Соответствует ли eFax требованиям HIPAA?

Да, eFax предлагает услуги, предназначенные для отправки fax в соответствии с HIPAA, но важны тариф и соглашение. В текущем тарифе Business указан Business Associate Agreement (BAA). В тарифе Personal он не указан. Крупные организации могут рассмотреть eFax Corporate на основании отдельного предложения. Наш обзор продукта eFax также охватывает общие цены и порядок работы с документами.

Это руководство посвящено поставщику eFax на efax.com. Электронная отправка fax и онлайн-fax обозначают более широкую категорию. Общее упоминание «e-fax» не указывает на конкретного поставщика и не подтверждает возможность работы с данными по требованиям HIPAA.

Для врача практический вопрос состоит в том, могут ли сотрудники отправлять и получать документы пациентов через услугу, на которую распространяется соглашение. Для ИТ-специалистов важно, охватывают ли соглашение, меры контроля учётных записей и подключённые системы фактическое внедрение.

В каких тарифах eFax указан BAA?

На текущей странице тарифов eFax выделены Personal и Business. Страница для малого бизнеса также поясняет статус подписчиков устаревшего тарифа Protect.

Цены указаны в долларах США. Цены на Business приведены для ежемесячной оплаты после вводной акции. Пять включённых пользователей могут подойти небольшой практике, но количество включённых пользователей не определяет, какие права получает каждый из них.

Если вы уже используете Personal для обычных документов, до начала работы с защищёнными данными о состоянии здоровья (PHI) уточните, допускает ли тариф такое использование. Смену тарифа нужно проверять вместе с соглашением и настройками. Не предполагайте, что она сразу сделает пригодными все существующие рабочие процессы.

На какую услугу и какое соглашение распространяется BAA eFax?

Раздел 24 опубликованных условий eFax содержит дополнение о деловом партнёре и ссылается на «защищённую услугу» Business, Protect и Unite. Дополнение применяется к Consensus US, если клиент — организация, на которую распространяется HIPAA, или деловой партнёр и использует эту защищённую услугу. Изучите этот охват вместе с соглашением, действующим для вашей учётной записи.

Публичное дополнение содержит полезную информацию до покупки. Оно не означает, что конкретная устаревшая учётная запись, заказ Corporate, маршрут электронной почты или подключённое приложение охвачены на тех же условиях.

Перед отправкой PHI попросите eFax подтвердить, какая услуга охвачена соглашением, какое соглашение действует для вашей учётной записи, как BAA вступает в силу и какая настройка требуется. Сохраните это подтверждение в документах по поставщику.

BAA закрепляет обязанности между вашей организацией и поставщиком услуги. Вашей организации по-прежнему нужны надлежащий доступ сотрудников, проверка получателей и процедуры работы со скачанными или пересланными документами.

Проверьте фактический порядок работы с документами пациентов

Доступ через браузер и учётные записи сотрудников

eFax Business предлагает отправку fax через веб-интерфейс, администрирование и настройку прав пользователей. Продемонстрируйте рабочий процесс на синтетических документах: поступает направление, регистратура его идентифицирует, врач его просматривает, а уполномоченный сотрудник отправляет ответ.

Проверьте, кто может просматривать документы каждого номера, работает ли каждый сотрудник под индивидуальной учётной записью и как уволившийся сотрудник теряет доступ. Уточните, какие меры аутентификации и администрирования доступны в выбранном тарифе. Не переносите возможности Corporate на Business по умолчанию.

Подтверждение доставки в системе fax не доказывает, что сотрудник прочитал направление или внёс его в нужную карту пациента. Определите, кто проверяет неудачные или неверно адресованные передачи и как организация на них реагирует.

При оценке также проверьте следующее:

• Доступна ли многофакторная аутентификация (MFA) и обязательна ли она для предполагаемых учётных записей.
• Какие события отправки, получения и доступа записываются и можно ли экспортировать эти записи.
• Как сотрудники проверяют номера получателей и что делают при отправке на неверный номер.
• Как на общих рабочих станциях обращаются с загруженными файлами и когда пересматривается доступ сотрудников.

Отправка по электронной почте, уведомления и вложения

eFax поддерживает сценарии Email-to-Fax и приём документов по электронной почте. Проверяйте их по отдельности: отправка письма как fax, получение уведомления и получение вложения создают разные копии документа и разные пути доступа к нему.

Уточните, что поступает в почтовый ящик при используемой конфигурации. Содержит ли письмо PHI, вложение или ссылку на портал? Какие требования предъявляются к передаче данных? Кто может пересылать или скачивать документ и как хранятся копии?

Также необходимо оценить почтового провайдера и внутренний порядок обработки писем. BAA на услугу fax не распространяется автоматически на почтовый ящик, общее правило пересылки или стороннее архивное хранилище. Информация о безопасности eFax служит отправной точкой; убедитесь, что для вашей учётной записи работает именно то поведение, которое было продемонстрировано.

Хранение, экспорт и закрытие учётной записи

Выясните, как долго документы остаются доступными, какие настройки хранения могут изменять администраторы и как можно экспортировать записи. Уточните, как в рамках применимой услуги выполняются удаление данных, резервное копирование и закрытие учётной записи.

Примените полученные ответы к политике ведения документации вашей клиники. Онлайн-архив fax не обязательно является полноценной системой хранения медицинской документации. Доступ через портал не должен быть единственным способом сохранить документы, хранение которых обязательно.

Что предлагает eFax Corporate и как обстоит дело с интеграциями?

eFax Corporate — корпоративный вариант с возможностями администрирования, управления учётными записями и API. Его решение для здравоохранения стоит оценить, если fax входит в более крупный проект по работе с документами или обеспечению интероперабельности.

Запросите коммерческое предложение с точным указанием продуктов, конечных точек, разрешений и потоков данных. Общедоступная информация об API не означает, что API входит в подписку Business за 39,99 $ или что доступ в рабочую среду предоставляется сразу.

Аналогично оценивайте гарантии безопасности в пределах заявленной области действия. Заявление о HITRUST r2, связанное с Corporate, нельзя представлять как сертификацию, которая автоматически распространяется на все тарифы eFax, интеграции и конфигурации клиентов.

Как Fax.Plus подходит к отправке fax в соответствии с HIPAA

Fax.Plus публикует это руководство и является альтернативным провайдером. Для работы с PHI требования к fax в здравоохранении сформулированы чётко: тариф Enterprise, включённые Advanced Security Controls (ASC) и подписанный BAA. Тарифы Basic, Premium и Business такой комплекс мер не заменяют. Условия допуска описаны в документации Alohi по HIPAA.

Fax.Plus Enterprise включает неограниченное число участников, SSO и ролевое администрирование команды. Администраторы могут управлять назначением номеров в структуре команды. Это удобно, если сотрудникам регистратуры и врачам нужен индивидуальный доступ. Оценивайте назначения и расход вместе: неограниченное число участников не означает неограниченного объёма отправки fax.

Enterprise предлагает более 40 регионов для хранения fax и резервных копий. Этот выбор касается именно хранения, а не всех операций обработки данных. Сопоставьте задокументированную область действия резидентности данных со своими требованиями. REST API остаётся доступным при включённых ASC. Для отправки по электронной почте и необязательных входящих вложений действуют особые условия безопасности, поэтому проверьте нужный сценарий работы с почтой на практике до передачи PHI.

Корректно сравнивать охваченную конфигурацию eFax Business или Corporate с Fax.Plus Enterprise при включённых ASC и подписанном BAA. Сравнивайте рабочий процесс сотрудников, необходимые меры защиты и полную стоимость по коммерческому предложению. Более дешёвая потребительская подписка любого из провайдеров несопоставима по требованиям HIPAA.

Если вы решили сменить провайдера

Прежде чем передавать PHI, убедитесь, что новая учётная запись для этого подходит. Сохраните необходимую историю fax, проверьте условия переноса номера и не отключайте текущую услугу, пока перенос не завершён и не протестирован. До отказа от прежнего решения проверьте входящую и исходящую доставку, а также доступ сотрудников.