Hébergement Conforme à HIPAA et Infrastructure BAA

Non. AWS propose des services éligibles à HIPAA et signera un BAA, mais la conformité est une responsabilité partagée. Vous devez toujours configurer correctement le chiffrement, les contrôles d'accès, la journalisation des audits et l'isolation réseau vous-même. Fonctionner sur AWS ne rend pas votre application conforme à HIPAA — c'est la configuration et vos procédures opérationnelles qui comptent vraiment.

Un BAA est un contrat légalement obligatoire entre une entité couverte et tout fournisseur qui traite des PHI en son nom. AWS, Azure et Google Cloud proposent tous des BAA, mais chacun ne couvre que des services spécifiques au sein de sa plateforme. Utiliser un service qui n'est pas couvert par un BAA pour traiter des PHI est une violation de conformité — indépendamment de tout ce que vous avez d'autre en place.

Vercel et Netlify ne signent pas actuellement de BAA, ils ne peuvent donc pas héberger d'applications qui traitent ou stockent des PHI. Cela dit, vous pouvez les utiliser pour les actifs frontend statiques qui ne contiennent aucune PHI tout en exécutant votre backend et votre base de données sur des services AWS, Azure ou Google Cloud couverts par un BAA. C'est une division réalisable, tant que la limite est claire.

Les coûts d'infrastructure mensuels se situent généralement entre 500 et 5 000 $ selon le calcul, le stockage et le transfert de données. Le chiffre le plus élevé est généralement le travail d'architecture et de configuration initiale. Faire des compromis sur la configuration pour réduire les coûts mensuels est exactement ainsi que les violations se produisent. Notre configuration à tarif fixe garantit que la fondation est prête pour les audits avant que quoi que ce soit ne devienne actif.

Si vos données répondent à tous les 18 critères de Safe Harbor de dé-identification selon 45 CFR 164.514, ce ne sont plus des PHI et les garanties techniques d'HIPAA ne s'appliquent pas. La dé-identification partielle ne suffit pas — un seul identifiant restant et vous revenez au traitement complet des PHI. Nous vous aiderons à vérifier votre méthodologie de dé-identification avant de faire cette hypothèse.

L'Office for Civil Rights demande des évaluations des risques, de la documentation des garanties techniques, des BAA, des journaux d'accès, des procédures de réponse aux violations et des dossiers de formation des employés remontant à six ans. Notre package de documentation de conformité est structuré pour répondre à ces demandes sans la bousculade de dernière minute. Et comme tout est une infrastructure en tant que code, chaque décision de configuration est traçable et défendable.