Fax.Plus 和 Sign.Plus 现已符合安大略省医疗行业的 PHIPA 要求

多年来，我们一直在帮助医疗团队传输敏感文档，而加拿大客户经常问我们一个问题：“这很棒，但它符合 PHIPA 吗？”从今天起，我们可以明确地回答：是的。

Fax.Plus 和 Sign.Plus 现已符合安大略省医疗服务提供者的 PHIPA 要求。在对这两项服务完成全面合规评估后，我们满足了安大略省健康隐私法的各项要求，并为处理患者健康信息的机构提供专门的 PHIPA 服务提供商协议。如果您在安大略省经营诊所、医院、药房或医疗机构，并且仍在传真患者记录或收集具有法律约束力的电子签名，那么这则消息正是为您准备的。

‍

什么是 PHIPA？

PHIPA 是安大略省的健康隐私法，全称为《个人健康信息保护法》（Personal Health Information Protection Act）。它规范全省范围内患者健康信息的收集、使用、存储和共享方式，自 2004 年起生效。

可以这样简单理解：PHIPA 相当于安大略省版的 HIPAA，也就是大多数人已经熟悉的美国健康隐私法。目标相同，只是国家不同：保护患者医疗信息的隐私和安全。该法律由安大略省信息与隐私专员负责执行，这是一个独立的监管机构，负责处理投诉并调查数据泄露事件。自 2024 年起，专员可对机构处以最高 50 万加元的行政罚款，因此这些规定具有切实的约束力。如果您想了解美国方面的情况，我们的说明文章什么是 HIPAA对此做了详细介绍。

‍

PHIPA 是否适用于 Fax.Plus 和 Sign.Plus 这样的服务提供商？

PHIPA 适用于 Fax.Plus 和 Sign.Plus，但我们的身份是代理方，而不是承担主要法律责任的一方。理解这一区别很有必要，因为它清楚说明了我们为您提供什么，以及哪些责任仍由您承担。

PHIPA 将核心责任赋予健康信息保管人（Health Information Custodian），即医疗机构本身：医生、诊所或医院。保管人决定收集哪些患者信息以及发送给谁。像 Fax.Plus 和 Sign.Plus 这样的服务则充当代理方，即电子服务提供商。简单来说，我们提供安全的文档工作流程层：您决定发送什么、发送给谁，我们确保文档安全地传输和存储。获取患者同意等责任仍由您作为保管人承担，而传输和存储的安全则由我们负责。我们的整个评估都围绕这一职责划分展开，因此不会在谁负责什么上产生任何混淆。

‍

PHIPA 评估涵盖哪些内容？

评估审查了适用于我们这一角色的服务提供商的所有 PHIPA 要求，最终在任何风险级别上均没有遗留未解决的差距。审查涵盖了医疗机构真正关心的各个方面。

‍

安全防护与审计监控

通过 Fax.Plus 发送的文档和通过 Sign.Plus 处理的文档，在传输中（TLS 1.3）和存储时（采用每用户独立密钥的 256 位 AES）均经过加密。访问控制基于唯一用户 ID、基于角色的权限、双重身份验证和单点登录。每一次文件传输和访问事件都会被记录，并可导出用于审计。PHIPA 的期望不止于保存日志，而是要求主动监控审计轨迹，因此我们每天运行自动异常检测，而不是仅在事件发生后才审查日志。您可以在我们的安全与隐私页面或Fax.Plus 是否安全的详细解析中了解更多细节。

‍

数据泄露处理

如果安全事件涉及客户的数据，我们的事件响应流程会迅速通知该客户，并提供其所需的详细信息。这有助于医疗服务提供者履行其自身的 PHIPA 义务，即通知受影响的患者，并在需要时向 IPC 报告。

‍

服务提供商协议

处理患者健康信息的医疗服务提供者可获得一份 PHIPA 服务提供商协议，该协议作为标准服务协议的补充，以书面形式规定保密、数据泄露通知和数据处理条款。

‍

保留与删除

传真的保留时长由您掌控。记录可以逐条删除、通过 API 批量删除，或应您的要求完全删除，已删除的传真文件会被销毁，无法恢复。

‍

安大略省的医疗数据可以留在加拿大吗？

可以。安大略省的保管人可以根据保管人协议，为其 Fax.Plus 租户选择加拿大处理区域，并且这一选择会通过区域锁定技术和合同条款共同强制执行。PHIPA 实际上并不要求患者数据必须留在安大略省或加拿大境内，但许多保管人更倾向于这样做，有些还会将其纳入自身的信息处理规范。提供加拿大区域选项，可以在这个问题变成异议之前就将其消除。

‍

PHIPA 合规与 HIPAA、ISO 27001 和 SOC 2 有何关系？

PHIPA 合规直接建立在 Fax.Plus 和 Sign.Plus 已持有的认证之上，而不是从零开始。这些服务在经过独立审计的 ISO 27001 和 SOC 2 Type II 体系下运行，通过为美国医疗客户签署 Business Associate Agreement 来支持 HIPAA，并依据严格的瑞士隐私法存储数据，提供 40 多个数据驻留地点可选。

简单解释一下，因为缩写实在太多。ISO 27001 和 SOC 2 Type II 本质上是对公司如何保护数据的独立检查，由外部审计机构而非公司自身执行。PHIPA 合规则是将同样的基础对应到安大略省具体的法律表述上。如果您已经因为这些认证而信任 Fax.Plus 或 Sign.Plus，那么 PHIPA 合规就是建立在同一基础之上的下一层保障。

‍

安大略省的医疗服务提供者接下来应该怎么做？

如果您的机构在安大略省处理患者健康信息并使用 Fax.Plus 或 Sign.Plus，下一步是申请 PHIPA 服务提供商协议，以便将您与供应商之间的义务以书面形式记录下来。同时，建议让您的隐私团队确认哪些 PHIPA 义务仍由您作为保管人承担，因为有些责任（例如获得患者同意以及在发生数据泄露后通知相关个人）无法转交给服务提供商。

想了解 Fax.Plus 如何适配真实的医疗工作流程，请访问我们的医疗传真解决方案页面，或阅读符合 HIPAA 要求的传真相关内容。

‍

常见问题

‍

Fax.Plus 和 Sign.Plus 是否符合 PHIPA 要求？

是的。经过全面的合规评估，Fax.Plus 和 Sign.Plus 符合安大略省医疗服务提供者的 PHIPA 要求，并为处理患者健康信息的机构提供 PHIPA 服务提供商协议。

PHIPA 是否要求我的数据必须留在加拿大？

不要求。PHIPA 并不要求患者数据必须保留在安大略省或加拿大境内，但 Fax.Plus 为倾向于或需要本地数据处理的保管人提供加拿大处理区域选项。

‍

患者同意由谁负责：Fax.Plus、Sign.Plus，还是医疗服务提供者？

由医疗服务提供者（即保管人）负责。Fax.Plus 和 Sign.Plus 作为代理方，协助安全地传输、处理、签署和存储文档；它们不会代表医疗服务提供者收集患者同意。

是否存在 PHIPA 证书或注册？

不存在。PHIPA 没有设立统一的认证或注册项目。合规意味着已落实所需的政策、保障措施和数据泄露处理流程，并能够在被要求时予以证明。

‍