Acuity アカウントを HIPAA 適格にする。

Acuity Schedulingは、医療保険の相互運用性と説明責任に関する法律 (HIPAA) のセキュリティ ルールの要件に準拠できるように設計されています。Squarespaceプラットフォームの他の部分 (フォーム ブロックなどのお問い合わせフォーム機能を含む) は、HIPAA適格ソリューションの一部として使用できません。Acuity以外の領域で安全に患者情報をオンラインで収集するには、外部の準拠したサービスにリンクすることをおすすめします。

このガイドでは、米国法で解釈される保護対象保健情報を Acuity がどのように取り扱うかについて説明します。 お客様の業界が医療業界以外の場合、おそらくこのガイドは当てはまりません。

備考: Acuity は、HIPAA 要件に準拠したサービスを提供するために現在設計されている唯一の Squarespace 機能です。 お客様の業務提携補遺 (BAA) には、Squarespace の他の機能は含まれていません。 Acuity 以外の Squarespace の機能を通じて、保護対象健康情報を維持または送信しないでください。

Powerhouse プランでは、Acuity アカウントを HIPAA 適格にすることができます。

HIPAA セキュリティ ルールの要件を満たす Acuity

資格のあるサードパーティーの情報セキュリティ コンサルタントが Acuity をレビューしました。コンサルタントは、Acuity が HIPAA セキュリティ ルールの要件を満たせることを検証しました。

アカウントを HIPAA 適格にする

1. Powerhouse プランに加入していることを確認してください。
2. Acuity で、[外観のカスタマイズ] をクリックします。
3. [予約ページのオプション] をクリックします。
4. ページの上部にあるリンクをクリックして、BAA 署名プロセスを開始します。
5. BAA を確認し、お客様がご自身の義務を理解していることを確認してください。
6. 必要な情報を入力し、[送信] をクリックして、BAA に署名します。

HIPAA に対するお客様の責任

Acuity で HIPAA 関連の機能を有効にするだけでは、HIPAA 適格にするには十分ではありません。 コンプライアンスを維持するには、ビジネス慣行とシステムが Acuity と連携していることを確認する必要があります。

HIPAA セキュリティ ルールに準拠した方法で Acuity を使用するには、アカウントの設定時に責任を果たす必要があります。 これらの責任には、テキストおよびメール メッセージに含める、または除外する電子的保護対象保健情報の量とタイプを慎重に選択することや、Squarespace の業務提携補遺 (BAA) に署名することが含まれます。

BAA は、対象事業体と業務関係者との間で交換される、保護対象保健情報の使用と保護について規定しています。この状況では、貴社が HIPAA 対象事業体である場合、Squarespace はお客様に役立つビジネス パートナーとなります。 詳細については、米国保健福祉省のサイトをご覧ください。

一般要件

• HIPAA 関連サービスを有効にし、Squarespace の BAA に署名するには、 Powerhouse プランに加入している必要があります。 このプランでは外部 BAA に署名することはありませんが、Enterprise プランでは追加料金を支払うことでカスタム BAA を利用できます。Enterprise プランの詳細については、お問い合わせください。
• アカウントを通じて保護対象医療情報を維持または送信する前に、Acuity アカウントが HIPAA 適格になっていることを確認してください。
• すべての Acuity アカウントを HIPAA 適格にする必要があります。 アカウントは、その特定のアカウントに対して別の BAA に署名した場合にのみ HIPAA 対応になります。
• お客様のニーズを満たし、HIPAA に準拠するために、適切な管理、設定、制限が行われていることを確認する責任は、お客様自身にあります。 各組織は、特定の管理、匿名化の実行方法や、さらには組織、顧客、Squarespace 間で交換される情報の種類など独自の HIPAA への準拠の実践を管理および決定します。組織はそれぞれ異なり、ニーズも異なるため、Squarespace では、お客様が独自の準拠プログラムを満たすのに役立つ設定を提供しています。

HIPAA 適格の Acuity Scheduling アカウントの保護を強化する

すべての Acuity アカウントは、ほとんどの技術的保護機能およびセキュリティ保護機能を共有しますが、HIPAA 適格アカウントでは追加の保護機能が適用されます。

• Squarespace が送信するメール通知には、顧客フォームへの回答は含まれません。
• インテーク フォームは、ローカル コンピューターまたはデバイスからのファイル アップロードのみを受け付けます。 Google Docs や同様のサービスからのアップロードはできません。
• 顧客は、購入したパッケージを引き換えるためにメール アドレスを使用することはできません。 代わりに、受け取ったランダムに生成されたコードを入力するか、顧客用アカウントにログインする必要があります。
• Office 365、Outlook.com、Live.com、 Exchange、iCloud とのカレンダーの同期はできません。Acuity アカウントを HIPAA 適格にする前に、これらのサービスとの同期を無効にしてください。
• Squarespace メール キャンペーンとは連携できません。この連携がアクティブな場合は、Acuity アカウントを HIPAA 適格にする前に、それを無効にする必要があります。
• Acuity のインボイス機能が有効になっていません。
• Reserve with Google との連携が有効になっていません。
• サブスクリプション更新リマインダー メールにはサブスクリプション名は含まれません。

メールとテキスト通知の管理と設定

• メールおよびテキスト通知には、デフォルトで、顧客名、メール アドレス、予約のタイプ、予約日時などの保護対象保健情報 (PHI) が含まれる場合があります。お客様の責任で通知設定を更新して、メッセージ内の情報を変更してください。
• デフォルトでは、顧客とお客様に送信される確認メールと再予約メッセージには、添付ファイルとしてカレンダーファイル（ICS招待）が含まれています。 この ICS 招待には、顧客名、予約のタイプ、予約時間が含まれています。 この機能を無効にするには、お問い合わせください。
• メール通知を無効にしない場合、Acuity は、顧客の名前とメール アドレスを表示した [差出人] フィールドと [返信先] フィールドを含むメールを送信します。
• 顧客は、[登録解除] をクリックしてマーケティング メールをオプトアウトできます。 取引の完了を記録する自動メールが引き続き顧客のもとに届きます。[停止] と返信することで、テキスト メッセージの受け取りを拒否することができます。 顧客に代わって予約をスケジュールする場合、予約の詳細に顧客のメール アドレスや電話番号を入力しないことにより、通知が送信されないようにすることができます。

サードパーティーとの連携と HIPAA

多くのサードパーティー連携が HIPAA をサポートしていません。Acuity アカウントを HIPAA 適格にする前に、これらの連携の一部またはすべてを無効にすることができます。

Acuity を Google カレンダーや Stripe などのサードパーティーと連携する場合、その連携が貴社に適したものであるかの判断や、HIPAA への準拠のための実践や義務を満たすための使用方法、設定、セキュリティ、各種情報の変更はお客様の責任です。 また、HIPAA への準拠のための実践や義務を満たすために必要な契約を新たに締結することも、お客様の責任となります。 サードパーティーのサービスを使用する前に、これらすべてを行う必要があります。

署名済みの BAA にアクセス

BAA はいつでも確認またはダウンロードできます。

1. Acuity で、[外観のカスタマイズ] をクリックします。
2. [予約ページのオプション] > [表示] の順にクリックし、署名済みの BAA をダウンロードします。
3. また、[PDF でダウンロード] をクリックして、コピーをダウンロードすることもできます。