Health Insurance Portability and Accountability Act（プライバシールール、セキュリティルール、違反通知ルール、Health Information Technology for Economic and Clinical Health Act を含む）（「HIPAA」）は、Covered Entities および 法人 Associatesに対し、個人を特定できる健康情報の保護のために特定の措置を講じることを求めています。また、個人に一定の権利も与えています。

Zoho Creator は、HIPAA により保護された健康情報を自社の目的で収集、使用、保存、または管理することはありません。ただし、Zoho Creator は顧客が Zoho Creator アプリケーションを HIPAA 準拠で利用できるようにするための機能を提供しています。

HIPAA は、Covered Entities に対して法人関連付け契約（BAA）を法人 Associates と締結することを求めています。弊社の BAA テンプレートをご希望の場合は、legal@zohocorp.com までメールでご連絡ください。

Zoho Creator における HIPAA 準拠

近年、医療業界は大きく成長しています。電子健康データの保存や、個人の健康および個人情報の保護は不可欠となっています。

Zoho Creator では、顧客が HIPAA 準拠のアプリケーションを作成する際に活用できるさまざまなセキュリティ対策や管理機能をプラットフォーム上で提供しています。以下のセクションでは、Zoho Creator のアプリケーション所有者や管理者がどのようにこれを実現できるか、その主なポイントを紹介します。

• 項目を電子的保護対象医療情報（ePHI）としてラベル付けする：個人を特定できる、または合理的に特定可能な健康情報を保存する場合、その項目を電子的保護対象医療情報（ePHI）として設定できます。
  

  項目を電子的保護対象医療情報（ePHI）としてラベル付けする方法：

  1. フォームビルダーを開きます。
  2. 必須項目を選択します。右側に項目のプロパティが表示されます。
  3. 項目のプロパティ > データセキュリティセクションに移動します。健康情報を含む（電子的保護対象医療情報（ePHI））の横にあるチェックボックスをオンにします。
     
     
• 電子的保護対象医療情報（ePHI）項目のデータを暗号化する：暗号化は、データにセキュリティレイヤーを追加し、盗難を防ぐための方法です。これは、情報を認証された関係者のみがアクセスできるように符号化するプロセスです。健康情報を保存する項目を暗号化することができます。Zoho Creatorで項目を暗号化する方法については、こちらをご参照ください。
• 役割と権限の管理：Zoho Creator では、アプリケーションおよびデータへのアクセスを完全にカスタマイズすることができます。
  

  アプリの担当者または管理者は、以下の操作が可能です：

  • ユーザーの追加・管理
  • パーミッションセットの設定（タブレベル、データレベル、機能レベル、項目レベル）
  • ロールおよびロール階層の作成
  • データ共有ルールの定義
  • ドメイン制限の適用
• 監査証跡とそのエクスポート：Zoho Creator の 監査証跡機能は、アプリケーション内で行われた一連の活動についてログを保持し、組織をサポートするためのものです。記録内容は以下の通りです：
  
  • データに対して行われた変更の履歴
  • レポート内での印刷やエクスポート処理の履歴

  現在、データ変更に関する監査ログは1年間保持され、アプリケーション内で実行されたエクスポート・印刷処理に関しては3か月間保持されます。これらの監査証跡は、監査証跡コンソール内の該当タブにあるエクスポートボタンをクリックすることでcsvファイルとしてエクスポートできます。ただし、Covered 項目がHIPAA要件に従い、エクスポート済みの監査証跡の保護および保持を行う責任があります。

• アプリケーションのバックアップおよび復元するデータ：バックアップと復元する機能を利用すると、アカウント内のアプリケーションとそのデータをバックアップし、必要に応じて復元することができます。また、バックアップの頻度や開始日を設定することで、バックアップのスケジュール管理もZoho Creator上で行えます。
  

• 他のサービスとの連携：Zoho Creatorは安全な外部連携を通じて、さまざまなサードパーティサービスとの連携をサポートしています。これらの外部連携を通じて送信されるすべてのデータは、転送中に暗号化され、連携はHIPAAガイドラインに準拠して管理されます。これにより、Zoho Creatorと外部サービス間でやり取りされるすべての電子的保護対象医療情報（ePHI）が、連携中にも保護されます。
  
  ただし、Zoho CreatorにおけるHIPAA準拠は、プラットフォーム内で取り扱うデータのみに適用される点にご注意ください。電子的保護対象医療情報（ePHI）データが外部サービスへ送信された時点で、そのデータの保護責任は受信側のサービスに移り、Zoho Creatorは責任を負いません。サードパーティサービスと連携する場合は、選択するサービスがHIPAA準拠であることを必ずご確認いただくよう、強く推奨します。