事業提携者契約

本事業提携者契約（以下「本契約」）において、各用語を次のとおり定義します。

• 「対象事業体」とは、健康情報を電子的に送信し、HIPAAの適用を受ける医療保険プラン、医療情報交換機関、または医療提供者をいいます。
• 「事業提携者」とは、対象事業体に代わって保護対象保健情報を作成、受領、保管または送信するChargezen Corporationをいいます。
• 「保護対象保健情報」または「PHI」とは、45 CFR § 160.103に定義される、任意の形式または媒体で送信または保管される個人を特定可能な健康情報をいいます。
• 「電子保護対象保健情報」または「ePHI」とは、電子媒体で送信または保管されるPHIをいいます。
• 「セキュリティインシデント」とは、情報への不正なアクセス、利用、開示、変更、破壊、またはシステム運用への妨害の試み、もしくはそれらが実際に行われたことをいいます。
• 「侵害」とは、HIPAAで認められていない方法でPHIを取得、アクセス、利用または開示し、そのセキュリティまたはプライバシーを損なうことをいいます。

2.1事業提携者は、基礎となるサービス契約に定める対象事業体へのサービス提供に必要な場合、または法律で要求される場合に限り、PHIを利用または開示できます。

2.2事業提携者は、自らの事業の適切な管理・運営または法的責任の履行のためにPHIを利用できます。ただし、開示については、次のいずれかを満たすものとします。

• 法律により要求される開示であること。または、
• PHIが秘密として保持され、法律で要求される場合または開示の目的に限り利用もしくは開示され、侵害があれば受領者が事業提携者に通知することについて、事業提携者が受領者から合理的な保証を得ること。

2.3事業提携者は、許可されている場合、他の対象事業体のデータとPHIを集約でき、45 CFR § 164.514に従ってPHIを非識別化できます。

3.1 保護措置。事業提携者は、HIPAAセキュリティ規則の要求に従い、ePHIの機密性、完全性および可用性を合理的かつ適切に保護する管理的、物理的および技術的保護措置を実施するものとします。

3.2 報告。事業提携者は、次を行うものとします。

• 本契約で許可されていないPHIの利用または開示を、発見から3営業日以内に報告する
• セキュリティインシデントを、発見から24時間以内に報告する
• 保護措置が講じられていないPHIの侵害を、発見から24時間以内に報告し、対象事業体が侵害通知要件を満たすために必要な情報を提供する

3.3 再委託先。事業提携者は、PHIを作成、受領、保管または送信するすべての再委託先が、本契約と同じ制限および条件に同意するよう確保するものとします。

3.4 アクセス。事業提携者は、対象事業体が45 CFR § 164.524（個人のアクセス権）に基づく義務を果たすために必要な範囲で、PHIを対象事業体が利用できるようにするものとします。

3.5 訂正。事業提携者は、45 CFR § 164.526の要求に従い、PHIを訂正のために利用できるようにし、対象事業体の指示に従って訂正を反映するものとします。

3.6 開示履歴。事業提携者は、45 CFR § 164.528の要求に従い、対象事業体が開示履歴を提供するために必要な情報を利用できるようにするものとします。

3.7 HHSによるアクセス。事業提携者は、HIPAAへの準拠を判断する目的で、PHIに関する内部の実務、帳簿および記録をHHS長官が利用できるようにするものとします。

3.8 必要最小限。事業提携者は、PHIの利用、開示および要求を、意図した目的を達成するために必要な最小限の範囲に限定するものとします。

4.1対象事業体は、自らのプライバシー実務に関する通知に含まれる制限で、事業提携者によるPHIの利用または開示に影響し得るものを、事業提携者に通知するものとします。

4.2対象事業体は、個人が与えたPHIの利用または開示の許可の変更または撤回を、事業提携者に通知するものとします。

4.3対象事業体は、45 CFR § 164.522に従って自らが同意したPHIの利用または開示の制限を、事業提携者に通知するものとします。

4.4対象事業体は、自らが行った場合にHIPAAで認められない方法でPHIを利用または開示するよう、事業提携者に要求してはなりません。

事業提携者は、ePHIを保護するために次のセキュリティ対策を実施します。

5.1 管理的保護措置：

• セキュリティ責任者の指定
• 従業員の研修および意識向上プログラム
• アクセス管理および権限付与の手続き
• セキュリティインシデントに関する手続き
• 緊急時対応計画および災害復旧
• 定期的なリスク評価

5.2 物理的保護措置：

• 施設へのアクセス制御（データセンター）
• ワークステーションの利用およびセキュリティに関する方針
• 機器および媒体の管理

5.3 技術的保護措置：

• アクセス制御（一意のユーザーID、自動ログオフ）
• 監査制御およびログ記録
• 完全性の管理
• 送信時のセキュリティ（通信中の暗号化）
• 保存時の暗号化（AES-256）

6.1 発見。侵害は、事業提携者がその侵害を知った日、または合理的な注意を払えば知り得た最初の日に「発見」されたものとみなします。

6.2 通知。事業提携者は、保護措置が講じられていないPHIの侵害を発見した場合、24時間以内に対象事業体に通知し、次の情報を提供するものとします。

• PHIへのアクセス、取得、利用または開示が行われた、または行われたと合理的に考えられる各個人の特定
• 侵害日および発見日を含む、発生した事象の説明
• 関係するPHIの種類
• 個人が自らを保護するために取るべき措置
• 調査状況および実施済みの被害軽減措置

6.3 協力。事業提携者は、侵害の調査および45 CFR §§ 164.404-164.410に基づく通知要件の遵守において、対象事業体に協力するものとします。

6.4 被害軽減。事業提携者は、自らが認識している侵害の有害な影響を、実行可能な範囲で軽減するものとします。

7.1 期間。本契約は締結時に効力を生じ、すべてのPHIが破棄もしくは返還されるまで、または基礎となるサービス契約が終了するまで継続します。

7.2 正当な事由による解除。いずれの当事者も、相手方が本契約に重大な違反をし、書面による通知から30日以内に是正しない場合、本契約を解除できます。

7.3 終了の効果。終了時には、次が適用されます。

• 実行可能な場合、事業提携者は、対象事業体のために受領または作成したすべてのPHIを返還または破棄するものとします
• 返還または破棄が実行不可能な場合、事業提携者は、本契約の保護をPHIに引き続き適用し、その後の利用および開示を、返還または破棄を不可能にしている目的に限定するものとします
• 事業提携者は、PHIの破棄、または返還もしくは破棄が実行不可能である理由を、書面で証明するものとします

8.1 変更。本契約は、両当事者が署名した書面による合意によらなければ変更できません。両当事者は、HIPAAおよびその施行規則に準拠するために必要に応じて本契約を変更することに同意します。

8.2 存続。第3.1条（保護措置）、第6条（侵害の通知）および第7.3条（終了の効果）は、本契約終了後も存続するものとします。

8.3 解釈。本契約の曖昧な点は、対象事業体がHIPAAに準拠できるように解釈するものとします。

8.4 第三者受益者の不存在。本契約のいかなる規定も、第三者に権利を付与するものではありません。

8.5 準拠法。本契約は、連邦法（HIPAA）および連邦法により適用が排除されない範囲でデラウェア州法に準拠するものとします。