HIPAA対応アカウント：

本文書の英語原本において、大文字で始まるすべての用語は、ZendeskのBusiness Associate Agreement（事業提携契約）に定める意味を有するものとします。 

HIPAAおよび「契約者」は、Business Associate Agreement（「BAA」）を締結しており、「BAA」（Business Associate Agreement）：保護対象医療情報（「PHI」）を本サービスに導入する前に、Zendeskの事前アカウント。 

「契約者」が単独の裁量により、以下に記載されている推奨設定のいずれかを実行しないことを選択した場合、「契約者」は、その結果として「保護医療情報」を含む「契約者」の「サービスデータ」への不正アクセス、または開示の不適切な利用に対して総責任を負うものとします。 「契約者」が推奨する設定からの逸脱は、お客様に提出することはできません。

加入者は適切なレベルでサービスプランを購入し、必要な関連アドオンを持っている必要があります（不明な場合は、営業担当者にお問い合わせください）

I.Zendesk Supportでは、以下の最小のセキュリティ構成が導入され、 HIPAA対応アカウントのBAAで確認される必要があります。

  1. 次の2つの方法のいずれかを使用して、エージェント認証を保護します。
    1. パスワード設定を「高」に設定したネイティブZendesk Supportを使用する場合：;または「高」設定で確立された要件よりも安全な要件を確立する方法で、「契約者」がカスタマイズしたすべての要件を定義できます。さらに、このサブセクションのオプションでは、「契約者」は「サービス」内でネイティブに2要素認証（「2FA」）を有効にし、適用する必要があります。そして、管理者がエンドユーザーのパスワードを設定できるような管理コントロールは無効にする必要があります。または
    2. Zendeskの「高」パスワード設定で確立された要件よりも安全でない外部のシングルサインオン（「SSO」）ソリューションを利用し、すべてのエージェントのアクセスに対して、選択したソリューション内で2要素認証を有効にして実施すること。管理者がエンドユーザーのパスワードを設定できる管理コントロールは無効にする必要があります。
    3. 認証方法としてSSOを利用したすべての認証を、 パスワードアクセスを無効にする必要があります。
  2. HIPAA対応アカウントのSecure Socket Layer（SSL）暗号化は、常に有効にしておく必要があります。HIPAA対応 zendesk.com以外のドメインを利用するアカウントは、 ホストSSLを確立し、維持する必要があります」でツリーベースの最大権限を有効にします。
  3. エージェントのアクセスを、「契約者」の管理下にある 特定のIPアドレスのみに制限する 必要がある ただし、上記の要件1.aまたは1.bに記載されているように、契約者がエージェントの多要素認証を有効にしている場合を除きます（ネイティブサービス内またはエンタープライズSSOと結合された契約者環境のいずれか）。  疑義が生じるのを避けるため、「エージェントアクセス」とは、ユーザーインターフェイス（「UI」）を介してサービスデータにアクセスする人間のエージェントに付与されたアクセスを示すものとします。
  4. 「契約者」のHIPAA対応アカウントでZendeskアプリケーションプログラミングインターフェイス（「API」）への呼び出しが有効な範囲で、「契約者」は作成、アクセス、変更、または削除が許可されたすべての「契約者」または「サードパーティ」のエンティティのセキュリティに及ぼす影響を理解する全責任を負うものとします。かかるアクセスおよび/またはインテグレーションを介したサービスデータおよびPHI。当該のAPIへのアクセスについては、以下に説明するようにZendeskがさまざまな方法を提供して おり、「契約者」は使用されているAPIモデルに基づいて以下のセキュリティのベストプラクティスを実装するものとします。
    1. OAuth 2.0アプローチ」でツリーベースの最大権限を有効にします。  このモデルは、最も詳細なセキュリティ機能を提供しますが、エンドユーザーがアクセス権限を受け入れる必要があります。  「契約者」は可能な場合 、OAuth 2.0アプローチと認証スキーマを利用します。」でツリーベースの最大権限を有効にします。サブスクライバは各OAuthクライアントに、説明的かつ一意のクライアント名と一意のID指定機能を与えるものとします。各OAuthトークンに付与される権限は、必要なタスクを達成するために必要な最低限の権限のみを許可するものです。
    2. REST APIトークンアプローチ」でツリーベースの最大権限を有効にします。  このモデルは最も広範なモデルであり、APIトークンでAPIモデルのすべての機能を利用できます。メッセージングは、その性質上、最も広範なアクセスと機能を提供するため、慎重に使用する必要があります。このアプローチを使用する場合、「契約者」は（i）サービスごとに固有のトークンを使用し、トークンに説明的な名前指定機能を付与します。 (ii) 合理的に必要な場合およびエンドツーエンドで暗号化された転送方法に従った場合を除き、APIトークンを第三者と共有しないこと。 (iii) APIトークンが第三者と共有されており、「契約者」が第三者に「データ違反」を認識した場合、「契約者」は関連するトークンを直ちにローテーションします。および (iv) 少なくとも、「 契約者」の「組織ポリシー」に従って、トークンを頻繁にローテーションする。  
    3. 「契約者」は可能な場合、APIへのパスワードアクセスを無効にするものとします。このアプローチでは、リクエストごとにユーザー資格情報を送信するため、ユーザーの一般公開をサポートするため、悪意のある第三者によって簡単に消去されます。  
  5. 添付ファイルへのアクセスに認証を要求するには、「ダウンロード時に認証が必要」を 有効にする必要があります」でツリーベースの最大権限を有効にします。これを行わない場合、制限のない添付ファイルは、当該添付ファイルの正しいURLにアクセスできる誰でもアクセスできるようになります。このような場合、「契約者」は添付ファイルの内容、および添付ファイルデータへのアクセスにすべての責任を負うものとします。
  6. 加入者は、エージェント、管理者およびオーナーがエンドポイントにアクセスするすべてのシステムに対し、パスワードロック付きのスクリーンセーバまたはスタートアップ画面を組織的に適用し、システムが非アクティブの状態を最大15分継続する必要があります。
  7. 契約者は、ユーザーがインスタンス/ブランド/組織全体のアップデートを表示できるようにする閲覧権限を変更したり、ユーザー自身のチケット以外のアクセスを許可するデフォルト設定を変更したりしないでください（ただし、契約者が、このようなユーザーにすべてのアクセス許可を与えることを保証する全責任を負う場合を除く）。後続のデータ）。「エンドユーザー」組織の権限は、ユーザープロフィールおよび組織自体の権限で設定できること、および設定が競合する場合は、 より許容度の高い設定は、許容度の低い設定を上書きします。
  8. 加入者は、エンドユーザーからの電子メール送信、および関連するサービスデータを、加入者のZendesk Supportインスタンスで受信する前に、セキュリティ保護に対してZendeskが責任を負わないことを承諾します。これには、Zendesk Supportチケットへの返信を介してメールで渡されるすべてのPHI（チケットのコメントや添付ファイルを含みますが、これらに限定されません）が含まれます。
  9. 「契約者」は、「契約者」のエージェントがメールチャネル経由でZendesk Supportチケットに返信した場合や自動化やトリガによって開始された場合など、さまざまな状況でZendesk Supportがエンドユーザーにメールを送信することを了承します。デフォルトでは、このメールには、自動通知に含まれるように設定された最新のチケットの対応やその他の情報が含まれます。これらの情報にはPHIを含む可能性があります。「契約者」をさらに保護するには、Zendesk Supportインスタンスを エージェントが応答したことをエンドユーザーに警告のみを表示し、メッセージの内容を確認するにはZendesk Supportへの認証を求めるように設定されています。
  10. 加入者は、Zendeskサービス内で単独の裁量で利用できるテキストメッセージ機能がSMSおよび/または関連するプロトコルによってサポートされることを了承します。これらの機能では、サービスへのメッセージの暗号化なし、またはサービス外でのメッセージの送信が含まれる場合があります。  したがって、テキストメッセージ機能には、次のいずれかが必要です。
    1. HIPAA対応アカウント*で使用されないこと、または
    2. 使用されている場合、「契約者」はその機能の使用にすべての責任を負います。
  11. 加入者は、サービスの旧バージョンの 顧客満足度アンケート（「旧バージョンのCSAT」） 機能を使用して、ユーザーの評価を得るために、Supportチケットに関連付けられたサービスデータ（PHIを含む場合がある）をメールで送信することを了承します。このデータの暗号化ステータスは制御されません。 。したがって、旧バージョンのCSAT機能では、次のいずれかが必要です。
    1. HIPAA対応アカウント*で使用されないこと、または
    2. 使用されている場合、「契約者」はその機能の使用にすべての責任を負います。
  12. 加入者は サービスの顧客満足度アンケート（CSAT）機能の使用を承諾します チケットチャネル：適切に設定されていない場合、ユーザーの評価を取得するために、 Supportチケットに関連付けられたサービスデータ（PHIを含む場合がある）をメールで送信します。その暗号化ステータスはZendeskでは制御されません。また、特定のCSAT URLがあれば、誰でも特定のチケットの回答にアクセスできます。このため、チケットチャネルで CSAT 機能を使用する場合、「契約者」は
    1. CSAT自動化メール本文を構成して、潜在的なePHIを含めないようにし、 {{satisfaction.survey_url}} プレースホルダのみ
    2. 自由回答形式の質問機能を使用しない

*疑義が生じるのを避けるため、SMSに関するセクション10のePHIに関連するデータに関する警告事項は、製品内2FAの使用（セクション1.aで説明）には適用されません。なぜなら、この2FA機能は本人確認のための数値文字列の送信にすぎないからです。

II. Zendesk GuideおよびGatherサービスにおいて、以下の最小セキュリティ構成が導入されていること。また、 HIPAA対応アカウントの事業提携契約（Business Associate Agreement）により確認される必要があります。

  1. 加入者は、GuideおよびGatherサービスが本来パブリックであることを確認し（制限付き記事 を利用しない、 非公開型または制限付きインスタンスを使用しない）、加入者はZendesk GuideまたはGatherサービスのテキストまたは記事または記事への添付ファイル、または記事内の画像として メールを送信することができます
  2. 加入者は 、エンドユーザー がZendesk Guideにコメントを追加できる機能を無効にするか、 またはすべてのコメントからPHIを削除する機能をモデレートし、削除するものとします（以下の第3項に記載）。
  3. Zendesk GuideサービスがGuide ProfessionalまたはEnterpriseの場合、「契約者」はできるだけ、 Zendesk Guideで Gather機能をオフにして 、エンドユーザーが新しい投稿を作成できるようにする必要があります。 または、契約者が意図してGatherの機能をオフにした場合は、その機能を追跡できなくなります。ユースケースでは、「契約者 」はZendesk Guideサービスのコンテンツの審査を有効にし、「すべてのコンテンツをモデレート」に設定するものとします。」でツリーベースの最大権限を有効にします。PHIを含む投稿は承認されません。
  4. 契約者によるGatherサービス内での従業員以外の「コミュニティモデレーター」の使用は許可されません。
  5. サブスクライバーは、エンドユーザーにパブリックプロフィールを持つことを許可している場合は、Gatherコミュニティメンバーの「@メンション」が可能であることを確認します。この機能がユースケースにリスクがあるとみなされた場合は、 パブリックプロフィールをオフにする か、@メンションを無効にする必要があります。

III.Zendeskメッセージングを使用するためには、以下の最小セキュリティ設定が導入され、 HIPAA有効アカウントのZendesk BAAにより確認される必要があります。

  1. 加入者は、（i）ソーシャルメディアメッセージにePHIが存在しないことを確認すること、または（ii）メッセージングプラットフォームの統合について独自のBAAを締結することについて全責任を負わない限り、ソーシャルメディアメッセージングチャネルのインテグレーションを有効にしないものとします。
  2. 加入者は、エンドユーザーがメッセージングの会話にファイルを添付できる機能を無効にするものとし、また、安全な添付ファイルを有効にすること（i）については全責任を負うものとします。 (ii) エージェントがメッセージングの会話にePHIを含むファイルを添付しないことを保証する。これを行わない場合、制限のない添付ファイルは、当該添付ファイルの正しいURLにアクセスできる誰でもアクセスできるようになります。  このような場合、「契約者」はURLおよび/または添付ファイルデータの内容、およびこれらへのアクセスに対してすべての責任を負うものとします。
  3. 加入者は、すべてのエージェントおよびライトエージェントがすべてのエンドユーザーからのすべての受信メッセージを閲覧できることを保証することに全責任を負うものとします。
  4. 加入者またはそのエージェントがAPIおよびWebhookのためのインテグレーション（例： Answer Bot用に作成されたフローの一部として）にアクセスまたは開発する場合、またはメッセージングエクスペリエンスをカスタマイズする場合、加入者はすべてのカスタムワークフローのプライバシーおよびセキュリティの影響を理解するに全責任を負うものとします。サブスクライバーまたはサードパーティエンティティ（チャットボットプロバイダーを含む）は、かかるアクセスおよび/またはインテグレーションを介して「サービスデータ」およびePHIを作成、アクセス、変更、または削除することができます。
  5. 「メッセージングの会話」が進行中の状態で、「契約者」がエージェントのメッセージング会話への参加権限を削除したい場合、「契約者」はその「エージェント」のZendeskへのアクセスを強制的に終了させるすべての責任を負うものとします。
  6. デフォルトでは、エンドユーザーとのWeb Widgetの会話は永続的であり、エンドユーザーが同じデバイスからWebチャットに戻ったときに確認できるようになります。加入者は、この機能を無効にするか、またはエンドユーザーがデバイスを共有しないようにするためのすべての責任を負うものとします。
  7. 加入者がエンドユーザーに対して認証の実装を希望する場合、加入者はベストプラクティスおよび業界標準に従って安全な方法でこれを実装する全責任を負うものとします。
    1. このアプローチを使用する場合、「契約者」は（i）各認証チャネルに固有のJWT署名キーを使用し、トークンに説明的な名前指定機能を付与します。 (ii) 合理的に必要な場合およびエンドツーエンドで暗号化される転送方法に準拠する場合を除き、JWT署名キーを第三者と共有しないこと。 (iii) JWT署名キーが第三者と共有されており、「契約者」に第三者のデータ侵害を認識させた場合、「契約者」は関連するJWT署名キーをただちに回転させることを了承します。および (iv) 少なくとも、「契約者」の組織ポリシーに従って頻繁にJWT署名キーを更新すること。
    2. 加入者は期限切れJWT属性を使用し、その値を15分以内に設定するものとします。
  8. 契約者は、エンドユーザーとAnswer Botの間でやりとりされるすべてのやりとりのうち、エージェントに渡されずチケットに転送されるものは、引き続きシステムに保存されることを了承します。また、契約者は、Webhookを実装するなどの義務に従って、それらを削除する責任があります。会話が保存されると「契約者」に警告し、 Sunshine Conversations APIを介して自動的に削除がトリガされます。 
  9. 加入者は、エンドユーザーとAnswer Botとの間の会話が変更されたことを了承し ます チケットへの追加は現在墨消しできません。チケットを削除することで削除が可能になります。 
  10. 契約者は、メッセージングチャネル上のエンドユーザーの添付ファイルは現在、Zendeskではマルウェアのスキャンが行われていないことを了承します。加入者は、加入者の資産に対するリスクを軽減するために、手続きおよびポリシーを導入することに全責任を負うものとします。 

IV. Zendesk Sunshine Conversationsを利用するための以下の最小セキュリティ設定（ Zendesk Suiteで使用）が導入され、 HIPAA対応アカウントのZendesk BAAにより確認される必要があります。

  1. 加入者は、（i）サードパーティのチャネルメッセージにePHIが存在しないこと、または（ii）統合されたメッセージングプラットフォームで独自のBAAを締結することについて全責任を負わない限り、サードパーティチャネルのインテグレーションを有効にしないものとします。
  2. 加入者は、 Sunshine Conversationsアプリケーションプログラミングインターフェイス（以下「API」）を介してサービスデータおよびPHIを作成、アクセス、修正、または削除できるすべての加入者またはサードパーティエンティティのセキュリティへの影響を理解する全責任を負うものとします。上記のAPIへのアクセスについて、「契約者」は使用するAPIモデルに基づいて以下のセキュリティのベストプラクティスを実装するものとします。
    1. OAuth 2.0アプローチ」でツリーベースの最大権限を有効にします。  このモデルは、最も詳細なセキュリティ機能を提供しますが、エンドユーザーがアクセス権限を受け入れる必要があります。  「契約者」は、可能な場合は、 OAuth 2.0アプローチと認証スキーマ」でツリーベースの最大権限を有効にします。サブスクライバは各OAuthクライアントに、説明的かつ一意のクライアント名と一意のID指定機能を与えるものとします。 
    2. REST APIトークンアプローチ」でツリーベースの最大権限を有効にします。  このモデルは最も広範なモデルであり、APIトークンでAPIモデルのすべての機能を利用できます。  メッセージングは、その性質上、最も広範なアクセスと機能を提供するため、慎重に使用する必要があります。このアプローチを使用する場合、「契約者」は（i）サービスごとに固有のトークンを使用し、トークンに説明的な名前指定機能を付与します。 (ii) 合理的に必要な場合およびエンドツーエンドで暗号化された転送方法に従った場合を除き、APIトークンを第三者と共有しないこと。 (iii) APIトークンが第三者と共有されており、「契約者」が第三者に「データ違反」を認識した場合、「契約者」は関連するトークンを直ちにローテーションします。 (iv) 「契約者」の組織ポリシーに従ってトークンを頻繁にローテーションすること。  
    3. 「契約者」または「そのエージェント」がAPIおよびWebhookのインテグレーションにアクセスしたり、 Sunshine Conversationsのエクスペリエンスをカスタマイズしたりする場合、「契約者」はすべてのカスタムワークフローおよび許可された「契約者」または「サードパーティ」のエンティティ（チャットボットプロバイダーを含む）のプライバシーとセキュリティの影響を理解する全責任を負うものとします。かかるアクセスおよび/またはインテグレーションを介して「サービスデータ」およびePHIを作成、アクセス、変更、または削除することができます。
  3. サブスクライバーは、Zendesk Support用に設定されたIP制限がSunshine Conversations APIに拡張されないことを承諾します。加入者は、2.bに記載されている通り、 Sunshine Conversations APIおよびAPIトークンへのアクセスを制限することに全責任を負うものとします。クライアントのポリシーに従って機能します。 
  4. 加入者は、Sunshine Conversationsの会話にエンドユーザーがファイルを添付できる機能を無効にするものとし、また安全な添付ファイルを有効にすることSunshine Conversationsは全責任を負うものとします。 確実にエージェントがメッセージングの会話にePHIを含むファイルを添付しないようにすることができます。これを行わない場合、制限のない添付ファイルは、当該添付ファイルの正しいURLにアクセスできる誰でもアクセスできるようになります。このような場合、「契約者」は添付ファイルの内容、および添付ファイルデータへのアクセスにすべての責任を負うものとします。
  5. 「エンドユーザー向け認証」の実装を希望される場合、「セキュリティのベストプラクティス」および「業界標準」に従って堅牢な方法でこれを実装する全責任を負うものとします。
    1. このアプローチを使用する場合、「契約者」は（i）各認証チャネルに固有のJWT署名キーを使用し、トークンに説明的な名前指定機能を付与します。 (ii) 合理的に必要な場合およびエンドツーエンドで暗号化される転送方法に準拠する場合を除き、JWT署名キーを第三者と共有しないこと。 (iii) JWT署名キーが第三者と共有されており、「契約者」に第三者のデータ侵害を認識させた場合、「契約者」は関連するJWT署名キーをただちに回転させることを了承します。および (iv) 少なくとも、「契約者」の組織ポリシーに従って頻繁にJWT署名キーを更新すること。
    2. 加入者は期限切れJWT属性を使用し、その値を15分以内に設定するものとします。
  6. 加入者は、エンドユーザーとAnswer Bot間のやりとりのうち、エージェントに引き継がれ、チケットに転送されないものは、引き続きシステムに保存されることを承諾します。加入者は、Answer Botが独自に設定したWebhookを実装するなどして、義務に従ってそれらを削除する必要があります。これらの会話が保存されると「契約者」に警告し、 Sunshine Conversations APIを介して自動的に削除がトリガされます。 
  7. 契約者は、チケットに変換されたエンドユーザーとAnswerbotとの会話は現在墨消しできないことを了承します。チケットを削除することで削除が可能になります。 
  8. サブスクライバーは、 Sunshine Conversations API経由で削除されたメッセージは、エンドユーザーに対してのみ削除され、Zendeskエージェントワークスペース上では削除されないことを了承します。これは、チケット自体の削除または墨消し機能の使用で達成できます（制限事項については7.を参照）。 
  9. サブスクライバーは、 Sunshine Conversationチャネルのすべての添付ファイルについて、現在Zendeskではマルウェアの検出は行っていないことを了承します。加入者は、加入者の従業員のリスクを軽減するために、手続きおよびポリシーを導入することに全責任を負うものとします。 

V. Zendesk Chatサービスでは、以下の最小セキュリティ構成が導入され、 HIPAA対応アカウントのBAAで確認される必要があります。

  1. 加入者は、Zendesk Supportサービスとの接続および認証を行うことにより、 Zendesk Chatサービスへのエージェントのアクセスを制限するものとします。
  2. 加入者は 、（a）メールパイピングを無効にし、 （b） Web Widget のメールチャット会話ログオプション を無効にし、（c） Chatダッシュボードからメールでエクスポートを共有し ない ことにより、Chatの会話ログをメールで送信しないものとします。
  3. 加入者がすべての責任を負って、（i）Chat内にePHIが存在しないこと、および/または（ii）すべてのエージェントがそのようなデータを表示できるようにしないと、「エージェントワークスペース」を有効にできないものとします。

VI. Zendesk Exploreサービスを使用するためには、以下の最小セキュリティ構成が導入され、 HIPAA有効アカウントのBAAで確認される必要があります。

加入者は、ユーザー名、チケットのタイトル、フィールドおよびフォームの選択、および自由フォームのテキストフィールドの内容により、Explore製品内にePHIが表示される可能性があることを承諾します。

  1. PHIを含む対象サービスインスタンスについて、加入者は（i）親サービスインスタンスにPHIを含む可能性のあるすべてのチケット/コール/チャットにアクセスできるエージェントにのみ、Exploreインターフェイスへのアクセスを許可するものとします。 (ii)は、ユーザーの環境内でExploreを使用するために必要な最小限の権限を考慮して、当該のアクセス権を付与するものとします。Exploreでアクセスレベルを設定する方法の詳細については、 こちらを参照してください。
  2. 「エクスポート」機能を利用する場合、（i）契約者は、エージェントのインターフェイスへのアクセスを許可したデバイスにPHIが転送される可能性があり、当該のデバイスに関するすべての付き事項は契約者の責任であることを了承し、（ii）契約者はその使用を拒否するものとします。 （a）PHIがエクスポートに含まれていないことを確認する、または（b）そのような転送に使用されるメールサービスが最低限の暗号化プロトコルで暗号化に対応できるようにすることのいずれかの責任を負わない限り、そのエクスポートされたレポートにメール経由のネイティブエクスポート機能を提供できます。準拠かどうかを確認します。

* Explore Enterpriseの使用に関する特別な考慮事項：

サブスクライバーは、Explore Enterpriseサービスを使用することで、データ共有およびエクスポート機能が拡張される可能性があることを承諾します。加入者は：

  1. （i）そのようなダッシュボードにePHIが存在しないことを確認する、または（ii）そのようなデータの閲覧および受信を許可されたエージェント、グループ、リスト、またはエンドユーザーのみとダッシュボードを共有する。
  2. IP制限を活用
  3. URL（Uniform Resource Locator）を介してダッシュボードを共有する場合、「契約者」は、個別またはグループのユーザーアカウントと共有するのではなく、アクセスリンクによってデータを共有することを承諾します。（i）パスワード保護を有効にし、（ii）選択したパスワードの複雑さ、ローテーション、保管および受領者への配布を、ダッシュボードに含まれるデータの保護に関する契約者のパスワードポリシーに準拠するものとします。また、（iii）ローテーションが行われることもあります。情報開示請求の疑いまたは確認時に、必要な遅延を与えずに

VII. 展開中の関連サービス（「アドオン」）の製品内機能に関するお知らせ：

  1. コラボレーション展開関連サービス：「サイドカンバセーション」加入者は、「サイドカンバセーション」機能を使用すると、「子チケット」および/または「サイドカンバセーション」メッセージが内で作成されるか、または加入者のSupportインスタンスからチケット、メール、 Slack、またはインテグレーションを介して受信者に送信される可能性があることを承諾します（エージェントの裁量で）。 」でツリーベースの最大権限を有効にします。「 HIPAA対応アカウント」でこの機能を使用することを「契約者」が選択した場合、「契約者」は、（i）そのようなメッセージにPHIが存在しないことを確認すること、または（ii）メッセージにPHIが存在する可能性がある場合、「契約者」は一切の責任を負うものとします。 「サイドカンバセーション」機能を介したメッセージの交換に起因するPHIの不正な取得、アクセス、使用、または開示に関連する一切の責任、費用、損害または損害の保証を提供するものとします。

VIII. Zendeskモバイルアプリケーション（またはスマートフォンやタブレットなどのモバイルデバイスからのアクセス）を使用する場合、以下の最小セキュリティ設定を導入し、 HIPAA対応アカウントのZendesk BAAで確認を受ける必要があります。

  1. 使用には、デバイスレベルの暗号化も含まれます
  2. 許可された最高のデバイス設定に設定された生体認証またはPINアクセスを使用するものとします
  3. そのようなデバイスのロック画面にチケットコメントを表示できる通知は無効になります。
  4. 画面非アクティブロックを有効にし、非アクティブ状態が15分以内にロックされるように設定する必要があります。
  5. 契約者は、Zendesk Supportモバイルアプリケーションでは、添付ファイルがスキャンされてマルウェアとして検出されたかどうかを表示しないことを承諾します。また、エージェントはこの情報を表示するにはブラウザ経由でログインする必要があります。加入者は、潜在的なリスクを緩和するための手続きおよびポリシーを導入することに全責任を負うものとします。
  6. 加入者は、墨消し機能がSupportモバイルアプリでは利用できないことを了承し、 Supportが墨消し機能を使用したい場合は、ブラウザ経由でログインする必要があります。
  7. Zendeskメッセージングで「エンドユーザー」を認証するよう「契約者」が選択した場合、「契約者」は「エンドユーザーの認証ステータスがSupportモバイルアプリに表示されない」ことを確認します。

IX.ZendeskのBAAに署名し、その後Zendeskインサイトサービスをご利用になった契約者については、このサービスのサポートは2021年2月5日をもって提供終了となります。   

X.Zendesk AI機能に関するお知らせ（「Zendesk AI」、「高度なAI」、「生成AI」など）：

  1. 加入者は、Zendesk AI機能 がZendeskサービスの生産性を高めることを目的としており、(i) 医療または健康に関するアドバイスの提供、(ii) 状態の診断の提供、または兆候（iii）治療を指示すること、または（iv）ユーザーが医療専門家にアドバイス、診断、または治療を求めることを何らかの方法で妨げるもの。医療サービスの検索または受信に影響を与える可能性のある医療計画、治療プログラム、テストサービス、またはその他の医療サービス（ただし、「契約者」が独自のユースケースおよびユーザーとのやりとりに基づいてこの決定に全責任を負う場合を除く）。 （このような方法でAIを使用することの潜在的な意味）」を参照してください。
  2. 「 OpenAIの出力は人間によるものではなくコンピュータによって生成され、不正確な出力が生成される可能性があることを確認するものとします。Zendeskは、これらの出力の正確性を保証していません。
  3. Zendeskボット メッセージを使用して「契約者のエンドユーザー」に必要な免責事項を提示する場合、契約者は、メッセージの内容の完全性を確保するために、「バリエーションの生成」機能が有効にされないことを承諾します。 
  4. サブスクライバーは、管理センターで「エージェントのための生成AI」/「ナレッジベースのための生成AI」機能を有効にすると、ロールと権限に関係なく、インスタンス内のすべてのエージェントに対してこの機能が有効になることを承諾します。 


      

免責事項:法律や規制の変更やZendeskサービスの変更などにより、本文書のセキュリティ構成は今後変更される可能性があります。このドキュメントには、上記のZendesk製品内でPHIを保護するために有効な最低限のセキュリティ構成に関するZendeskの推奨事項が記載されています。本文書は、このようなデータに関するすべての管理の包括的なテンプレートを構成するものではなく、また法的アドバイスを構成するものでもありません。各Zendeskサブスクライバーは、 HIPAAコンプライアンス要件に関して、自身の弁護士に相談する必要があります。また、各サブスクライバー独自の分析結果に従って、セキュリティ構成に追加の変更を行う必要があります。ただし、そのような変更によってセキュリティ構成のセキュリティが中性から低下できない限りに限ります。説明します。

 

変更HIPAA有効アカウント:

 

2024年10月10日

  • セクションI、Support、番号12（CSAT）を追加し、新しい機能に対応するためにセクションI、Support、番号11（レガシーCSAT）を編集しました。 

2024年3月7日

  • セクションX、Zendesk AI機能に関するお知らせを追加
  • セクションI - Support- 番号7（閲覧権限）：
    • 「閲覧権限」は、「組織」に対してではなく、「インスタンス/ブランド/組織」全体に適用されることを明確にする。
    • エンドユーザー固有の組織の動作に関する新しい規定を追加しました。 
  • セクションI、Support、番号9（メール）：  
    • Zendesk Supportがエンドユーザーにメールを送信する状況を拡張。エージェントがチケットに回答するだけでなく、メールチャネル経由の返信や、自動化やトリガによって開始された返信を含むようになりました。
    • デフォルトでは、自動通知に、最新のチケットの対応またはその他の設定済み情報（PHIなど）が含まれるように指定します。

 

2023年10月25日

  • はじめに：HIPAA対応アカウント向けの明確な開始言語
  • セクションⅡ「GuideとGather」の#1（ヘルプセンターの制限）：説明のためにIP制限を制限付きの記事に置き換えました。

 

2023年4月13日

  • セクションSupport番号4（API）： 
    • 明確にするために認証方法へのリンクを追加しました 
    • b）業界のベストプラクティスに合わせてローテーションの推奨時間を正確に削除し、REST API利用規約（冗長性）への参照を削除しました。
    • を追加し、c)を使用して、APIの基本認証の使用について警告を追加。 
  • セクションⅡ、Guide:
    • 番号1（ヘルプセンターの制限）：製品の機能に合わせて、非公開型または制限付きのヘルプセンターへの参照を追加します。
    • 番号5（@メンション）：製品に合わせて@メンションを無効にするオプションの追加 機能 
  • セクション III メッセージング： 
    • 番号1と2（サードパーティチャネルとプライベート添付ファイル）：明確のためにセクション ID （i）と（ii）を追加しました
    • 2（プライベート添付ファイル）：説明のために「URLまたは」を追加しました。
    • 番号7-10（エンドユーザー認証、Answer Bot会話削除、墨消し、マルウェアスキャニング）：透明性のために完全なセクションが追加されている
  • セクション***Zendesk SuiteのSunshine ConversationsがBAAの一部として追加されたため、セクション全体が追加されました 
  • セクションV. Chat - 番号3（エージェントワークスペース）：ちょっとした言い回しの修正
  • セクションV III モバイルアプリ 番号5-7（マルウェアスキャニング、墨消し、エンドユーザー認証）：透明性のためにセクション全体を追加

2023年2月24日

  • 「I. Support」セクション（No.3）では、UIの統一に伴い、 SupportとChatのIP制限間の個別の制限が削除されました。
  • セクションI.SupportNo.5：要件を満たせなかった場合の説明を追加 
  • セクションI.Support（）、番号7：「契約者はその必要がない」は「契約者はその必要はありません」に変更されました。
  • セクション IV.Chat番号2：メールを使用したChatからのデータのすべてのエクスポート機能が禁止されており、会話ログとパイピングのみの対象ではないことを示しています。 
  • セクション III.メッセージング：Zendesk Business Associate Agreementの範囲に加え、Zendeskメッセージング機能のアカウントに追加されたセクション。

2021年7月9日

  • エージェントワークスペースの使用に関する責任についてChatセクションにポイント3.を追加します。

2021年1月21日

  • 番号1.11の追加により、アンケートの一部としてメールで送信されたデータについて「契約者」が責任を負わない限り、CSATの利用は無効になります。 
  • 第1.7項：ユーザー側で当該データへのアクセスを既に行っているユーザーに対して、閲覧権限を変更する権限を「契約者」に拡大するための警告。
  • インラインURLではなく、テキスト内の埋め込みリンクを会社のスタイルに合わせて、ドキュメント全体を更新 （設定コンテンツには影響しない）。

2020年8月

  • Explore Enterpriseの追加で、ダッシュボード共有機能を拡張
  • Chatの添付ファイルの利用禁止の解除（Supportの認証要件の対象となる）
  • カスタムフィールドでのePHIの使用禁止が、インサイトの使用にのみ適用され、グローバルに適用されることはありません
  • 展開済みサービスのアドオンを提供する新しいセクションの追加。
  • さまざまな文法/書式の編集（コンテンツとは無関係）

2020年7月13日：

  • 製品内2FAとしてのSMSのネイティブ使用とは対照的に、サービス経由でのSMSの使用に関する曖昧さを排除： * 疑義が生じるのを避けるため、SMSに関するセクション10のePHIに関連するデータに関する注意事項は、製品内2FAの使用（セクション1.aで説明）には適用されません。なぜなら、この2FA機能は本人確認のために数字の文字列を送信するだけであるからです。」

2019年12月13日 

  • エージェントのアクセスに関するMFAが適用されている限り、このような制限は許可されません。

2019年12月17日 

  • エージェントがエンドユーザーのコメントをモデレートし、すべてのPHIを削除する限り、Guideのエンドユーザーのコメントを許可します。

2019年11月6日

  • 記事が更新され、「契約者」が単独の裁量で選択した変更を反映して、特定の構成を延期または置き換えることができるようになりました。

「以下に記載した特定の設定または以下に記載した一連の必要な設定を実装および遵守しなかった契約者は、

加入者自身の責任と加入者の単独の裁量：およびそのような失敗により、「Zendesk」およびその従業員、エージェント、および関連会社は、このような失敗に起因する「電子保護対象の医療情報を含む」の不正アクセスまたは不適切な使用または開示に関して、一切の責任を負わないものとします。 」でツリーベースの最大権限を有効にします。 "

  • その他の変更点：
    • 1. 契約者がSMSの送信にPHIが含まれないことを確認するすべての責任を負う場合において、SMSを使用する機能。
    • 2.Chatで添付ファイルを使用する場合、添付ファイルにPHIが含まれていないことを確認することを契約者が全責任を負う必要があります。

2019年3月6日 

  • が更新され、 Zendesk Exploreの設定も追加されました

2019年1月17日

  •  さんがを更新しました。これにより、Chatで添付ファイルを無効にすることができます。

 

HDS対応アカウント：

本文書の英語原本において、大文字で始まるすべての用語は、Zendeskのマスターサブスクリプション契約に含まれるHDS規約（以下「HDS規約」）に定める意味を有するものとします。
Zendeskおよび加入者は、個人の医療情報（PHI）を本サービスに導入する前に、あらゆるHDS有効アカウントで以下の設定を実施し、遵守することを求めている特定のHDS利用規約を締結しています。本文書の英語原本において、大文字で始まるすべての用語は、HDS規約に記載されている意味を有するものとします。
加入者が以下に記載されている特定の設定または以下に記載されている一連の必要な設定を実行および遵守しなかった場合、加入者自身の責任となり、加入者側の責任となります。およびそのような失敗は、Zendeskおよびその従業員、エージェント、および関連会社が、このような失敗に起因する電子医療情報を含む顧客のサービスデータへの不正アクセスまたは不適切な使用または開示に関して、一切の責任を負わないものとします。 」でツリーベースの最大権限を有効にします。
Zendesk Supportでは、以下の最小セキュリティ構成が導入され、HDS有効アカウントのHDS規約規約に基づいて認められる必要があります。

 

Zendesk Supportでは、以下の最小セキュリティ構成が導入され、HDS有効アカウントのHDS規約規約に基づいて認められる必要があります。

  1. 次の2つの方法のいずれかを使用して、エージェント認証を保護します。
    1. パスワード設定を「高」に設定したネイティブZendesk Supportを使用する場合：;または「高」設定で確立された要件よりも安全な要件を確立する方法で、「契約者」がカスタマイズしたすべての要件を定義できます。さらに、このサブセクションのオプションでは、「契約者」は「サービス」内でネイティブに2要素認証（「2FA」）を有効にし、適用する必要があります。そして、管理者がエンドユーザーのパスワードを設定できるような管理コントロールは無効にする必要があります。または
    2. Zendeskの「高」パスワード設定で確立された要件よりも安全でない外部のシングルサインオン（「SSO」）ソリューションを利用し、すべてのエージェントのアクセスに対して、選択したソリューション内で2要素認証を有効にして実施すること。管理者がエンドユーザーのパスワードを設定できる管理コントロールは無効にする必要があります。
    3. 認証方法としてSSOを利用したすべての認証を、 パスワードアクセスを無効にする必要があります。
  2. HDS対応アカウントのSecure Socket Layer（SSL）暗号化を、常に有効にしておく必要があります。HDS対応 zendesk.com以外のドメインを利用するアカウントは、 ホストSSLを確立し、維持する必要があります」でツリーベースの最大権限を有効にします。
  3. エージェントのアクセスは、Support および Chatの「契約者」の管理下にある 特定のIPアドレスに制限する 必要があるただし、上記の要件1.aまたは1.bに記載されているように、契約者がエージェントの多要素認証を有効にしている場合を除きます（ネイティブサービス内またはエンタープライズSSOと結合された契約者環境のいずれか）。  疑義が生じるのを避けるため、「エージェントアクセス」とは、ユーザーインターフェイス（「UI」）を介してサービスデータにアクセスする人間のエージェントに付与されたアクセスを示すものとします。
  4. 加入者のHDS有効アカウントがZendeskアプリケーションプログラミングインターフェイス（以下「API」）への呼び出しを可能にしている範囲で、加入者は作成、アクセス、変更、または削除が許可されているすべての加入者またはサードパーティのエンティティのセキュリティに及ぼす影響を理解する全責任を負うものとします。かかるアクセスおよび/またはインテグレーションを介したサービスデータおよびPHI。上記のAPIへのアクセスについて、「契約者」は使用するAPIモデルに基づいて以下のセキュリティのベストプラクティスを実装するものとします。
    1. OAuth 2.0アプローチ」でツリーベースの最大権限を有効にします。  このモデルは、最も詳細なセキュリティ機能を提供しますが、エンドユーザーがアクセス権限を受け入れる必要があります。  「契約者」は可能な場合 、OAuth 2.0アプローチと認証スキーマを利用します。」でツリーベースの最大権限を有効にします。サブスクライバは各OAuthクライアントに、説明的かつ一意のクライアント名と一意のID指定機能を与えるものとします。各OAuthトークンに付与される権限は、必要なタスクを達成するために必要な最低限の権限のみを許可するものです。
    2. REST APIトークンアプローチ」でツリーベースの最大権限を有効にします。  このモデルは最も広範なモデルであり、APIトークンでAPIモデルのすべての機能を利用できます。  メッセージングは、その性質上、最も広範なアクセスと機能を提供するため、慎重に使用する必要があります。このアプローチを使用する場合、「契約者」は（i）サービスごとに固有のトークンを使用し、トークンに説明的な名前指定機能を付与します。 (ii) 合理的に必要な場合およびエンドツーエンドで暗号化された転送方法に従った場合を除き、APIトークンを第三者と共有しないこと。 (iii) APIトークンが第三者と共有されており、「契約者」が第三者に「データ違反」を認識した場合、「契約者」は関連するトークンを直ちにローテーションします。 (iv) 最低でも、180 日に 1 回、トークンをローテーションします。  加入者はサービスの REST API利用規約に従うものとします。 
  5. 添付ファイルへのアクセスに認証を要求するには、「ダウンロード時に認証が必要」を 有効にする必要があります。
  6. 加入者は、エージェント、管理者およびオーナーがエンドポイントにアクセスするすべてのシステムに対し、パスワードロック付きのスクリーンセーバまたはスタートアップ画面を組織的に適用し、システムが非アクティブの状態を最大15分継続する必要があります。
  7. 加入者は、ユーザーが組織全体の更新を表示できるようにする閲覧権限を変更したり、ユーザー自身のチケット以外のアクセスを許可するデフォルト設定を変更したりしてはなりません（ただし、加入者が、その後のすべてのデータへのアクセスを加入者によって承認されることを保証するための全責任を負う場合を除く）。
  8. 加入者は、エンドユーザーからの電子メール送信、および関連するサービスデータを、加入者のZendesk Supportインスタンスで受信する前に、セキュリティ保護に対してZendeskが責任を負わないことを承諾します。これには、Zendesk Supportチケットへの返信を介してメールで渡されるすべてのPHI（チケットのコメントや添付ファイルを含みますが、これらに限定されません）が含まれます。
  9. 加入者は、加入者のエージェントがZendesk Supportチケットに応答したときに、Zendesk Supportからエンドユーザーに電子メールが送信されることを承諾します。  デフォルトでは、このメールにはエージェントがエンドユーザーに返信したもので、PHIを含めることができます。「契約者」をさらに保護するには、Zendesk Supportインスタンス を、エージェントが応答したことをエンドユーザーに警告するように設定し、メッセージの内容を確認するにはZendesk Supportへの認証を求めるように設定する必要があります。」でツリーベースの最大権限を有効にします。
  10. 加入者は、Zendeskサービス内で単独の裁量で利用できるテキストメッセージ機能がSMSおよび/または関連するプロトコルによってサポートされることを了承します。これらの機能では、サービスへのメッセージの暗号化なし、またはサービス外でのメッセージの送信が含まれる場合があります。  したがって、テキストメッセージ機能には、次のいずれかが必要です。
    1. HDS対応のアカウント*で使用されないこと、または
    2. 使用されている場合、「契約者」はその機能の使用にすべての責任を負います。

*疑義が生じるのを避けるため、SMSに関するセクション10のePHIに関連するデータに関する警告事項は、製品内2FAの使用（セクション1.aで説明）には適用されません。なぜなら、この2FA機能は本人確認のための数値文字列の送信にすぎないからです。

Zendesk GuideおよびGatherサービスの以下の最小セキュリティ構成が導入され、HDS有効アカウントのHDS条件規約ガイドで確認される必要があります。

  1. 加入者は、 Zendesk GuideおよびGatherサービスが本質的にパブリックであることを確認し（「社内」ヘルプセンターのIP制限を利用しない）、したがって、加入者は記事または記事への添付ファイル、または記事内の画像として使用できます。
  2. 加入者は、エンドユーザーがZendesk Guideに コメントを追加できるようにする機能を無効にする か、 またはすべてのコメントからPHIを削除する機能をモデレートし、その責任を負います。
  3. 契約者によるGatherサービス内での従業員以外の「コミュニティモデレーター」の使用は許可されません。

Zendesk Chatサービス向けに以下の最小セキュリティ設定が導入されていること。また、HDS有効アカウントのHDS規約規約に記載されている内容を確認する必要があります。

  1. 加入者は、Zendesk Supportサービスとの接続および認証を行うことにより、 Zendesk Chatサービスへのエージェントのアクセスを制限するものとします。
  2. 「 メールパイピング」を無効にするものとします。
  3. 加入者は、(i) チャット内にePHIが存在しないこと、および/または(ii) 加入者からすべてのエージェントがそのようなデータを表示できることを保証することについて全責任を負わない限り、「エージェントワークスペース」を有効にしないものとします。

Zendesk Exploreサービスを利用するためには、以下の最小セキュリティ設定が導入され、HDS有効アカウントのHDS規約規約に記載されるように、確認される必要があります。

加入者は、ユーザー名、チケットのタイトル、フィールドおよびフォームの選択、および自由フォームのテキストフィールドの内容により、Explore製品内にePHIが表示される可能性があることを承諾します。

  1. PHIを含む対象サービスインスタンスについて、加入者は（i）親サービスインスタンスにPHIを含む可能性のあるすべてのチケット/コール/チャットにアクセスできるエージェントにのみ、Exploreインターフェイスへのアクセスを許可するものとします。 (ii)は、ユーザーの環境内でExploreを使用するために必要な最小限の権限を考慮して、当該のアクセス権を付与するものとします。Exploreでアクセスレベルを設定する方法の詳細については、 こちらを参照してください。
  2. 「エクスポート」機能を利用する場合、（i）契約者は、エージェントのインターフェイスへのアクセスを許可したデバイスにPHIが転送される可能性があり、当該のデバイスに関するすべての付き事項は契約者の責任であることを了承し、（ii）契約者はその使用を拒否するものとします。 （a）PHIがエクスポートに含まれていないことを確認する、または（b）そのような転送に使用されるメールサービスが最低限の暗号化プロトコルで暗号化に対応できるようにすることのいずれかの責任を負わない限り、そのエクスポートされたレポートにメール経由のネイティブエクスポート機能を提供できます。準拠かどうかを確認します。

* Explore Enterpriseの使用に関する特別な考慮事項：

サブスクライバーは、Explore Enterpriseサービスを使用することで、データ共有およびエクスポート機能が拡張される可能性があることを承諾します。加入者は：

  1. （i）そのようなダッシュボードにePHIが存在しないことを確認する、または（ii）そのようなデータの閲覧および受信を許可されたエージェント、グループ、リスト、またはエンドユーザーのみとダッシュボードを共有する。
  2. IP制限を活用
  3. URL（Uniform Resource Locator）を介してダッシュボードを共有する場合、「契約者」は、個別またはグループのユーザーアカウントと共有するのではなく、アクセスリンクによってデータを共有することを承諾します。（i）パスワード保護を有効にし、（ii）選択したパスワードの複雑さ、ローテーション、保管および受領者への配布を、ダッシュボードに含まれるデータの保護に関する契約者のパスワードポリシーに準拠するものとします。また、（iii）ローテーションが行われることもあります。情報開示請求の疑いまたは確認時に、必要な遅延を与えずに

Zendeskモバイルアプリ（またはスマートフォンやタブレットなどのモバイルデバイスからのアクセス）を使用する場合、以下の最低限のセキュリティ設定が必要です。また、HDS対応アカウントのHDS条件規約」を参照する必要があります。

  1. 使用には、デバイスレベルの暗号化も含まれます
  2. 許可された最高のデバイス設定に設定された生体認証またはPINアクセスを使用するものとします
  3. そのようなデバイスのロック画面にチケットコメントを表示できる通知は無効になります。
  4. 画面非アクティブロックを有効にし、非アクティブ状態が15分以内にロックされるように設定する必要があります。

展開中の関連サービス（「アドオン」）の製品内機能に関するお知らせ：

  1. コラボレーション展開関連サービス：「サイドカンバセーション」加入者は、「サイドカンバセーション」機能を使用すると、「子チケット」または「サイドカンバセーション」メッセージが内で作成されるか、または加入者のSupportインスタンスからチケット、メール、 Slack、またはインテグレーション（エージェントの裁量で設定）を介して受信者に送信される可能性があることを承諾します。「HDS有効」アカウントで「契約者」がこの機能を使用することを選択した場合、「契約者」は、（i）PHIがメッセージ内に存在しないことを確認すること、または（ii）メッセージにPHIが含まれる可能性がある場合、いずれかの責任を負うものとします。 「サイドカンバセーション」機能を介したメッセージの交換に起因するPHIの不正な取得、アクセス、使用、または開示に関連する一切の責任、費用、損害または損害の保証を提供するものとします。

免責事項:法律や規制の変更やZendeskサービスの変更などにより、本文書のセキュリティ構成は今後変更される可能性があります。このドキュメントには、上記のZendesk製品内でPHIを保護するために有効な最低限のセキュリティ構成に関するZendeskの推奨事項が記載されています。本文書は、このようなデータに関するすべての管理の包括的なテンプレートを構成するものではなく、また法的アドバイスを構成するものでもありません。各Zendesk契約者は、HDSコンプライアンス要件に関して、自身の法律コンサルタントに相談する必要があります。また、各契約者独自の分析結果に従って、セキュリティ構成に追加の変更を加える必要があります。ただし、そのような変更によって、構成のセキュリティが中性から低下することのない限り、追加の変更を行う必要があります。説明します。

翻訳に関する免責事項：この記事は、お客様の利便性のために自動翻訳ソフ トウェアによって翻訳されたものです。Zendeskでは、翻訳の正確さを期すために相応の努力を払っておりますが、翻訳の正確性につ いては保証いたしません。

翻訳された記事の内容の正確性に関して疑問が生じた場合は、正式版である英語の記事 を参照してください。

Powered by Zendesk