업무 협력자 계약

본 업무 협력자 계약(이하 “본 계약”)에서 사용하는 용어의 뜻은 다음과 같습니다.

• “적용 대상 기관”은 건강정보를 전자적으로 전송하고 HIPAA의 적용을 받는 건강보험 플랜, 의료정보 중계기관 또는 의료 서비스 제공자를 의미합니다.
• “업무 협력자”는 적용 대상 기관을 대신하여 보호 대상 건강정보를 생성, 수신, 보관 또는 전송하는 Chargezen Corporation을 의미합니다.
• “보호 대상 건강정보” 또는 “PHI”는 45 CFR § 160.103에 정의된 바와 같이, 모든 형식이나 매체로 전송되거나 보관되는 개인 식별이 가능한 건강정보를 의미합니다.
• “전자 보호 대상 건강정보” 또는 “ePHI”는 전자 매체로 전송되거나 보관되는 PHI를 의미합니다.
• “보안 사고”는 정보에 대한 무단 접근, 이용, 공개, 변경, 파괴 또는 시스템 운영 방해의 시도나 성공을 의미합니다.
• “침해”는 HIPAA에서 허용하지 않는 방식으로 PHI를 취득, 접근, 이용 또는 공개하여 PHI의 보안 또는 프라이버시를 훼손하는 것을 의미합니다.

2.1 업무 협력자는 기초가 되는 서비스 계약에 명시된 적용 대상 기관 대상 서비스를 수행하는 데 필요한 경우 또는 법률에서 요구하는 경우에만 PHI를 이용하거나 공개할 수 있습니다.

2.2 업무 협력자는 적절한 사업 관리 및 운영이나 법적 책임 이행을 위해 PHI를 이용할 수 있습니다. 단, 공개는 다음 중 하나를 충족해야 합니다.

• 법률에서 요구하는 공개일 것. 또는
• 업무 협력자가 수령인으로부터 PHI를 기밀로 유지하고, 법률에서 요구하거나 공개된 목적을 위해서만 이용 또는 공개하며, 침해가 발생하면 업무 협력자에게 알리겠다는 합리적인 보장을 받을 것.

2.3 업무 협력자는 허가된 경우 다른 적용 대상 기관의 데이터와 PHI를 집계할 수 있으며, 45 CFR § 164.514에 따라 PHI를 비식별화할 수 있습니다.

3.1 보호 조치. 업무 협력자는 HIPAA 보안 규칙의 요구에 따라 ePHI의 기밀성, 무결성 및 가용성을 합리적이고 적절하게 보호하는 관리적, 물리적 및 기술적 보호 조치를 구현해야 합니다.

3.2 보고. 업무 협력자는 다음을 이행해야 합니다.

• 본 계약에서 허용하지 않는 PHI의 이용 또는 공개를 발견 후 영업일 기준 3일 이내에 보고
• 모든 보안 사고를 발견 후 24시간 이내에 보고
• 보안 조치가 되지 않은 PHI의 침해를 발견 후 24시간 이내에 보고하고, 적용 대상 기관이 침해 통지 요건을 준수하는 데 필요한 정보를 포함

3.3 하도급업체. 업무 협력자는 PHI를 생성, 수신, 보관 또는 전송하는 모든 하도급업체가 본 계약과 동일한 제한 및 조건에 동의하도록 해야 합니다.

3.4 접근. 업무 협력자는 적용 대상 기관이 45 CFR § 164.524(개인의 접근 권리)에 따른 의무를 이행하는 데 필요한 범위에서 PHI를 이용할 수 있도록 제공해야 합니다.

3.5 정정. 업무 협력자는 45 CFR § 164.526의 요구에 따라 PHI를 정정할 수 있도록 제공하고 적용 대상 기관의 지시에 따라 정정을 반영해야 합니다.

3.6 공개 내역. 업무 협력자는 45 CFR § 164.528의 요구에 따라 적용 대상 기관이 공개 내역을 제공하는 데 필요한 정보를 제공해야 합니다.

3.7 HHS 접근. 업무 협력자는 HIPAA 준수 여부를 판단할 수 있도록 PHI와 관련된 내부 관행, 장부 및 기록을 HHS 장관에게 제공해야 합니다.

3.8 필요 최소한. 업무 협력자는 PHI의 이용, 공개 및 요청을 의도한 목적을 달성하는 데 필요한 최소한으로 제한해야 합니다.

4.1 적용 대상 기관은 자신의 개인정보 보호 관행 고지에 포함된 제한 중 업무 협력자의 PHI 이용 또는 공개에 영향을 줄 수 있는 사항을 업무 협력자에게 알려야 합니다.

4.2 적용 대상 기관은 개인이 부여한 PHI 이용 또는 공개 허가의 변경이나 철회를 업무 협력자에게 알려야 합니다.

4.3 적용 대상 기관은 45 CFR § 164.522에 따라 동의한 PHI 이용 또는 공개 제한을 업무 협력자에게 알려야 합니다.

4.4 적용 대상 기관은 자신이 수행할 경우 HIPAA에 따라 허용되지 않을 방식으로 PHI를 이용하거나 공개하도록 업무 협력자에게 요청해서는 안 됩니다.

업무 협력자는 ePHI를 보호하기 위해 다음 보안 조치를 구현합니다.

5.1 관리적 보호 조치:

• 보안 책임자 지정
• 임직원 교육 및 인식 제고 프로그램
• 접근 관리 및 권한 부여 절차
• 보안 사고 절차
• 비상 계획 및 재해 복구
• 정기적 위험 평가

5.2 물리적 보호 조치:

• 시설 접근 통제(데이터 센터)
• 워크스테이션 사용 및 보안 정책
• 기기 및 매체 통제

5.3 기술적 보호 조치:

• 접근 통제(고유 사용자 ID, 자동 로그오프)
• 감사 통제 및 로깅
• 무결성 통제
• 전송 보안(전송 중 암호화)
• 저장 시 암호화(AES-256)

6.1 발견. 침해는 업무 협력자가 침해 사실을 알았거나 합리적인 주의를 기울였다면 알았을 최초의 날에 “발견”된 것으로 간주합니다.

6.2 통지. 업무 협력자는 보안 조치가 되지 않은 PHI의 침해를 발견하면 24시간 이내에 적용 대상 기관에 알리고 다음 정보를 제공해야 합니다.

• PHI가 접근, 취득, 이용 또는 공개되었거나 그러한 사실이 있다고 합리적으로 판단되는 각 개인의 식별정보
• 침해 날짜와 발견 날짜를 포함한 발생 사실의 설명
• 관련 PHI의 유형
• 개인이 자신을 보호하기 위해 취해야 할 조치
• 조사 진행 상황 및 시행된 피해 완화 조치

6.3 협력. 업무 협력자는 침해 조사 및 45 CFR §§ 164.404-164.410의 통지 요건 준수를 위해 적용 대상 기관에 협력해야 합니다.

6.4 완화. 업무 협력자는 자신이 알고 있는 침해의 유해한 영향을 실행 가능한 범위에서 완화해야 합니다.

7.1 기간. 본 계약은 체결 시 효력이 발생하며 모든 PHI가 파기 또는 반환되거나 기초가 되는 서비스 계약이 종료될 때까지 계속됩니다.

7.2 정당한 사유에 따른 해지. 어느 당사자든 상대방이 본 계약을 중대하게 위반하고 서면 통지 후 30일 이내에 시정하지 않으면 본 계약을 해지할 수 있습니다.

7.3 종료의 효과. 종료 시 다음이 적용됩니다.

• 실행 가능한 경우 업무 협력자는 적용 대상 기관을 대신하여 수신하거나 생성한 모든 PHI를 반환 또는 파기해야 합니다
• 반환이나 파기가 실행 불가능한 경우 업무 협력자는 본 계약의 보호를 PHI에 계속 적용하고, 추가 이용 및 공개를 반환이나 파기를 불가능하게 만드는 목적으로 제한해야 합니다
• 업무 협력자는 PHI의 파기 또는 반환이나 파기가 실행 불가능한 이유를 서면으로 증명해야 합니다

8.1 변경. 본 계약은 양 당사자가 서명한 서면 합의로만 변경할 수 있습니다. 당사자들은 HIPAA 및 그 시행 규정 준수에 필요한 경우 본 계약을 변경하는 데 동의합니다.

8.2 존속. 제3.1조(보호 조치), 제6조(침해 통지) 및 제7.3조(종료의 효과)는 본 계약 종료 후에도 존속합니다.

8.3 해석. 본 계약의 모호한 사항은 적용 대상 기관이 HIPAA를 준수할 수 있도록 해석해야 합니다.

8.4 제3자 수익자 없음. 본 계약의 어떠한 내용도 제3자에게 권리를 부여하지 않습니다.

8.5 준거법. 본 계약은 연방법(HIPAA) 및 연방법에 의해 배제되지 않는 범위에서 델라웨어주 법률의 적용을 받습니다.