Acordo de associado comercial

Para os fins deste acordo de associado comercial ("Acordo"):

• "Entidade coberta" significa um plano de saúde, uma central de processamento de informações de saúde ou um prestador de serviços de saúde que transmite informações de saúde eletronicamente e está sujeito à HIPAA.
• "Associado comercial" significa a Chargezen Corporation, que cria, recebe, mantém ou transmite informações de saúde protegidas em nome da entidade coberta.
• "Informações de saúde protegidas" ou "PHI" significa informações de saúde que permitem identificar uma pessoa, transmitidas ou mantidas em qualquer formato ou meio, conforme definido em 45 CFR § 160.103.
• "Informações de saúde protegidas eletrônicas" ou "ePHI" significa PHI transmitidas ou mantidas em meios eletrônicos.
• "Incidente de segurança" significa a tentativa ou a concretização de acesso, uso, divulgação, modificação ou destruição não autorizados de informações, ou de interferência nas operações dos sistemas.
• "Violação" significa a aquisição, o acesso, o uso ou a divulgação de PHI de forma não permitida pela HIPAA que comprometa a segurança ou a privacidade das PHI.

2.1 O associado comercial pode usar ou divulgar PHI apenas na medida necessária para prestar à entidade coberta os serviços especificados no contrato de serviços subjacente, ou conforme exigido por lei.

2.2 O associado comercial pode usar PHI para sua gestão e administração adequadas ou para cumprir suas responsabilidades legais, desde que qualquer divulgação:

• Seja exigida por lei; ou
• O associado comercial obtenha garantias razoáveis do destinatário de que as PHI serão mantidas em sigilo, usadas ou divulgadas somente conforme exigido por lei ou para as finalidades para as quais foram divulgadas, e de que o destinatário notificará o associado comercial sobre quaisquer violações.

2.3 O associado comercial pode agregar PHI a dados de outras entidades cobertas (se autorizado) e desidentificar PHI conforme 45 CFR § 164.514.

3.1 Salvaguardas. O associado comercial implementará salvaguardas administrativas, físicas e técnicas que protejam de forma razoável e adequada a confidencialidade, a integridade e a disponibilidade das ePHI, conforme exigido pela Regra de Segurança da HIPAA.

3.2 Comunicação. O associado comercial deverá:

• Comunicar qualquer uso ou divulgação de PHI não permitido por este Acordo em até 3 dias úteis após a descoberta
• Comunicar qualquer incidente de segurança em até 24 horas após a descoberta
• Comunicar qualquer violação de PHI não protegidas em até 24 horas após a descoberta, incluindo as informações necessárias para que a entidade coberta cumpra os requisitos de notificação de violações

3.3 Subcontratados. O associado comercial garantirá que todos os subcontratados que criem, recebam, mantenham ou transmitam PHI concordem com as mesmas restrições e condições deste Acordo.

3.4 Acesso. O associado comercial disponibilizará PHI à entidade coberta conforme necessário para satisfazer suas obrigações segundo 45 CFR § 164.524 (direitos individuais de acesso).

3.5 Retificação. O associado comercial disponibilizará PHI para retificação e incorporará as retificações conforme instruções da entidade coberta, como exigido por 45 CFR § 164.526.

3.6 Registro de divulgações. O associado comercial disponibilizará as informações necessárias para que a entidade coberta forneça um registro de divulgações, conforme exigido por 45 CFR § 164.528.

3.7 Acesso do HHS. O associado comercial disponibilizará suas práticas internas, livros e registros relativos a PHI ao Secretário do HHS para determinar a conformidade com a HIPAA.

3.8 Mínimo necessário. O associado comercial limitará o uso, a divulgação e as solicitações de PHI ao mínimo necessário para cumprir a finalidade pretendida.

4.1 A entidade coberta notificará o associado comercial sobre quaisquer limitações em seu Aviso de Práticas de Privacidade que possam afetar o uso ou a divulgação de PHI pelo associado comercial.

4.2 A entidade coberta notificará o associado comercial sobre alterações ou revogação da autorização de uma pessoa para usar ou divulgar PHI.

4.3 A entidade coberta notificará o associado comercial sobre quaisquer restrições ao uso ou à divulgação de PHI com as quais tenha concordado conforme 45 CFR § 164.522.

4.4 A entidade coberta não solicitará que o associado comercial use ou divulgue PHI de forma que não seria permitida pela HIPAA se realizada pela própria entidade coberta.

O associado comercial implementa as seguintes medidas de segurança para proteger ePHI:

5.1 Salvaguardas administrativas:

• Designação de responsável pela segurança
• Programas de treinamento e conscientização da força de trabalho
• Procedimentos de gerenciamento e autorização de acesso
• Procedimentos para incidentes de segurança
• Planejamento de contingência e recuperação de desastres
• Avaliações periódicas de risco

5.2 Salvaguardas físicas:

• Controles de acesso às instalações (data centers)
• Políticas de uso e segurança das estações de trabalho
• Controles de dispositivos e mídias

5.3 Salvaguardas técnicas:

• Controles de acesso (IDs de usuário exclusivos e encerramento automático de sessão)
• Controles de auditoria e registros
• Controles de integridade
• Segurança de transmissão (criptografia em trânsito)
• Criptografia em repouso (AES-256)

6.1 Descoberta. Uma violação é considerada "descoberta" no primeiro dia em que for conhecida pelo associado comercial ou em que teria sido conhecida mediante diligência razoável.

6.2 Notificação. Ao descobrir uma violação de PHI não protegidas, o associado comercial notificará a entidade coberta em até 24 horas e fornecerá:

• Identificação de cada pessoa cujas PHI tenham sido, ou se acredite razoavelmente que tenham sido, acessadas, adquiridas, usadas ou divulgadas
• Descrição do ocorrido, incluindo a data da violação e da descoberta
• Os tipos de PHI envolvidos
• As medidas que as pessoas devem tomar para se proteger
• O andamento da investigação e as medidas de mitigação adotadas

6.3 Cooperação. O associado comercial cooperará com a entidade coberta na investigação da violação e no cumprimento dos requisitos de notificação de 45 CFR §§ 164.404-164.410.

6.4 Mitigação. O associado comercial mitigará, na medida do possível, quaisquer efeitos prejudiciais da violação de que tenha conhecimento.

7.1 Vigência. Este Acordo entra em vigor ao ser celebrado e continua até que todas as PHI sejam destruídas ou devolvidas, ou até o término do contrato de serviços subjacente.

7.2 Rescisão por justa causa. Qualquer parte pode rescindir este Acordo se a outra o violar de forma substancial e não sanar a violação em até 30 dias após notificação por escrito.

7.3 Efeitos da rescisão. Após a rescisão:

• Se viável, o associado comercial devolverá ou destruirá todas as PHI recebidas ou criadas em nome da entidade coberta
• Se a devolução ou destruição não for viável, o associado comercial estenderá as proteções deste Acordo às PHI e limitará os usos e divulgações posteriores às finalidades que tornem a devolução ou destruição inviável
• O associado comercial certificará por escrito a destruição das PHI ou os motivos pelos quais a devolução ou destruição não é viável

8.1 Alteração. Este Acordo só pode ser modificado por acordo escrito assinado por ambas as partes. As partes concordam em alterá-lo conforme necessário para cumprir a HIPAA e seus regulamentos de implementação.

8.2 Sobrevivência. As seções 3.1 (Salvaguardas), 6 (Notificação de violação) e 7.3 (Efeitos da rescisão) permanecerão vigentes após a rescisão deste Acordo.

8.3 Interpretação. Qualquer ambiguidade neste Acordo será resolvida de modo a permitir que a entidade coberta cumpra a HIPAA.

8.4 Ausência de terceiros beneficiários. Nenhuma disposição deste Acordo conferirá direitos a terceiros.

8.5 Lei aplicável. Este Acordo será regido pela lei federal (HIPAA) e, na medida em que não sejam afastadas por ela, pelas leis do Estado de Delaware.