Salesforce firmará una Adenda de Socio Comercial (BAA) de HIPAA para una lista definida de sus servicios, pero el BAA no hace que su org cumpla por sí solo. El acuerdo cubre productos específicos y trae condiciones, como cifrar la información de salud. Todo lo demás, incluido quién puede ver qué, cómo se configuran los datos y qué herramientas de terceros los tocan, sigue siendo responsabilidad suya.
Esta guía es para organizaciones de salud sin fines de lucro y organizaciones de salud comunitaria. Explica qué es un BAA, qué cubre la lista publicada de Salesforce y qué debe hacer todavía su equipo. Es información general, no asesoría legal. Pida a su oficial de cumplimiento o a su asesor legal que revise su propio acuerdo. Las fuentes que siguen se consultaron en noviembre de 2026, y Salesforce actualiza su lista con frecuencia.
Qué es un BAA
HIPAA es la ley federal de Estados Unidos que protege la información de salud. Cuando un proveedor de salud, un plan de salud o una "entidad cubierta" similar usa a un proveedor que maneja información de salud protegida (PHI) en su nombre, ese proveedor es un socio comercial (business associate). El Departamento de Salud y Servicios Humanos (HHS) indica que una entidad cubierta debe obtener garantías satisfactorias por escrito, normalmente en un contrato, de que el socio comercial protegerá la PHI (HHS, consultado en noviembre de 2026). Ese contrato es el acuerdo de socio comercial, o BAA.
HHS indica que el acuerdo debe establecer los usos permitidos de la PHI, exigir medidas de protección, exigir el reporte de incidentes y brechas, y extender las mismas obligaciones a los subcontratistas, entre otros términos.
HHS también afirma que un proveedor de nube que almacena o procesa PHI electrónica para una entidad cubierta es un socio comercial y necesita un BAA. Esto se mantiene incluso si el proveedor solo almacena datos cifrados y no tiene la llave (guía de HHS sobre computación en la nube, consultada en noviembre de 2026).
No toda organización sin fines de lucro es una entidad cubierta. Es posible que una organización comunitaria que atiende a clientes pero no es proveedor, plan ni socio comercial de uno no esté sujeta directamente a HIPAA. Sin embargo, muchas sí lo están, porque facturan a planes de salud o reciben datos de hospitales y planes. Consulte con su asesor legal cuál es su caso.
Qué ofrece Salesforce
Salesforce publica una página, Business Associate Addendum Restrictions (actualizada por última vez el 30 de septiembre de 2026 cuando la consultamos), que enumera los servicios que pueden usarse con PHI bajo su BAA y las condiciones que se aplican. Su sitio de cumplimiento, compliance.salesforce.com, remite a los clientes a esa lista e indica que se comuniquen con su representante de cuenta sobre la adenda.
La cobertura aplica solo cuando su BAA firmado incluye el servicio y usted cumple las condiciones. Si el BAA y la página web se contradicen, prevalece el BAA.
Qué cubre la lista
La lista es larga y cambia con el tiempo, así que lea la página vigente en lugar de un resumen como el nuestro. En la versión que consultamos en noviembre de 2026, los servicios cubiertos incluían:
- Sales Cloud y Service Cloud
- Health Cloud
- Nonprofit Cloud Services
- Experience Cloud
- Lightning Platform
- Salesforce Shield
- Salesforce Data 360
- MuleSoft
- Tableau Cloud
- Planes Slack Enterprise
El registro de cambios de Salesforce, con fecha del 31 de julio de 2026, señala adiciones como Nonprofit Cloud y Salesforce Contracts (registro de cambios de Salesforce, consultado en noviembre de 2026). El producto que Salesforce ahora llama Agentforce Nonprofit (anteriormente Nonprofit Cloud) aparece en la página con el nombre anterior, así que revise cómo figura su edición y confírmelo con Salesforce.
Algunos elementos quedan explícitamente fuera del BAA, entre ellos ciertas funciones de Einstein y Marketing Cloud, Tableau Server y Bridge, y Heroku Common Runtime. Si una herramienta no está en la lista cubierta, no ponga PHI en ella hasta que Salesforce lo confirme por escrito.
Condiciones que vienen con el BAA
La página de restricciones impone varias obligaciones al cliente. Según la versión que consultamos:
- Cifrar la PHI. Los clientes deben cifrar la PHI enviada a través de los servicios cubiertos y, cuando controlan el almacenamiento, la PHI almacenada en ellos, siguiendo la guía de HHS.
- Cumplir las políticas de uso aceptable. Esto incluye la política de uso aceptable de IA de Salesforce cuando se aplican funciones de IA.
- Usar enmascaramiento de datos para las funciones de IA cuando esté bajo su control.
- Sin uso clínico de ciertos servicios de IA. Varios servicios de IA y análisis no son para asesoría médica, diagnóstico, tratamiento ni para inferir condiciones de salud.
- Responsabilizarse de los terceros. Usted es responsable del cumplimiento de HIPAA de la telefonía de terceros, los proveedores de modelos de lenguaje, las herramientas de firma electrónica y las fuentes de datos externas que conecte.
- Reglas específicas de cada servicio. Slack, Heroku, MuleSoft y otros tienen cada uno sus propios requisitos.
Estas condiciones son la razón por la que "Salesforce cumple con HIPAA" es una forma equivocada de decirlo. La versión precisa es que Salesforce ofrece un BAA para los servicios listados, sujeto a condiciones, y que su cumplimiento depende de su configuración y de su acuerdo.
Qué sigue siendo su trabajo
HHS es claro en que firmar un BAA es solo el requisito de entrada. Los clientes todavía deben realizar su propio análisis de riesgos y gestionar el riesgo, y HHS recomienda que el proveedor y el cliente confirmen por escrito cómo cumplirá cada uno los requisitos de la Regla de Seguridad (guía de HHS sobre computación en la nube). Para una org de Salesforce, eso suele significar lo siguiente.
Controle quién puede ver la PHI
El estándar de mínimo necesario de HIPAA significa que las personas solo deben ver lo que su trabajo requiere. En Salesforce eso es su modelo de uso compartido, los perfiles, los conjuntos de permisos y la seguridad a nivel de campo. Permisos poderosos como View All Data se saltan por completo las reglas de uso compartido. Explicamos los permisos que importan en quién puede ver los datos de salud de sus clientes en Salesforce, y cómo construir el acceso por capas en conjuntos de permisos vs perfiles.
Cifre y proteja los campos sensibles
El BAA exige el cifrado de la PHI cuando usted controla el almacenamiento. Salesforce ofrece Shield Platform Encryption para este fin, y está en la lista cubierta, pero es un complemento con sus propias contrapartidas. Nuestra opinión en lenguaje sencillo está en ¿vale la pena Salesforce Shield?.
Audite el acceso y dé de baja rápido
Revise quién tiene acceso al menos cada trimestre. Desactive a los usuarios el día que se van. Registre quién exporta datos.
Gestione las integraciones y los proveedores
Cada aplicación conectada, integración y consultor con acceso a PHI requiere escrutinio. Los consultores que tocan datos de producción pueden necesitar sus propios acuerdos de socio comercial posteriores (downstream) con usted. Estándares como HL7 y FHIR son formas comunes de intercambiar datos de salud, y cada conexión debe revisarse para saber qué expone. Vea HL7 vs FHIR.
Proteja sus sandboxes
Los sandboxes pueden contener copias de registros reales. Enmascare o elimine la PHI antes de que desarrolladores o probadores los usen.
Capacite a su gente y documente sus decisiones
Una política que nadie sigue no protege a nadie. Documente su análisis de riesgos, sus decisiones de configuración y su capacitación.
Qué productos de Salesforce se usan para PHI
Las organizaciones de salud sin fines de lucro suelen usar Health Cloud para la coordinación de la atención, o Agentforce Nonprofit o una configuración personalizada sobre Lightning Platform para la gestión de programas y casos. Cuál es el adecuado depende de sus flujos de trabajo, no del BAA. Tanto Health Cloud como la propia plataforma aparecen en la lista de Salesforce. Para un ejemplo de cómo los equipos de salud comunitaria usan Health Cloud, vea Health Cloud para la salud comunitaria.
Una lista de verificación breve antes de cargar PHI
- Confirme que existe su BAA firmado y que enumera cada servicio de Salesforce que planea usar.
- Lea la página de restricciones vigente y anote las condiciones que aplican.
- Decida qué PHI necesita realmente en Salesforce.
- Configure el cifrado, el uso compartido y la seguridad a nivel de campo.
- Revise las integraciones, las funciones de IA y las herramientas de terceros.
- Documente su análisis de riesgos y capacite a sus usuarios.
Preguntas frecuentes
¿Firma Salesforce un BAA de HIPAA?
Sí, para una lista definida de servicios. Usted solicita la adenda a través de su representante de cuenta de Salesforce, y la cobertura aplica solo a los servicios que incluya su BAA firmado.
¿Cumple Salesforce con HIPAA?
No es un simple sí o no. Salesforce ofrece un BAA para los servicios listados bajo condiciones establecidas. Que su uso cumpla depende de cómo configure la org y de lo que diga su acuerdo.
¿Cubre el BAA todos los productos de Salesforce?
No. Algunos productos y funciones están excluidos, y la lista cambia con el tiempo. Revise la página de restricciones vigente y confírmelo con Salesforce.
¿Necesitamos Shield para usar Salesforce con PHI?
El BAA exige el cifrado de la PHI cuando usted controla el almacenamiento, pero no nombra una herramienta como la única opción. Hable de su enfoque de cifrado con Salesforce y con su asesor de cumplimiento.
¿Podemos usar funciones de IA con PHI?
Solo las cubiertas por su BAA, y con las condiciones que Salesforce enumera, como el enmascaramiento de datos y la prohibición de uso clínico para ciertos servicios. Revise la página de restricciones antes de habilitar cualquier función de IA.
¿Es esto asesoría legal?
No. Es información general. Su asesor legal o su oficial de cumplimiento debe revisar su BAA y su configuración.
¿Quiere una segunda opinión sobre su configuración?
Podemos revisar cómo se almacena, se comparte y se exporta la PHI en su org de Salesforce y decirle qué corregir primero. Reserve una revisión gratuita de Salesforce.