Um cliente me ligou numa quinta-feira à tarde no final de 2023, fintech que virou healthtech, tinha acabado de contratar um consultor de compliance que olhou para o codebase Next.js deles e devolveu uma lista de três páginas com problemas. "A gente achava que colocar na AWS era suficiente", disse o fundador. Ele realmente acreditava nisso. E sinceramente? Eu tinha ouvido essa mesma frase de uns seis times diferentes antes dele.
HIPAA compliance é uma daquelas áreas onde todo mundo pensa que entende o básico, assina um BAA, escolhe um cloud provider compliant, pronto. Mas a HIPAA Security Rule não se importa com a página de marketing do seu provedor de hosting. Ela se importa com como sua aplicação manipula, armazena, transmite e faz auditoria de Protected Health Information (PHI). Next.js, como framework, não é nem compliant nem non-compliant por padrão. O que você constrói em cima dele é tudo.
Então deixe-me percorrer com você o que realmente importa em 2026, baseado em arquiteturas reais que construí e erros reais que vi times cometendo.
---
Os três caminhos reais de HIPAA em 2026, escolha o seu antes de escolher uma stack
Se você está construindo qualquer coisa com formato de saúde este ano, você tem três caminhos que realmente se compilam para um Business Associate Agreement assinado e uma trilha de auditoria defensável. A maioria dos blogs de engenharia cobre apenas o primeiro. Os outros dois são mais baratos, mais rápidos, e a resposta correta mais frequentemente do que a multidão Next.js admite.
- Path 1, Next.js + Vercel BAA: a escolha certa quando seu produto tem dashboards autenticados, workflows customizados, dados em tempo real, features de IA, ou qualquer coisa além de conteúdo estático. A Vercel finalmente abriu BAAs de HIPAA para times Pro em 2025 por um add-on de $350/mês, então você não precisa mais de um contrato Enterprise para fazer ship.
- Path 2, WordPress em um host HIPAA-eligible: a escolha certa quando seu site de healthcare é um site de marketing mais formulários de intake mais um time editorial que já conhece wp-admin. Atlantic.Net assina um BAA a partir de $350/mês, Liquid Web a partir de $600/mês, HIPAA Vault para fully managed. O caminho que a maioria dos sites de clínicas de healthcare deveria tomar.
- Path 3, JotForm Gold por $99/mês: a escolha certa quando o único PHI que você manipula são formulários, intake de pacientes, check-in de sintomas, feedback. JotForm inclui HIPAA no plano Gold sem add-on. PHI nunca toca sua infraestrutura. Embed o formulário, assine o BAA, faça ship numa tarde.
O resto do post cobre as decisões de arquitetura para o caminho 1 em profundidade, mas a seção Vercel BAA, a seção WordPress, e a seção JotForm explicam quando cada caminho é o correto. Se você está prestes a ler 2.000 palavras sobre logging de auditoria Next.js quando JotForm teria resolvido seu escopo atual em uma hora, os próximos três minutos são os mais valiosos nesta página.
O que "Next.js Compatível com HIPAA" Realmente Significa
As pessoas confundem conformidade de infraestrutura com conformidade de aplicação. Não são a mesma coisa.
Seu cloud provider (AWS, GCP, Azure, escolha um) pode assinar um Business Associate Agreement com você. É um documento legal estabelecendo que eles vão proteger PHI na infraestrutura deles de acordo com as regras de HIPAA. AWS tem uma HIPAA-eligible services list que vale a pena marcar. Mas um BAA da AWS não significa que sua aplicação Next.js é compliant. Nem perto.
A camada de aplicação é responsabilidade sua. Sempre. O framework é apenas um veículo.
Aqui está a coisa, Next.js 14+ (e indo para 2026, o App Router está totalmente maduro) te dá server components, server actions, middleware, e edge functions. Cada um desses tem implicações diferentes em relação ao PHI-handling. Um server component que consulta um banco de dados de pacientes e passa dados para um client component, onde aquele dado fica? Por quanto tempo? Acaba num browser cache? Essas não são preocupações hipotéticas.
---
O Problema da Superfície de PHI
Antes de escrever uma linha de código, faço cada cliente de health-tech fazer um exercício: mapear cada lugar onde PHI poderia possivelmente tocar a aplicação. Não onde deveria tocar. Onde poderia.
Isso inclui:
- Parâmetros de URL (eu já vi IDs de paciente em query strings, não façam)
- localStorage e sessionStorage do navegador
- Gerenciamento de estado client-side (stores Zustand, Redux, até mesmo React context)
- Next.js fetch cache e a camada Data Cache
- Output de log do console.log durante desenvolvimento que vaza para produção
- Ferramentas de rastreamento de erros como Sentry (mais sobre isso em breve)
- Analytics pipelines, GA4, Segment, Amplitude
Os últimos dois causam mais problemas que quase qualquer outra coisa. No início de 2024, a Seahawk tinha um cliente de telemedicina que havia configurado Sentry para monitoramento de erros. Movimento padrão. Exceto que suas error boundaries estavam capturando o objeto props completo ao falhar, que incluía detalhes de consulta e flags de saúde do usuário. Sentry não estava coberto sob seu BAA. Isso é uma violação à espera de acontecer.
Sanitizando Seu Rastreamento de Erros
Se você está usando Sentry com código adjacente a PHI, use o hook beforeSend para limpar campos sensíveis antes deles saírem do navegador. Sem questão. Algo assim é inegociável:
``beforeSend(event) { if (event.user) { delete event.user.email; delete event.user.ip_address; } return event; }``
Sentry tem um caminho de conformidade HIPAA, eles vão assinar um BAA, mas você ainda precisa configurar quais dados você envia a eles. O BAA não sanitiza seus payloads automaticamente.
---
Autenticação e Gerenciamento de Sessão
É aqui que vejo mais atalhos. Times pegam NextAuth.js (agora Auth.js), conectam um provedor e acham que terminaram. Auth.js é uma biblioteca sólida. Mas os padrões não são padrões HIPAA.
Alguns detalhes específicos:
- Armazenamento de session token, Auth.js usa por padrão uma sessão baseada em cookie, que é aceitável, mas você precisa configurar explicitamente httpOnly, secure e sameSite: 'strict'. Não assuma.
- Expiração de sessão, o padrão Automatic Logoff do HIPAA (§164.312(a)(2)(iii)) exige que as sessões sejam encerradas após um período definido de inatividade. O número não é prescrito, mas 15 minutos é o padrão da indústria para aplicações clínicas. Configure um timer de inatividade em seu layout. Geralmente construo isso como um hook customizado que dispara uma server action para invalidar a sessão.
- MFA, não é estritamente obrigatório pelo texto do HIPAA, mas tente explicar a um auditor de OCR por que você não implementou depois de uma violação. Use TOTP via algo como otplib ou dependa de um provedor de identidade como Auth0 ou Clerk que tem MFA integrado e assinará um BAA.
- Audit logging de eventos de autenticação, cada login, login falhado e logout precisa ser registrado com um timestamp e identificador de usuário. Cada um.
Não vou dizer que Auth.js é inadequado para esse caso de uso, já rodei em produção em projetos HIPAA. Mas você tem que aplicar os requisitos de conformidade por cima deliberadamente.
---
Dados em Trânsito e em Repouso
Trânsito é a parte fácil. TLS 1.2 mínimo, TLS 1.3 preferido, em tudo. Não apenas seu domínio principal, suas rotas de API, suas edge functions, qualquer webhook. Se você está no Vercel, isso é tratado. Se você está hospedando por conta própria em EC2 ou rodando Next.js em um container Docker atrás de um reverse proxy NGINX, você precisa configurar isso você mesmo. Já revisei codebases onde as chamadas internas de serviço para serviço ainda estavam em HTTP porque "está dentro da VPC". Essa não é uma posição aceitável.
Em repouso é mais difícil. Alguns detalhes que importam:
- Criptografia de banco de dados, AWS RDS com criptografia habilitada (usa AES-256 via AWS KMS). Isso é uma checkbox, mas você precisa realmente marcá-la e documentá-la.
- Criptografia em nível de campo para dados altamente sensíveis, para coisas como SSNs, diagnósticos ou listas de medicamentos, frequentemente adiciono uma segunda camada de criptografia no nível da aplicação usando uma biblioteca como @aws-sdk/client-kms para encapsular/desencapsular chaves. O overhead é real, mas o risco também é.
- Cache de Dados Next.js, Essa pega bastante gente. O App Router faz cache de respostas fetch por padrão. Se você está fazendo fetch de dados de pacientes em um server component com fetch(), você precisa de { cache: 'no-store' } a menos que você esteja deliberadamente gerenciando revalidação. Uma resposta em cache contendo PHI na memória do servidor ou no filesystem é um problema.
- Backups, Criptografados. Testados. Documentados. Óbvio, mas já auditei sistemas onde os backups existiam mas nunca tinham sido restaurados uma vez sequer.
---
Audit Logging: A Parte que Ninguém Quer Construir
Aqui está algo que vou dizer claramente: audit logging é a coisa mais chata e mais importante que você vai construir em um aplicativo health-tech. Todo acesso a PHI precisa ser registrado. Não apenas escritas. Leituras também.
O padrão HIPAA Audit Controls (§164.312(b)) exige "mecanismos de hardware, software e/ou procedimentos que registrem e examinem a atividade em sistemas de informação que contenham ou usem ePHI". Na prática, significa isto: você precisa de um log append-only de quem acessou qual dado de paciente, quando e de onde.
Construo isso como uma middleware layer no Next.js. Para projetos com App Router, intercepto no middleware.ts para logging em nível de rota e adiciono um thin service wrapper em volta de qualquer função de query do banco de dados que toca tabelas de PHI. Os registros de log são escritos em uma tabela de banco de dados separada (ou um serviço como AWS CloudTrail se você quer garantias de imutabilidade), nunca a mesma tabela que o PHI em si.
Um registro de audit mínimo se parece com isto:
- user_id, quem
- resource_type+resource_id, o quê
- action, read / write / delete
- ip_address, onde (anonimizado na camada de rede é aceitável)
- timestamp (UTC, sempre UTC)
- request_id, para correlacionar com seus application logs
Não deixe desenvolvedores adicionarem console.log(patientRecord) e chamarem isso de trilha de auditoria. Já vi isso acontecer. Não é.
---
Escolhendo Sua Stack de Infraestrutura
A resposta honesta é que em 2026 há um punhado de stacks que eu realmente recomendaria para uma aplicação Next.js em produção compatível com HIPAA.
Vercel + PlanetScale/Neon + Clerk é a stack de developer experience. Vercel vai assinar um BAA (enterprise plan, sim, custa dinheiro). PlanetScale e Neon têm tiers HIPAA-eligible. Clerk trata auth e vai assinar um BAA. Isso é rápido para entregar em produção e razoável de operar. O tradeoff é custo em escala e alguma perda de controle de infraestrutura.
AWS (ECS/EKS para a aplicação Next.js) + RDS Aurora + Cognito é a stack enterprise. Mais overhead operacional. Muito mais controle. O modelo de responsabilidade compartilhada da AWS é bem documentado e a cobertura do BAA é ampla. Se seu cliente é um sistema hospitalar ou uma seguradora, provavelmente vão perguntar sobre sua arquitetura AWS em detalhe.
Render ou Railway, eu evitaria para qualquer coisa seriamente regulada. São ótimas ferramentas, mas a história de conformidade HIPAA delas é fraca.
Uma coisa que quero destacar: a Edge Network e as Edge Functions da Vercel não são cobertas por HIPAA sob seu BAA a partir do início de 2026. Se você está executando lógica que toca PHI em middleware de edge, isso é uma lacuna. Execute essa lógica em funções serverless (runtime Node.js) em vez disso.
---
HIPAA BAA da Vercel, o que você realmente compra por $350/mês
Até 2025, assinar um BAA na Vercel exigia um contrato Enterprise, tipicamente em torno de $45.000 por ano no gasto mediano. Isso precificava a maioria dos times de health-tech pré-Series-A para fora e os empurrava para AWS ou Cloudflare. Em 2025 a Vercel mudou isso: BAAs HIPAA agora estão disponíveis como um add-on self-serve de $350/mês no plano Pro.
O BAA Pro é um acordo de click-through, assinado via dashboard da Vercel. Não há negociação, sem commit mínimo, sem ligação de vendas Enterprise. Se você está no Pro a $20/seat/mês e adiciona o add-on HIPAA, sua equipe-de-três healthcare app sai a $410/mês all-in para a camada de plataforma.
O que o BAA Pro cobre
- Vercel atua como seu sócio comercial para fins HIPAA, eles têm as salvaguardas técnicas e organizacionais que uma entidade coberta precisa em um vendor.
- Auditorias anuais de terceiros, notificação de breach dentro dos prazos HIPAA, e o conjunto padrão de salvaguardas administrativas.
- Edge runtime, Functions, ISR, image optimisation, e o resto da plataforma Vercel estão dentro do escopo do BAA.
O que o BAA Pro NÃO cobre, leia isto antes de se comprometer
A feature de segurança aprimorada da Vercel, Secure Compute, é somente para Enterprise. Secure Compute oferece redes de nuvem isoladas, endereços IP dedicados, e peering VPC. Se sua arquitetura de segurança exigir isolamento de rede entre sua app e a infraestrutura pública da Vercel (uma solicitação justa se seu auditor se importa com defesa em profundidade), o BAA Pro não é suficiente. Você precisa de Enterprise.
Tradução prática: o BAA Pro a $350/mês funciona para a maioria dos healthcare apps em estágio inicial onde a postura de auditoria é baseada em controles apropriados. Se você está vendendo para hospital systems ou tem um compliance officer que leu NIST SP 800-66 de capa a capa, você estará no plano Enterprise de qualquer forma.
Se você também precisa de SSO
SAML SSO na Vercel Pro é um add-on separado de $300/mês. Combinado com o BAA HIPAA, você está em $650/mês em add-ons de conformidade. Esse é aproximadamente o limiar onde a cotação Enterprise começa a parecer comparável em TCO, a $45K/ano mediano, Enterprise precifica em torno de $3.750/mês, mas inclui BAA, SSO, Secure Compute, suporte dedicado, e várias outras features. A matemática se encaixa no segundo ano para a maioria dos times.
O caminho WordPress que a maioria dos engenheiros nunca considera
Se você passou as últimas seis semanas decidindo qual biblioteca de autenticação Next.js tem a melhor história de HIPAA, aqui vai uma pergunta para interromper esse raciocínio: seu produto realmente precisa de autenticação? Ou o briefing é um site de marketing, um blog editorial e um formulário de entrada em conformidade com HIPAA?
Se a resposta é a segunda, e para a maioria das clínicas de healthcare, consultórios odontológicos, provedores de saúde mental, e clínicas de fisioterapia, a resposta é a segunda, WordPress em um host elegível para HIPAA é o caminho que você deveria estar. O custo é menor, o workflow editorial é resolvido, e o modelo de segurança é genuinamente mais simples. Plugins ainda são a superfície de ataque que sempre foram, mas você pode lançar com um conjunto pequeno de plugins e um host HIPAA gerenciado que audita o resto.
Hosts que assinam um BAA para WordPress
- Atlantic.Net, hosting WordPress gerenciado HIPAA a partir de $350/mês com um BAA assinado, acesso VPN criptografado, backups diários, MFA, e uma garantia de 100% de uptime. Duas décadas de IT em healthcare. A escolha padrão para clínicas.
- Liquid Web, dedicated, VPS, ou cloud totalmente gerenciado a partir de $600/mês com configurações alinhadas a HIPAA e um BAA assinado. Suporte forte, operações maduras.
- HIPAA Vault, construído especificamente para HIPAA desde o início. Preço mais alto, postura de conformidade mais profunda, utilizado por organizações de saúde maiores.
- ScalaHosting, VPS gerenciado a partir de $29.95/mês com BAA assinado, backups diários, transferência criptografada. Extremidade mais barata da curva; adequado para tráfego inicial e menor.
- AWS / Azure / GCP com WordPress gerenciado no topo, todas as grandes nuvens assinarão um BAA, mas você é responsável pela configuração, endurecimento e postura contínua. Resposta correta se você já tem um time de nuvem.
Onde o caminho do WordPress para de funcionar
- Painéis de pacientes autenticados, possível em WordPress, doloroso, e a lacuna de plugins é real. Mude para Next.js + Vercel BAA.
- Dados em tempo real, recursos de IA, fluxos de trabalho personalizados, WordPress vai lutar contra você. Next.js + Supabase + Vercel BAA é o caminho certo.
- Qualquer coisa além de 100 plugins ou um sistema de associação complexo, a superfície de ataque apenas de plugins é um risco HIPAA que vale a pena eliminar no design.
Se seu projeto se encaixa no escopo do WordPress, o caminho de migração prático é a opção WordPress headless, wp-admin para editores, um front end Next.js ou Astro no lado público, WPGraphQL conectando os dois. Você mantém o fluxo de trabalho editorial, o site público é rápido, e a superfície pública recebe a história de hospedagem moderna. Antes de se comprometer de qualquer forma, o WordPress Stack Advisor pega sua URL e te diz qual caminho realmente se encaixa.
JotForm Gold a $99/mês: quando o atalho é a chamada correta
Se o único PHI que seu produto toca é o que vem através de um formulário, entrada de paciente, verificação de sintomas, feedback pós-visita, solicitações de agendamento, você não precisa construir formulários em conformidade com HIPAA em sua aplicação. JotForm Gold a $99/mês por usuário inclui HIPAA sem custo adicional. O PHI é coletado na infraestrutura auditada para HIPAA do JotForm e nunca toca seus servidores.
O que JotForm Gold realmente inclui
- Conformidade HIPAA integrada, BAA assinado via dashboard do JotForm, sem taxa adicional.
- 100 formulários, 10.000 envios mensais, 100 GB de armazenamento. Mais do que suficiente para uma clínica multi-localização.
- Tipos de campo elegíveis para HIPAA: captura de assinatura, upload de arquivo (criptografado), lógica condicional, preenchimento automático, integrações de pagamento com processadores em conformidade com HIPAA.
- Incorpore via iframe no seu site WordPress, no seu aplicativo Next.js, na sua página Webflow, em qualquer lugar. O formulário é executado na infraestrutura do JotForm; seu site nunca vê o PHI.
- Integrações de fluxo de trabalho com CRMs, EHRs e plataformas farmacêuticas elegíveis para HIPAA. A lista é menor do que no modo não-HIPAA, mas cobre os pontos comuns.
Quando o JotForm vence no TCO
Construir um formulário de admissão em conformidade com HIPAA nativamente em Next.js é um engajamento de 2 a 3 semanas: coluna de banco de dados criptografada em repouso, registro de auditoria, BAA com seu provedor de armazenamento, revisão de segurança, documentação de modelo de ameaça e a manutenção contínua que acompanha um pipeline de formulário personalizado. JotForm por $99/mês faz isso em uma tarde. Se seu formulário é o único ponto de contato com PHI, o cálculo sempre favorece o JotForm.
Onde o JotForm deixa de ser suficiente
- Seu portal de pacientes, qualquer coisa que precise ler PHI de interações anteriores, renderizar uma linha do tempo de paciente, ou integrar profundamente com seus dados de aplicação. Construa em sua aplicação.
- Restrições de marca que exigem UX de formulário perfeito em pixels. A personalização do JotForm é boa, não perfeita.
- Fluxos clínicos multi-etapa que vão além do preenchimento de formulários, lógica de triagem, chat com clinicista em tempo real, árvores de suporte à decisão. Construção personalizada.
- Se seu auditor quer que cada byte de PHI viva dentro do seu VPC. JotForm é a escolha certa quando delegar a um fornecedor auditado por HIPAA é aceitável; é a escolha errada quando seu modelo de segurança exige isolamento.
Integrações de Terceiros: Onde a Conformidade vai Morrer
Todo terceiro que você integra e que toca em PHI precisa de um BAA. Isso soa óbvio. Aqui está a lista que realmente confunde os times:
- Ferramentas de suporte ao cliente (Intercom, Zendesk); se um paciente envia uma mensagem sobre sua saúde, isso é PHI na sua plataforma de suporte
- Ferramentas de formulários (Typeform, Jotform); formulários de intake de pacientes são PHI
- Provedores de email (SendGrid, Postmark); se o corpo do email contém informações de saúde, BAA é obrigatório
- Ferramentas de feature flag (LaunchDarkly, Statsig); geralmente não há problema, mas se você estiver passando atributos de usuário que incluem status de saúde para avaliar flags, isso é PHI
- CRMs (HubSpot, Salesforce); muitos times de healthtech sincronizam dados de pacientes nestes sem pensar
Postmark assina um BAA. SendGrid (via Twilio) também assina, em planos pagos. Twilio para SMS também. LaunchDarkly tem um caminho BAA. Estas não são opções obscuras; o processo BAA é geralmente um envio de formulário e alguns dias úteis.
Os que não vão ou não podem assinar um BAA? Não integre em lugar nenhum perto de PHI. Simples assim.
---
FAQ
Quanto custa realmente o HIPAA BAA do Vercel?
O Vercel Business Associate Agreement para HIPAA está disponível no plano Pro como um add-on de $350/mês, assinado via self-serve no dashboard. SAML SSO no Pro é um add-on separado de $300/mês, colocando uma configuração de compliance típica em $650/mês combinados. O plano Enterprise, que fica em torno de $45.000/ano na mediana, inclui o BAA, SSO e Secure Compute (redes isoladas, IPs dedicados, VPC peering).
Consigo rodar um site WordPress em conformidade com HIPAA?
Sim, em um host elegível para HIPAA que assine um BAA. As quatro opções comuns em 2026 são Atlantic.Net (a partir de $350/mês), Liquid Web (a partir de $600/mês), HIPAA Vault (construída especificamente para saúde) e ScalaHosting managed VPS (a partir de $29.95/mês). O caminho WordPress é o certo para sites de marketing de saúde, sites de clínicas e conteúdo com peso editorial. Para de funcionar quando você precisa de dashboards autenticados de pacientes, dados em tempo real ou qualquer coisa acima de 100 plugins de superfície de ataque.
JotForm é suficiente para formulários em conformidade com HIPAA?
Se formulários são o único ponto de contato com PHI, sim. JotForm Gold a $99/mês inclui HIPAA sem custo extra, BAA assinado, 100 formulários, 10.000 envios, 100 GB de armazenamento. PHI é coletado na infraestrutura auditada para HIPAA do JotForm, incorporado via iframe no seu site. JotForm deixa de ser suficiente quando seu produto precisa ler PHI de volta entre sessões, renderizar cronogramas de pacientes ou executar fluxos clínicos multi-etapa.
Quando o caminho WordPress vence o caminho Next.js para HIPAA?
Quando seu produto de saúde é um site de marketing mais um blog mais um formulário de entrada. WordPress é mais rápido de colocar em produção, mais barato de hospedar, e o fluxo editorial já está resolvido para staff não-técnico. O caminho Next.js vence quando você precisa de autenticação, dashboards customizados, dados em tempo real, features de IA ou qualquer coisa que se beneficie de uma arquitetura de aplicação moderna. Um híbrido comum: WordPress em um host HIPAA gerenciado para o site público, Next.js no Vercel BAA para o app autenticado, JotForm para o formulário de entrada.
Fazer deploy no Vercel torna meu app Next.js em conformidade com HIPAA?
Não. Vercel pode assinar um Business Associate Agreement no seu plano enterprise, o que significa que assumem certas obrigações HIPAA pela infraestrutura que controlam. Mas o código da sua aplicação, o design do seu banco de dados, seus logs, suas integrações de terceiros — nada disso é coberto pelo BAA da Vercel. Conformidade é compartilhada em cada camada da stack, e a camada de aplicação é sua responsabilidade.
Preciso criptografar dados em uma rota de API Next.js antes de enviar para o cliente?
TLS cuida da criptografia em trânsito, então você não precisa criptografar manualmente o corpo da resposta HTTP. O que você precisa fazer é garantir que está retornando apenas o PHI mínimo necessário para a operação, não registros completos de pacientes quando você só precisa de um nome, por exemplo. O princípio do "mínimo necessário" é incorporado ao HIPAA e deve moldar o design da sua resposta de API desde o primeiro dia.
O caching integrado do App Router do Next.js é seguro para PHI?
Não por padrão. O Data Cache e o Full Route Cache no App Router podem armazenar em cache respostas que contenham PHI, o que é problemático. Para qualquer rota ou chamada de fetch que acesse dados de pacientes, use { cache: 'no-store' } em chamadas de fetch e adicione export const dynamic = 'force-dynamic' aos segmentos de rota. Revise cuidadosamente a documentação de caching do Vercel, é densa mas importante.
Qual é o mínimo de logging que preciso para uma trilha de auditoria HIPAA?
No mínimo: quem acessou o quê, quando e de onde. Isso é ID do usuário, identificador do recurso, tipo de ação, timestamp e endereço IP. Logs precisam ser à prova de alteração (apenas adição, não editáveis pelo código da aplicação) e retidos — a maioria dos frameworks de conformidade sugere seis anos, o que corresponde ao requisito de retenção de documentação do HIPAA.
Posso usar React Query ou SWR para busca de dados em um app HIPAA?
Sim, mas com cuidado. Ambas as bibliotecas armazenam respostas em cache no lado do cliente, o que significa que PHI pode ficar na memória do navegador. Defina staleTime: 0 e cacheTime: 0 (React Query) ou dedupingInterval: 0 (SWR) para consultas que retornem PHI. Também limpe explicitamente o cache de consultas no logout, não confie no desmonte de componentes para lidar com isso.
---
Quero ser honesto sobre algo: conformidade com HIPAA é genuinamente difícil de acertar, e nenhum framework, Next.js ou não, torna isso fácil. Os times que vi fazendo bem são aqueles que tratam isso como um problema de arquitetura desde o primeiro dia, não como uma checklist para executar antes do lançamento. O framework é fine. As lacunas estão quase sempre nas decisões tomadas em torno dele.
Comece com o mapeamento da superfície de PHI. Tudo mais segue disso.
Leitura relacionada
Stacks de hospedagem que realmente assinam um HIPAA BAA em 2026, o post de comparação de hospedagem mais profundo, com faixas de custo anual e notas de escopo de BAA para cada provedor.
WordPress vs Next.js: quando cada um é a escolha certa, a decisão de framework sem o enquadramento HIPAA, útil como o prelúdio.
Headless WordPress + Astro: uma configuração funcional, se você seguir o caminho do WordPress mas quiser um front end público moderno.
WordPress Stack Advisor, cole sua URL, obtenha uma recomendação personalizada que inclua o caminho HIPAA que se encaixa no seu briefing em 30 segundos.
Se você está prestes a lançar um produto de healthcare e não consegue dizer qual dos três caminhos acima é o correto para seu brief, os próximos trinta minutos resolverão isso.
Agende uma chamada de 30 minutos sobre stack HIPAA, você descreve o produto, eu digo se a resposta é Next.js + Vercel BAA, WordPress em um host gerenciado com HIPAA, JotForm, ou um híbrido. Ao final da chamada você tem uma escolha de stack, uma faixa de preço e um caminho de migração se você já estiver no stack errado.