# HIPAA para mensagens — o que os remetentes da área da saúde precisam saber

> A HIPAA (Lei de Portabilidade e Responsabilidade de Seguros de Saúde dos EUA) regula as Informações de Saúde Protegidas (PHI, na sigla em inglês) — qualquer informação que vincule um indivíduo ao seu atendimento médico. No caso de mensagens, a HIPAA é acionada no momento em que a sua mensagem SMS ou WhatsApp transmite PHI (nome de clínica, especialidade de consulta, resultado de exame, receita médica). As regras relevantes são a Regra de Privacidade, a Regra de Segurança e a Regra de Notificação de Violação de Dados.

- URL canônico: https://www.broadnet.me/pt/answers/hipaa-for-messaging
- Idioma: pt
- Última revisão: 2026-09-27
- Editor: BroadNet (https://www.broadnet.me)

## Quando o envio de mensagens aciona a HIPAA

Três padrões. Um lembrete de consulta que menciona a clínica especializada ("a sua consulta de cardiologia") — Informação de Saúde Protegida (PHI). Uma notificação de resultado de exame ("os seus resultados de exames estão prontos") — PHI. Um aviso de retirada de receita ("a sua receita de Lipitor está na farmácia X") — PHI. Um lembrete genérico de consulta ("consulta amanhã às 15h") sem menção à especialidade pode ser considerado como não sendo PHI, mas a maioria das equipas de compliance o trata como PHI por segurança.

## Acordo de Parceiro Comercial (BAA)

Qualquer fornecedor que processe PHI em nome de uma entidade coberta é um Business Associate. O Business Associate Agreement é obrigatório — sem ele, a entidade coberta estará em violação no momento em que enviar uma única mensagem contendo PHI através do fornecedor. Se você planeia enviar PHI, consulte-nos sobre os seus requisitos HIPAA primeiro; a disponibilidade de BAA é confirmada durante a contratação.

## Requisitos de encriptação

A Norma de Segurança exige encriptação em trânsito e em repouso para informações de saúde protegidas (PHI). Os corpos das mensagens SMS entre um servidor SMS e o aparelho não são encriptados de ponta a ponta (o caminho OTA é controlado pela operadora e confidencial, mas não encriptado no sentido exigido pelo GDPR/HIPAA). Orientações do HHS: SMS é aceitável para PHI de acordo com a HIPAA, desde que o paciente tenha sido informado sobre a natureza não encriptada das mensagens e tenha dado o seu consentimento. Para maior confidencialidade, utilize o WhatsApp (encriptação de ponta a ponta) ou notificações push para um portal do paciente compatível com a HIPAA.

## Notificação de violação

Em caso de violação de PHI (Informações de Saúde Protegidas), você deve notificar o paciente em até 60 dias, o HHS (Departamento de Saúde e Serviços Humanos dos EUA) em até 60 dias (ou imediatamente em casos de violações envolvendo mais de 500 pacientes) e, possivelmente, o conteúdo multimédia local. O CPaaS (Plataforma de Comunicação como Serviço) deve notificar a entidade coberta com rapidez suficiente para que ela possa cumprir o prazo de 60 dias. O nosso SLA (Acordo de Nível de Serviço) de resposta a incidentes para contas HIPAA é de 4 horas para notificação inicial e investigação completa da causa raiz em até 14 dias.

## Relacionados

- [Todas as respostas](https://www.broadnet.me/pt/answers)
- [Glossário](https://www.broadnet.me/pt/answers)
- [GDPR para mensagens — o que os remetentes corporativos precisam saber](https://www.broadnet.me/pt/answers/gdpr-for-messaging)
- [Healthcare solutions](https://www.broadnet.me/pt/solutions/healthcare)