共同責任
我們依 BAA 處理文件，並採用下列安全措施。您的組織仍須履行自身隱私、安全及違規通報義務。
本頁為摘要，不是法律建議。請與法律顧問檢視我們的BAA 與產品條款，確認符合組織需求。
我們在 HIPAA 下的角色
診所接收號碼或收件頁面的 BAA，與診所簽訂，範圍為 SingleFax 代其提供的服務。另一個涵蓋醫療提供者的獨立傳送服務，須有自己適當的 BAA。病患獨立使用 SingleFax 傳送個人紀錄，不會只因內容涉及醫療就需要 BAA。
HIPAA 涵蓋實體（CE）或上游業務合作夥伴（BA）委託 SingleFax 傳送含 PHI/ePHI 文件時，依 45 C.F.R. § 160.103，SingleFax 擔任業務合作夥伴（或分包 BA）。我們僅為履行條款及 BAA 所述服務，建立、接收、維護或傳送 PHI，主要包括傳真傳送、暫時處理儲存、送達狀態、收據及合規紀錄。
- 我們會做
傳送客戶提交文件、採用 HIPAA 模式技術控制、簽訂與保留 BAA 紀錄，並依保留政策清除 PHI 媒體。
- 我們不會做
執行醫療、決定治療、販售 PHI、將 PHI 用於自身行銷，或取代您的隱私實務告知與員工訓練。
何時使用 HIPAA Secure
文件含 PHI/ePHI，且您是 CE 或代表 CE 傳送的 BA 時，請使用HIPAA 模式。標準按次傳真用於非 PHI 商業文件，以及個人傳送自己的紀錄。個人寄件者可按相同安全傳送價格選購無 BAA 的進階隱私。是否需要協議取決於您的行事身分，而不是 OCR。
| 情境 | 建議流程 |
|---|---|
| 診所／BA 傳送病歷、檢驗、事前授權及含臨床詳情的請款資料 | HIPAA 模式 + BAA |
| 病患或照護者傳送自己的紀錄 | 標準傳送或選購進階隱私（無 BAA） |
| 法院申請、資訊公開申請（FOIA）及非健康文件 | 標準傳送 |
進階隱私提供安全文件保留、保護隱私的通知及安全儲存傳送收據，無須組織 BAA。個人使用可自行選購，不提供端對端加密傳真或控制收件方處理方式。標準上傳也有加密；進階標籤不代表標準傳送沒有保護措施。
OCR 可能顯示健康資訊提醒，但不決定您的寄件身分、不改變價格，也不代表合規。涵蓋的醫療提供者與業務合作夥伴上傳病患資訊前須接受 BAA。個人寄件者可選隱私選項，不須代診所簽 BAA。
業務合作夥伴協議
代表涵蓋醫療提供者或業務合作夥伴使用 HIPAA Secure 時，任何上傳前，貴法律實體的授權簽署人須電子接受業務合作夥伴協議。接受紀錄為organization-scoped，有版本控管，並記錄文件雜湊及聲明勾選（有權約束實體、最少必要資訊）。
- 依 45 C.F.R. § 164.504(e) 必要要素訂定：允許用途、保護措施、次委託廠商、資料外洩通報、HHS 存取、返還或銷毀，以及終止。
- 接受後可下載已簽署 PDF 副本。
- 新版本取代先前接受紀錄，條款變更時可能要求重新接受。
安全措施
對 HIPAA 模式 ePHI，SingleFax 採用合理適當設計的措施，符合安全規則（45 C.F.R. 第 164 部分 C 分部）。代表性控制如下：
行政
- 員工存取限於營運與支援服務所需角色，採最小權限原則。
- 依 BAA 時程提供書面事件應變與違規評估程序。
- 涉及 PHI 時，對供應商／分包商進行盡職調查，並簽訂下游書面協議。
- HIPAA 模式產品流程與標準單次傳真分開，明確選用，不暗中推定。
- 針對 BAA 接受、特權文件存取及媒體清除事件留下稽核紀錄。
實體措施
- 正式系統託管於專業管理的資料中心，設有設施存取控制。
- 設計的 HIPAA 傳送流程不在本機工作站儲存客戶 PHI。
- 備份與磁碟媒體處理，受供應商控制及我們的保留／銷毀作業規範。
技術措施
- 傳輸加密（TLS）保護瀏覽器／API 用戶端與服務之間連線；資料庫連線於已設定處使用 TLS。
- 靜態加密用於文件媒體物件儲存（供應商 SSE），運算主機另有磁碟層級保護。
- 驗證與授權用於 HIPAA 傳送：登入使用者、組織成員資格，以及上傳前有效 BAA 關卡。
- 隔離的 PHI 儲存前綴用於 HIPAA 模式媒體，必要時以簽章且限時的存取方式取回。
- 傳遞資料最小化用於工作流程協調；佇列訊息傳遞識別碼，不傳文件位元內容。
- 傳送收據存於限制存取儲存區，從傳真供應商取得，並依安全保留政策與文件一同清除。
- 付款中繼資料：結帳使用不透明訂單識別碼，不含檔名或文件內容。HIPAA 傳送在結帳與發票均標為 HIPAA，並包含供帳務使用的收件號碼。
- 轉換／處理服務須驗證身分，無憑證不能公開寫入。
健康資訊生命週期
- 1接收輸入
僅在接受 BAA 後上傳，視傳真需求轉換文件。
- 2處理與傳送
以專用控制暫時儲存，透過傳真電信業者 API 傳送，依設定重試。
- 3狀態與收據
保留收據與稽核所需的送達狀態、時間戳記及合規中繼資料，不在付款系統放入臨床自由文字。
- 4安全刪除
HIPAA 模式文件媒體採短期作業保留及自動清除，並保有刪除證據。依 HIPAA 文件紀錄要求，BAA 接受紀錄、已簽 PDF 及必要合規紀錄至少保留六（6）年。
分包商與服務供應商
SingleFax 透過審慎選擇的次級處理者提供服務，例如物件儲存、電信／傳真終接、付款處理、郵件寄送及基礎設施託管。若對方代我們建立、接收、維護或傳送 PHI，會取得符合 45 C.F.R. § 164.502(e) 及 § 164.308(b) 的書面保證，通常為 BAA 或同等契約保障；或設計流程使其不接收文件內容。例如 Stripe Checkout 與發票使用不透明訂單識別碼，加上「HIPAA 傳送」及收件傳真號碼等帳務描述，不使用檔名或內容。
具有效 BAA 的受規範實體客戶，可在合理保密條件下申請取得最新的重要次委託處理者名單。
外洩通知與事件
依 BAA，SingleFax 會在發現後無不合理延誤，最晚於六十（60）個日曆日內向客戶通報下列事項；法律要求更早時從其規定：
- 我們知悉的、未經 BAA 允許之 PHI 使用或揭露；
- 我們知悉的安全事件，包括成功的未授權存取、使用、揭露、修改、銷毀，或干擾系統運作；以及
- 未受安全保護 PHI 的外洩，包括 45 C.F.R. § 164.410 要求的資訊。
例行但未成功的探測與掃描，可記錄並依請求彙整通報。涵蓋實體依法須對個人、HHS 或媒體通知時，客戶仍負責後續通知。
您的責任
HIPAA 合規是共同責任。使用 HIPAA 模式並接受 BAA，即表示您聲明並同意：
- 01您是涵蓋實體，或委託 SingleFax 為分包 BA 的業務合作夥伴，而非代表診所締約的個別病患。
- 02簽署人有法律權限約束指定實體。
- 03於適用時遵循最少必要資訊要求（45 C.F.R. § 164.502(b)）。HIPAA 設有例外，包括為治療而揭露。
- 04不要求進行若由您直接執行即屬禁止的使用或揭露，除非 HIPAA 規則明確允許 BA 進行。
- 05維持 CE 或 BA 所需的自身政策、員工訓練、存取控制及病患權利流程。
- 06PHI 使用 HIPAA 模式，標準傳送僅在適當時使用；誤判不會為標準傳送建立 BAA。
紀錄與存取
若 SingleFax 在指定紀錄集維護 PHI，我們會透過支援管道，在合理時間提供客戶存取（45 C.F.R. § 164.524）、修改（§ 164.526）及揭露帳目（§ 164.528）所需 PHI。我們也會向 HHS 部長提供涉及 PHI 的內部作業、帳冊及紀錄，以判定 HIPAA 合規（45 C.F.R. § 164.504(e)(2)(ii)(I)）。
作業傳真媒體通常短期保存，合規證據（BAA、接受紀錄、刪除證據）保存較久。超過我們媒體有效期間仍需使用的臨床內容，請自行規劃保存。
聯絡與隱私
BAA 問題、涉及 SingleFax 的安全事件，或合規文件請求：
使用 HIPAA Secure 傳送
代表機構同意 BAA 後，再使用 HIPAA Secure 傳送。