HIPAA対応

双方の責任

HIPAAにおける当社の役割

医療機関の受信番号や受付ページでは、その機関のためにSingleFaxが提供するサービスについて当該機関とBAAを締結します。別のHIPAA対象医療機関の独立した送信サービスには、別途適切なBAAが必要です。個人の記録のために独立してSingleFaxを使う患者は、記録が医療情報という理由だけではBAAを必要としません。

HIPAA対象事業者（CE）または上位の業務委託先（BA）がPHI/ePHIを含む文書の送信をSingleFaxに委託する場合、SingleFaxは45 C.F.R. § 160.103に基づく業務提携先（Business Associate）（または再委託先BA）として行動します。PHIの作成・受信・維持・送信は、本規約とBAAに記載するサービスの提供に限り行います。主な内容はFAX送信、一時処理用の保存、送達状況、送信記録、法令遵守の記録です。

• 当社が行うこと

  お客様が提出した文書の送信、HIPAAモードの技術的管理、BAAの締結と記録保管、保存方針に従ったPHIデータの削除。

• 当社が行わないこと

  医療行為、治療の決定、PHIの販売、当社マーケティングへのPHI利用、お客様のプライバシー慣行通知や職員研修の代替。

HIPAA Secureが必要な場合

文書にPHI/ePHIが含まれ、お客様がCEまたはCEの代理として送信するBAである場合は、必ずHIPAAモードを使ってください。通常の都度払いFAXはPHI以外の業務文書と、自身の記録を送る個人向けです。個人の送信者は、BAAなしで同じ安全送信料金のプライバシー強化を任意で選べます。契約要件は実際の役割で決まり、OCRで決まるものではありません。

プライバシー強化は組織BAAなしで、安全な文書保存方針、個人情報に配慮した通知、安全に保存する送信記録を適用します。個人利用の任意機能であり、FAX送達のエンドツーエンド暗号化や受信者の取扱いの管理は提供しません。通常のアップロードも暗号化されます。有料という表示は、通常送信に保護措置がないという意味ではありません。

OCRで健康情報に関する注意を表示する場合があります。送信者の役割を選択したり、料金を変更したり、法令遵守を認めたりするものではありません。HIPAA対象の医療機関と業務委託先は、患者情報のアップロード前にBAAに同意する必要があります。個人の送信者は医療機関のBAAに署名せず、プライバシー設定を選びます。

業務提携契約（BAA）

HIPAA Secureで対象医療機関や業務委託先の代理としてアップロードする前に、お客様の法人を代表する権限を持つ署名者が電子BAAに同意する必要があります。同意はorganization-scopedで、バージョン管理し、文書のダイジェストと確認チェック（契約権限・必要最小限）とともに記録します。

• 45 C.F.R. § 164.504(e)の必須要素（許可される利用、安全対策、再委託先、侵害報告、HHSのアクセス、返却・破棄、終了）に対応します。
• 同意後、締結済みのPDFをダウンロードできます。
• 新しい版は以前の同意に優先します。条件が変わった場合、再同意が必要になることがあります。

セキュリティ上の安全管理措置

HIPAAモードのePHIには、セキュリティ規則（45 C.F.R. Part 164, Subpart C）を満たすよう合理的かつ適切に設計した保護措置を実装します。主な対策は次のとおりです：

医療情報の取り扱いの流れ

1. 1
   取り込み

   BAAへの同意後にのみアップロード。必要に応じてFAX用に書類を変換。

2. 2
   処理と送信

   専用管理下で一時保存。通信事業者のFAX APIで送信し、設定に従って再試行。

3. 3
   送信状況と領収書

   受領通知や監査に必要な送達状況、日時、法令遵守のメタデータを保持します。支払いシステムに診療内容の自由記述は保存しません。

4. 4
   安全な削除

   HIPAAモードの文書データには短い運用保存期間を設け、削除証跡を伴う自動削除を行います。BAAへの同意、締結済みPDF、必須の法令遵守記録は、HIPAAの文書要件に従って少なくとも6年間保持します。

再委託先とサービス提供会社

SingleFaxは厳選した再処理委託先をサービス提供に利用します（オブジェクトストレージ、通信・FAX着信処理、決済処理、メール配送、インフラのホスティングなど）。当社の代理としてPHIを作成・受信・維持・送信する再委託先からは、45 C.F.R. § 164.502(e)および§ 164.308(b)に沿った書面の保証を取得します。通常はBAAまたは同等の契約上の保護措置です。または、提供者に文書内容が渡らない設計にします。例えばStripeの決済・請求書では、ファイル名や内容ではなく、不透明な注文識別子と「HIPAA送信」や宛先FAX番号などの請求情報を使います。

主要な再処理委託先の最新一覧は、有効なBAAを持つHIPAA対象事業者のお客様に、合理的な守秘条件の下でご請求に応じて提供します。

情報漏えいの通知とインシデント

BAAに基づき、SingleFaxは発見後、不合理な遅延なく、遅くとも60暦日以内（法令で求められる場合はさらに早く）に、お客様へ次の事項を報告します：

• BAAで認められていないPHIの利用・開示のうち、当社が把握したもの。
• 当社が認知したセキュリティインシデント（不正なアクセス・利用・開示・変更・破壊の成功、またはシステム運用への妨害）。および、
• 45 C.F.R. § 164.410で求められる情報を含む、保護されていないPHIの漏えい。

通常の失敗した探索・スキャンはログに記録し、ご請求に応じて集計報告する場合があります。HIPAA対象事業者として必要な本人、HHS、メディアへの通知は、引き続きお客様の責任です。

お客様の責任

HIPAA対応は双方で担います。HIPAAモードの利用とBAAへの同意により、以下を表明・同意します：

• 01お客様はSingleFaxを再委託先BAとして利用するHIPAA対象事業者または業務委託先であり、医療機関を代理して契約する個人の患者ではありません。
• 02署名者には、指定した事業体を法的に拘束する権限があります。
• 03適用される場合、必要最小限の情報の要件（45 C.F.R. § 164.502(b)）を守ります。HIPAAには治療目的の開示などの例外があります。
• 04ご自身が直接行えば許されない利用・開示を依頼しません（HIPAA規則がBAに明示的に認める場合を除く）。
• 05CEまたはBAに求められる独自の方針、職員研修、アクセス制御、患者の権利に関する手順を維持します。
• 06PHIにはHIPAAモードを使い、通常送信は適切な場合だけ利用します。誤分類によって通常送信にBAAが成立することはありません。

記録とアクセス

SingleFaxが指定記録セット内のPHIを維持する範囲では、閲覧（45 C.F.R. § 164.524）、修正（§ 164.526）、開示記録（§ 164.528）に必要なPHIを、サポート経由で合理的な期間内にお客様へ提供します。HIPAA規則の遵守を判断するため、PHIに関する内部の慣行、帳簿、記録をHHS長官に提供します（45 C.F.R. § 164.504(e)(2)(ii)(I)）。

運用上のFAXデータは通常短期間で削除されますが、BAA、同意ログ、削除証跡などの法令遵守資料は長く保持します。当社データの有効期間を超えて必要な診療内容は、組織で記録を保管するよう計画してください。

お問い合わせとプライバシー

BAAについてのご質問、SingleFaxに関するセキュリティ事故、適合性資料のご請求：