HIPAA 実装ガイド

このガイドは、HIPAA に準拠した方法で Atlassian アプリを使用する方法について必要な知識を提供するために作成されました。このガイドは、アトラシアンと Business Associate Agreement (BAA) を締結している、またはアトラシアンと BAA を締結する予定のアトラシアン カスタマーを対象としています。

Rovo (Search, Chat, Agents, and In-app AI experiences) and Jira Product Discovery are now available for Atlassian HIPAA customers. To have Rovo activated for your site, submit a support ticket. If you’ve purchased Jira Product Discovery, follow the guide below to configure your Atlassian account to help meet HIPAA requirements.

HIPAA に準拠した Atlassian アプリの使用

HIPAA への準拠をサポートするために、アトラシアンではお客様が制御できる構成を提供しています。これにより、Atlassian アプリを HIPAA に準拠した方法でご利用いただくことは、お客様の責任となります。お客様側で入力されたデータをアトラシアンで監視したり分析したりすることはないため、すべてのユーザーがコンプライアンスを漏らさず順守するのに必要な手順をお客様側で整えていただく必要があります。

また、Atlassian アプリと統合されているすべての関連サードパーティ アプリについて、HIPAA コンプライアンスの要件を特定し、構成することもお客様の責任となります。これには、関連するすべてのサードパーティ アプリで Business Associate Agreement (BAA) を締結することも含まれます。

The BAA that you sign with us covers only the eligible Atlassian apps. Any other apps or features that aren’t included in the core apps, features described below, or require an additional opt-in, aren't automatically covered by the BAA. This includes Rovo MCP, Rovo Browser Extension, and any apps or app features that are part of a trial or an early access offering.

Protected Health Information (PHI) をサードパーティと共有する前に、まず BAA やその他のデータ プライバシーおよびセキュリティ保護が必要かどうかを確認する必要があります。

Atlassian アカウントを設定する

HIPAA 要件を満たすように Atlassian アカウントを設定するには、次の手順に従います。

1. Enter into a Business Associate Agreement (BAA) with Atlassian; required to use Atlassian services for PHI. Sign a Business Associate Agreement (BAA)

2. Tag your apps to enable HIPAA. Tag apps to enable HIPAA

3. If you have subscribed to any collections that includes non-HIPAA-ready apps, you will need to deactivate those apps.

4. Ensure that you don't input PHI into Atlassian Support tickets, surveys, or any metadata or naming fields (such as Confluence Space Names, file names, AI agent names/references, and Jira App configurations).

   1. Go to Atlassian Support: Pricing, Billing, & Licensing | Atlassian

   2. [How can we help: Other (アトラシアンによるサポート: その他)] を選択し、指示に従います。

5. Configure the relevant settings for each of your apps according to the following sections.

6. Go to Atlassian Support: Pricing, Billing, & Licensing | Atlassian

7. Select How can we help: Other and follow the instructions.

Confluence

Confluence 設定でプッシュ通知をオフにする必要があります。

プッシュ通知を無効にする方法。

1. Select the cog icon in the top-right corner to open Confluence administration.

2. Under Settings, select Configuration.

3. [ 一般設定] を選択します。

4. Clear the Push Notifications checkbox.

5. Select Save Configuration Changes to save your changes.

アトラシアンは現在、PHI が含まれる可能性のあるコンテンツを含まないメール通知テンプレートをサポートしているので、メール通知を有効のままにしておくことができます。

Jira and Jira Service Management, and Jira Product Discovery

You can keep both email and push notifications in Jira settings. Atlassian now supports notification templates that don't include content that could contain PHI. When email notifications are turned on, all emails originating from other Jira apps, such as Jira Service Management and Jira Product Discovery, will also be turned on.

Jira notifications

Jira admins will be responsible for ensuring automation rules are not configured to send out email notifications that include PHI data.

1. Enable email notifications.

2. Enable the ability for space admins to create and manage automation rules for their spaces.

   1. In Jira, go to Settings.

   2. Under Jira admin settings, select System.

   3. Under Automation, select Global automation.

   4. From the More actions (…) menu, select Global configuration.

   5. Ensure the Allow space administrators to manage space flows checkbox is selected.

   6. Clear the Allow non-admins to create recurring flows checkbox.

Jira Service Management

To enable safe customer notifications and HIPAA-compliant alert notifications in Jira Service Management:

1. Jira Service Management で、[設定] に移動します。

2. Under Jira admin settings, select Jira apps.

3. From the sidebar under Jira Service Management, select Compliance settings.

4. 安全な顧客通知をオンにします。

5. HIPAA 準拠のアラート通知をオンにします。

Rovo

If using Rovo, consider disabling web search as read requests may contain data (search parameters) from app instances and are subject to the destination's policies.

免責事項

法律や規制の変更、または Atlassian アプリやサービスの変更により、このガイドは随時更新または改訂される場合があります。アトラシアンは、所有者または管理者を通じて、重要な変更の通知や更新されたコピーをお客様に提供します。

This document contains Atlassian’s recommendations for certain minimum effective app configurations for its customers' protection of PHI within the Atlassian apps outlined above at this time. This document does not constitute an exhaustive template for all controls over such data nor does it constitute legal advice. It’s important to remember that HIPAA compliance is a shared responsibility between Atlassian and its customers. Completing these steps won't automatically guarantee an Atlassian Customer’s compliance with HIPAA. Each Atlassian Customer should seek its own legal counsel with regard to HIPAA compliance obligations applicable to their specific situations and should make any additional changes to its security configurations in accordance with its own independent review and risk analysis, so long as such changes don't conflict with or undermine the security of the configurations outlined in this document.