eFax 符合 HIPAA 要求吗？

是的，eFax 提供旨在支持符合 HIPAA 要求的 fax 发送的服务，但具体套餐和协议至关重要。其当前的 Business 套餐列有 Business Associate Agreement (BAA)，Personal 未列有。较大型的机构可以通过单独的提案评估 eFax Corporate。我们的 eFax 产品评测还介绍了一般定价和文档工作流程。

本指南讨论的是服务提供商 efax.com 的 eFax。电子 fax 和在线 fax 描述的是更广泛的类别。泛泛提及“e-fax”并不能指明特定的供应商，也不能证明其具备 HIPAA 资格。

对医生而言，实际问题是员工能否通过受保障的服务收发患者文档。对 IT 人员而言，则是协议、账户控制和所连接的系统是否涵盖实际部署。

哪些 eFax 套餐列有 BAA？

eFax 当前的定价页面区分了 Personal 和 Business。小型企业页面还说明了旧版 Protect 订阅用户的情况。

价格以美元计。上述 Business 价格采用按月计费，为首期促销结束后的价格。其包含的五位用户可能适合小型诊所，但包含的用户名额并不能说明每个人获得哪些权限。

如果您已将 Personal 用于普通文档，请在添加受保护健康信息 (PHI) 之前先解决资格问题。变更套餐时，应将协议和设置一并核查，而不要假定变更后所有现有工作流程都适用。

eFax BAA 适用于哪项服务和哪份协议？

已发布的 eFax 条款第 24 节包含一份业务伙伴附录，并提及 Business、Protect 和 Unite 的“Secured Service”。当客户是使用该 Secured Service 的受保实体或业务伙伴时，该附录适用于 Consensus US。请结合适用于您账户的协议来理解该适用范围。

公开的附录在购买前提供了有用的信息，但并不能证明某个特定的旧版账户、Corporate 订单、电子邮件路由或所连接的应用程序按相同条款受到覆盖。

在发送 PHI 之前，请要求 eFax 确认所涵盖的服务、适用于您账户的协议、BAA 如何生效以及任何必需的配置。请将该确认与您的供应商记录一并保存。

BAA 确立的是贵组织与服务提供商之间的责任。贵机构仍需要适当的员工访问权限、收件人核实，以及处理已下载或转发文档的程序。

检查实际的患者文档工作流程

浏览器访问与员工账户

eFax Business 宣传了网页 fax、管理和用户权限功能。请使用模拟文档演示工作流程：收到转诊单，前台识别，临床医生审阅，授权员工发送回复。

请核实谁能查看每个号码的文档、每个人是否使用个人账户，以及离职员工如何失去访问权限。询问所选套餐提供哪些身份验证和管理员控制；不要想当然地把 Corporate 的功能当作 Business 的功能。

fax 系统的送达确认并不能证明有人阅读了转诊单，或将其录入了预期的患者病历。请明确由谁检查失败或误发的传输，以及诊所如何应对。

评估期间，还要检查：

• 拟用账户是否提供并强制启用 MFA。
• 记录了哪些发送、接收和访问事件，以及这些记录能否导出。
• 工作人员如何核实接收方号码，以及发错号码后如何处理。
• 共用工作站如何处理下载文件，以及何时审查员工的访问权限。

邮件发送、通知和附件

eFax 提供 Email-to-Fax 以及与电子邮件相关的接收工作流程。请分别核查这些功能：将邮件作为 fax 发送、接收通知和接收文档附件，会产生不同的副本和访问路径。

请询问在受保障的配置下，邮箱中会收到什么内容。邮件是否包含 PHI、附件或门户链接？适用哪些传输要求？谁可以转发或下载，副本又如何保留？

您的电子邮件提供商和内部处理方式同样需要评估。fax 服务的 BAA 并不会自动涵盖邮箱、共享转发规则或第三方归档。eFax 的安全信息只是一个起点；请确认针对您的账户所演示的实际行为。

保留、导出和账户关闭

明确文档可保留多长时间、管理员可以更改哪些保留设置，以及记录如何导出。询问在适用的服务下，删除、备份和账户关闭是如何处理的。

请将这些答复应用于您机构的记录政策。在线 fax 归档并不自动等同于完整的病历保存系统,也不应将门户访问作为保存必需记录的唯一方案。

eFax Corporate 与集成情况如何？

eFax Corporate 提供具备管理、账户管理和 API 功能的企业级方案。当 fax 属于更大的文档或互操作性项目的一部分时,其医疗保健服务值得评估。

请索取一份提案，明确列出具体的产品、端点、权限和数据流。公开的 API 信息并不能说明其包含在 39.99 美元的 Business 订阅中，也不代表可立即用于生产环境。

同样，请按其声明的范围来评估安全保障。与 Corporate 相关的 HITRUST r2 声明，不应被表述为自动涵盖每一个 eFax 套餐、集成或客户配置的认证。

Fax.Plus 如何实现符合 HIPAA 的 fax 传输

Fax.Plus 发布了本指南，同时也是替代服务提供商。对于 PHI，其医疗保健 fax 要求十分明确：Enterprise、已启用的 Advanced Security Controls (ASC) 以及已签署的 BAA。Basic、Premium 和 Business 套餐无法替代这一安排。Alohi HIPAA 文档说明了资格条件。

Fax.Plus Enterprise 包含不限数量的成员、SSO 和基于角色的团队管理。管理员可以在团队结构内管理号码分配，因此当前台人员和临床医生需要各自的访问权限时，这一功能十分适用。请将分配情况与使用量一并评估；成员数量不限并不意味着 fax 用量不限。

Enterprise 为 fax 文档和备份存储提供 40 多个地点。这一选择仅涉及存储，并不涵盖所有处理操作；请对照您的要求，查看已记录的数据驻留范围。在 ASC 下仍可使用 REST API。邮件发送和可选的传入附件有特定的安全条件，因此在迁移 PHI 之前，请先演示预期的邮件工作流程。

恰当的对比，是 eFax 受保障的 Business 或 Corporate 配置与启用 ASC 并签署 BAA 的 Fax.Plus Enterprise 之间的对比。请比较员工工作流程、所需的控制措施和完整报价。任一服务提供商价格较低的消费级订阅，都不能与之进行同等条件的 HIPAA 对比。

如果您决定更换服务提供商

在转移 PHI 之前，请先确认新账户的资格。保留必需的 fax 历史记录，核实号码转移条件，并在号码转移完成并测试通过之前保持当前服务有效。在终止旧安排之前，请检查收发送达情况和员工访问权限。