Les formulaires patients dentaires exigent-ils un accord de partenariat ?
Un nom à côté d'un motif de visite crée l'obligation, et les conditions de Webflow en interdisent la collecte. Voici où placer le formulaire, ce que l'accord couvre ou non, et la fuite analytique qui défait tout l'arrangement.
Un formulaire dentaire recueille un nom et un motif de visite. C'est cette combinaison, et non l'une des deux moitiés, qui transforme des données de formulaire ordinaires en informations de santé protégées, et c'est ce que produit par défaut un formulaire de contact sur presque tous les sites de cabinet qu'on nous demande d'examiner.
La plateforme a peut-être déjà tranché
Avant toute analyse de ce qui constitue une donnée de santé protégée, il y a une réponse plus courte dans le contrat. Les conditions de Webflow, section 3.6 intitulée HIPAA Non-Compliance, font accepter au propriétaire du site de ne pas fournir, ni permettre aux utilisateurs de fournir, des informations de santé protégées en lien avec la plateforme. C'est un engagement, pas une note sur une fonctionnalité absente, et cela règle où le formulaire peut vivre avant même la discussion sur le design. Nous l'exposons en entier, avec ce que disent les conditions de Framer, dans ce que disent vraiment les conditions des plateformes sur les données de santé.
Ce que couvre réellement un accord de partenariat
Le schéma qui fonctionne est un formulaire intégré d'un prestataire qui signera un accord de partenariat, afin que les données réglementées ne passent jamais par la gestion de formulaires du constructeur. Jotform indique que ses plans Gold et Enterprise débloquent les fonctions HIPAA et un accord signé ; d'autres font de même à leurs niveaux. Deux questions décident, et aucune ne porte sur l'éditeur de formulaire : quel plan porte l'accord, et où va la soumission ensuite.
C'est sur cette seconde question que la plupart des cabinets achoppent. L'accord couvre le formulaire. Il ne couvre pas l'e-mail de notification qui arrive dans la boîte du cabinet, le logiciel de gestion où la demande est copiée, ni le tableur que quelqu'un exporte le vendredi après-midi. Les données réglementées finissent en général dans les trois, et aucun n'était dans le périmètre au moment du choix.
La fuite que personne ne cherche
Un formulaire qui poste correctement vers un prestataire conforme mais déclenche aussi un événement analytique portant les valeurs des champs a ramené les données sur la page d'où on les avait retirées. Nous le trouvons plus souvent que l'accord manquant, car il est ajouté plus tard, en général par quelqu'un qui améliore le suivi des conversions, et rien n'y ressemble à un changement de conformité. Tout paramètre d'événement portant un champ libre, un nom de traitement ou un motif de visite est à chercher.
Rien de tout cela ne rend un site dentaire difficile à construire. Cela change l'ordre des décisions : on règle d'abord où vit le flux réglementé, puis on conçoit autour. La version sectorielle, avec la prise de rendez-vous et la question de l'assurance, est sur notre page cabinets dentaires.
