--- title: "事業提携者契約 | Chargezen" description: "保護対象保健情報を取り扱う組織向けのChargezen事業提携者契約をご確認ください。" url: "https://chargezen.com/ja/baa" lang: "ja" --- Canonical URL: https://chargezen.com/ja/baa 医療分野のコンプライアンス # 事業提携者契約 ## Chargezenで保護対象保健情報（PHI）を処理する医療機関向けの、HIPAAに準拠した事業提携者契約です。 版：2026年1月 HIPAA準拠 ### BAAをリクエスト Chargezenと保護対象保健情報（PHI）を共有する必要がある医療機関は、事業提携者契約を締結する必要があります。このひな形は当社の標準条件を示しています。 BAAの締結について [legal@chargezen.com](mailto:legal@chargezen.com?subject=BAA%20Request) 処理期間 3〜5営業日 注：Chargezenがお客様に代わってPHIを処理するには、事前に署名済みのBAAが必要です。対象となる医療機関向けプランでは、標準BAAを追加料金なしで提供します。 ### 保護対象保健情報（PHI）とは？ PHIには、対象事業体または事業提携者が送信または保管する、個人を特定できるあらゆる健康情報が含まれます。例： 氏名、住所、電話番号、メールアドレス 社会保障番号、診療記録番号 医療保険情報と保険証券番号 治療日、予約情報 診断、治療計画、投薬 検査結果、画像診断報告書、診療メモ 生体識別情報（指紋、声紋） 患者を特定できるその他すべての情報 ### PHIの許可される利用 Chargezenは、次の目的に限りPHIを利用または開示できます。 * 1 当社のサービス契約に定める業務の遂行 * 2 当社事業の適切な管理・運営 * 3 法的責任の履行 * 4 データ集約サービス（契約に定められている場合） * 5 HIPAAの要件に従った非識別化データセットの作成 ## 事業提携者契約の条件 以下は当社の標準BAAひな形です。締結する契約には、お客様固有の条項が含まれる場合があります。 ### 1\. 定義 本事業提携者契約（以下「本契約」）において、各用語を次のとおり定義します。 * **「対象事業体」**とは、健康情報を電子的に送信し、HIPAAの適用を受ける医療保険プラン、医療情報交換機関、または医療提供者をいいます。 * **「事業提携者」**とは、対象事業体に代わって保護対象保健情報を作成、受領、保管または送信するChargezen Corporationをいいます。 * **「保護対象保健情報」または「PHI」**とは、45 CFR § 160.103に定義される、任意の形式または媒体で送信または保管される個人を特定可能な健康情報をいいます。 * **「電子保護対象保健情報」または「ePHI」**とは、電子媒体で送信または保管されるPHIをいいます。 * **「セキュリティインシデント」**とは、情報への不正なアクセス、利用、開示、変更、破壊、またはシステム運用への妨害の試み、もしくはそれらが実際に行われたことをいいます。 * **「侵害」**とは、HIPAAで認められていない方法でPHIを取得、アクセス、利用または開示し、そのセキュリティまたはプライバシーを損なうことをいいます。 ### 2\. 許可される利用および開示 **2.1**事業提携者は、基礎となるサービス契約に定める対象事業体へのサービス提供に必要な場合、または法律で要求される場合に限り、PHIを利用または開示できます。 **2.2**事業提携者は、自らの事業の適切な管理・運営または法的責任の履行のためにPHIを利用できます。ただし、開示については、次のいずれかを満たすものとします。 * 法律により要求される開示であること。または、 * PHIが秘密として保持され、法律で要求される場合または開示の目的に限り利用もしくは開示され、侵害があれば受領者が事業提携者に通知することについて、事業提携者が受領者から合理的な保証を得ること。 **2.3**事業提携者は、許可されている場合、他の対象事業体のデータとPHIを集約でき、45 CFR § 164.514に従ってPHIを非識別化できます。 ### 3\. 事業提携者の義務 **3.1 保護措置。**事業提携者は、HIPAAセキュリティ規則の要求に従い、ePHIの機密性、完全性および可用性を合理的かつ適切に保護する管理的、物理的および技術的保護措置を実施するものとします。 **3.2 報告。**事業提携者は、次を行うものとします。 * 本契約で許可されていないPHIの利用または開示を、発見から3営業日以内に報告する * セキュリティインシデントを、発見から24時間以内に報告する * 保護措置が講じられていないPHIの侵害を、発見から24時間以内に報告し、対象事業体が侵害通知要件を満たすために必要な情報を提供する **3.3 再委託先。**事業提携者は、PHIを作成、受領、保管または送信するすべての再委託先が、本契約と同じ制限および条件に同意するよう確保するものとします。 **3.4 アクセス。**事業提携者は、対象事業体が45 CFR § 164.524（個人のアクセス権）に基づく義務を果たすために必要な範囲で、PHIを対象事業体が利用できるようにするものとします。 **3.5 訂正。**事業提携者は、45 CFR § 164.526の要求に従い、PHIを訂正のために利用できるようにし、対象事業体の指示に従って訂正を反映するものとします。 **3.6 開示履歴。**事業提携者は、45 CFR § 164.528の要求に従い、対象事業体が開示履歴を提供するために必要な情報を利用できるようにするものとします。 **3.7 HHSによるアクセス。**事業提携者は、HIPAAへの準拠を判断する目的で、PHIに関する内部の実務、帳簿および記録をHHS長官が利用できるようにするものとします。 **3.8 必要最小限。**事業提携者は、PHIの利用、開示および要求を、意図した目的を達成するために必要な最小限の範囲に限定するものとします。 ### 4\. 対象事業体の義務 **4.1**対象事業体は、自らのプライバシー実務に関する通知に含まれる制限で、事業提携者によるPHIの利用または開示に影響し得るものを、事業提携者に通知するものとします。 **4.2**対象事業体は、個人が与えたPHIの利用または開示の許可の変更または撤回を、事業提携者に通知するものとします。 **4.3**対象事業体は、45 CFR § 164.522に従って自らが同意したPHIの利用または開示の制限を、事業提携者に通知するものとします。 **4.4**対象事業体は、自らが行った場合にHIPAAで認められない方法でPHIを利用または開示するよう、事業提携者に要求してはなりません。 ### 5\. セキュリティ対策 事業提携者は、ePHIを保護するために次のセキュリティ対策を実施します。 **5.1 管理的保護措置：** * セキュリティ責任者の指定 * 従業員の研修および意識向上プログラム * アクセス管理および権限付与の手続き * セキュリティインシデントに関する手続き * 緊急時対応計画および災害復旧 * 定期的なリスク評価 **5.2 物理的保護措置：** * 施設へのアクセス制御（データセンター） * ワークステーションの利用およびセキュリティに関する方針 * 機器および媒体の管理 **5.3 技術的保護措置：** * アクセス制御（一意のユーザーID、自動ログオフ） * 監査制御およびログ記録 * 完全性の管理 * 送信時のセキュリティ（通信中の暗号化） * 保存時の暗号化（AES-256） ### 6\. 侵害の通知 **6.1 発見。**侵害は、事業提携者がその侵害を知った日、または合理的な注意を払えば知り得た最初の日に「発見」されたものとみなします。 **6.2 通知。**事業提携者は、保護措置が講じられていないPHIの侵害を発見した場合、24時間以内に対象事業体に通知し、次の情報を提供するものとします。 * PHIへのアクセス、取得、利用または開示が行われた、または行われたと合理的に考えられる各個人の特定 * 侵害日および発見日を含む、発生した事象の説明 * 関係するPHIの種類 * 個人が自らを保護するために取るべき措置 * 調査状況および実施済みの被害軽減措置 **6.3 協力。**事業提携者は、侵害の調査および45 CFR §§ 164.404-164.410に基づく通知要件の遵守において、対象事業体に協力するものとします。 **6.4 被害軽減。**事業提携者は、自らが認識している侵害の有害な影響を、実行可能な範囲で軽減するものとします。 ### 7\. 期間および終了 **7.1 期間。**本契約は締結時に効力を生じ、すべてのPHIが破棄もしくは返還されるまで、または基礎となるサービス契約が終了するまで継続します。 **7.2 正当な事由による解除。**いずれの当事者も、相手方が本契約に重大な違反をし、書面による通知から30日以内に是正しない場合、本契約を解除できます。 **7.3 終了の効果。**終了時には、次が適用されます。 * 実行可能な場合、事業提携者は、対象事業体のために受領または作成したすべてのPHIを返還または破棄するものとします * 返還または破棄が実行不可能な場合、事業提携者は、本契約の保護をPHIに引き続き適用し、その後の利用および開示を、返還または破棄を不可能にしている目的に限定するものとします * 事業提携者は、PHIの破棄、または返還もしくは破棄が実行不可能である理由を、書面で証明するものとします ### 8\. その他の規定 **8.1 変更。**本契約は、両当事者が署名した書面による合意によらなければ変更できません。両当事者は、HIPAAおよびその施行規則に準拠するために必要に応じて本契約を変更することに同意します。 **8.2 存続。**第3.1条（保護措置）、第6条（侵害の通知）および第7.3条（終了の効果）は、本契約終了後も存続するものとします。 **8.3 解釈。**本契約の曖昧な点は、対象事業体がHIPAAに準拠できるように解釈するものとします。 **8.4 第三者受益者の不存在。**本契約のいかなる規定も、第三者に権利を付与するものではありません。 **8.5 準拠法。**本契約は、連邦法（HIPAA）および連邦法により適用が排除されない範囲でデラウェア州法に準拠するものとします。 ### セキュリティとコンプライアンス Chargezenは、医療データに関連する次の認証と管理策を維持しています。 SOC 2 Type II 認証取得済み HIPAA 準拠 暗号化 AES-256 侵入テスト 毎年 ## BAAを締結しますか？ 医療機関向けの事業提携者契約をご希望の場合は、当社の法務チームにお問い合わせください。 [BAAをリクエスト](mailto:legal@chargezen.com?subject=BAA%20Request) [トラストセンターを見る](https://chargezen.com/ja/trust)