Les conditions de Webflow interdisent la collecte de données de santé. Celles de Framer n'en parlent pas

Les conditions d'utilisation de Webflow contiennent une clause que la plupart de ceux qui construisent des sites de santé sur Webflow n'ont jamais lue. La section 3.6 s'intitule HIPAA Non-Compliance, et elle ne dit pas que la plateforme manque d'une fonctionnalité. Elle dit que vous acceptez de ne pas collecter ces données.

La formulation, lue le 16 septembre 2026, est que vous reconnaissez que la Plateforme peut ne pas être conforme à HIPAA et que vous acceptez de ne pas fournir, ni permettre aux utilisateurs de fournir, des informations de santé protégées dans le contenu du site ou en lien avec votre usage de la Plateforme. Webflow le reformule ensuite en langage clair : merci de ne pas collecter d'informations de santé protégées via la Plateforme, car Webflow ne propose pas de services conformes à HIPAA actuellement.

C'est un engagement contractuel, pas une note de capacité. Un formulaire Webflow natif collectant une demande de soins contenant un détail de santé constitue une violation de l'accord accepté par le propriétaire du site, indépendamment de ce que dit HIPAA. C'est un fait plus net que la discussion habituelle, car il n'oblige pas à trancher si votre formulaire collecte des PHI au sens juridique. Les conditions vous disent quoi faire dans les deux cas.

Ce qu'en disent les conditions de Framer

Rien. Nous avons cherché dans les conditions de Framer le même jour : les mots HIPAA et Protected Health Information n'apparaissent nulle part dans le document. Cela mérite d'être dit avec précaution, car le silence n'est pas une permission. Il signifie qu'il n'y a ni interdiction à enfreindre ni engagement sur lequel s'appuyer, et un acheteur d'un secteur réglementé n'a rien à lire dans un sens ou dans l'autre.

Entre une interdiction explicite et aucune mention, l'interdiction explicite est le document le plus utile. Elle vous dit exactement où est la limite, ce qui permet de concevoir autour en un après-midi. Le silence se résout en demandant, et sur une plateforme sans BAA proposé, la réponse est en général la même.

Hors de la plateforme. Le schéma qui fonctionne est un formulaire intégré d'un prestataire qui signera un accord de partenariat, afin que les données réglementées ne touchent jamais la gestion de formulaires du constructeur. Jotform indique que les plans Gold ou Enterprise donnent accès aux fonctions HIPAA et que les clients qui les activent reçoivent un BAA signé. Formstack propose un BAA sur son offre entreprise. Le prestataire précis compte moins que les deux questions à poser avant de choisir.

• Sur quel plan se trouve le BAA. C'est presque jamais l'offre d'entrée, et un devis bâti sur le plan le moins cher sera faux au moment de la signature.
• Où va la soumission ensuite. Un BAA avec le prestataire couvre le formulaire. Il ne couvre pas l'e-mail de notification, le CRM où atterrit le lead, ni le tableur où quelqu'un l'exporte, et c'est là que finissent en général les données réglementées.
• L'intégration fuit-elle. Un formulaire qui poste vers le prestataire mais déclenche aussi un événement analytique portant les valeurs des champs a ramené les données sur la page : c'est l'échec le plus fréquent.

L'aspect cadrage, y compris ce qui constitue la combinaison créant l'obligation, est dans ce qui fait d'un formulaire un problème HIPAA et un site Webflow peut-il être conforme HIPAA. Cet article porte sur le point plus étroit : avant toute cette analyse, le contrat de la plateforme a peut-être déjà répondu.