Соответствует ли Slack требованиям HIPAA?

Да, Slack может использоваться для совместной работы сотрудников в рамках требований HIPAA при наличии корпоративного тарифа с поддержкой HIPAA, заключённого BAA и необходимой конфигурации. Обычная подписка Slack или установленное приложение для fax само по себе не означает, что процесс работы с документами пациентов соответствует требованиям.

Если ваша клиника координирует входящие направления, важно понять, что именно попадает в Slack: уведомление, идентифицирующие сведения, ссылка или сам fax. Соглашение со Slack, соглашение с поставщиком услуг fax и настройки доступа должны соответствовать этому реальному потоку данных.

На какую организацию Slack распространяется соглашение?

Действующие условия Slack требуют корпоративный тариф с поддержкой HIPAA, подписанное Business Associate Agreement (BAA) и подтверждённое подключение HIPAA для указанной организации. При новых покупках также необходим Slack HIPAA Enabled SKU — отдельная позиция заказа для этого соглашения. GovGrid исключён.

Подтвердите, какая организация Enterprise+ или Grid прежней версии указана в соглашении и какие рабочие пространства она охватывает. Покрытие указанной организации не распространяется автоматически на другие организации, принадлежащие клиенту.

Запросите через Slack применимое BAA, действующее руководство для организаций, подпадающих под HIPAA, и подтверждение подключения. Ваша организация по-прежнему отвечает за соблюдение HIPAA в целом, включая допустимое использование, доступ, мониторинг и обработку документов.

Кто может получать уведомления о fax, связанных с пациентами?

Руководство Slack по HIPAA предписывает использовать закрытые каналы для обмена данными о состоянии здоровья (PHI). Прежде чем добавлять участника, проверьте историю канала: он получит доступ не только к будущим сообщениям, но и к прежним обсуждениям, связанным с пациентами.

Круг участников должен соответствовать сотрудникам, которые работают с документами. Проверяйте гостей, внешних участников, изменения в каналах и отзыв доступа при увольнении. Для Slack Connect подтвердите разрешения и законность передачи данных: эта функция не отменяет этих требований. При оценке аудитории учитывайте и авторизованный доступ для экспорта и Discovery, поскольку видимость закрытого канала не ограничивается его обычными участниками.

Соглашение HIPAA рассчитано на совместную работу сотрудников, а не на общение с пациентами. Руководство Slack запрещает общение с пациентами, участниками страховых планов, их семьями и работодателями, а также запрещает добавлять их в рабочее пространство или каналы в качестве пользователей или гостей. Оповещение о направлении в канале медицинской команды и сообщение пациенту об этом направлении — разные сценарии использования.

Что делает интеграция Fax.Plus со Slack?

Fax.Plus предоставляет встроенную интеграцию со Slack для уведомлений о новых fax и статусе отправленных fax. Общие настройки интеграции включают необязательные вложения, но для сферы здравоохранения действуют другие правила.

Для работы организации с PHI отправка fax в сфере здравоохранения через Fax.Plus требует тариф Enterprise, включённую функцию Advanced Security Controls (ASC) и подписанное BAA. Доступность интеграции на тарифе Business не делает его равнозначным вариантом для работы с PHI.

При включённой ASC уведомления Slack продолжают приходить без вложенных файлов fax. Получайте fax в утверждённой среде Fax.Plus. Это ограничение описано в документации по интеграции с ASC, а общая функция уведомлений — в документации по встроенной интеграции со Slack.

Такие оповещения не создают во Slack встроенную форму для составления новых fax. Само по себе оповещение также не показывает, кто взял на себя ответственность за проверку документа.

Какие сведения раскрывает оповещение без вложений?

Проверьте фактические поля уведомления в утверждённой конфигурации учётной записи. Номер fax, идентификатор или сообщение с контекстом могут раскрыть конфиденциальную информацию, даже если документ остаётся в Fax.Plus.

Проверьте и круг участников Slack, и права доступа к любым связанным ресурсам. Возможность участника канала видеть уведомление и его право открывать fax — разные решения. Если команда выбирает платформу для совместной работы, сравните координацию fax через Microsoft Teams с учётом её собственных правил для учётных записей и уведомлений.

Например, закрытый канал приёма обращений может оповещать нужных сотрудников о том, что fax требует внимания, а сам документ остаётся в учётной записи fax. Перед внедрением такого процесса проверьте видимые поля и круг уполномоченных пользователей. Не считайте, что отсутствие вложений означает отсутствие PHI. Настройте предпросмотр мобильных уведомлений так, чтобы данные, связанные с пациентами, не отображались до разблокировки устройства.

Как быть с письмами и вложениями fax?

Необязательные защищённые вложения в письмах Fax.Plus имеют отдельные требования и не меняют правила Slack для вложений при включённой ASC. Включение опции для электронной почты не включает вложения файлов fax в Slack.

Защищённая доставка fax по электронной почте не означает, что пересылка fax пациентов в Slack разрешена. Приём почты — отдельная интеграция: её доступность, требования к передаче данных, получателей и сохраняемые копии необходимо оценивать самостоятельно. Для координации fax пациентов используйте утверждённый процесс со встроенными уведомлениями и получением документов.

Распространяется ли BAA Slack на поставщика услуг fax?

Нет. BAA компании Slack не распространяется автоматически на независимый сервис fax или стороннего поставщика приложений. Если оба поставщика обрабатывают электронные данные PHI, с каждым из них необходимо заключить отдельное соглашение.

Подтвердите условия сотрудничества со Slack и заключите BAA с Fax.Plus с учётом требований к тарифу Enterprise и ASC. Предварительные условия для учётной записи fax описаны в документации Alohi по HIPAA. Наличие приложения в каталоге или успешное подключение не заменяет соглашение ни с одним из поставщиков.

Где должны храниться записи и кто отвечает за проверку?

Slack не должен служить системой учёта данных PHI. Храните документ fax в утверждённом документообороте и выполняйте необходимое клиническое оформление в соответствии с политикой вашей организации в отношении записей.

Согласуйте сроки хранения сообщений, документов fax, экспортированных и скачанных копий. Определите порядок мониторинга и предотвращения утечек данных в среде Slack и уточните, какие данные администраторы действительно могут проверить. Экспорт сообщений не следует считать полной записью всех просмотров и скачиваний документов.

Определите, кто проверяет входящие fax, как другой сотрудник замещает отсутствующих и как фиксируется завершение обработки. Доставленное уведомление не назначает ответственного, не подтверждает клиническую проверку и не обновляет карту пациента автоматически. Перед использованием в работе с пациентами протестируйте предполагаемую конфигурацию уведомлений и доступа на синтетических документах.