米国の医療保険の相互運用性と説明責任に関する法律（HIPAA：Health Insurance Portability and Accountability Act）では、医療情報に関するプライバシー保護やセキュリティ確保のためのさまざまな規定が設けられています。この法律の適用対象となる医療サービスを提供する組織や、これらの組織と提携して医療情報を取り扱う組織は、個人を特定可能な医療情報（PHI：Protected Health Information、保護対象医療情報）を適切に管理、保護する必要があります。また、HIPAAでは、個人（顧客）が自身の診療情報や保険利用に関するデータを参照できる権利についても定められています。Zohoサービスは、HIPAAによって保護されている医療情報を収集、使用、保存、保持することはありません。ただし、Zoho SalesIQには、HIPAAの適用対象となる医療サービスを提供する組織向けに医療情報を管理するための機能が用意されています。

HIPAAでは、この法律の適用対象となる医療サービスに対して、提携して医療情報を取り扱う組織と業務提携契約（BAA：Business Associate Agreement）を締結するように定められています。そのため、Zoho SalesIQを利用して個人を特定可能な医療情報（PHI／保護対象医療情報）を管理するには、Zohoと業務提携契約（BAA）を締結する必要があります。業務提携契約書のテンプレートを希望する場合は、legal@zohocorp.comにお問い合わせください。

Zoho SalesIQにおいて顧客の保護対象の電子的医療情報（ePHI）を保護するための仕組みは、さまざまな形で用意されています。 

HIPAAの適用対象となる医療サービスを提供する組織の場合、Zoho SalesIQで行ったチャットのメッセージの中に保護対象の電子的医療情報（ePHI）が含まれる場合があり得ます。その場合、すべてのチャットデータは保護対象の電子的医療情報（ePHI）と見なされ、操作履歴の記録対象となります。  

訪問者から保護対象の電子的医療情報（ePHI）を収集する場合、JS API用のカスタム項目を使用しないでください。 

HIPAAへの準拠の一環として、重要な保護対象の電子的医療情報（ePHI）の操作履歴は保存されます。すべての操作履歴のデータは、最大1年間システム側で保存されます。操作履歴のデータは、申請に応じてポータルの担当者と訪問者に共有されます。 

Zoho SalesIQでは、チャット履歴を削除すると、その操作が記録され、保存されます。操作履歴には、訪問IDやチャットIDといった必要最低限の情報のみが含まれます。