Microsoft Teams 是否符合 HIPAA 要求？

是的，对于符合条件的受保护实体和业务伙伴，Microsoft Teams 已纳入 Microsoft 的 HIPAA 合同框架。其 HIPAA/HITECH 服务文档将 Teams 列入商业版和政府社区云（GCC）的服务范围。贵组织仍需核实所适用的协议、订阅和配置。

Microsoft 的 Business Associate Agreement（BAA）义务已纳入适用的数据保护附录和服务条款。不应假定存在单独的申请和签署流程。该合同保障并不会使组织自动符合 HIPAA 要求。

对于处理患者文档的医疗机构，接下来要考虑的问题是受保护健康信息（PHI）的流向：Teams 聊天、频道、已连接的文件存储、邮箱，还是 fax 服务提供商。每一个边界都会影响访问权限和责任划分。

在 Microsoft 的安排中应核实哪些内容？

确认适用于贵组织的租户、cloud 环境、已购买的服务和条款。确认您将使用的 Teams 服务属于适用的 HIPAA 服务范围；请勿将针对符合条件的 Microsoft 服务的说明推及每一个免费账户或订阅。

检查您的许可证提供哪些保护措施。数据丢失防护、审核、保留及其他治理功能都有相应的许可和配置要求。请根据已批准工作流所需的控制措施来匹配订阅。

组织仍需对其整体使用情况、员工访问权限和文档处理负责。纳入范围的服务只是配置工作流的起点。

患者文档实际流向何处？

将协调消息与其所涉及的文档区分开来。fax 可以保留在已批准的 fax 账户中，而员工则协调后续跟进；但标明患者身份或透露转诊详情的消息本身可能就包含 PHI。

针对每个步骤，明确发布的内容是什么：状态文本、fax 号码、患者标识符、文档链接、附件还是预览。然后检查谁可以访问该对话，以及谁可以打开底层文档。如果部署的是 Slack，请单独检查Slack 的 fax 通知边界。

Teams 聊天、Teams Phone、已连接的文件存储和 fax 应用，是患者与员工沟通工作流中的不同组成部分。适用于 Microsoft 服务的 BAA 并不会自动为单独的 fax 服务提供商或每个已连接的应用程序建立合同保障。

应如何管理频道、文件和员工访问权限？

在允许与患者相关的通知进入频道或聊天之前，先确认预期的受众。评估时应将访客访问、外部参与者以及人员变动纳入考虑。

同时检查对话成员和文档权限。链接可能指向访问规则不同的资源，而附件则会产生需要单独处理的副本。请检查对话、已连接存储以及任何已下载副本的保留和导出情况。

使用合成文档演示实际配置：谁会收到通知、通知暴露了什么、谁可以打开文件，以及移除该人员的访问权限后会发生什么。成功的演示只是验证了行为，并不能保证整体合规。

Fax.Plus 的 Teams 集成如何配合使用？

Fax.Plus 提供原生 Microsoft Teams 集成。它提供收到 fax 和发出 fax 状态（包括已发送或失败的结果）的通知，并附有相关 fax 详情和链接。常规集成选项还包括附件。

原生集成提供通知和跟踪功能；并不在 Teams 内提供 fax 撰写或发送界面。Fax.Plus Teams 文档介绍了常规的集成资格和设置方法。

这些常规说明并未明确 Advanced Security Controls（ASC）下允许的具体行为。在将该集成用于 PHI 之前，请就您的账户向 Fax.Plus 确认其可用性、消息内容、附件处理方式以及允许的配置。

不含附件的通知并不自动等同于不含 PHI。号码、标识符或其他消息细节都可能属于敏感信息。请勿将该选项视为某个频道适合用于患者相关活动的证明。

fax 服务提供商的协议需要涵盖哪些内容？

Fax.Plus 的医疗 fax 配置要求Enterprise、已启用 Advanced Security Controls 以及已签署的 BAA。Alohi HIPAA 文档对这些前提条件作了说明。Business 套餐提供常规的 Teams 集成并不意味着该套餐可以作为处理 PHI 的合格替代方案。

如果 Microsoft 和 Fax.Plus 作为各自独立的服务提供商都会创建、接收、维护或传输电子 PHI，请确认适用的 Microsoft BAA 条款，并签署 Fax.Plus 的 BAA。一方的协议并不涵盖另一方。HHS cloud 指南说明了受保护实体和业务伙伴在使用 cloud 服务提供商时的合同要求。

在评估 Teams 连接期间，请将 fax 文档保留在已批准的医疗工作流中。在 Fax.Plus ASC 下无法使用 Zapier，因此其常规自动化示例不适用于这些账户的医疗场景设置。

在连接工作流之前，医疗机构应审批哪些事项？

明确由哪项服务保存 fax、由哪些员工负责处理，以及是否允许将任何患者信息带入 Teams。请将 Microsoft 的条款、fax 服务提供商的协议以及所需的账户设置一并确认。

对于前台，应演示转诊文件如何在不造成不必要的频道暴露的情况下送达指定的审核人员。对于 IT 部门，应记录允许的消息字段、访问规则、保留期限以及用户的移除流程。

如果尚未确认该连接在医疗场景下的行为，请使用经批准的 fax 账户处理患者文档，并遵循贵组织既定的沟通流程。