Respuesta corta: un sí o un no sobre Zoom no sale del HHS, que no certifica productos como «HIPAA compliant». Según el HHS, los proveedores de atención médica y los planes de salud cubiertos tienen que usar proveedores de tecnología que «cumplan las reglas de la HIPAA». Esos proveedores, dice, «suscribirán acuerdos de socio comercial de la HIPAA» para sus productos de comunicación por video. La página de Zoom sobre su BAA dice que Zoom firma acuerdos de socio comercial (BAA) con clientes de planes de pago. También dice que los clientes son responsables de que su uso de Zoom concuerde con sus obligaciones con la HIPAA. El resto de la guía muestra cómo saber si la HIPAA cubre tu clínica, qué cubre el BAA de Zoom y qué sugiere el HHS contar al paciente.
Antes de leer: esta guía se basa en las páginas del HHS sobre la tecnología de telemedicina, las entidades cubiertas, las afirmaciones sobre productos y la educación del paciente. También usa de Zoom el artículo sobre su BAA, una entrada del blog y la página de precios, y el estatuto de telemedicina de Florida, en Online Sunshine. Las páginas están en inglés, salvo la de precios de Zoom, y las traducciones de lo que citamos son nuestras. Las consultamos el 13 de noviembre de 2026. Que la HIPAA se aplique a tu clínica, y lo que necesiten sus consultas por video, depende de cómo trate los datos de salud. Más abajo citamos la definición de entidad cubierta del HHS. Es información general, no asesoría legal.
Lo que dice el HHS sobre los proveedores de video
La página del HHS sobre las reglas de la HIPAA para la tecnología de telemedicina se actualizó por última vez el 6 de noviembre de 2023. Dice que las reglas fijan estándares para proteger la información de salud protegida de los pacientes.
Dice que todos los servicios de telemedicina que prestan los proveedores de atención médica y los planes de salud cubiertos tienen que cumplir las reglas de la HIPAA.
Sobre los proveedores de tecnología, dice que los proveedores de atención médica y los planes de salud cubiertos tienen que usar proveedores que «cumplan las reglas de la HIPAA». Esos proveedores, añade, «suscribirán acuerdos de socio comercial de la HIPAA» en relación con sus productos de comunicación por video u otras tecnologías de comunicación remota para telemedicina.
Otra página del HHS trata del marketing engañoso. Dice que ni el HHS ni su Oficina de Derechos Civiles (OCR) certifican a una persona o a un producto como «HIPAA compliant».
A nuestro juicio, cuando la página de un producto de video dice «HIPAA compliant», tómalo como una afirmación por verificar y pregunta qué planes cubre el BAA.
La página de la OCR sobre la HIPAA y la telemedicina tiene contenido revisado por última vez el 18 de octubre de 2023. Trata las notificaciones de discreción en la aplicación de las reglas de la HIPAA durante la emergencia de salud pública por la COVID-19.
La Notificación de discreción para telemedicina anunció que la OCR no impondría sanciones por infracciones de la HIPAA a los proveedores cubiertos que prestaran telemedicina de buena fe. Eso valía para la telemedicina con «non-public facing remote communication technologies» (tecnologías de comunicación remota que no se dirigen al público) durante la emergencia.
Según la página, la OCR anunció el 12 de abril de 2023 que las notificaciones expirarían a las 11:59 pm del 11 de mayo de 2023. La OCR dio a los proveedores de atención médica cubiertos un período de transición de 90 días naturales, hasta el 9 de agosto de 2023.
A nuestro juicio, si tu clínica empezó las consultas por video durante la emergencia, revisa tu configuración con las páginas del HHS que se citan aquí.
El BAA de Zoom y sus planes
Zoom tiene un artículo de soporte sobre su BAA, actualizado el 23 de octubre de 2026. Dice que Zoom firma BAA con clientes, incluidos los de educación superior y de salud.
El artículo dice que Zoom ofrece los planes Pro, Business, Business Plus y Enterprise a clientes del sector de salud. Añade que Zoom también firma BAA con clientes de otros planes de pago que aparecen en la página de planes y precios de Zoom.
Para un plan Pro, el artículo dice que el comprador acepta el BAA al pagar. El comprador elige «United States Agreement (BAA)» en el menú «Select Business Country», pulsa «Read Agreement» y después «I accept», si está de acuerdo con las condiciones.
Para Business, Business Plus o Enterprise, dice que hay que contactar con Ventas para firmar un BAA con Zoom.
Una cuenta que ya tiene un plan de salud puede activar el BAA en el portal web de Zoom. El artículo dice que un administrador con permisos para editar los ajustes de la cuenta abre «Plans and Billing» y pulsa «View more products». Después baja hasta «Business Associate Agreement (US only)» y pulsa «Enable».
El artículo añade que un administrador puede ver la fecha de entrada en vigor del BAA, revisarlo o desactivarlo.
Sobre las funciones de IA, el artículo dice que están disponibles para los clientes con un BAA en vigor. Dice también que Zoom da controles para gestionarlas a los administradores de la cuenta y a los usuarios. Añade que ciertas funciones de IA pueden no estar disponibles por ahora para los clientes de salud y de educación superior con un BAA en vigor.
El artículo dice también que los clientes son «responsables de asegurar» que su uso de Zoom concuerde con «sus obligaciones bajo la HIPAA o bajo otras leyes aplicables».
El blog de Zoom tiene una entrada del 2 de marzo de 2021 sobre las clínicas y los consultorios pequeños de Estados Unidos. Dice que pueden aceptar un BAA en línea y obtener Zoom Pro con hasta 9 licencias.
La entrada dice que un consultorio puede contratar Pro o pasar una cuenta Zoom Basic a Pro. Un consultorio que necesite más licencias puede contactar con el equipo de ventas, añade.
La entrada añade que el BAA da acceso a «other products and features» (otros productos y funciones), y nombra la grabación en la nube entre ellos. El artículo de soporte, actualizado en 2026, no menciona ese límite de 9 licencias.
La página de precios de Zoom, consultada el 13 de noviembre de 2026, muestra el plan Pro a $14.16 y el plan Comercial (Business en inglés) a $18.33. Son precios por usuario al mes, con facturación anual. Para Empresarial (Enterprise), pide ponerse en contacto con Zoom, y dice que los precios no incluyen los impuestos y las tasas aplicables.
La página de precios tiene un plan Básico gratuito y ningún plan llamado Business Plus, y no menciona la HIPAA ni un BAA. El artículo sobre el BAA no menciona el plan gratuito (Basic en inglés).
A nuestro juicio, pregunta a Zoom por escrito en qué plan está tu cuenta, y comprueba que tu BAA lo cubre. Empieza por el artículo de soporte, que es más reciente que la entrada del blog.
Los términos que da el HHS para un contrato de socio comercial están en nuestra guía de la web de una clínica ante la HIPAA. La misma cuestión para el proveedor de un CRM está en nuestra guía de la HIPAA y el CRM de una clínica.
Si la HIPAA cubre a tu clínica
La página del HHS sobre entidades cubiertas y socios comerciales tiene contenido revisado por última vez el 21 de agosto de 2024. Dice que las reglas de la HIPAA se aplican a las entidades cubiertas y a los socios comerciales.
Describe a la entidad cubierta como un proveedor de atención médica, un plan de salud o un «health care clearinghouse» (entidad que convierte información de salud a un formato estándar). Su lista de proveedores incluye médicos, clínicas y psicólogos, entre otros.
La página añade «solo si transmiten información en formato electrónico en relación con una transacción para la cual el HHS ha adoptado un estándar».
Si una entidad no encaja en la definición de entidad cubierta ni de socio comercial, dice la página, no tiene que cumplir las reglas de la HIPAA.
Cuando una entidad cubierta contrata a un socio comercial para sus actividades y funciones de atención médica, dice la página, necesita un contrato escrito de socio comercial u otro acuerdo. También dice que los socios comerciales son «directamente responsables de cumplir ciertas disposiciones de las reglas de la HIPAA».
El HHS enlaza una herramienta de preguntas y respuestas «para averiguar si una organización o una persona es una entidad cubierta». Esta guía no dice si la HIPAA cubre a tu clínica.
A nuestro juicio, usa la herramienta del HHS para tu clínica antes de elegir una plataforma de video.
Qué decir a un paciente que reserva una consulta por video
El HHS tiene un recurso para proveedores de atención médica sobre cómo educar a los pacientes en los riesgos de privacidad y seguridad de la telemedicina. Se revisó por última vez el 17 de octubre de 2023.
Dice que las reglas de la HIPAA no exigen a los proveedores de atención médica cubiertos que eduquen a los pacientes sobre esos riesgos. La OCR lo comparte para quienes quieran explicar los riesgos y las formas de reducirlos.
Antes de la sesión de telemedicina, dice el recurso, el proveedor puede explicar qué es la telemedicina y qué tecnologías de comunicación remota va a usar.
Sugiere dar al paciente los nombres de los proveedores de las tecnologías de comunicación remota que se usan, y dónde ver sus sitios web y sus prácticas de privacidad.
También sugiere informar al paciente de las medidas de privacidad y seguridad que el proveedor de tecnología ha aceptado usar. Sugiere decirle además si la aplicación o el sitio web de telemedicina usa tecnologías de seguimiento en línea.
Entre sus ejemplos de riesgos están los virus y otro software malicioso, el acceso no autorizado y las divulgaciones accidentales. Si el paciente no está en un lugar privado, dice el recurso, otras personas podrían oír o ver información de salud sensible.
Añade que el paciente puede colocar el dispositivo de modo que otros no vean la pantalla y, si puede, usar auriculares.
El recurso sugiere también asegurarse de que el paciente sepa cuándo y cómo lo contactará el proveedor o el proveedor de tecnología. Eso puede ayudarle a evitar los «phishing emails or other scams» (correos de phishing u otras estafas), dice.
Nuestra guía de la HIPAA y los mensajes a pacientes explica qué medidas pide el HHS cuando una clínica escribe a sus pacientes por correo, texto o WhatsApp. Nuestra guía de la HIPAA y los formularios de una clínica explica qué pasa con un formulario que el paciente rellena antes de la visita.
Los consejos del HHS para pacientes, revisados por última vez el 17 de octubre de 2023, incluyen un lugar privado para la cita. También incluyen apagar dispositivos como las cámaras de seguridad del hogar y los altavoces inteligentes.
Los consejos añaden usar un ordenador o un dispositivo móvil personal si es posible, y evitar las redes Wi-Fi públicas y los puertos USB de las estaciones de carga públicas.
El recurso sugiere además decir a los pacientes que pueden presentar una queja de privacidad, y señala el portal de quejas de la OCR.
A nuestro juicio, a cada paciente que reserva dile el nombre del proveedor de video y dónde leer sus prácticas de privacidad. Comparte también los consejos del HHS antes de la visita.
Lo que dice el estatuto de telemedicina de Florida
La sección 456.47 de los Estatutos de Florida de 2026, consultada en Online Sunshine el 13 de noviembre de 2026, es el estatuto de telemedicina de Florida. Define la «telehealth» (telemedicina) como el uso de tecnología de telecomunicaciones síncrona o asíncrona por un proveedor de telemedicina para prestar servicios de atención médica.
Sus ejemplos de esos servicios incluyen la evaluación, el diagnóstico, la consulta, el tratamiento y el seguimiento de un paciente.
El estatuto define al proveedor de telemedicina por la licencia, la certificación o el registro que tiene una persona.
Sobre los registros, el estatuto dice que un proveedor de telemedicina «documentará en el historial médico del paciente los servicios de atención médica prestados por telemedicina». El estándar, añade, es «el mismo que se usa para los servicios en persona».
Añade que los registros médicos, incluidos los de video, audio, electrónicos u otros generados por esos servicios, son confidenciales según otras secciones de la ley de Florida.
Ninguna de las páginas del HHS, de Zoom y de Florida que citamos menciona los tratamientos cosméticos, así que ninguna dice dónde encaja una consulta sobre uno.
Diseño web para med spas en Feedback Studios
Nuestra página de diseño web para med spas dice que escribimos cada página y montamos la web en WordPress, donde tu equipo edita textos, fotos y secciones por su cuenta.
También dice que tu equipo decide a dónde lleva el botón de reservas: una página de reservas en línea, un chat de WhatsApp o una llamada.
Qué revisar antes de una consulta por video
A nuestro juicio, revisa estos puntos antes de una consulta por video:
- Usaste la herramienta del HHS y sabes si la HIPAA cubre a tu clínica.
- Tienes un BAA firmado con el proveedor de video y comprobaste que cubre el plan de tu cuenta.
- Alguien de tu equipo puede abrir el BAA en la cuenta del proveedor y ver su fecha de entrada en vigor.
- Anotaste las funciones que usa tu equipo, como la grabación y las de IA, y leíste qué dice la página del proveedor sobre cada una con un BAA.
- Cada paciente que reserva recibe el nombre del proveedor, dónde leer sus prácticas de privacidad y cuándo y cómo se le contactará.
- Cada paciente recibe también los consejos del HHS: un lugar privado, un dispositivo personal si es posible y ninguna red Wi-Fi pública.
RecuerdaEl HHS no certifica productos como «HIPAA compliant». Dice que los proveedores de atención médica cubiertos tienen que usar proveedores de video que suscribirán un BAA. La página de Zoom dice que Zoom firma BAA con clientes de planes de pago. Dice también que los clientes son responsables de que su uso de Zoom concuerde con sus obligaciones con la HIPAA. El HHS tiene una herramienta para averiguar si una organización es una entidad cubierta.
Preguntas sobre Zoom y la HIPAA
¿Zoom es «HIPAA compliant»?
El HHS dice que no certifica a una persona ni a un producto como «HIPAA compliant». El artículo de Zoom sobre su BAA dice que Zoom firma BAA con clientes de planes de pago. Dice también que los clientes son «responsables de asegurar» que su uso de Zoom concuerde con «sus obligaciones bajo la HIPAA o bajo otras leyes aplicables».
¿Cómo consigue una clínica un BAA de Zoom?
El artículo de Zoom sobre su BAA, actualizado el 23 de octubre de 2026, dice que un cliente que compra un plan Pro acepta el BAA al pagar. Para Business, Business Plus o Enterprise, dice que hay que contactar con Ventas para firmarlo. El artículo dice que una cuenta que ya tiene un plan de salud puede activar el BAA en el portal web.
¿El plan gratuito de Zoom incluye un BAA?
El artículo de Zoom sobre su BAA nombra Pro, Business, Business Plus y Enterprise como planes que ofrece a clientes de salud. Dice que Zoom también firma BAA con clientes de otros planes de pago. No menciona el plan gratuito. Una entrada de 2021 del blog de Zoom dice que un consultorio puede pasar una cuenta Basic a Pro para aceptar un BAA en línea.
¿Sigue en vigor la discreción de la OCR por la COVID-19 para la telemedicina?
No, dice el HHS. Según la página del HHS, la OCR anunció el 12 de abril de 2023 que las notificaciones expirarían a las 11:59 pm del 11 de mayo de 2023. Después la OCR dio a los proveedores de atención médica cubiertos un período de transición de 90 días naturales, hasta el 9 de agosto de 2023.
¿Las reglas de la HIPAA exigen a una clínica informar a los pacientes de los riesgos de las consultas por video?
No, dice el HHS. Su recurso para proveedores dice que las reglas de la HIPAA no exigen a los proveedores de atención médica cubiertos que eduquen a los pacientes sobre esos riesgos. La OCR lo comparte para quienes quieran explicarlos, y sugiere nombrar a los proveedores de tecnología y decir dónde leer sus prácticas de privacidad.
Fuentes
Las páginas se consultaron el 13 de noviembre de 2026. El HHS es el Departamento de Salud y Servicios Humanos de EE. UU., y Online Sunshine publica los Estatutos de Florida. Cuando una página muestra una fecha, va entre paréntesis.
Sobre los proveedores de video: HIPAA Rules for telehealth technology (6 de noviembre de 2023). Sobre la discreción de la OCR: HIPAA and Telehealth (18 de octubre de 2023). Sobre entidades cubiertas: Covered Entities and Business Associates (21 de agosto de 2024). Sobre las afirmaciones de marketing: What You Should Know About OCR HIPAA Privacy Rule Guidance Materials (26 de julio de 2013). Sobre los pacientes: el recurso sobre cómo educar a los pacientes en los riesgos de la telemedicina (17 de octubre de 2023). Consejos para pacientes: Telehealth Privacy and Security Tips for Patients (17 de octubre de 2023).
De Zoom: el artículo de soporte HIPAA Business Associate Agreement (BAA) (23 de octubre de 2026) y la página de precios Precios de Zoom Workplace. También de Zoom, la entrada del blog Small Healthcare Practices Can Now Go Online to Get Zoom Licenses That Enable HIPAA Compliance (2 de marzo de 2021). De Online Sunshine: Use of telehealth to provide services, sección 456.47 de los Estatutos de Florida de 2026. Las páginas del HHS, el artículo de soporte, la entrada del blog y la de Online Sunshine están en inglés, incluso con el navegador en español. La página de precios de Zoom sí tiene versión en español, y es la que enlazamos.