HIPAA準拠について

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

The Health Insurance Portability and Accountability Act (including the Privacy Rule, Security Rule, Breach 通知 Rule, and Health Information Technology for Economic and Clinical Health Act) ('HIPAA'), requires Covered Entities and 法人 Associates to take certain measures to protect health information that can identify an 個人. It also provides certain rights to individuals. Zoho Forms does not collect, 使用する, store, or maintain health information protected by HIPAA for its own purposes. However, Zoho Forms provides certain features (as described below) to ヘルプ顧客使用する forms in a HIPAA compliant manner.

HIPAA requires Covered Entities to sign a 法人関連付ける Agreement (BAA) with its 法人 Associates. できること request our BAA テンプレート by sending an メール to legal@zohocorp.com.

Zoho Forms における HIPAA 準拠

Zoho Forms では、医療機関が回答者から送信された電子的保護対象医療情報（ePHI）の機密性を確保できるようにしています。Zoho Forms には、HIPAA に準拠した形でフォームを作成するために役立つ、次の機能があります。

データを区別するために、フィールドを電子的保護対象医療情報（ePHI）としてマークする
電子的保護対象医療情報（ePHI）としてマークされたデータへの制限
データに対して実行された操作の監査ログの監視

Zoho Forms で組織レベルの HIPAA 準拠関連設定を構成するには、

左側のペインで、表示されている Control Panel をクリックします。
Data Administration の下にある HIPAA - 組織 Control をクリックします。
Activate HIPAA をクリックします。

メモ: Zoho Forms 組織のスーパー管理者のみが、組織レベルの HIPAA 準拠関連設定を構成できます。

組織レベルで HIPAA 設定を有効にすると、個々のフォームごとに HIPAA 準拠設定を構成できるようになります。

フォームで HIPAA 準拠関連機能を有効にするには、

フォームビルダーで、設定 > Compliance & Audit > HIPAA に移動します。
フォームで HIPAA 準拠のセキュリティ保護を有効にするには、はいを選択します。これにより、フォームフィールドを電子的保護対象医療情報（ePHI）として設定できるようになります。
電子的保護対象医療情報（ePHI）としてマークされたフィールドのデータを外部ソースへ転送できるようにする場合は、Allow 電子的保護対象医療情報（ePHI） data to be transmitted to external apps/sources を選択します。外部ソースへデータを転送する前には、引き続き警告が表示されます。

フィールドを電子的保護対象医療情報（ePHI）としてマークする

回答者の機密性の高い医療情報（投薬の詳細、診断レポート、患者の手術履歴など）を収集するために使用されるフォームフィールドは、追加のセキュリティレイヤーとして電子的保護対象医療情報（ePHI）としてマークできます。電子的保護対象医療情報（ePHI）としてマークされたフィールド内のデータは、既定で暗号化されます。これにより、システムはこれらのフィールドを通じて収集されたデータを識別してアクセスを制限し、そのようなデータのエクスポートを防止できます。

フィールドを電子的保護対象医療情報（ePHI）として設定するには、

フォームビルダーで、項目のプロパティに移動します。
[プライバシー]の下で、[電子的保護対象医療情報（ePHI）（HIPAA）として設定]を選択します。

電子的保護対象医療情報（ePHI）としてマークできる項目

単一行, 複数行, 数値, 氏名, 住所, 電話番号, メール, 日付, 日付と時刻, Webサイト, ファイルアップロード, 画像アップロード, 署名, 一意のID

すべてのエントリーおよびレポートに適用される検索フィルターで、電子的保護対象医療情報（ePHI）としてマークされた項目に対して使用できる比較演算子は、次のもののみです。

が次の値と等しい
が次の値と等しくない
が空である
が空でない

メモ:

暗号化または電子的保護対象医療情報（ePHI）としてマークできる項目は最大25個です。
一度電子的保護対象医療情報（ePHI）としてマークされた項目は、[電子的保護対象医療情報（ePHI）（HIPAA）として設定]オプションを無効にしても暗号化されたままになります。

電子的保護対象医療情報（ePHI）としてマークされたデータの制限事項

電子的保護対象医療情報（ePHI）項目のデータ転送を許可するよう選択した場合、転送時に警告が表示されます。電子的保護対象医療情報（ePHI）項目のデータ転送を許可しないよう選択した場合、データ転送は制限されます。

電子的保護対象医療情報（ePHI）としてマークされたすべてのフォーム項目について、次の操作を行う際に制限または警告が表示されます。

項目を使用したメール通知、SMS通知、プッシュ通知の設定
項目を使用したダブルオプトイン設定の構成
項目を使用した承認メールの設定
レポートの印刷またはエクスポート
フォーム送信内容のPDFを含める場合
項目を使用した連携の設定
ドキュメントマージ（WebMergeの使用）の設定
レポートのパーマリンク（URL）の使用が制限されます

監査ログの監視

ユーザーの活動を定期的に監視することは、機密データへの潜在的な脅威を軽減し、データの不正使用を防ぐうえで重要です。データ監査データを監視することで、フォームエントリーに対して実行された活動の順序、実行日時、実行者、更新されたデータ量などのログを保持でき、組織の管理に役立ちます。これは、ユーザーの行動やそれを引き起こした処理の時系列を特定することで、セキュリティ違反が発生した場合の原因究明にも有用です。
詳細はこちらのデータ監査オプションについて。

HIPAAの要件に従って、データ監査ログを定期的にエクスポートし、保管することができます。

監査ログのエクスポート

データの監査ログをエクスポートできます。ただし、エクスポートした監査ログのコピーをHIPAAの要件に従って保護・保持する責任はお客様にあります。データ監査ログは直近90日分のみ利用可能で、その後は自動的に削除されます。データ監査データをエクスポートできるのはスーパー管理者のみです。

詳細はこちらの[データ監査データをエクスポート]機能について。

メモ: HIPAAコンプライアンス機能は、プレミアムおよびZoho Oneプランでのみ利用できます。