. Enterprise por si só é insuficiente, e a disponibilidade de um conector Zapier genérico noutras configurações não estabelece a elegibilidade para a área da saúde.

A disponibilidade da API não constitui uma exceção para encaminhar PHI por Zapier. Um pedido personalizado, um webhook, um formatador ou um passo de código continua a introduzir a plataforma no percurso dos dados; não alarga o contrato do fornecedor de fax.

Qual é uma alternativa para a automatização de faxes de pacientes?

Uma integração direta e devidamente avaliada com a API de Fax.Plus é uma opção de implementação distinta. Exige a conta Enterprise elegível, o ASC ativado e um BAA assinado, juntamente com um ambiente aprovado para o resto do fluxo de trabalho.

Avalie os sistemas que recebem documentos, a autenticação e as permissões, o armazenamento, os registos operacionais, o tratamento de erros e os destinos. Cada serviço que trate PHI eletrónica necessita de um acordo contratual e técnico adequado à sua função.

Mantenha essa arquitetura fora de uma plataforma que proíbe os dados. Ligar a mesma API através de Zapier não cria uma alternativa aprovada. A orientação do HHS sobre cloud explica as responsabilidades das entidades abrangentes e dos associados comerciais que utilizam fornecedores de cloud.

Um pequeno consultório não precisa de encomendar desenvolvimento personalizado para cada tarefa de fax. Pode continuar a tratar os documentos no seu ambiente de fax aprovado enquanto avalia se a automatização justifica o trabalho de implementação e de governação.

O que deve estabelecer antes de utilizar documentos reais?

Identifique a tarefa que pretende automatizar, os serviços envolvidos e as informações que cada um recebe. Confirme os respetivos acordos e configurações de conta e, em seguida, teste o comportamento proposto com documentos sintéticos em vez de registos reais de pacientes.

Defina quem trata uma ação falhada, onde permanece o documento de referência e como a equipa confirma a conclusão. Uma transmissão técnica ou uma execução de automatização bem-sucedida não prova que um clínico reviu o documento nem que o processo do paciente foi atualizado corretamente.