Accord de partenaire commercial

Aux fins du présent accord de partenaire commercial (« Accord ») :

• « Entité couverte » désigne un régime d’assurance maladie, un organisme de centralisation des informations de santé ou un prestataire de soins de santé qui transmet des informations de santé par voie électronique et est soumis à HIPAA.
• « Partenaire commercial » désigne Chargezen Corporation, qui crée, reçoit, conserve ou transmet des informations de santé protégées pour le compte de l’entité couverte.
• « Informations de santé protégées » ou « PHI » désigne les informations de santé permettant d’identifier une personne, transmises ou conservées sous toute forme ou sur tout support, telles que définies dans 45 CFR § 160.103.
• « Informations de santé protégées électroniques » ou « ePHI » désigne les PHI transmises ou conservées sur des supports électroniques.
• « Incident de sécurité » désigne une tentative ou un acte accompli d’accès, d’utilisation, de divulgation, de modification ou de destruction non autorisés d’informations, ou d’interférence avec le fonctionnement des systèmes.
• « Violation » désigne l’acquisition, l’accès, l’utilisation ou la divulgation de PHI d’une manière non autorisée par HIPAA qui compromet la sécurité ou la confidentialité des PHI.

2.1 Le partenaire commercial ne peut utiliser ou divulguer les PHI que dans la mesure nécessaire à la prestation des services à l’entité couverte prévus par le contrat de service sous-jacent, ou lorsque la loi l’exige.

2.2 Le partenaire commercial peut utiliser les PHI pour la bonne gestion et administration de ses activités ou pour s’acquitter de ses obligations légales, à condition que toute divulgation :

• Soit exigée par la loi ; ou
• Que le partenaire commercial obtienne du destinataire des garanties raisonnables que les PHI seront gardées confidentielles, utilisées ou divulguées uniquement comme l’exige la loi ou aux fins pour lesquelles elles ont été divulguées, et que le destinataire lui signalera toute violation.

2.3 Le partenaire commercial peut agréger les PHI avec les données d’autres entités couvertes (si cela est autorisé) et peut dé-identifier les PHI conformément à 45 CFR § 164.514.

3.1 Mesures de protection. Le partenaire commercial doit mettre en œuvre des mesures de protection administratives, physiques et techniques qui protègent raisonnablement et de manière appropriée la confidentialité, l’intégrité et la disponibilité des ePHI, conformément à la règle de sécurité HIPAA.

3.2 Signalement. Le partenaire commercial doit :

• Signaler toute utilisation ou divulgation des PHI non autorisée par le présent Accord dans les 3 jours ouvrés suivant sa découverte
• Signaler tout incident de sécurité dans les 24 heures suivant sa découverte
• Signaler toute violation de PHI non sécurisées dans les 24 heures suivant sa découverte, en fournissant les informations nécessaires pour que l’entité couverte respecte les exigences de notification des violations

3.3 Sous-traitants. Le partenaire commercial doit veiller à ce que tout sous-traitant qui crée, reçoit, conserve ou transmet des PHI accepte les mêmes restrictions et conditions que celles du présent Accord.

3.4 Accès. Le partenaire commercial doit mettre les PHI à la disposition de l’entité couverte dans la mesure nécessaire pour satisfaire à ses obligations au titre de 45 CFR § 164.524 (droits d’accès individuels).

3.5 Rectification. Le partenaire commercial doit mettre les PHI à disposition pour rectification et intégrer les rectifications selon les instructions de l’entité couverte, conformément à 45 CFR § 164.526.

3.6 Relevé des divulgations. Le partenaire commercial doit mettre à disposition les informations nécessaires pour que l’entité couverte fournisse un relevé des divulgations, conformément à 45 CFR § 164.528.

3.7 Accès du HHS. Le partenaire commercial doit mettre ses pratiques internes, livres et registres relatifs aux PHI à la disposition du secrétaire du HHS afin de déterminer la conformité à HIPAA.

3.8 Minimum nécessaire. Le partenaire commercial doit limiter son utilisation, ses divulgations et ses demandes de PHI au minimum nécessaire pour atteindre l’objectif prévu.

4.1 L’entité couverte doit informer le partenaire commercial de toute limitation figurant dans son avis relatif aux pratiques de confidentialité susceptible d’affecter l’utilisation ou la divulgation des PHI par le partenaire commercial.

4.2 L’entité couverte doit informer le partenaire commercial de toute modification ou révocation de l’autorisation donnée par une personne d’utiliser ou de divulguer ses PHI.

4.3 L’entité couverte doit informer le partenaire commercial de toute restriction à l’utilisation ou à la divulgation des PHI qu’elle a acceptée conformément à 45 CFR § 164.522.

4.4 L’entité couverte ne doit pas demander au partenaire commercial d’utiliser ou de divulguer des PHI d’une manière qui ne serait pas autorisée par HIPAA si elle le faisait elle-même.

Le partenaire commercial met en œuvre les mesures de sécurité suivantes pour protéger les ePHI :

5.1 Mesures de protection administratives :

• Désignation d’un responsable de la sécurité
• Programmes de formation et de sensibilisation du personnel
• Procédures de gestion et d’autorisation des accès
• Procédures relatives aux incidents de sécurité
• Planification de la continuité et reprise après sinistre
• Évaluations régulières des risques

5.2 Mesures de protection physiques :

• Contrôles d’accès aux installations (centres de données)
• Politiques d’utilisation et de sécurité des postes de travail
• Contrôles des appareils et des supports

5.3 Mesures de protection techniques :

• Contrôles d’accès (identifiants uniques, déconnexion automatique)
• Contrôles d’audit et journalisation
• Contrôles d’intégrité
• Sécurité des transmissions (chiffrement en transit)
• Chiffrement au repos (AES-256)

6.1 Découverte. Une violation est réputée « découverte » dès le premier jour où elle est connue du partenaire commercial ou l’aurait été s’il avait fait preuve d’une diligence raisonnable.

6.2 Notification. Lorsqu’il découvre une violation de PHI non sécurisées, le partenaire commercial doit en informer l’entité couverte dans les 24 heures et fournir :

• L’identité de chaque personne dont les PHI ont fait l’objet, ou sont raisonnablement présumées avoir fait l’objet, d’un accès, d’une acquisition, d’une utilisation ou d’une divulgation
• Une description des faits, incluant les dates de la violation et de sa découverte
• Les types de PHI concernés
• Les mesures que les personnes devraient prendre pour se protéger
• L’état de l’enquête et les mesures d’atténuation prises

6.3 Coopération. Le partenaire commercial doit coopérer avec l’entité couverte pour enquêter sur la violation et respecter les exigences de notification prévues par 45 CFR §§ 164.404-164.410.

6.4 Atténuation. Le partenaire commercial doit atténuer, dans la mesure du possible, les effets préjudiciables de la violation dont il a connaissance.

7.1 Durée. Le présent Accord prend effet à sa signature et reste en vigueur jusqu’à la destruction ou la restitution de toutes les PHI, ou jusqu’à la résiliation du contrat de service sous-jacent.

7.2 Résiliation pour motif justifié. Chaque partie peut résilier le présent Accord si l’autre partie commet un manquement substantiel à celui-ci et n’y remédie pas dans les 30 jours suivant une notification écrite.

7.3 Effets de la résiliation. À la résiliation :

• Si cela est possible, le partenaire commercial doit restituer ou détruire toutes les PHI reçues ou créées pour le compte de l’entité couverte
• Si la restitution ou la destruction n’est pas possible, le partenaire commercial doit étendre les protections du présent Accord aux PHI et limiter les utilisations et divulgations ultérieures aux finalités qui rendent la restitution ou la destruction impossible
• Le partenaire commercial doit attester par écrit la destruction des PHI ou les raisons pour lesquelles leur restitution ou destruction n’est pas possible

8.1 Modification. Le présent Accord ne peut être modifié que par un accord écrit signé par les deux parties. Les parties conviennent de le modifier selon les besoins pour respecter HIPAA et ses règlements d’application.

8.2 Survie. Les sections 3.1 (Mesures de protection), 6 (Notification de violation) et 7.3 (Effets de la résiliation) restent en vigueur après la résiliation du présent Accord.

8.3 Interprétation. Toute ambiguïté du présent Accord doit être résolue de manière à permettre à l’entité couverte de respecter HIPAA.

8.4 Absence de droits pour les tiers. Aucune disposition du présent Accord ne confère de droits à un tiers.

8.5 Droit applicable. Le présent Accord est régi par le droit fédéral (HIPAA) et, dans la mesure où il n’est pas écarté par celui-ci, par le droit de l’État du Delaware.