1. النطاق والغرض
تكمل اتفاقية شريك الأعمال هذه ("BAA") وتشكل جزءًا من اتفاقية الخدمة بين الكيان المشمول وشريك الأعمال. تحدد الشروط التي يجوز بموجبها لشريك الأعمال إنشاء أو استلام أو الاحتفاظ بأو نقل المعلومات الصحية المحمية ("PHI") نيابة عن الكيان المشمول فيما يتعلق بخدمات الترجمة والتفريغ الصوتي ومعالجة اللغة المقدمة من Morlivo ("الخدمات").
يقر الطرفان بأنه يجوز لشريك الأعمال الوصول إلى PHI أو استخدامه أو الإفصاح عنه أثناء تقديم الخدمات، وتحدد هذه BAA التزامات شريك الأعمال فيما يتعلق بـ PHI وفقًا للأحكام المعمول بها من HIPAA وقانون HITECH ولوائحهما التنفيذية (يُشار إليها مجتمعة بـ "قواعد HIPAA").
2. الاستخدامات والإفصاحات المسموح بها
يجوز لشريك الأعمال استخدام أو الإفصاح عن PHI فقط:
- حسب الضرورة لتنفيذ الخدمات الموصوفة في اتفاقية الخدمة الأساسية
- وفقًا لما يقتضيه القانون، بما في ذلك على سبيل المثال لا الحصر الإفصاحات المطلوبة من وزير الصحة والخدمات الإنسانية الأمريكية
- للإدارة والتنظيم السليم لشريك الأعمال، شريطة أن يكون أي إفصاح مطلوبًا بموجب القانون أو أن يحصل شريك الأعمال على ضمانات معقولة من أي طرف ثالث بأن المعلومات ستُحفظ بسرية
- لتقديم خدمات تجميع البيانات المتعلقة بعمليات الرعاية الصحية للكيان المشمول، إذا تم التصريح بذلك صراحة في اتفاقية الخدمة
لا يجوز لشريك الأعمال استخدام أو الإفصاح عن PHI بطريقة تنتهك قواعد HIPAA إذا قام بها الكيان المشمول، إلا بما هو مسموح به صراحة في هذه BAA. لا يجوز لشريك الأعمال استخدام PHI لأغراض تسويقية أو بيع PHI أو استخدام PHI لأغراض الاكتتاب.
3. الضمانات
يجب على شريك الأعمال تنفيذ والحفاظ على ضمانات إدارية ومادية وتقنية تحمي بشكل معقول ومناسب سرية وسلامة وتوافر PHI، بما في ذلك PHI الإلكتروني (ePHI)، كما تتطلبه قاعدة أمان HIPAA. تشمل هذه الضمانات على سبيل المثال لا الحصر:
- تشفير ePHI المخزن باستخدام AES-256 وأثناء النقل باستخدام TLS 1.2 أو أعلى
- ضوابط الوصول المستندة إلى الأدوار التي تقصر الوصول إلى PHI على الموظفين المصرح لهم فقط
- تسجيل تدقيق شامل لجميع عمليات الوصول إلى PHI والتعديلات عليه
- تقييمات المخاطر الدورية وفحص الثغرات
- تدريب القوى العاملة على متطلبات HIPAA والتوعية الأمنية
- إجراءات التخلص الآمن من PHI التي لم تعد مطلوبة للخدمات
يجب على شريك الأعمال ضمان موافقة أي وكيل، بما في ذلك المقاولون الفرعيون، الذي يزوده بـ PHI على نفس القيود والشروط المطبقة على شريك الأعمال بموجب هذه BAA، وفقًا لـ 45 CFR § 164.502(e)(1)(ii).
4. إشعار الانتهاك
يجب على شريك الأعمال إبلاغ الكيان المشمول بأي استخدام أو إفصاح عن PHI غير مسموح به بموجب هذه BAA يصبح على علم به، بما في ذلك أي انتهاك لـ PHI غير المؤمن كما هو معرّف في 45 CFR § 164.402. يجب على شريك الأعمال تقديم هذا الإشعار دون تأخير غير معقول وفي جميع الأحوال في موعد لا يتجاوز ثلاثين (30) يومًا تقويميًا من اكتشاف الانتهاك.
يجب أن يتضمن الإشعار، بالقدر المتاح:
- تحديد هوية كل فرد تم الوصول إلى PHI غير المؤمن الخاص به أو الحصول عليه أو استخدامه أو الإفصاح عنه، أو يُعتقد بشكل معقول أن ذلك قد حدث
- وصف لطبيعة الانتهاك، بما في ذلك أنواع PHI المعنية
- تاريخ الانتهاك وتاريخ اكتشافه
- وصف للخطوات التي يتخذها شريك الأعمال للتحقيق في الانتهاك والتخفيف منه ومنع تكراره مستقبلاً
- معلومات الاتصال بالأشخاص الذين يمكنهم تقديم تفاصيل إضافية
5. المدة والإنهاء
تسري هذه BAA اعتبارًا من تاريخ التنفيذ وتظل سارية طوال مدة اتفاقية الخدمة الأساسية، ما لم يتم إنهاؤها مبكرًا كما هو منصوص عليه هنا.
يجوز لأي من الطرفين إنهاء هذه BAA إذا قرر أن الطرف الآخر قد انتهك شرطًا جوهريًا من هذه BAA. يجب على الطرف غير المخالف تقديم إشعار خطي بالمخالفة للطرف المخالف ومنحه ثلاثين (30) يومًا للمعالجة. إذا لم تكن المعالجة ممكنة، يجوز للطرف غير المخالف إنهاء هذه BAA واتفاقية الخدمة الأساسية فورًا.
عند الإنهاء، يجب على شريك الأعمال، بناءً على اختيار الكيان المشمول، إعادة أو إتلاف جميع PHI المستلمة من أو المنشأة نيابة عن الكيان المشمول. إذا لم تكن الإعادة أو الإتلاف ممكنة، يجب على شريك الأعمال تمديد حماية هذه BAA لتشمل هذه PHI وتقييد الاستخدامات والإفصاحات الإضافية على تلك الأغراض التي تجعل الإعادة أو الإتلاف غير ممكنة.
6. التزامات الكيان المشمول
- يجب على الكيان المشمول إخطار شريك الأعمال بأي قيود في إشعار ممارسات الخصوصية الخاص به قد تؤثر على استخدام أو إفصاح شريك الأعمال عن PHI
- يجب على الكيان المشمول إخطار شريك الأعمال بأي تغييرات في تفويض الفرد لاستخدام أو الإفصاح عن PHI أو إلغائه، بالقدر الذي قد تؤثر فيه هذه التغييرات على الاستخدامات والإفصاحات المسموح بها لشريك الأعمال
- لا يجوز للكيان المشمول أن يطلب من شريك الأعمال استخدام أو الإفصاح عن PHI بأي طريقة تنتهك قواعد HIPAA
7. أحكام متنوعة
تخضع هذه BAA وتُفسّر وفقًا للقانون الفيدرالي المعمول به، بما في ذلك قواعد HIPAA. يُفسّر أي غموض في هذه BAA بما يسمح بالامتثال لقواعد HIPAA. تشكل هذه BAA الاتفاقية الكاملة بين الطرفين فيما يتعلق بالموضوع الوارد هنا وتحل محل جميع الاتفاقيات السابقة، سواء كانت مكتوبة أو شفهية، المتعلقة بنفس الموضوع.