Acuerdo de asociado comercial

A efectos de este acuerdo de asociado comercial (el "Acuerdo"):

• "Entidad cubierta" significa un plan de salud, una entidad de intercambio de información de atención médica o un proveedor de atención médica que transmite información de salud electrónicamente y está sujeto a HIPAA.
• "Asociado comercial" significa Chargezen Corporation, que crea, recibe, conserva o transmite información de salud protegida en nombre de la entidad cubierta.
• "Información de salud protegida" o "PHI" significa información de salud que permite identificar a una persona y se transmite o conserva en cualquier formato o medio, según se define en 45 CFR § 160.103.
• "Información de salud protegida electrónica" o "ePHI" significa PHI transmitida o conservada en medios electrónicos.
• "Incidente de seguridad" significa el intento o la realización de acceso, uso, divulgación, modificación o destrucción no autorizados de información, o de interferencia con las operaciones de los sistemas.
• "Vulneración" significa la adquisición, acceso, uso o divulgación de PHI de una manera no permitida por HIPAA que comprometa la seguridad o privacidad de la PHI.

2.1 El asociado comercial puede usar o divulgar PHI únicamente cuando sea necesario para prestar los servicios a la entidad cubierta especificados en el contrato de servicios subyacente, o cuando lo exija la ley.

2.2 El asociado comercial puede usar PHI para su adecuada gestión y administración o para cumplir sus responsabilidades legales, siempre que cualquier divulgación:

• Sea exigida por la ley; o
• El asociado comercial obtenga garantías razonables del destinatario de que la PHI se mantendrá confidencial, se usará o divulgará solo cuando lo exija la ley o para los fines para los que se divulgó, y el destinatario notificará al asociado comercial cualquier vulneración.

2.3 El asociado comercial puede agregar PHI con datos de otras entidades cubiertas (si está autorizado) y puede desidentificar la PHI conforme a 45 CFR § 164.514.

3.1 Salvaguardas. El asociado comercial implementará salvaguardas administrativas, físicas y técnicas que protejan de manera razonable y adecuada la confidencialidad, integridad y disponibilidad de la ePHI, según exige la Regla de Seguridad de HIPAA.

3.2 Notificación. El asociado comercial deberá:

• Informar cualquier uso o divulgación de PHI no permitido por este Acuerdo dentro de los 3 días hábiles siguientes a su descubrimiento
• Informar cualquier incidente de seguridad dentro de las 24 horas siguientes a su descubrimiento
• Informar cualquier vulneración de PHI no protegida dentro de las 24 horas siguientes a su descubrimiento, incluida la información necesaria para que la entidad cubierta cumpla los requisitos de notificación de vulneraciones

3.3 Subcontratistas. El asociado comercial garantizará que los subcontratistas que creen, reciban, conserven o transmitan PHI acepten las mismas restricciones y condiciones de este Acuerdo.

3.4 Acceso. El asociado comercial pondrá la PHI a disposición de la entidad cubierta según sea necesario para satisfacer sus obligaciones conforme a 45 CFR § 164.524 (derechos individuales de acceso).

3.5 Rectificación. El asociado comercial pondrá la PHI a disposición para su rectificación e incorporará las rectificaciones según las instrucciones de la entidad cubierta, conforme a 45 CFR § 164.526.

3.6 Registro de divulgaciones. El asociado comercial pondrá a disposición la información necesaria para que la entidad cubierta proporcione un registro de divulgaciones, conforme a 45 CFR § 164.528.

3.7 Acceso del HHS. El asociado comercial pondrá sus prácticas internas, libros y registros relacionados con la PHI a disposición del Secretario del HHS para determinar el cumplimiento de HIPAA.

3.8 Mínimo necesario. El asociado comercial limitará el uso, la divulgación y las solicitudes de PHI al mínimo necesario para lograr el propósito previsto.

4.1 La entidad cubierta notificará al asociado comercial cualquier limitación de su Aviso de Prácticas de Privacidad que pueda afectar el uso o la divulgación de PHI por parte del asociado comercial.

4.2 La entidad cubierta notificará al asociado comercial cualquier cambio o revocación de la autorización de una persona para usar o divulgar PHI.

4.3 La entidad cubierta notificará al asociado comercial cualquier restricción al uso o la divulgación de PHI que haya aceptado conforme a 45 CFR § 164.522.

4.4 La entidad cubierta no solicitará al asociado comercial que use o divulgue PHI de una manera que no estaría permitida por HIPAA si la realizara la propia entidad cubierta.

El asociado comercial implementa las siguientes medidas de seguridad para proteger la ePHI:

5.1 Salvaguardas administrativas:

• Designación de un responsable de seguridad
• Programas de capacitación y concientización del personal
• Procedimientos de gestión y autorización de acceso
• Procedimientos para incidentes de seguridad
• Planificación de contingencias y recuperación ante desastres
• Evaluaciones periódicas de riesgos

5.2 Salvaguardas físicas:

• Controles de acceso a instalaciones (centros de datos)
• Políticas de uso y seguridad de estaciones de trabajo
• Controles de dispositivos y medios

5.3 Salvaguardas técnicas:

• Controles de acceso (identificadores únicos de usuario y cierre de sesión automático)
• Controles de auditoría y registros
• Controles de integridad
• Seguridad de transmisión (cifrado en tránsito)
• Cifrado en reposo (AES-256)

6.1 Descubrimiento. Una vulneración se considera "descubierta" el primer día en que el asociado comercial la conoce o la habría conocido de haber ejercido una diligencia razonable.

6.2 Notificación. Al descubrir una vulneración de PHI no protegida, el asociado comercial notificará a la entidad cubierta dentro de 24 horas y proporcionará:

• Identificación de cada persona cuya PHI haya sido objeto, o se crea razonablemente que haya sido objeto, de acceso, adquisición, uso o divulgación
• Una descripción de lo ocurrido, incluidas las fechas de la vulneración y de su descubrimiento
• Los tipos de PHI involucrados
• Las medidas que las personas deberían tomar para protegerse
• El estado de la investigación y las medidas de mitigación adoptadas

6.3 Cooperación. El asociado comercial cooperará con la entidad cubierta para investigar la vulneración y cumplir los requisitos de notificación de 45 CFR §§ 164.404-164.410.

6.4 Mitigación. El asociado comercial mitigará, en la medida de lo posible, los efectos perjudiciales de la vulneración que conozca.

7.1 Vigencia. Este Acuerdo entra en vigor al formalizarse y continúa hasta que se destruya o devuelva toda la PHI, o termine el contrato de servicios subyacente.

7.2 Terminación por causa justificada. Cualquiera de las partes puede terminar este Acuerdo si la otra lo incumple de forma sustancial y no subsana el incumplimiento dentro de los 30 días siguientes a la notificación escrita.

7.3 Efectos de la terminación. Al terminar el Acuerdo:

• Si es factible, el asociado comercial devolverá o destruirá toda la PHI recibida o creada en nombre de la entidad cubierta
• Si la devolución o destrucción no es factible, el asociado comercial extenderá las protecciones de este Acuerdo a la PHI y limitará los usos y divulgaciones posteriores a los fines que hagan inviable la devolución o destrucción
• El asociado comercial certificará por escrito la destrucción de la PHI o las razones por las que su devolución o destrucción no es factible

8.1 Modificación. Este Acuerdo solo podrá modificarse mediante acuerdo escrito firmado por ambas partes. Las partes acuerdan modificarlo según sea necesario para cumplir HIPAA y sus reglamentos de aplicación.

8.2 Supervivencia. Las secciones 3.1 (Salvaguardas), 6 (Notificación de incidentes de vulneración) y 7.3 (Efectos de la terminación) seguirán vigentes tras la terminación de este Acuerdo.

8.3 Interpretación. Cualquier ambigüedad de este Acuerdo se resolverá de modo que permita a la entidad cubierta cumplir HIPAA.

8.4 Sin terceros beneficiarios. Ninguna disposición de este Acuerdo conferirá derechos a terceros.

8.5 Ley aplicable. Este Acuerdo se regirá por la ley federal (HIPAA) y, en la medida en que esta no las desplace, por las leyes del Estado de Delaware.