---
title: "업무 협력자 계약 | Chargezen"
description: "보호 대상 건강정보를 취급하는 조직을 위한 Chargezen 업무 협력자 계약을 확인하세요."
url: "https://chargezen.com/ko/baa"
lang: "ko"
---

Canonical URL: https://chargezen.com/ko/baa

의료 분야 규정 준수

# 업무 협력자 계약

## Chargezen을 사용하여 보호 대상 건강정보(PHI)를 처리하는 의료 기관을 위한 HIPAA 준수 업무 협력자 계약입니다.

버전: 2026년 1월 HIPAA 준수

### BAA 요청

Chargezen과 보호 대상 건강정보(PHI)를 공유해야 하는 의료 기관은 업무 협력자 계약을 체결해야 합니다. 이 양식은 당사의 표준 조건을 설명합니다.

BAA 체결 문의

[legal@chargezen.com](mailto:legal@chargezen.com?subject=BAA%20Request)

처리 기간

영업일 기준 3~5일

참고: Chargezen이 귀하를 대신하여 PHI를 처리하려면 먼저 서명된 BAA가 필요합니다. 자격을 충족하는 의료 기관용 요금제에는 표준 BAA가 추가 비용 없이 포함됩니다.

### 보호 대상 건강정보(PHI)란 무엇인가요?

PHI에는 적용 대상 기관 또는 업무 협력자가 전송하거나 보관하는 개인 식별이 가능한 모든 건강정보가 포함됩니다. 예시는 다음과 같습니다.

이름, 주소, 전화번호, 이메일 주소

사회보장번호, 의료기록 번호

건강보험 정보 및 증권 번호

치료 날짜, 예약 정보

진단, 치료 계획, 약물

검사 결과, 영상 판독 보고서, 임상 기록

생체 식별정보(지문, 성문)

환자를 식별할 수 있는 기타 모든 정보

### 허용되는 PHI 이용

Chargezen은 다음 목적으로만 PHI를 이용하거나 공개할 수 있습니다.

*   1
    
    서비스 계약에 명시된 기능 수행
*   2
    
    당사 사업의 적절한 관리 및 운영
*   3
    
    법적 책임 이행
*   4
    
    데이터 집계 서비스(계약에 명시된 경우)
*   5
    
    HIPAA 요건에 따른 비식별 데이터 세트 생성

## 업무 협력자 계약 조건

다음은 당사의 표준 BAA 양식입니다. 체결되는 계약에는 고객별 조항이 포함될 수 있습니다.

### 1\. 정의

본 업무 협력자 계약(이하 “본 계약”)에서 사용하는 용어의 뜻은 다음과 같습니다.

*   **“적용 대상 기관”**은 건강정보를 전자적으로 전송하고 HIPAA의 적용을 받는 건강보험 플랜, 의료정보 중계기관 또는 의료 서비스 제공자를 의미합니다.
*   **“업무 협력자”**는 적용 대상 기관을 대신하여 보호 대상 건강정보를 생성, 수신, 보관 또는 전송하는 Chargezen Corporation을 의미합니다.
*   **“보호 대상 건강정보” 또는 “PHI”**는 45 CFR § 160.103에 정의된 바와 같이, 모든 형식이나 매체로 전송되거나 보관되는 개인 식별이 가능한 건강정보를 의미합니다.
*   **“전자 보호 대상 건강정보” 또는 “ePHI”**는 전자 매체로 전송되거나 보관되는 PHI를 의미합니다.
*   **“보안 사고”**는 정보에 대한 무단 접근, 이용, 공개, 변경, 파괴 또는 시스템 운영 방해의 시도나 성공을 의미합니다.
*   **“침해”**는 HIPAA에서 허용하지 않는 방식으로 PHI를 취득, 접근, 이용 또는 공개하여 PHI의 보안 또는 프라이버시를 훼손하는 것을 의미합니다.

### 2\. 허용되는 이용 및 공개

**2.1** 업무 협력자는 기초가 되는 서비스 계약에 명시된 적용 대상 기관 대상 서비스를 수행하는 데 필요한 경우 또는 법률에서 요구하는 경우에만 PHI를 이용하거나 공개할 수 있습니다.

**2.2** 업무 협력자는 적절한 사업 관리 및 운영이나 법적 책임 이행을 위해 PHI를 이용할 수 있습니다. 단, 공개는 다음 중 하나를 충족해야 합니다.

*   법률에서 요구하는 공개일 것. 또는
*   업무 협력자가 수령인으로부터 PHI를 기밀로 유지하고, 법률에서 요구하거나 공개된 목적을 위해서만 이용 또는 공개하며, 침해가 발생하면 업무 협력자에게 알리겠다는 합리적인 보장을 받을 것.

**2.3** 업무 협력자는 허가된 경우 다른 적용 대상 기관의 데이터와 PHI를 집계할 수 있으며, 45 CFR § 164.514에 따라 PHI를 비식별화할 수 있습니다.

### 3\. 업무 협력자의 의무

**3.1 보호 조치.** 업무 협력자는 HIPAA 보안 규칙의 요구에 따라 ePHI의 기밀성, 무결성 및 가용성을 합리적이고 적절하게 보호하는 관리적, 물리적 및 기술적 보호 조치를 구현해야 합니다.

**3.2 보고.** 업무 협력자는 다음을 이행해야 합니다.

*   본 계약에서 허용하지 않는 PHI의 이용 또는 공개를 발견 후 영업일 기준 3일 이내에 보고
*   모든 보안 사고를 발견 후 24시간 이내에 보고
*   보안 조치가 되지 않은 PHI의 침해를 발견 후 24시간 이내에 보고하고, 적용 대상 기관이 침해 통지 요건을 준수하는 데 필요한 정보를 포함

**3.3 하도급업체.** 업무 협력자는 PHI를 생성, 수신, 보관 또는 전송하는 모든 하도급업체가 본 계약과 동일한 제한 및 조건에 동의하도록 해야 합니다.

**3.4 접근.** 업무 협력자는 적용 대상 기관이 45 CFR § 164.524(개인의 접근 권리)에 따른 의무를 이행하는 데 필요한 범위에서 PHI를 이용할 수 있도록 제공해야 합니다.

**3.5 정정.** 업무 협력자는 45 CFR § 164.526의 요구에 따라 PHI를 정정할 수 있도록 제공하고 적용 대상 기관의 지시에 따라 정정을 반영해야 합니다.

**3.6 공개 내역.** 업무 협력자는 45 CFR § 164.528의 요구에 따라 적용 대상 기관이 공개 내역을 제공하는 데 필요한 정보를 제공해야 합니다.

**3.7 HHS 접근.** 업무 협력자는 HIPAA 준수 여부를 판단할 수 있도록 PHI와 관련된 내부 관행, 장부 및 기록을 HHS 장관에게 제공해야 합니다.

**3.8 필요 최소한.** 업무 협력자는 PHI의 이용, 공개 및 요청을 의도한 목적을 달성하는 데 필요한 최소한으로 제한해야 합니다.

### 4\. 적용 대상 기관의 의무

**4.1** 적용 대상 기관은 자신의 개인정보 보호 관행 고지에 포함된 제한 중 업무 협력자의 PHI 이용 또는 공개에 영향을 줄 수 있는 사항을 업무 협력자에게 알려야 합니다.

**4.2** 적용 대상 기관은 개인이 부여한 PHI 이용 또는 공개 허가의 변경이나 철회를 업무 협력자에게 알려야 합니다.

**4.3** 적용 대상 기관은 45 CFR § 164.522에 따라 동의한 PHI 이용 또는 공개 제한을 업무 협력자에게 알려야 합니다.

**4.4** 적용 대상 기관은 자신이 수행할 경우 HIPAA에 따라 허용되지 않을 방식으로 PHI를 이용하거나 공개하도록 업무 협력자에게 요청해서는 안 됩니다.

### 5\. 보안 조치

업무 협력자는 ePHI를 보호하기 위해 다음 보안 조치를 구현합니다.

**5.1 관리적 보호 조치:**

*   보안 책임자 지정
*   임직원 교육 및 인식 제고 프로그램
*   접근 관리 및 권한 부여 절차
*   보안 사고 절차
*   비상 계획 및 재해 복구
*   정기적 위험 평가

**5.2 물리적 보호 조치:**

*   시설 접근 통제(데이터 센터)
*   워크스테이션 사용 및 보안 정책
*   기기 및 매체 통제

**5.3 기술적 보호 조치:**

*   접근 통제(고유 사용자 ID, 자동 로그오프)
*   감사 통제 및 로깅
*   무결성 통제
*   전송 보안(전송 중 암호화)
*   저장 시 암호화(AES-256)

### 6\. 침해 통지

**6.1 발견.** 침해는 업무 협력자가 침해 사실을 알았거나 합리적인 주의를 기울였다면 알았을 최초의 날에 “발견”된 것으로 간주합니다.

**6.2 통지.** 업무 협력자는 보안 조치가 되지 않은 PHI의 침해를 발견하면 24시간 이내에 적용 대상 기관에 알리고 다음 정보를 제공해야 합니다.

*   PHI가 접근, 취득, 이용 또는 공개되었거나 그러한 사실이 있다고 합리적으로 판단되는 각 개인의 식별정보
*   침해 날짜와 발견 날짜를 포함한 발생 사실의 설명
*   관련 PHI의 유형
*   개인이 자신을 보호하기 위해 취해야 할 조치
*   조사 진행 상황 및 시행된 피해 완화 조치

**6.3 협력.** 업무 협력자는 침해 조사 및 45 CFR §§ 164.404-164.410의 통지 요건 준수를 위해 적용 대상 기관에 협력해야 합니다.

**6.4 완화.** 업무 협력자는 자신이 알고 있는 침해의 유해한 영향을 실행 가능한 범위에서 완화해야 합니다.

### 7\. 기간 및 종료

**7.1 기간.** 본 계약은 체결 시 효력이 발생하며 모든 PHI가 파기 또는 반환되거나 기초가 되는 서비스 계약이 종료될 때까지 계속됩니다.

**7.2 정당한 사유에 따른 해지.** 어느 당사자든 상대방이 본 계약을 중대하게 위반하고 서면 통지 후 30일 이내에 시정하지 않으면 본 계약을 해지할 수 있습니다.

**7.3 종료의 효과.** 종료 시 다음이 적용됩니다.

*   실행 가능한 경우 업무 협력자는 적용 대상 기관을 대신하여 수신하거나 생성한 모든 PHI를 반환 또는 파기해야 합니다
*   반환이나 파기가 실행 불가능한 경우 업무 협력자는 본 계약의 보호를 PHI에 계속 적용하고, 추가 이용 및 공개를 반환이나 파기를 불가능하게 만드는 목적으로 제한해야 합니다
*   업무 협력자는 PHI의 파기 또는 반환이나 파기가 실행 불가능한 이유를 서면으로 증명해야 합니다

### 8\. 기타 조항

**8.1 변경.** 본 계약은 양 당사자가 서명한 서면 합의로만 변경할 수 있습니다. 당사자들은 HIPAA 및 그 시행 규정 준수에 필요한 경우 본 계약을 변경하는 데 동의합니다.

**8.2 존속.** 제3.1조(보호 조치), 제6조(침해 통지) 및 제7.3조(종료의 효과)는 본 계약 종료 후에도 존속합니다.

**8.3 해석.** 본 계약의 모호한 사항은 적용 대상 기관이 HIPAA를 준수할 수 있도록 해석해야 합니다.

**8.4 제3자 수익자 없음.** 본 계약의 어떠한 내용도 제3자에게 권리를 부여하지 않습니다.

**8.5 준거법.** 본 계약은 연방법(HIPAA) 및 연방법에 의해 배제되지 않는 범위에서 델라웨어주 법률의 적용을 받습니다.

### 보안 및 규정 준수

Chargezen은 의료 데이터와 관련된 다음 인증 및 통제 조치를 유지합니다.

SOC 2 Type II

인증됨

HIPAA

준수

암호화

AES-256

침투 테스트

매년

## BAA를 체결할 준비가 되셨나요?

의료 기관을 위한 업무 협력자 계약을 요청하려면 당사 법무팀에 문의하세요.

[BAA 요청](mailto:legal@chargezen.com?subject=BAA%20Request) [신뢰 센터 보기](https://chargezen.com/ko/trust)