Uma startup de saúde me ligou no início de 2023. Fundadores legais, orçamento decente, briefing claro: formulários de intake de pacientes, agendamento de consultas, talvez um widget de telemedicina no futuro. "Estamos na WP Engine", disse o CTO. Perguntei se a WP Engine tinha assinado o BAA deles. Pausa longa. "O que é um BAA?"
É aí que o problema mora, não no código, não na pilha de plugins, mas no rastro de papel que a maioria dos desenvolvedores nunca lê e a maioria dos hosts evita silenciosamente.
Eis a coisa: conformidade HIPAA não é um recurso que você ativa. É um marco legal, e o Business Associate Agreement é o contrato que torna seu provedor de hospedagem uma parte formal desse marco. Sem um BAA assinado, não importa se seu servidor roda TLS 1.3 e você criptografou cada campo do banco de dados. Você ainda está exposto. Seus clientes também.
Deixe-me te guiar pelo que realmente sei sobre quais plataformas vão assinar em 2026, e, mais importante ainda, quais dizem as coisas certas mas não vão assinar o documento.
---
O Que Um BAA Realmente É (e Não É)
Um Business Associate Agreement é um contrato sob a HIPAA Privacy Rule que vincula um fornecedor a obrigações específicas em torno de Informações de Saúde Protegidas (PHI). Quando você hospeda um site de saúde, seu provedor de hospedagem toca em PHI, mesmo que apenas na camada de infraestrutura. Isso os torna um Business Associate. Ponto final.
O que o BAA não faz é torná-lo automaticamente em conformidade. Vejo isso ser mal compreendido constantemente. O BAA significa que o host aceita sua parcela de responsabilidade e concorda com as salvaguardas. Sua camada de aplicação, seus formulários, seus plugins WordPress, seu logging, isso ainda é com você.
A Seahawk teve um projeto em 2022 para um grupo de fisioterapia baseado nos EUA executando um site WordPress. O cliente tinha um BAA com seu provedor de email (bom), seu fornecedor de EHR (obviamente), mas nada com seu host web. O site deles estava coletando dados de sintomas via Gravity Forms. Cada envio estava sendo enviado por email para uma conta do Gmail. Três violações separadas em um fluxo de trabalho. Desembaraçamos isso em cerca de seis semanas.
---
Os Hosts Que Realmente Assinarão em 2026
AWS, GCP, e Azure, As Opções Sérias
Se você precisa de um BAA e precisa de certeza, os hyperscalers são sua resposta. Todos os três, Amazon Web Services, Google Cloud Platform, e Microsoft Azure, oferecem BAAs e mantêm listas de serviços elegíveis para HIPAA.
AWS é o que uso mais. O BAA cobre uma gama sólida de serviços: EC2, RDS, S3, CloudFront, Lambda, e mais. Criticamente, nem todo serviço da AWS é elegível. DynamoDB está na lista; nem todos os serviços experimentais estão. Você precisa verificar a página de serviços elegíveis atual antes de arquitetar qualquer coisa.
O BAA do GCP cobre BigQuery, Cloud SQL, Compute Engine, e Cloud Storage, entre outros. O Azure tem a adoção empresarial mais ampla especificamente em saúde, sua documentação de BAA e conformidade é madura, e se seu cliente já está no ecossistema Microsoft (como a maioria das organizações de saúde empresariais está), o Azure frequentemente faz sentido organizacional.
O problema com todos os três: você não está recebendo WordPress gerenciado aqui. Você está recebendo infraestrutura. Alguém tem que construir e manter a pilha, patching do SO, configuração de WAF, backups, criptografia em repouso e em trânsito. Na Seahawk usamos AWS com uma instância EC2 endurecida rodando Nginx, PHP-FPM, e MySQL para clientes de saúde. Funciona. Também é muito mais sobrecarga operacional do que entregar um login de WP Engine para alguém.
Kinsta, Sim Situacional
Kinsta opera em GCP. Eles oferecem assinatura de BAA para clientes em seus planos de tier mais alto (Business 1 e acima, última vez que verifiquei). Isso importa porque Kinsta é genuinamente excelente em hospedagem WordPress gerenciada. Rápida. Confiável. Bons ambientes de staging.
Mas, e vale a pena ressaltar, a cobertura BAA do Kinsta é um pouco mais restrita do que contratar o GCP diretamente. Você está contando com os controles internos do Kinsta além dos do GCP. Para muitos projetos WordPress de saúde, tudo bem. Para qualquer coisa que envolva dados muito sensíveis em volume, eu gostaria de entender exatamente o que a documentação de segurança deles diz antes de me comprometer.
Cloudways, Não
Cloudways é popular no mundo de agências. Bom custo-benefício. Usamos em dezenas de projetos não-sensíveis. Mas da última vez que verifiquei, Cloudways não oferece BAA HIPAA. Eles até rodamem AWS e GCP por baixo, o que é meio irônico. A camada gerenciada introduz incerteza que eles não vão se colocar contratualmente por trás para propósitos HIPAA.
Pantheon, Não (para a maioria dos planos)
Pantheon é excelente para agências de Drupal e WordPress. Conformidade HIPAA não é seu mercado. Eles foram claros sobre isso. Não deixe a marca empresarial enganá-lo.
WP Engine, Não
Eu sei. Eles têm documentação de conformidade. Eles falam sobre segurança. Eles não vão assinar um BAA HIPAA. Seus termos de serviço explicitamente proíbem armazenar PHI em sua plataforma. Isso os desqualifica de qualquer caso de uso de healthcare verdadeiro. A startup que mencionei no topo deste post? Esse é exatamente o lugar onde eles estavam.
Liquid Web / Nexcess, Possível, com ressalvas
A Liquid Web ofereceu hospedagem gerenciada compatível com HIPAA com assinatura de BAA, tipicamente em seus produtos de servidor dedicado ou VPS ao invés de planos compartilhados. Vale a pena uma conversa direta com o time de vendas deles. A postura de conformidade deles melhorou. Mas eu gostaria de ter o BAA em mãos antes de construir qualquer coisa.
---
O que sua Stack WordPress Precisa Além do BAA
O BAA é a fundação, não a construção. Aqui está o que realmente precisa acontecer na camada de aplicação para um site WordPress adjacente a HIPAA.
Formulários e Coleta de Dados
- Gravity Forms com a configuração apropriada pode ser usada, mas o Gravity Forms nativo armazena envios no banco de dados do WordPress por padrão. Para PHI, você precisa desabilitar o armazenamento em banco de dados e rotear os dados com segurança para um destino em conformidade com HIPAA, ou usar seu add-on de Encrypted Fields com cuidado.
- Cognito Forms e FormAssembly oferecem camadas em conformidade com HIPAA com BAAs. Se o formulário for o ponto principal de coleta de dados, estes muitas vezes são mais simples do que lutar com GF.
- Nunca, jamais use plugins de formulário de contato gratuitos que enviam dados para servidores terceirizados sem verificar a postura de conformidade deles.
Esse é o que mata. Seu site WordPress provavelmente envia emails via wp_mail(), que usa por padrão PHP mail ou um plugin SMTP conectado. Gmail padrão, Mailchimp padrão, SendGrid padrão, nenhum deles assina um BAA HIPAA nos níveis de entrada.
Paubox é o que recomendo consistentemente para clientes de saúde pequenos a médios. Email em conformidade com HIPAA, BAA incluído, preços diretos. Google Workspace também oferece um BAA para seus clientes de saúde, mas exige um plano específico e um processo de solicitação formal, não se aplica a uma conta Google padrão.
Plugins e Integrações de Terceiros
Todo plugin que faz chamadas externas, todo script de análise, todo widget de chat ao vivo, tudo isso potencialmente toca PHI dependendo de quais dados estão na página. Execute uma auditoria apropriada. Uso Query Monitor para identificar o que está fazendo requisições externas e depois faço referência cruzada com a documentação de conformidade de cada fornecedor.
HubSpot vai assinar um BAA. Intercom não (nos pacotes padrão). Hotjar quase certamente não deveria estar rodando em um site de saúde sem um exercício de escopo muito cuidadoso.
---
Como Realmente Conseguir um BAA Assinado
Isso é mais procedural do que técnico, mas já vi projetos travar aqui.
- Identifique cada fornecedor que toca ou poderia tocar PHI: host, CDN, email, formulários, análise, chat de suporte, provedor de backup.
- Solicite documentação de BAA de cada equipe de vendas ou conformidade do fornecedor. Não assuma. Obtenha por escrito.
- Revise o escopo, um BAA que cobre apenas certos serviços ou certos tipos de dados precisa ser entendido antes de você assinar.
- Armazene os acordos assinados em algum lugar que a equipe legal do seu cliente possa acessar. Não apenas na sua caixa de entrada.
- Revise anualmente, fornecedores mudam suas políticas, serviços são descontinuados, e um BAA que cobria sua stack em 2024 pode ter lacunas em 2026.
A orientação do HHS sobre Business Associates é na verdade legível. Vale trinta minutos do seu tempo se você é novo nisso.
---
O Problema do CDN que Ninguém Fala
Você resolveu seu host. Você tem um BAA. Você bloqueou a camada de aplicação. Então você coloca Cloudflare na frente.
Cloudflare vai assinar um BAA, mas apenas no plano Enterprise, que começa em um preço que exclui a maioria dos pequenos clientes de saúde. Os níveis Free e Pro? Sem BAA. O que significa que Cloudflare está tecnicamente descriptografando e inspecionando seu tráfego HTTPS sem um BAA em vigor, em um site que pode ter PHI em trânsito.
Para projetos menores, contornei isso roteando AWS CloudFront (elegível para BAA) como a camada de CDN quando o site já está no EC2 ou atrás de um Application Load Balancer. É menos glamouroso que um dashboard Cloudflare, mas é limpo do ponto de vista de conformidade.
---
O que eu realmente construiria em 2026
Se um cliente de healthcare viesse até mim amanhã com uma exigência WordPress, é assim que eu arquitetaria:
- Hosting: AWS EC2 (com um BAA assinado) rodando uma stack LEMP endurecida, ou Kinsta Business com seu BAA em mãos
- Email: Paubox para email transacional e voltado para provedores
- Formulários: FormAssembly ou Gravity Forms com armazenamento de banco de dados desabilitado e roteamento de submissão criptografado
- CDN: AWS CloudFront, não Cloudflare free/Pro
- Analytics: Matomo auto-hospedado na mesma infraestrutura coberta por BAA, sem Google Analytics para nada que tenha qualquer chance de PHI na URL ou parâmetros.
- Backups: AWS S3 (elegível para BAA) com criptografia no lado do servidor
É mais caro que uma construção padrão de WordPress? Sim. É mais complexo operacionalmente? Também sim. Mas a alternativa é um cliente enfrentando um processo de notificação de violação HIPAA, multas potenciais começando em $100 por violação por dia, e uma conversa muito desconfortável sobre por que seu desenvolvedor nunca mencionou nada disso.
---
FAQ
"Hospedagem em conformidade com HIPAA" tem algum significado legal?
Não. É uma frase de marketing. O que tem significado legal é um BAA assinado. Qualquer host pode se chamar de HIPAA-ready, HIPAA-friendly ou HIPAA-qualquer-coisa. Sem um BAA, essas palavras são apenas decorativas. Sempre pergunte especificamente: "Você vai assinar um Business Associate Agreement conosco?"
Meu site realmente precisa de um BAA se tem apenas um formulário de contato?
Se o formulário de contato coleta informações que poderiam constituir PHI, sintomas, diagnósticos, motivos de consulta, qualquer coisa vinculada à identidade e status de saúde de um paciente, então sim, todos os fornecedores nessa cadeia de dados devem ter um BAA. Um formulário genérico de "agendar consulta" que coleta apenas nome, telefone e horário preferido é um território mais cinzento, mas eu ainda optaria por obter o BAA.
Posso usar WordPress.com para um site de saúde?
WordPress.com (a plataforma hospedada, não o software WordPress auto-hospedado) não oferece um BAA HIPAA. Ponto final. Isso é diferente do WordPress auto-hospedado rodando em uma infraestrutura em conformidade. O software é adequado. A plataforma hospedada não é apropriada para PHI.
O que acontece se um fornecedor que estou usando é adquirido e o novo proprietário cancela o BAA?
Este é um risco real e já vi acontecer com ferramentas SaaS menores. Seu BAA deve ter cláusulas de rescisão que se acionem se o fornecedor não puder mais atender às obrigações HIPAA. Quando você recebe um email de comunicado de aquisição, não descarte, verifique se os compromissos de conformidade são mantidos sob a nova entidade.
HIPAA é apenas uma preocupação dos EUA?
Sim, HIPAA é uma lei federal dos EUA. Mas se você está desenvolvendo para clientes de saúde do Reino Unido ou da UE, os equivalentes, padrões NHS Digital, o Data Security and Protection Toolkit e GDPR aplicado a dados de saúde, têm requisitos semelhantes em torno de acordos de processador de dados. O framework difere, a lógica não.
---
A maioria dos desenvolvedores, se forem honestos, não pensa no BAA até alguém perguntar. Aí você ou está bem (sorte) ou está retrofitando uma stack sob pressão com um cliente nervoso ao telefone.
É melhor conhecer o cenário antes de começar o projeto do que perceber no meio de uma implementação que seu host não vai assinar o único documento que realmente importa.
Leitura relacionada: Segurança de Headless vs WordPress em 2026: por que Next.js e Astro, Next.js e headless.