1. दायरा और उद्देश्य
यह व्यापार सहयोगी समझौता ("BAA") कवर्ड एंटिटी और बिज़नेस एसोसिएट के बीच सेवा समझौते का पूरक है और उसका हिस्सा है। यह उन शर्तों को स्थापित करता है जिनके तहत बिज़नेस एसोसिएट Morlivo द्वारा प्रदान की जाने वाली अनुवाद, ट्रांसक्रिप्शन और भाषा प्रसंस्करण सेवाओं ("सेवाएँ") के संबंध में कवर्ड एंटिटी की ओर से संरक्षित स्वास्थ्य जानकारी ("PHI") बना, प्राप्त कर, बनाए रख या प्रसारित कर सकता है।
पक्ष स्वीकार करते हैं कि बिज़नेस एसोसिएट सेवाएँ प्रदान करने के दौरान PHI तक पहुँच, उपयोग या प्रकटीकरण कर सकता है, और यह BAA HIPAA, HITECH अधिनियम, और उनके कार्यान्वयन विनियमों (सामूहिक रूप से, "HIPAA नियम") के लागू प्रावधानों के अनुसार ऐसी PHI के संबंध में बिज़नेस एसोसिएट के दायित्वों को निर्धारित करता है।
2. अनुमत उपयोग और प्रकटीकरण
बिज़नेस एसोसिएट PHI का उपयोग या प्रकटीकरण केवल इन उद्देश्यों के लिए कर सकता है:
- अंतर्निहित सेवा समझौते में वर्णित सेवाएँ प्रदान करने के लिए आवश्यकतानुसार
- कानून द्वारा आवश्यकतानुसार, जिसमें अमेरिकी स्वास्थ्य और मानव सेवा विभाग के सचिव द्वारा आवश्यक प्रकटीकरण शामिल हैं, लेकिन इन्हीं तक सीमित नहीं
- बिज़नेस एसोसिएट के उचित प्रबंधन और प्रशासन के लिए, बशर्ते कि कोई भी प्रकटीकरण कानून द्वारा आवश्यक हो या बिज़नेस एसोसिएट किसी तृतीय पक्ष से उचित आश्वासन प्राप्त करे कि जानकारी गोपनीय रखी जाएगी
- कवर्ड एंटिटी के स्वास्थ्य सेवा संचालन से संबंधित डेटा एकत्रीकरण सेवाएँ प्रदान करने के लिए, यदि सेवा समझौते में स्पष्ट रूप से अधिकृत हो
बिज़नेस एसोसिएट PHI का उपयोग या प्रकटीकरण ऐसे तरीके से नहीं करेगा जो कवर्ड एंटिटी द्वारा किए जाने पर HIPAA नियमों का उल्लंघन करेगा, सिवाय इसके कि इस BAA में स्पष्ट रूप से अनुमति दी गई हो। बिज़नेस एसोसिएट मार्केटिंग उद्देश्यों के लिए PHI का उपयोग नहीं करेगा, PHI नहीं बेचेगा, या अंडरराइटिंग उद्देश्यों के लिए PHI का उपयोग नहीं करेगा।
3. सुरक्षा उपाय
बिज़नेस एसोसिएट HIPAA सुरक्षा नियम द्वारा आवश्यक प्रशासनिक, भौतिक और तकनीकी सुरक्षा उपायों को लागू और बनाए रखेगा जो PHI, जिसमें इलेक्ट्रॉनिक PHI (ePHI) शामिल है, की गोपनीयता, अखंडता और उपलब्धता की उचित और यथोचित रूप से रक्षा करते हैं। इन सुरक्षा उपायों में शामिल हैं, लेकिन इन्हीं तक सीमित नहीं हैं:
- AES-256 का उपयोग करके ePHI का रेस्ट पर और TLS 1.2 या उससे ऊपर का उपयोग करके ट्रांज़िट में एन्क्रिप्शन
- भूमिका-आधारित पहुँच नियंत्रण जो PHI तक पहुँच को केवल अधिकृत कर्मियों तक सीमित करते हैं
- PHI तक सभी पहुँच और संशोधनों की व्यापक ऑडिट लॉगिंग
- नियमित जोखिम मूल्यांकन और कमज़ोरी स्कैनिंग
- HIPAA आवश्यकताओं और सुरक्षा जागरूकता पर कार्यबल प्रशिक्षण
- सेवाओं के लिए अब आवश्यक न होने वाली PHI के लिए सुरक्षित निपटान प्रक्रियाएँ
बिज़नेस एसोसिएट यह सुनिश्चित करेगा कि कोई भी एजेंट, जिसमें उप-ठेकेदार शामिल हैं, जिन्हें वह PHI प्रदान करता है, 45 CFR § 164.502(e)(1)(ii) के अनुसार इस BAA के तहत बिज़नेस एसोसिएट पर लागू समान प्रतिबंधों और शर्तों से सहमत हो।
4. उल्लंघन सूचना
बिज़नेस एसोसिएट कवर्ड एंटिटी को इस BAA द्वारा अनुमत न होने वाले PHI के किसी भी उपयोग या प्रकटीकरण की रिपोर्ट करेगा जिसकी उसे जानकारी होती है, जिसमें 45 CFR § 164.402 में परिभाषित असुरक्षित PHI का कोई भी उल्लंघन शामिल है। बिज़नेस एसोसिएट बिना अनुचित देरी के और किसी भी स्थिति में उल्लंघन की खोज के तीस (30) कैलेंडर दिनों के भीतर ऐसी सूचना प्रदान करेगा।
सूचना में, उपलब्ध सीमा तक, निम्नलिखित शामिल होगा:
- प्रत्येक व्यक्ति की पहचान जिसकी असुरक्षित PHI तक पहुँच, अधिग्रहण, उपयोग या प्रकटीकरण किया गया है, या उचित रूप से माना जाता है कि किया गया है
- उल्लंघन की प्रकृति का विवरण, जिसमें शामिल PHI के प्रकार शामिल हैं
- उल्लंघन की तिथि और उसकी खोज की तिथि
- बिज़नेस एसोसिएट द्वारा उल्लंघन की जाँच करने, उसे कम करने और भविष्य में इसकी पुनरावृत्ति को रोकने के लिए उठाए जा रहे कदमों का विवरण
- अतिरिक्त विवरण प्रदान करने वाले व्यक्तियों की संपर्क जानकारी
5. अवधि और समाप्ति
यह BAA निष्पादन की तिथि से प्रभावी होगा और अंतर्निहित सेवा समझौते की अवधि तक प्रभावी रहेगा, जब तक कि यहाँ प्रदान किए गए अनुसार पहले समाप्त नहीं किया जाता।
कोई भी पक्ष इस BAA को समाप्त कर सकता है यदि वह निर्धारित करता है कि दूसरे पक्ष ने इस BAA की किसी महत्वपूर्ण शर्त का उल्लंघन किया है। गैर-उल्लंघनकारी पक्ष उल्लंघनकारी पक्ष को उल्लंघन की लिखित सूचना प्रदान करेगा और सुधार के लिए तीस (30) दिन का समय देगा। यदि सुधार संभव नहीं है, तो गैर-उल्लंघनकारी पक्ष इस BAA और अंतर्निहित सेवा समझौते दोनों को तुरंत समाप्त कर सकता है।
समाप्ति पर, बिज़नेस एसोसिएट कवर्ड एंटिटी के चुनाव पर, कवर्ड एंटिटी से प्राप्त या उसकी ओर से बनाई गई सभी PHI वापस करेगा या नष्ट करेगा। यदि वापसी या विनाश संभव नहीं है, तो बिज़नेस एसोसिएट इस BAA की सुरक्षा को ऐसी PHI तक विस्तारित करेगा और आगे के उपयोग और प्रकटीकरण को उन उद्देश्यों तक सीमित करेगा जो वापसी या विनाश को असंभव बनाते हैं।
6. कवर्ड एंटिटी के दायित्व
- कवर्ड एंटिटी अपनी गोपनीयता प्रथाओं की सूचना में किसी भी सीमाओं की जानकारी बिज़नेस एसोसिएट को देगी जो बिज़नेस एसोसिएट द्वारा PHI के उपयोग या प्रकटीकरण को प्रभावित कर सकती हैं
- कवर्ड एंटिटी किसी व्यक्ति द्वारा PHI के उपयोग या प्रकटीकरण के प्राधिकरण में किसी भी बदलाव या निरसन की सूचना बिज़नेस एसोसिएट को देगी, जहाँ तक ऐसे परिवर्तन बिज़नेस एसोसिएट के अनुमत उपयोगों और प्रकटीकरणों को प्रभावित कर सकते हैं
- कवर्ड एंटिटी बिज़नेस एसोसिएट से PHI का उपयोग या प्रकटीकरण ऐसे किसी भी तरीके से करने का अनुरोध नहीं करेगी जो HIPAA नियमों का उल्लंघन करे
7. विविध
यह BAA लागू संघीय कानून, जिसमें HIPAA नियम शामिल हैं, द्वारा शासित और व्याख्यायित होगा। इस BAA में किसी भी अस्पष्टता की व्याख्या HIPAA नियमों के अनुपालन की अनुमति देने के लिए की जाएगी। यह BAA इस विषय वस्तु के संबंध में पक्षों के बीच संपूर्ण समझौते का गठन करता है और उसी विषय वस्तु से संबंधित सभी पूर्व समझौतों, चाहे लिखित हों या मौखिक, का अधिक्रमण करता है।