--- title: "Acordo de associado comercial | Chargezen" description: "Consulte o acordo de associado comercial do Chargezen para organizações que tratam informações de saúde protegidas." url: "https://chargezen.com/pt-br/baa" lang: "pt-BR" --- Canonical URL: https://chargezen.com/pt-br/baa Conformidade na área da saúde # Acordo de associado comercial ## Acordo de associado comercial em conformidade com a HIPAA para organizações de saúde que usam o Chargezen para tratar informações de saúde protegidas (PHI). Versão: janeiro de 2026 Em conformidade com a HIPAA ### Solicitar um BAA Organizações de saúde que precisem compartilhar informações de saúde protegidas (PHI) com o Chargezen devem celebrar um acordo de associado comercial. Este modelo apresenta nossos termos padrão. Para celebrar um BAA [legal@chargezen.com](mailto:legal@chargezen.com?subject=BAA%20Request) Prazo de processamento 3 a 5 dias úteis Observação: é necessário um BAA assinado antes que o Chargezen possa tratar PHI em seu nome. BAAs padrão estão incluídos sem custo adicional nos planos elegíveis para organizações de saúde. ### O que são informações de saúde protegidas (PHI)? PHI incluem quaisquer informações de saúde que permitam identificar uma pessoa, transmitidas ou mantidas por uma entidade coberta ou um associado comercial. Exemplos: Nomes, endereços, números de telefone e endereços de e-mail Números de seguridade social e de prontuários médicos Informações de seguro-saúde e números de apólice Datas de tratamento e informações de agendamento Diagnósticos, planos de tratamento e medicamentos Resultados laboratoriais, laudos de imagem e notas clínicas Identificadores biométricos (impressões digitais e impressões vocais) Quaisquer outras informações que possam identificar um paciente ### Usos permitidos de PHI O Chargezen só pode usar ou divulgar PHI para as seguintes finalidades: * 1 Executar funções especificadas no contrato de serviços * 2 Gerir e administrar adequadamente nossa empresa * 3 Cumprir responsabilidades legais * 4 Serviços de agregação de dados (se previstos no acordo) * 5 Criar conjuntos de dados desidentificados conforme os requisitos da HIPAA ## Termos do acordo de associado comercial A seguir está nosso modelo padrão de BAA. Acordos celebrados podem incluir disposições específicas do cliente. ### 1\. Definições Para os fins deste acordo de associado comercial ("Acordo"): * **"Entidade coberta"** significa um plano de saúde, uma central de processamento de informações de saúde ou um prestador de serviços de saúde que transmite informações de saúde eletronicamente e está sujeito à HIPAA. * **"Associado comercial"** significa a Chargezen Corporation, que cria, recebe, mantém ou transmite informações de saúde protegidas em nome da entidade coberta. * **"Informações de saúde protegidas" ou "PHI"** significa informações de saúde que permitem identificar uma pessoa, transmitidas ou mantidas em qualquer formato ou meio, conforme definido em 45 CFR § 160.103. * **"Informações de saúde protegidas eletrônicas" ou "ePHI"** significa PHI transmitidas ou mantidas em meios eletrônicos. * **"Incidente de segurança"** significa a tentativa ou a concretização de acesso, uso, divulgação, modificação ou destruição não autorizados de informações, ou de interferência nas operações dos sistemas. * **"Violação"** significa a aquisição, o acesso, o uso ou a divulgação de PHI de forma não permitida pela HIPAA que comprometa a segurança ou a privacidade das PHI. ### 2\. Usos e divulgações permitidos **2.1** O associado comercial pode usar ou divulgar PHI apenas na medida necessária para prestar à entidade coberta os serviços especificados no contrato de serviços subjacente, ou conforme exigido por lei. **2.2** O associado comercial pode usar PHI para sua gestão e administração adequadas ou para cumprir suas responsabilidades legais, desde que qualquer divulgação: * Seja exigida por lei; ou * O associado comercial obtenha garantias razoáveis do destinatário de que as PHI serão mantidas em sigilo, usadas ou divulgadas somente conforme exigido por lei ou para as finalidades para as quais foram divulgadas, e de que o destinatário notificará o associado comercial sobre quaisquer violações. **2.3** O associado comercial pode agregar PHI a dados de outras entidades cobertas (se autorizado) e desidentificar PHI conforme 45 CFR § 164.514. ### 3\. Obrigações do associado comercial **3.1 Salvaguardas.** O associado comercial implementará salvaguardas administrativas, físicas e técnicas que protejam de forma razoável e adequada a confidencialidade, a integridade e a disponibilidade das ePHI, conforme exigido pela Regra de Segurança da HIPAA. **3.2 Comunicação.** O associado comercial deverá: * Comunicar qualquer uso ou divulgação de PHI não permitido por este Acordo em até 3 dias úteis após a descoberta * Comunicar qualquer incidente de segurança em até 24 horas após a descoberta * Comunicar qualquer violação de PHI não protegidas em até 24 horas após a descoberta, incluindo as informações necessárias para que a entidade coberta cumpra os requisitos de notificação de violações **3.3 Subcontratados.** O associado comercial garantirá que todos os subcontratados que criem, recebam, mantenham ou transmitam PHI concordem com as mesmas restrições e condições deste Acordo. **3.4 Acesso.** O associado comercial disponibilizará PHI à entidade coberta conforme necessário para satisfazer suas obrigações segundo 45 CFR § 164.524 (direitos individuais de acesso). **3.5 Retificação.** O associado comercial disponibilizará PHI para retificação e incorporará as retificações conforme instruções da entidade coberta, como exigido por 45 CFR § 164.526. **3.6 Registro de divulgações.** O associado comercial disponibilizará as informações necessárias para que a entidade coberta forneça um registro de divulgações, conforme exigido por 45 CFR § 164.528. **3.7 Acesso do HHS.** O associado comercial disponibilizará suas práticas internas, livros e registros relativos a PHI ao Secretário do HHS para determinar a conformidade com a HIPAA. **3.8 Mínimo necessário.** O associado comercial limitará o uso, a divulgação e as solicitações de PHI ao mínimo necessário para cumprir a finalidade pretendida. ### 4\. Obrigações da entidade coberta **4.1** A entidade coberta notificará o associado comercial sobre quaisquer limitações em seu Aviso de Práticas de Privacidade que possam afetar o uso ou a divulgação de PHI pelo associado comercial. **4.2** A entidade coberta notificará o associado comercial sobre alterações ou revogação da autorização de uma pessoa para usar ou divulgar PHI. **4.3** A entidade coberta notificará o associado comercial sobre quaisquer restrições ao uso ou à divulgação de PHI com as quais tenha concordado conforme 45 CFR § 164.522. **4.4** A entidade coberta não solicitará que o associado comercial use ou divulgue PHI de forma que não seria permitida pela HIPAA se realizada pela própria entidade coberta. ### 5\. Medidas de segurança O associado comercial implementa as seguintes medidas de segurança para proteger ePHI: **5.1 Salvaguardas administrativas:** * Designação de responsável pela segurança * Programas de treinamento e conscientização da força de trabalho * Procedimentos de gerenciamento e autorização de acesso * Procedimentos para incidentes de segurança * Planejamento de contingência e recuperação de desastres * Avaliações periódicas de risco **5.2 Salvaguardas físicas:** * Controles de acesso às instalações (data centers) * Políticas de uso e segurança das estações de trabalho * Controles de dispositivos e mídias **5.3 Salvaguardas técnicas:** * Controles de acesso (IDs de usuário exclusivos e encerramento automático de sessão) * Controles de auditoria e registros * Controles de integridade * Segurança de transmissão (criptografia em trânsito) * Criptografia em repouso (AES-256) ### 6\. Notificação de violação **6.1 Descoberta.** Uma violação é considerada "descoberta" no primeiro dia em que for conhecida pelo associado comercial ou em que teria sido conhecida mediante diligência razoável. **6.2 Notificação.** Ao descobrir uma violação de PHI não protegidas, o associado comercial notificará a entidade coberta em até 24 horas e fornecerá: * Identificação de cada pessoa cujas PHI tenham sido, ou se acredite razoavelmente que tenham sido, acessadas, adquiridas, usadas ou divulgadas * Descrição do ocorrido, incluindo a data da violação e da descoberta * Os tipos de PHI envolvidos * As medidas que as pessoas devem tomar para se proteger * O andamento da investigação e as medidas de mitigação adotadas **6.3 Cooperação.** O associado comercial cooperará com a entidade coberta na investigação da violação e no cumprimento dos requisitos de notificação de 45 CFR §§ 164.404-164.410. **6.4 Mitigação.** O associado comercial mitigará, na medida do possível, quaisquer efeitos prejudiciais da violação de que tenha conhecimento. ### 7\. Vigência e rescisão **7.1 Vigência.** Este Acordo entra em vigor ao ser celebrado e continua até que todas as PHI sejam destruídas ou devolvidas, ou até o término do contrato de serviços subjacente. **7.2 Rescisão por justa causa.** Qualquer parte pode rescindir este Acordo se a outra o violar de forma substancial e não sanar a violação em até 30 dias após notificação por escrito. **7.3 Efeitos da rescisão.** Após a rescisão: * Se viável, o associado comercial devolverá ou destruirá todas as PHI recebidas ou criadas em nome da entidade coberta * Se a devolução ou destruição não for viável, o associado comercial estenderá as proteções deste Acordo às PHI e limitará os usos e divulgações posteriores às finalidades que tornem a devolução ou destruição inviável * O associado comercial certificará por escrito a destruição das PHI ou os motivos pelos quais a devolução ou destruição não é viável ### 8\. Disposições diversas **8.1 Alteração.** Este Acordo só pode ser modificado por acordo escrito assinado por ambas as partes. As partes concordam em alterá-lo conforme necessário para cumprir a HIPAA e seus regulamentos de implementação. **8.2 Sobrevivência.** As seções 3.1 (Salvaguardas), 6 (Notificação de violação) e 7.3 (Efeitos da rescisão) permanecerão vigentes após a rescisão deste Acordo. **8.3 Interpretação.** Qualquer ambiguidade neste Acordo será resolvida de modo a permitir que a entidade coberta cumpra a HIPAA. **8.4 Ausência de terceiros beneficiários.** Nenhuma disposição deste Acordo conferirá direitos a terceiros. **8.5 Lei aplicável.** Este Acordo será regido pela lei federal (HIPAA) e, na medida em que não sejam afastadas por ela, pelas leis do Estado de Delaware. ### Segurança e conformidade O Chargezen mantém as seguintes certificações e controles relevantes para dados de saúde: SOC 2 Type II Certificado HIPAA Em conformidade Criptografia AES-256 Testes de invasão Anuais ## Pronto para celebrar um BAA? Entre em contato com nossa equipe jurídica para solicitar um acordo de associado comercial para sua organização de saúde. [Solicitar BAA](mailto:legal@chargezen.com?subject=BAA%20Request) [Ver a central de confiança](https://chargezen.com/pt-br/trust)