HIPAA支持的帐户:

本文件中使用的所有大写术语均具有Zendesk《业务伙伴协议》(“BAA”)中赋予的含义。亚博

亚博Zendesk和订户已签订该特定业务伙伴协议(“BAA”)，该协议要求订户在将任何受保护健康信息(“PHI”)引入服务之前，对任何和所有HIPAA支持的帐户实施并遵守以下配置。本文件中使用的所有大写术语均具有BAA中赋予的含义。

用户未能实施和遵守下列任何特定配置，或下列任何系列所需配置，应在认购人自行承担风险，并由认购人自行决定;此等失败将免除Zendesk及其员工、代理和关联公司对因订户的亚博此类失败而导致的订户服务数据(包括任何电子受保护健康信息)的任何未经授权访问、不当使用或披露的任何责任。

订阅者必须已购买相应级别的服务计划，并拥有所需的相关附加组件(如不确定，请咨询您的销售代表)

对于任何HIPAA支持的帐户，必须为Zendesk支持设置以下最低安全配置，并在BAA上得到确认:亚博

1. 通过以下两种方法之一进行安全代理身份验证:
1. 用人原生Zende亚博sk支持密码设置:(i)设置为“高”；或(ii)由订阅方以建立不低于“高”设置下建立的安全要求的方式进行定制。此外，根据本小节中的选项，订阅者还必须在服务中启用和强制双因素身份验证(“2FA”);并且，允许管理员为最终用户设置密码的管理控制必须禁用;或
2. 利用外部单点登录(“SSO”)解决方案，其安全要求不低于Zendesk“High”密码设置，并在所选解决方案中为所有代理访问启用和强制2因素身份验证。亚博必须禁用允许管理员为最终用户设置密码的管理控制。
3. 使用SSO作为身份验证方法的所有身份验证选择必须禁用密码访问．
2. HIPAA启用帐户上的安全套接字层(“SSL”)加密必须始终保持启用状态。使用zendesk.com以外的域的HIPAA启用帐户必须建立和亚博维护托管SSL．
3. 代理访问必须是仅限于特定的IP地址在登记人的控制下支持而且闲谈，聊天除非订阅服务器如上述需求1中所述为代理启用多因素身份验证。A或者1。b(本机在服务中，或与企业SSO结合在订阅者的环境中)。为免生疑问，“代理访问权限”应指授予通过用户界面(“UI”)访问服务数据的人工代理的访问权限。
4. 如果订阅方的HIPAA启用帐户允许调用Zendesk应用程序编程接口(“API”)，则订阅方应承担理解所有允许通过此类访问和/或集成亚博创建、访问、修改或删除服务数据和PHI的所有订阅方或第三方实体的安全影响的全部责任。为了访问上述API，订户应基于所使用的API模型实施以下安全最佳实践:
1. OAuth 2.0方法．此模型提供了最细粒度的安全功能，但要求最终用户接受授权。在可能的情况下，订阅方将利用OAuth 2.0方法和认证方案．订阅者将为每个OAuth客户端提供一个描述性的、唯一的客户端名称和唯一标识符指定功能。授予每个OAuth令牌的权限应该允许完成所需任务所需的最少权限。
2. REST API令牌方法．这个模型是最广泛的，并且允许API令牌利用API模型的全部功能。就其性质而言，它提供了最广泛的访问和功能，应该谨慎使用。使用此方法时，订阅者将(i)为每个服务使用唯一的令牌，并为令牌提供描述性名称指定功能;(ii)不与任何第三方共享API令牌，除非合理要求并根据端到端加密的传输方法;(iii)确认如果API令牌与第三方共享，且“订户”获悉第三方数据泄露，“订户”将立即轮换相关令牌;和(iv)至少每一百八十(180)天轮换一次代币。订户应遵守服务规定REST API服务条款。
5. 订阅者必须启用“下载需要认证”以便要求身份验证才能访问附件．
6. 订阅方必须系统地在所有代理、管理员和所有者访问的端点上强制使用密码锁定屏幕保护程序或启动屏幕集，使其在系统不活动的最长十五(15)分钟内启动。
7. 订阅者不得更改允许用户查看整个组织的更新的查看权限，也不得更改允许用户访问超出自己票证范围的默认设置(除非订阅者承担确保此类用户已获订阅者批准访问所有后续数据的全部责任)。
8. 订阅者承认，Zendesk不负责确保最终用户的电子邮件传输亚博以及相关服务数据在接收到订阅者的Zendesk支持实例之前的安全。这包括可能通过回复Zendesk支持票的电子邮件传递的任何PHI，包括但不限于票评论或附件。亚博
9. 订户确认，当订户的代理响应Zendesk支持票据时，Zen亚博desk支持向最终用户发送电子邮件。默认情况下，此电子邮件包含代理发送回最终用户的任何通信，并且可能包括PHI。为了进一步保护订阅者，他们的Zendesk支持实例应该是亚博配置为只通知终端用户代理已响应，并要求最终用户验证到Zendesk Support以查看消息的内容亚博．
10. 订户承认，其自行决定在任何Zendesk服务中使用的任何文本消息功能都以SMS和/或相关协议为基础，这可能涉及发送到或发送出服务的消息的未加密传输。亚博因此，短信功能应该:
1. 不能用于HIPAA启用帐户*，或
2. 如果使用，订阅方承担使用该功能的所有责任
11. 订阅者承认，使用服务的客户满意度调查(“CSAT”)功能时，通过电子邮件发送与支持单相关的服务数据(可能包含PHI)，以获取用户评级，该评级的加密状态不受Zendesk控制。亚博因此，CSAT功能应该:
1. 不能用于HIPAA启用帐户*，或
2. 如果使用，订阅方承担使用该功能的所有责任

*为免生疑问，第10节中与ePHI有关的关于SMS的数据警告不适用于产品内部的2FA使用(如第1.a节所述)，因为这种功能只是发送一个数字字符串用于身份验证。

对于任何HIPAA启用的帐户，必须为Zendesk指南和收集服务设置以下最低安全配置，并在BAA上得到确认:亚博

1. 订阅者承认，《指南》和《收集服务》本质上是公开的(在不利用“内部”帮助中心的知识产权限制的情况下)，因此订阅者应确保Zendesk《指南》或《收集服务》中的任何文章不包含PHI，无论是通过文章的文本，还是作为文章的附件，或文章中的图像。亚博
2. 认购人应选择禁用终端用户添加注释的能力在Ze亚博ndesk指南中，或应调节并承担从所有评论中删除PHI的责任(如下面第3节所示)．
3. 如果Zend亚博esk指南服务是专业指南或企业指南，订阅者应该在可能的情况下禁用最终用户创建新帖子的能力通过关闭收集功能使用Zen亚博desk Guide，或由于订阅方的预期用例而无法关闭收集功能时，订阅方应在Zendesk指南服务中启用内容审核，并设置为“审核所有亚博内容”．任何包含PHI的提交均不得被批准。
4. 订户不得在聚合服务中使用非员工“社区版主”。
5. 订阅者承认，在允许终端用户拥有公共档案的情况下，“@提及”Gather社区成员是可能的，如果该功能在其用例中被视为风险，公共档案应关闭。

对于已签署Zendesk BAA并随后使用Zendesk Ins亚博ights服务的订阅者，我们对该服务的支持将于2021年2月5日起不再支持。

对于任何HIPAA启用的帐户，必须为Zendesk聊天服务设置以下最低安全配置，并在BAA上得到确认:亚博

1. 订户应通过与Zendesk支持服务耦合并通过Zendesk支持服务进行身份验证来限制座席对亚博Zendesk聊天服务的访问。
2. 用户应禁用电子邮件管道．
3. 订户不得启用“代理工作区”，除非其承担完全责任确保(i)聊天中不存在ePHI，和/或(ii)订户允许所有代理查看此类数据。

以下使用Zendesk Explore服务的最低安全配置必须到位，并在BAA上对任何HIPAA启用的帐户予以确认:亚博

订阅者承认，ePHI可能会通过用户名、门票标题、字段和表单选择以及自由表单文本字段中的任何内容出现在Explore产品中。

1. 对于任何包含PHI的范围内服务实例，订阅者应(i)仅向能够访问父服务实例中可能包含PHI的所有票据/呼叫/聊天的代理授予对Explore接口的访问权限，并且(ii)授予此类访问权限时应考虑在其环境中使用Explore所需的最少权限。有关在Explore中配置访问级别的详细信息，请参见在这里．
2. 在利用“导出”功能时，(i)认购人承认PHI可以转移到认购人允许访问代理界面的设备上，该设备上的所有附属控件均由认购人负责，并且(ii)认购人应拒绝通过电子邮件对上述导出报告使用本机导出功能，除非认购人承担以下责任:(a)确保该导出中不包含PHI;或(b)用于此类传输的电子邮件服务可以通过当时的PCI标准允许的最低加密协议进行加密。

*使用Explore Enterprise的特别注意事项:

订阅者承认，使用Explore企业服务可能会增加数据共享和导出功能。用户应当:

1. (i)确保这样的仪表板中不存在ePHI，和/或(ii)只与被批准查看和接收这些数据的代理、组、列表或最终用户共享仪表板。
2. 利用知识产权限制
3. 在通过统一资源定位器(URL)共享仪表板的情况下，订阅方承认，数据应通过访问链接共享，而不是与个人或组用户帐户共享。因此，认购人应(i)启用密码保护，(ii)确保所选密码的复杂性、轮换、存储和分发给接收方符合认购人保护此类仪表板中包含的数据的密码策略，并且(iii)在怀疑或确认暴露时，不应无故延迟轮换

使用Zendesk移动应用程序(或通过智能手机或平板电脑等移动设备进行访问)的以下最低安全配置必须到位，并在Zende亚博sk BAA上对任何HIPAA启用的帐户予以确认:

1. 使用应包括设备级加密
2. 将生物识别或PIN访问设置为允许的最高设备设置
3. 允许票务评论显示在此类设备锁屏上的通知应禁用
4. 屏幕不活动锁定应启用并配置为锁定不超过15分钟的不活动。

关于已部署关联服务(“附加组件”)的产品内功能的通知:

1. 协作部署的关联服务:“侧对话。”订户承认，使用“边聊”功能可能会在订户的支持实例中创建“儿童票”和/或“边聊”消息，或通过票、电子邮件、Slack或集成(由配置代理自行决定)向收件人发送“边聊”消息。如果订户选择在HIPAA启用的帐户中使用此功能，订户将承担以下任何责任:(i)确保此类消息中不存在PHI，或(ii)如果消息中可能存在PHI，订户将全权负责通过“Side Conversation”功能交换消息而导致的与未经授权的获取、访问、使用或披露PHI相关的任何责任、成本、损害或损害。

免责声明:由于法律法规的变更或Zendesk服务的变更，本文档中的安全配置可能会不时变更。亚博本文件包含Zendesk目前对上述Zendes亚博k产品中用于保护PHI的最低有效安全配置的建议。本文件不构成对此类数据的所有控制的详尽模板，也不构成法律建议。每个Zen亚博desk订户应就其HIPAA合规性要求寻求自己的法律顾问，并应根据每个订户自己的独立分析对其安全配置进行额外更改，只要此类更改不会抵消或降低本文档中概述的配置的安全性。

启用HDS的帐户:

本文件中使用的所有大写术语均具有Zendesk主订阅协议的HDS条款附件(“HDS条款附件”)中所赋予的含义。亚博
亚博Zendesk和订阅者已签订某些HDS条款附件，其中要求订阅者在将任何个人健康信息(“PHI”)引入服务之前，对任何和所有HDS启用的帐户实施并遵守以下配置。本文件中使用的所有大写术语均具有HDS术语附录中所赋予的含义。
认购人未能实施和遵守以下所列的任何特定配置，或以下所列的任何系列所需配置，应由认购人自行承担风险并由认购人自行决定;此等失败将免除Zendesk及其员工、代理和关联公司对因订户此亚博类失败而导致的订户服务数据(包括任何电子个人健康信息)的任何未经授权访问、不当使用或披露的任何责任。
对于任何启用HDS的帐户，必须为Zendesk支持设置以下最低安全配置，并在HDS条款附录中予以确认亚博:

对于任何启用HDS的帐户，必须为Zendesk支持设置以下最低安全配置，并在HDS条款附录中予以确认亚博:

1. 通过以下两种方法之一进行安全代理身份验证:
1. 用人原生Zende亚博sk支持密码设置:(i)设置为“高”；或(ii)由订阅方以建立不低于“高”设置下建立的安全要求的方式进行定制。此外，根据本小节中的选项，订阅者还必须在服务中启用和强制双因素身份验证(“2FA”);并且，允许管理员为最终用户设置密码的管理控制必须禁用;或
2. 利用外部单点登录(“SSO”)解决方案，其安全要求不低于Zendesk“High”密码设置，并在所选解决方案中为所有代理访问启用和强制2因素身份验证。亚博必须禁用允许管理员为最终用户设置密码的管理控制。
3. 使用SSO作为身份验证方法的所有身份验证选择必须禁用密码访问．
2. HDS启用帐户上的安全套接字层(“SSL”)加密必须始终保持启用状态。使用zendesk.com以外的域的HDS帐户必须建立和亚博维护托管SSL．
3. 代理访问必须是仅限于特定的IP地址在登记人的控制下支持而且闲谈，聊天除非订阅服务器如上述需求1中所述为代理启用多因素身份验证。A或者1。b(本机在服务中，或与企业SSO结合在订阅者的环境中)。为免生疑问，“代理访问权限”应指授予通过用户界面(“UI”)访问服务数据的人工代理的访问权限。
4. 如果订阅方的HDS启用帐户允许调用Zendesk应用程序编程接口(“API”)，则订阅方应承担理解所有允许通过此类访问和/或集成亚博创建、访问、修改或删除服务数据和PHI的订阅方或第三方实体的安全影响的所有责任。为了访问上述API，订户应基于所使用的API模型实施以下安全最佳实践:
1. OAuth 2.0方法．此模型提供了最细粒度的安全功能，但要求最终用户接受授权。在可能的情况下，订阅方将利用OAuth 2.0方法和认证方案．订阅者将为每个OAuth客户端提供一个描述性的、唯一的客户端名称和唯一标识符指定功能。授予每个OAuth令牌的权限应该允许完成所需任务所需的最少权限。
2. REST API令牌方法．这个模型是最广泛的，并且允许API令牌利用API模型的全部功能。就其性质而言，它提供了最广泛的访问和功能，应该谨慎使用。使用此方法时，订阅者将(i)为每个服务使用唯一的令牌，并为令牌提供描述性名称指定功能;(ii)不与任何第三方共享API令牌，除非合理要求并根据端到端加密的传输方法;(iii)确认如果API令牌与第三方共享，且“订户”获悉第三方数据泄露，“订户”将立即轮换相关令牌;和(iv)至少每一百八十(180)天轮换一次代币。订户应遵守服务规定REST API服务条款。
5. 订阅者必须启用“下载需要认证”以便要求身份验证才能访问附件．
6. 订阅方必须系统地在所有代理、管理员和所有者访问的端点上强制使用密码锁定屏幕保护程序或启动屏幕集，使其在系统不活动的最长十五(15)分钟内启动。
7. 订阅者不得更改允许用户查看整个组织的更新的查看权限，也不得更改允许用户访问超出自己票证范围的默认设置(除非订阅者承担确保此类用户已获订阅者批准访问所有后续数据的全部责任)。
8. 订阅者承认，Zendesk不负责确保最终用户的电子邮件传输亚博以及相关服务数据在接收到订阅者的Zendesk支持实例之前的安全。这包括可能通过回复Zendesk支持票的电子邮件传递的任何PHI，包括但不限于票评论或附件。亚博
9. 订户确认，当订户的代理响应Zendesk支持票据时，Zen亚博desk支持向最终用户发送电子邮件。默认情况下，此电子邮件包含代理发送回最终用户的任何通信，并且可能包括PHI。为了进一步保护订阅者，他们的Zendesk支持实例应该是亚博配置为只通知终端用户代理已响应，并要求最终用户验证到Zendesk Support以查看消息的内容亚博．
10. 订户承认，其自行决定在任何Zendesk服务中使用的任何文本消息功能都以SMS和/或相关协议为基础，这可能涉及发送到或发送出服务的消息的未加密传输。亚博因此，短信功能应该:
1. 不能用于HDS启用帐户*，或
2. 如果使用，订阅方承担使用该功能的所有责任。

*为免生疑问，第10节中与ePHI有关的关于SMS的数据警告不适用于产品内部的2FA使用(如第1.a节所述)，因为这种功能只是发送一个数字字符串用于身份验证。

对于任何启用HDS的帐户，必须为Zendesk指南和收集服务设置以下最低安全配置，并在HDS条款附录中予以确亚博认:

1. 订阅者承认，《指南》和《收集服务》本质上是公开的(在不利用“内部”帮助中心的知识产权限制的情况下)，因此订阅者应确保Zendesk《指南》或《收集服务》中的任何文章不包含PHI，无论是通过文章的文本，还是作为文章的附件，或文章中的图像。亚博
2. 认购人应选择禁用终端用户添加注释的能力在Ze亚博ndesk指南中，或调节并承担从所有评论中删除PHI的责任．
3. 订户不得在聚合服务中使用非员工“社区版主”。

对于任何启用HDS的帐户，必须为Zendesk聊天服务设置以下最低安全配置，并在HDS条款附录中予以确认:亚博

1. 订户应通过与Zendesk支持服务耦合并通过Zendesk支持服务进行身份验证来限制座席对亚博Zendesk聊天服务的访问。
2. 用户应禁用电子邮件管道．
3. 订户不得启用“代理工作区”，除非其承担完全责任确保(i)聊天中不存在ePHI，和/或(ii)订户允许所有代理查看此类数据。

为使用Zendesk Explore Service，必须设置以下最低安全配置，并在HDS条款附件中为任何启用HDS的亚博帐户确认:

订阅者承认，ePHI可能会通过用户名、门票标题、字段和表单选择以及自由表单文本字段中的任何内容出现在Explore产品中。

1. 对于任何包含PHI的范围内服务实例，订阅者应(i)仅向能够访问父服务实例中可能包含PHI的所有票据/呼叫/聊天的代理授予对Explore接口的访问权限，并且(ii)授予此类访问权限时应考虑在其环境中使用Explore所需的最少权限。有关在Explore中配置访问级别的详细信息，请参见在这里．
2. 在利用“导出”功能时，(i)认购人承认PHI可以转移到认购人允许访问代理界面的设备上，该设备上的所有附属控件均由认购人负责，并且(ii)认购人应拒绝通过电子邮件对上述导出报告使用本机导出功能，除非认购人承担以下责任:(a)确保该导出中不包含PHI;或(b)用于此类传输的电子邮件服务可以通过当时的PCI标准允许的最低加密协议进行加密。

*使用Explore Enterprise的特别注意事项:

订阅者承认，使用Explore企业服务可能会增加数据共享和导出功能。用户应当:

1. (i)确保这样的仪表板中不存在ePHI，和/或(ii)只与被批准查看和接收这些数据的代理、组、列表或最终用户共享仪表板。
2. 利用知识产权限制
3. 在通过统一资源定位器(URL)共享仪表板的情况下，订阅方承认，数据应通过访问链接共享，而不是与个人或组用户帐户共享。因此，认购人应(i)启用密码保护，(ii)确保所选密码的复杂性、轮换、存储和分发给接收方符合认购人保护此类仪表板中包含的数据的密码策略，并且(iii)在怀疑或确认暴露时，不应无故延迟轮换

使用Zendesk移动应用程序(或通过智能手机或平板电脑等移动设备进行访问)时，必须设置以下最低安全配置，并在HDS条亚博款展上对任何HDS启用帐户予以确认:

1. 使用应包括设备级加密
2. 将生物识别或PIN访问设置为允许的最高设备设置
3. 允许票务评论显示在此类设备锁屏上的通知应禁用
4. 屏幕不活动锁定应启用并配置为锁定不超过15分钟的不活动。

关于已部署关联服务(“附加组件”)的产品内功能的通知:

1. 协作部署的关联服务:“侧对话。”订户承认，使用“Side Conversation”功能可能会在订户的支持实例中创建“child ticket”或“Side Conversation”消息，或通过ticket、电子邮件、Slack或集成(由配置代理自行决定)向收件人发送“child ticket”或“Side Conversation”消息。如果订户选择在HDS启用的帐户中使用此功能，订户将承担以下任何责任:(i)确保此类消息中不存在PHI，或(ii)如果消息中可能存在PHI，订户将全权负责通过“Side Conversation”功能交换消息而导致的与未经授权的获取、访问、使用或披露PHI相关的任何责任、成本、损害或损害。

免责声明:由于法律法规的变更或Zendesk服务的变更，本文档中的安全配置可能会不时变更。亚博本文件包含Zendesk目前对上述Zendes亚博k产品中用于保护PHI的最低有效安全配置的建议。本文件不构成对此类数据的所有控制的详尽模板，也不构成法律建议。每个Zen亚博desk订户应就其HDS合规性要求寻求自己的法律顾问，并应根据每个订户自己的独立分析对其安全配置进行额外更改，只要此类更改不会抵消或降低本文档中概述的配置的安全性。