過去1週間をRedditのSupabaseがHIPAA準拠かどうかについての相矛盾するスレッドを読んで過ごしたのなら、短い答えはイエスですが、適切なプランで、適切なアドオンで、かつBAAに署名した後に限ります。より詳しい説明は、ほとんどのチームが初回デプロイで何を誤解するのか、そして2026年に実際のスタックがどのような構成である必要があるのかを説明しています。
2025年にこの計算を変えた2つの事実があります。VercelがPro チームにHIPAA BAAを月350ドルのアドオンとして開放し、SupabaseがHIPAAアドオンをダッシュボードからセルフサーブ化しました。プラットフォームレイヤーの合計コスト月700ドルにより、Series A前のヘルステック企業にとって防御可能なHIPAA準拠のNext.js + Supabaseスタックがようやく手の届く範囲になりました。2025年以前は同じセットアップにVercel Enterprise（中央値で年約45,000ドル）とSupabase Enterprise（カスタム価格設定、通常は同等のティア）が必要で、ほとんどの初期段階チームをAWSやAzureに押しやっていました。
2026年にSupabaseはHIPAA準拠ですか？
はい、2つの条件があります。まず、Team プラン（月599ドル）またはEnterprise プランを使用する必要があり、加えてHIPAAアドオンが月350ドルです。FreeプランとProプランはどの価格でもHIPAAをサポートしていませんし、Supabaseの Pro プラン（月25ドル）はどの構成下でもPHIを保存できません。第2に、Supabase との署名済みBusiness Associate Agreement（BAA）が必要であり、Team および Enterprise 顧客向けにダッシュボード経由で実行されます。
HIPAAアドオンなしでSupabase Proプロジェクトにおける PHI の保存は、RLSポリシーがどれだけロックダウンされていても HIPAA違反です。BAAは技術的なセーフガードをカウントさせる契約レイヤーです。BAA なし、準拠なし。スタック内の他のあらゆるベンダーと同じルールです。
Supabase HIPAA アドオンが月額$350で実際に提供するもの
$350のアドオンはProプランにはない4つのものをカバーします。署名済みBAA、追加のセキュリティコントロール(監査ログ、IPホワイトリスト、MFA強制、ログ保持期間)、コンプライアンス対応ワークロード用の専有インフラ、そして独自の監査に必要なSupabaseのコンプライアンスドキュメンテーション一式へのアクセスです。
- AES-256による保存時の暗号化、TLS 1.2以上による転送中の暗号化。Proと同じですが、契約上はBAAの範囲内です。
- PHIにアクセスするログについてHIPAAの6年保持要件を満たすよう拡張された監査ログ保持期間。
- データベースのポイントインタイムリカバリとバックアップはBAA下のスコープに含まれるため、バックアップから復元しても契約外になりません。
- ストレージバケット、Auth、Edge Functions、Realtimeはすべてスコープ内です。HIPAAワークロード向けのフルプラットフォームを利用できます。
- AI/Vector機能(pgvector)はスコープ内ですが、PHIをベクトルに埋め込む場合、埋め込み自体の暗号化体制とすべての外部埋め込みAPI呼び出しについて責任を負います。
フルスタック$700/月のHIPAA対応: Vercel + Supabase + 自身で構築する必要がある部分
2026年の防御可能なHIPAA準拠のNext.js + Supabaseスタックは、プラットフォームレイヤーで月700ドル、Vercel Pro BAA アドオンで月350ドル、Supabase HIPAAアドオンで月350ドルです。この価格はVercel ProとSupabase Teamを使用していることを想定しており、BAAの前のベース月額で合わせて約620ドルです。総最低額：約月1,320ドル、プラスシート、プラスHIPAA対応の第三者サービス。
プラットフォームBAAsがカバーする範囲
- ホスティング（Vercel）：エッジランタイム、Functions、ISR、画像最適化、ログリテンション。Pro BAAはSecure Compute（独立したネットワーク、専用IP、VPCピアリング）をカバーしません。これはEnterpriseのみで、中央値で年約45,000ドルです。
- データベース、Auth、Storage、Realtime、Edge Functions（Supabase）：すべてBAAの対象範囲内。
- DNS、CDN、ビルドパイプライン（Vercel）：対象範囲内。
プラットフォームBAAがカバーしないもの、それはあなたの責任です
- アプリケーションレイヤーでの監査ログ。PHIのすべての読み取り・書き込みは、あなた自身の監査テーブル、または Supabase Edge Function がリテンション隔離されたバケットに書き込むSupabase対応HIPAAロガーなどの外部HIPAA対応ロガーに記録される必要があります。
- 認証とセッション管理。BAAを備えたSupabase Authはクレデンシャルの保存をカバーしますが、セッション処理コード、ロールチェック、アイドルタイムアウト実行はアプリケーションレイヤーです。
- エラーログ、Sentry、Datadog、LogRocket、PostHog等に含まれるPHIは、別途HIPAA対応ティア（ほとんどが提供、全て追加料金）がない限りスコープ外です。Sentry HIPAA対応ティアはBusiness プラン（$80以上/シート/月）で利用可能です。Datadog HIPAA アドオンはEnterpriseが必須です。
- Email、Resend、Postmark、SendGrid：各々が独自のHIPAA対応ティアを備えています。Resend HIPAA対応はPro プランで2025年に実装され、別途BAAが必要です。予約リマインダーやメール内のPHI送信前に確認してください。
- サードパーティ統合、PHIに接触する外部API全てに独自のBAAが必要です。Stripe Health、Twilio HIPAA、JotForm Gold（$99/月でHIPAA対応含む）、HubSpot Healthcare等。
2026年のHIPAA準拠Next.js + Supabaseセットアップの実装手順
1. スキーマを書く前に、まずBAA(業務提携契約)に署名する
Vercel Pro アカウントをセットアップし、ダッシュボードからHIPAA BAA アドオンを追加します。Supabase Team アカウントをセットアップし、HIPAA アドオンをリクエストし、ダッシュボードからBAAに署名します。どちらもクリックスルー契約であり、Enterprise営業電話ではなく、PHIがインフラに接触する前に完了している必要があります。先に構築して後から署名すると、HIPAA対応前のストレージに到達したあらゆるPHIバイトが違反になります。
2. PHI分離を念頭に置いてスキーマを設計する
PHI列と非PHI列を分離します。RLSポリシーはPHIテーブル全てに適用する必要があり、デフォルトポリシーは拒否です。機密性の高いフィールド（SSN、診断コード、メンタルヘルスノート）にはpgcryptoで列レベル暗号化を使用します。BAAはREST時のAES-256をカバーしていますが、最も機密性の高いフィールドへの多層防御がオーディターから求められるものです。
3. すべてのPHIアクセスに対する監査ログ
HIPAA規制では、PHIの読み取りと書き込み全てをログに記録し、6年間ログを保持する必要があります。Supabaseで機能するパターン：PHI接触クエリ全てがトリガーまたはEdge Functionを経由して書き込みを行う別途audit_log テーブル。監査ログ自体はPHI隣接であり、ユーザーID、タイムスタンプ、患者IDを保存しますが、監査ロー内のPHIコンテンツは絶対に保存しません。監査ログを本番データベースとは別の保持ポリシーで保持します。
4. HIPAA対応のセッション処理による認証
HIPAA アドオン付きのSupabase Auth はBAA の対象範囲内です。アプリケーション層の要件はあなたの責任です: アイドルタイムアウトセッション(通常、臨床ワークステーション では15分、患者向けアプリでは30分)、臨床医アカウントのMFA強制、監査人が要求する場合はパスワードローテーションポリシー、保護されたすべてのルートに対する明示的なロールベースアクセス制御です。クライアント側ガードだけでなく、Next.jsミドルウェアをセッション確認に使用します。
5. PHI文書と画像のストレージ
HIPAA アドオン付きのSupabase Storage は署名付きURL アクセス、保存時暗号化、BAA対象範囲のバケットをカバーしています。アプリケーション層パターン: テナントあたり1つのバケット、storage.objectsテーブルのRLSポリシー、PHI文書に対して短い有効期限(5~15分)の署名付きURL、不明瞭さを通じてであってもPHIへの公開URLを公開しないこと。署名付きURLのすべての読み取り/書き込みをaudit_logに監査します。
フォーム、$99/月でJotForm Goldを使用してください（カスタム構築の前に）
PHI取得がフォームのみの場合、月額$99のJotForm Goldには追加コストなしでHIPAAが含まれています。iframeでフォームを埋め込めば、PHIはあなたのインフラに触れず、署名済みBAA、監査ログ記録されたフォームストレージを数時間で手に入れられます。Next.js + Supabaseでネイティブに HIPAA準拠フォームを構築するのは2～3週間のプロジェクトですが、JotFormなら月額$99で解決できます。カスタムビルドはフォームだけでは不十分な製品部分に取っておきましょう。
Supabase が HIPAA ワークロードに不適切な場合
- 監査人がすべてのPHIバイトを自社VPC内に置くことを要求する場合。Supabase HIPAAはBAA対象のマルチテナントインフラを提供しますが、VPC分離は提供しません。解決策はSupabase Enterprise（カスタム見積もり）専用インフラ、またはAWS RDSまたはAzure上で自社ホストされたPostgresです。
- HIPAAに加えてFedRAMPまたはStateRAMP対応が必要な場合。これらの認証はAzure / AWS GovCloud領域です。Supabaseは2026年中盤の時点でFedRAMP認可を取得していません。
- マルチリージョン患者データセットで10ms以下の読み取りレイテンシが必要な場合。Supabaseには読み取りレプリカがありますが、マルチリージョンのストーリーはCockroachDB + Vercel Edgeとカスタムレプリケーションのレベルにはまだ達していません。
- チームがPostgres運用経験ゼロで、ベンダー提供スキーマ、FHIR API、臨床意思決定支援を備えた完全マネージド臨床データベースが必要な場合。それはAidbox、Health Samurai、またはParticle Healthの領域であり、Supabaseではありません。
FAQ
Vercel HIPAA BAA の費用はいくら？
VercelのHIPAAビジネス提携契約は、Pro プランの月額$350アドオンで、エンタープライズ契約不要のダッシュボード内セルフサービスクリックスルーで署名できます。SAML SSOは別途月額$300のアドオンです。合わせて、Vercel Proの典型的なコンプライアンス設定は座席コスト前で月額$650かかります。Enterprise（年間中央値約$45,000）はBAA、SSO、Secure Computeをバンドルしています。
Supabase は HIPAA に準拠していますか？
はい、Team プラン（月額 $599）または Enterprise プランで、月額 $350 の HIPAA アドオンを追加し、ダッシュボード経由で署名された事業用関連者契約（Business Associate Agreement）があれば対応可能です。Supabase Free および Pro プランはいかなる設定でも HIPAA に対応していません。HIPAA アドオンなしで Supabase Pro プロジェクトに PHI を保存することは、行レベルセキュリティポリシーがいかに厳密であっても HIPAA 違反です。
Supabase Pro プランは HIPAA に準拠していますか？
いいえ。月額 $25 の Supabase Pro は HIPAA に対応せず、Supabase は Pro プランで BAA に署名しません。Supabase に PHI を保存するには、Team プラン（月額 $599）または Enterprise に加えて、月額 $350 の HIPAA アドオンが必要です。データベースレイヤーのみで月額約 $950 が最低となり、シート費用は別途発生します。
Vercel の BAA が Supabase もカバーしているのか、両方必要なのか？
両方が必要です。VercelのBAAはホスティング、ランタイム、エッジ、プラットフォームサービスをカバーします。SupabaseのBAAはデータベース、認証、ストレージ、Supabase インフラ上のEdge Functionsをカバーします。各ベンダーのBAAは独自のサービスのみをカバーしており、ベンダー間のHIPAA継承はありません。リクエストパス内のPHIに接触するベンダー（サードパーティAPIを含む）それぞれとBAAに署名してください。
HIPAA ワークロード向けに Supabase Realtime を使用できますか？
はい、HIPAA アドオン付き Team プランであれば、Supabase Realtime は BAA の対象範囲内です。アプリケーションレイヤーの規則は引き続き適用されます。ブロードキャストチャネルに対して行レベルセキュリティを適用し、サブスクライバークライアントは Supabase Auth 経由で認証を行い、PHI ブロードキャストイベントはデータベースの直接読み取りと同様に監査テーブルにログする必要があります。
Supabase の pgvector と AI の HIPAA 対応はどうですか？
pgvector 機能は Supabase BAA の対象範囲内です。注意点は、外部 API（OpenAI、Anthropic、Voyage）を使用して PHI をベクトルに埋め込む場合、埋め込み呼び出しは Supabase の BAA 対象インフラを離れてサードパーティサービスに到達し、独自の BAA が必要になることです。OpenAI API は baa@openai.com からの BAA を備えたゼロリテンション エンドポイント経由で HIPAA をサポートしています。Anthropic の Claude は HIPAA に対応するため Enterprise プラン（通常年額 $50K 以上）が必要です。pgvector のベクトルストレージは BAA 対象であり、埋め込みパイプラインはエンドツーエンドで BAA に対応させることはあなたの責任です。
Supabase Edge Functions は BAA に基づく PHI 処理の対象となりますか？
はい。HIPAA アドオン付きの Team または Enterprise プランの Edge Functions は対象です。ただし注意点として、Edge Function から第三者 API への outbound fetch 呼び出しは、その第三者も BAA を締結していない限り対象外です。Edge Function が Stripe、Twilio、または Resend を呼び出す場合、その呼び出しが適切なコンプライアンスを満たすには、これらのベンダーそれぞれが HIPAA 対応ティアである必要があります。Supabase BAA は、その関数が呼び出す API には適用されません。
関連の読み物
2026年のHIPAA準拠アプリ、Next.js、WordPress、またはJotForm $99、この3つの設計パスの全てをカバーするクラスター内の親記事。
2026年にHIPAA BAAに実際に署名するホスティングスタック、AWS、Azure、GCP を含むより広いホスティング比較、およびWordPress固有のHIPAAホスト。
WordPress Stack Advisor、あなたのURLを貼り付けて、30秒で調整されたスタック推奨を取得します。ヘルスケアプロジェクトが実際にNext.js + Supabaseの完全なセットアップが必要か、それともWordPress + JotFormで安価に解決できるかを検討している場合に便利です。
医療アプリの開発が 6 週間目に進んでいるのに、「現在のスタックは HIPAA 対応ですか」という質問に簡潔に「はい」と答えられないのであれば、今後 30 分で解決できます。
30分間のHIPAAスタックコールを予約して、プロダクトについて説明し、現在のスタックを説明して、あなたの監査人に対して防御可能でかつあなたのステージに合わせた価格設定のHIPAAパスで立ち去ります。