​

Business Associate Agreement (BAA)

Este es un control HIPAA propiedad del inquilino: usted decide si el PHI está en el ámbito, ejecuta el acuerdo de forma deliberada y lo vuelve a ejecutar antes de que venza el plazo anual. Devotel suministra la canalización de firma electrónica — la representación de la plantilla, la captura de la firma mecanografiada, el anclaje inmutable de la auditoría y el PDF ejecutado almacenado — pero la determinación legal de que el PHI está en el ámbito es suya.

​

Estados de baa_status

{
  "baa_status": "executed",
  "baa_executed_at": "2026-08-10T14:22:31.410Z",
  "baa_template_version": "v1",
  "baa_signer_name": "Jane Roe",
  "baa_signer_email": "jane@example.com",
  "baa_pdf_gcs_url": "gs://…/baa/org_…/baa_….pdf",
  "hipaa_required": true,
  "expires_at": "2027-08-10T14:22:31.410Z",
  "days_until_expiry": 342
}

​

Por qué el flujo comienza con una acreditación

​

El flujo de endpoints

​

1. Leer el estado actual

curl "https://api.orbit.devotel.io/api/v1/compliance/baa" \
  -H "Authorization: Bearer sk_live_..."

​

2. Previsualizar la plantilla

curl "https://api.orbit.devotel.io/api/v1/compliance/baa/template?version=v1" \
  -H "Authorization: Bearer sk_live_..."

{
  "version": "v1",
  "covered_entity_name": "Acme Health Ltd",
  "format": "markdown",
  "body": "# Business Associate Agreement\n\nThis Business Associate Agreement..."
}

​

3. Acreditar que el PHI está en el ámbito

curl -X POST "https://api.orbit.devotel.io/api/v1/compliance/baa/require" \
  -H "Authorization: Bearer sk_live_..." \
  -H "Content-Type: application/json" \
  -d '{ "reason": "We began sending patient appointment reminders that contain PHI." }'

​

4. Ejecutar con una firma electrónica de escribir-el-nombre

curl -X POST "https://api.orbit.devotel.io/api/v1/compliance/baa/execute" \
  -H "Authorization: Bearer sk_live_..." \
  -H "Content-Type: application/json" \
  -d '{
    "signer_name": "Jane Roe",
    "signer_email": "jane@example.com",
    "typed_attestation": "Jane Roe"
  }'

1. Representa la plantilla con los datos del firmante, las marcas de tiempo de ejecución y una referencia de documento generada
2. Almacena el documento representado como el PDF ejecutado canónico
3. Estampa la organización como executed con el firmante, la versión de la plantilla y la marca de tiempo de ejecución, y registra el vencimiento (ejecución más el plazo estándar de un año)
4. Escribe una entrada compliance.baa.executed en el registro de auditoría junto con el método de firma (type_the_name): la entrada de auditoría es la evidencia legal de la acreditación, y el PDF almacenado es el documento canónico

{
  "baa_status": "executed",
  "baa_executed_at": "2026-08-24T09:41:12.008Z",
  "baa_template_version": "v1",
  "baa_signer_name": "Jane Roe",
  "baa_signer_email": "jane@example.com",
  "baa_id": "baa_9f2k…",
  "expires_at": "2027-08-24T09:41:12.008Z",
  "days_until_expiry": 365,
  "hipaa_required": true
}

​

5. Descargar la copia ejecutada

curl "https://api.orbit.devotel.io/api/v1/compliance/baa/download" \
  -H "Authorization: Bearer sk_live_..."

{
  "url": "https://storage.googleapis.com/…/baa/org_…/baa_….pdf?X-Goog-Signature=…",
  "expires_in_seconds": 86400
}

​

6. Revertir al valor predeterminado de la plataforma

curl -X POST "https://api.orbit.devotel.io/api/v1/compliance/baa/revert" \
  -H "Authorization: Bearer sk_live_..." \
  -H "Content-Type: application/json" \
  -d '{ "reason": "Organization no longer processes PHI; returning to default posture." }'

​

Decline: acreditar que ningún PHI está en el ámbito

​

Roles y la cadena de auditoría

​

Qué cambia una vez que un BAA está ejecutado

1. Levanta la puerta de envío de PHI. Mientras hipaa_required sea verdadero y no haya un BAA en plazo registrado, los envíos salientes que tocan PHI se rechazan con 422 HIPAA_BAA_REQUIRED. Un BAA ejecutado elimina ese rechazo. (La resolución de la puerta y su comportamiento fail-closed están documentados en Send gates.)
2. Desbloquea el modo HIPAA. Habilitar el modo HIPAA requiere baa_status = "executed"; intentarlo antes de la ejecución devuelve 403. Una vez que el modo HIPAA está activado, los controles descritos en HIPAA compliance controls — el registro de acceso a PHI, la retención de datos y el resto — se aplican al espacio de trabajo.

​

Flujo del panel

1. Tarjeta de estado — muestra el baa_status actual, la fecha de ejecución, el firmante y un banner de re-ejecución cuando el plazo está dentro de los 60 días previos al vencimiento
2. Previsualización de la plantilla — el acuerdo representado con el nombre de su organización ya rellenado
3. Formulario de acreditación — el nombre y el correo electrónico del firmante más el campo de firma de escribir-el-nombre, mostrado a los owners cuando el estado es pending
4. Descarga — un enlace a la copia ejecutada una vez ejecutada, con una URL fresca de 24 horas en cada solicitud

​

Preguntas frecuentes