医療保険の相互運用性と説明責任に関する法律（Health Insurance Portability and Accountability Act）（プライバシー規則、セキュリティ規則、侵害通知規則、ならびに医療の経済的・臨床的健全性に関する医療情報技術促進法を含む。以下「HIPAA」といいます）は、対象事業者およびビジネスアソシエイトに対し、個人を特定できる医療情報を保護するための一定の措置を講じることを求めています。また、個人に対して一定の権利も付与しています。

Zoho Creator は、自社の目的で HIPAA により保護される医療情報を収集、利用、保存、または維持することはありません。ただし、Zoho Creator には、お客様が Zoho Creator アプリケーションを HIPAA に準拠した方法で利用できるよう支援するための機能が用意されています。

HIPAA では、対象事業者がビジネスアソシエイトとビジネスアソシエイト契約（BAA）を締結することが求められています。弊社の BAA テンプレートは、legal@zohocorp.com 宛にメールを送信いただくことでリクエストできます。

Zoho Creator における HIPAA 準拠

近年、医療業界は飛躍的に成長しています。電子的な医療データを保全し、個人の医療情報および個人情報を保護することは不可欠となっています。

Zoho Creator には、お客様が HIPAA 準拠のアプリケーションを作成する際に活用できる、さまざまな保護機能と制御機能がプラットフォーム上に用意されています。以下では、Zoho Creator のアプリケーション所有者／管理者がこれを実現する方法の一部を紹介します。

• フィールドを 電子的保護対象医療情報（ePHI） としてラベル付けする: 個人を特定できる、または合理的に個人を特定できる医療情報を保存するフィールドは、電子的保護対象医療情報（ePHI）として設定できます。
  

  フィールドを 電子的保護対象医療情報（ePHI）としてラベル付けするには：

  1. フォームビルダーを開きます。
  2. 対象のフィールドを選択します。右側にフィールドのプロパティが表示されます。
  3. フィールドのプロパティ > データセキュリティ セクションに移動します。Contains health info（電子的保護対象医療情報（ePHI））の横にあるチェックボックスをオンにします。
     
     
• 電子的保護対象医療情報（ePHI）フィールドのデータを暗号化する: 暗号化は、データが盗まれることを防ぐために、データにセキュリティ層を追加する方法です。情報を符号化し、認証された当事者のみがアクセスできるようにするプロセスです。医療情報を保存するフィールドは暗号化できます。Zoho Creator におけるフィールドの暗号化の詳細については、こちらの記事を参照してください。
• ロールと権限の管理: Zoho Creator では、アプリケーションおよびデータへのアクセスを完全にカスタマイズできます。
  

  アプリの所有者または管理者は、次のことができます。

  • ユーザーを追加・管理する
  • 権限セットを設定する（タブレベル、データレベル、機能レベル、フィールドレベル）
  • ロールおよびロール階層を作成する
  • データ共有ルールを定義する
  • ドメイン制限を適用する
• 監査ログとそのエクスポート: Zoho Creator の監査ログ機能は、アプリケーション内で実行された操作の順序をログとして保持し、組織を支援するための仕組みであり、次の内容を記録します。
  
  • データに対して行われた変更の履歴
  • レポートで実行された印刷およびエクスポート処理の履歴

  現在、データ変更に関する監査ログは 1 年間保持され、アプリケーションで実行されたエクスポート／印刷処理に関するログは 3 か月間保持されます。これらの監査ログは、監査ログコンソールの各タブにあるエクスポートボタンをクリックすることで CSV ファイルとしてエクスポートできます。ただし、エクスポートした監査ログのコピーを HIPAA の要件に従って保護・保持する責任は、対象事業者側にあります。

• アプリケーションのバックアップとデータの復元: バックアップと復元機能を使用すると、アカウント内のアプリケーションとそのデータをバックアップし、必要に応じて復元できます。また、Zoho Creator でバックアップの頻度と開始日を設定することで、バックアップをスケジュールすることも可能です。
  

• 他のサービスとの連携:Zoho Creator は、安全な外部連携を通じて、さまざまなサードパーティサービスとの連携をサポートしています。これらの外部連携を介して送信されるすべてのデータは転送中に暗号化されており、連携は HIPAA のガイドラインに準拠して管理されています。これにより、Zoho Creator と外部サービス間でやり取りされるすべての電子的保護対象医療情報（ePHI）が、連携時に保護されます。
  
  ただし、Zoho Creator における HIPAA 準拠は、プラットフォーム内で取り扱われるデータにのみ適用される点にご注意ください。電子的保護対象医療情報（ePHI）データが外部サービスに送信された後は、そのデータの保護責任は Zoho Creator ではなく、受信側のサービスにあります。お客様が連携先として選択するサードパーティサービスについても、HIPAA に準拠していることを必ずご確認いただくことを強く推奨します。