用途
Twilio 上的 HIPAA 合规是共同责任：Twilio 提供合规服务和配置工具，但应用程序必须正确架构。配置错误意味着 PHI（受保护健康信息）暴露和合规违规。本技能给出完整配置流程。
执行顺序：签署 BAA → 指定 HIPAA 项目 → 仅使用合规服务 → 遵循各产品要求。
第一步：签署 BAA
- 联系 Twilio 客户代表签署业务伙伴协议（BAA）。
- 购买包含 HIPAA Accounts 的 Twilio Editions 套餐。
- 在任何 PHI 接触 Twilio 基础设施之前，BAA 是必需的。
第二步：指定 HIPAA 项目
自助方式（2024 年 6 月 6 日之后发起的 BAA）：
- 在 Twilio Console 中创建 Organization。
- 将账户/项目/子账户链接到该 Organization。
- Console → Twilio Admin → Accounts → 选择账户 → 启用 HIPAA 标记。
- 保存。
工单方式（2024 年 6 月 6 日之前发起的 BAA）：
- 通过 Console 提交 Support 工单，请求为特定账户/项目/子账户指定 HIPAA。
子账户行为：
- 现有子账户不会自动指定——必须逐个标记。
- 指定之后新建的子账户会自动继承 HIPAA 状态。
- 应逐一核实每个子账户的 HIPAA 标记，不要假设继承生效。
启用 HIPAA 后的变化：
- Console 闲置 15 分钟后自动登出。
- 账户豁免某些内容审核（但仍受运营商投诉审查）。
- 支持工单中不得包含 PHI——使用 SID（CallSid、MessageSid）而非电话号码。
HIPAA 合规服务
合规服务（用于 PHI 工作流）：
- Voice：Programmable Voice、Recordings*、Transcription*、Media Streams*、ConversationRelay*、Conversational Intelligence for Voice*、SIP Interface*、Elastic SIP Trunking*、Voice Insights、AMD、<Pay>、Conference、Coaching、Transfers
- SMS：Programmable SMS、MMS、Long Codes、Toll-Free、Short Codes、Messaging Services（opt-out、fallback、geomatch、sticky sender、scheduling、link shortening）
- Identity：Verify（仅 SMS + Voice + Push）、Lookup
- Conversations：Chat、SMS、MMS、Group Texting（不含 WhatsApp）
- Flex：Voice、SMS、Chat、Conversations、Webchat 3.x.x*、TaskRouter、Proxy、Flex Insights*
- Segment：Connections（Sources、Destinations*、Functions*）、Reverse ETL*、Unify、Engage Foundations*、Protocols、Privacy Portal*
- Runtime：Studio*、Functions、Debugger、API Explorer、Sync、Private Assets*、TwiML Bin*
- Data：Event Streams
带 * 的项目需要按《Architecting for HIPAA on Twilio》指南进行额外配置。
不合规服务（不得用于 PHI）：
- WhatsApp——Meta 不提供 BAA
- SendGrid Email（包括 Flex 中的 Email 和 Verify Email 渠道）
- AI Assistants（包括 Voice for AI Assistants）
- Verify Fraud Guard
- Conversational Intelligence for Conversations（仅 Voice 渠道合规）
- Agent Copilot、Flex 中的 Unified Profiles
- Engage Premier、Generative Audiences、Campaigns
- Twilio Marketplace 附加组件——即使有第三方 BAA 也不合规
- Autopilot
- Flex Webchat 2.x.x（必须迁移到 3.x.x）
地域限制：Voice 和 SMS 的 HIPAA 流量仅限美国区号。
各产品要求
Voice 与录音：
- 录音 URL 需要 HTTP 认证——在 Console → Voice Settings 中启用。录音 URL 默认是公开的。
- 建议启用录音加密——在云存储前用你的公钥加密。
- ConversationRelay：你的 AI 提供商必须拥有自己的 BAA。不得用于临床/医疗决策。
- Conversation Intelligence for Voice：生成式操作符仅支持 Azure OpenAI。操作符提示中不得包含 PHI。HIPAA 账户自动禁用数据使用。建议启用 PII 脱敏（自动脱敏 21 种 PHI 字段类型）。
SMS 与 MMS：
- MMS 媒体 URL 需要 HTTP 认证——在 Console → Messaging → Settings → General 中启用。
- 建议启用消息脱敏——从 Console/API/支持中脱敏消息正文和电话号码。
- 消息标签中不得包含 PHI——Message Tagging 中的自定义属性不得含 PHI。
Message Redaction 前提条件：
- 在 Messaging Services 上禁用 Sticky Sender 和 Fallback to Long Code。
- 联系 Support 禁用内置 STOP 过滤（然后实现自定义 STOP 处理）。
- 将所有 webhook 设置为 POST（GET 会记录参数 7 天，使脱敏失效）。
- 与 Studio、Flex 和 Conversations 不兼容。
Verify：
- 仅支持 SMS、Voice 和 Push 渠道——Email 渠道不合规。
- Fraud Guard 不合规——不得在 HIPAA 工作流中启用。
Flex：
- Flex Insights：Twilio 自动脱敏 TaskRouter 属性中的 PII（姓名、电话、邮箱）。可视化波形和语音指标被禁用。
- 客户须：确保保留的 Attribute 字段、Comments 或 Assessments 中无 PHI。实现会话超时（Flex 无内置超时）。为 HIPAA 保护 Flex 插件。
- Flex HIPAA 工作流中不得使用 WhatsApp、Facebook Messenger 或 SendGrid Email。
Event Streams：
- 客户负责 HIPAA 合规的接收端配置（例如 AWS Kinesis 需要 Amazon 的 HIPAA 架构）。
- 不合规产品的事件类型不得处理 PHI。
禁止事项
- 不得将 WhatsApp 用于 HIPAA 工作流——Meta 不提供 BAA。适用于所有 Twilio 产品（Conversations、Flex、Frontline）。
- 不得使用 SendGrid Email——在任何场景下都不合规（Verify、Flex、独立使用）。
- 不得使用 Verify Fraud Guard 或 Email 渠道——不合规。仅 SMS、Voice、Push。
- 不得使用 AI Assistants——即使配合 ConversationRelay，AI Assistants 集成也不合规。
- 不得使用非美国区号——Voice 和 SMS 的 HIPAA 流量仅限美国区号。
- 不得在支持工单中放入 PHI——使用 SID 排查问题。使用 Console 聊天、邮件或支持中心。
- 不得假设子账户继承 HIPAA——现有子账户必须逐个标记。
- 不得在 Message Redaction 中使用 GET webhook——GET 参数会记录 7 天。
- 不得使用 Marketplace 附加组件——即使有第三方 BAA，Marketplace 也不合规。
- 不得对 Conversations 使用 Conversation Intelligence——仅 Voice 渠道合规。
后续步骤
- 认证设置：twilio-security-api-auth
- HIPAA 隔离的账户结构：twilio-account-setup
- 凭证安全：twilio-security-hardening
- 流量合规（TCPA、GDPR、PCI）：twilio-compliance-traffic
- 官方文档：HIPAA Eligible Services（PDF）| Architecting for HIPAA（PDF）| HIPAA account flag | Message Redaction