1. Alcance y propósito
Este Business Associate Agreement ("BAA") complementa y forma parte del contrato de servicio entre Covered Entity y Business Associate. Establece los términos bajo los cuales Business Associate puede crear, recibir, mantener o transmitir Protected Health Information ("PHI") en nombre de Covered Entity en relación con los servicios de traducción, transcripción y procesamiento de lenguaje proporcionados por Morlivo (los "Services").
Las partes reconocen que Business Associate puede acceder, usar o divulgar PHI en el curso de la prestación de los Services, y este BAA establece las obligaciones de Business Associate con respecto a dicha PHI conforme a las disposiciones aplicables de HIPAA, la HITECH Act y sus reglamentos de aplicación (colectivamente, las "HIPAA Rules").
2. Usos y divulgaciones permitidos
El socio comercial puede usar o divulgar PHI únicamente:
- Según sea necesario para realizar los Servicios descritos en el acuerdo de servicio subyacente.
- Según lo exige la ley, incluidas, entre otras, las divulgaciones requeridas por el Secretario del Departamento de Salud y Servicios Humanos de EE. UU.
- Para la gestión y administración adecuadas del Socio comercial, siempre que cualquier divulgación sea requerida por ley o el Socio comercial obtenga garantías razonables de un tercero de que la información se mantendrá confidencial.
- Proporcionar servicios de agregación de datos relacionados con las operaciones de atención médica de la Entidad cubierta, si está expresamente autorizado en el acuerdo de servicio.
Business Associate no usará ni divulgará PHI de manera que viole las HIPAA Rules si lo hiciera la Covered Entity, salvo que esté expresamente permitido en este BAA. Business Associate no usará PHI para fines de marketing, no venderá PHI ni usará PHI para fines de suscripción.
3. Salvaguardas
Business Associate implementará y mantendrá salvaguardias administrativas, físicas y técnicas que protejan razonable y apropiadamente la confidencialidad, integridad y disponibilidad de la PHI, incluida la PHI electrónica (ePHI), según lo exige la HIPAA Security Rule. Estas salvaguardias incluyen, entre otras, las siguientes:
- Cifrado de ePHI en reposo mediante AES-256 y en tránsito mediante TLS 1.2 o superior.
- Controles de acceso basados en roles que limitan el acceso de PHI únicamente al personal autorizado.
- Registro de auditoría completo de todos los accesos y modificaciones de PHI.
- Evaluaciones periódicas de riesgos y escaneo de vulnerabilidades.
- Capacitación de la fuerza laboral sobre los requisitos de HIPAA y concientización sobre seguridad.
- Los procedimientos de eliminación segura de PHI ya no son necesarios para los Servicios.
Business Associate deberá asegurarse de que cualquier agente, incluidos los subcontratistas, a quienes proporcione PHI acepte las mismas restricciones y condiciones que se aplican al Business Associate en virtud de este BAA, de conformidad con 45 CFR § 164.502(e)(1)(ii).
4. Notificación de violación
Business Associate informará a la Covered Entity de cualquier uso o divulgación de PHI no permitido por este BAA del que tenga conocimiento, incluyendo cualquier Breach of Unsecured PHI según se define en 45 CFR § 164.402. Business Associate proporcionará dicha notificación sin demora injustificada y, en ningún caso, más tarde de treinta (30) días calendario después del descubrimiento del Breach.
La notificación incluirá, en la medida de lo disponible:
- Identificación de cada individuo cuyo PHI no seguro ha sido accedido, adquirido, utilizado o divulgado, o se cree razonablemente que ha sido accedido.
- Una descripción de la naturaleza de la infracción, incluidos los tipos de PHI involucrados.
- La fecha de la Incumplimiento y la fecha de su descubrimiento.
- Una descripción de los pasos que el Socio Comercial está tomando para investigar y mitigar la Infracción y prevenir incidentes futuros.
- Información de contacto de personas que pueden proporcionar detalles adicionales.
5. Vigencia y terminación
Este BAA entrará en vigor en la fecha de su firma y permanecerá vigente durante la duración del contrato de servicio subyacente, salvo que se termine antes conforme a lo dispuesto en el mismo.
Cualquiera de las partes podrá rescindir este BAA si determina que la otra parte ha violado un término material de este BAA. La parte no infractora deberá notificar por escrito a la parte infractora sobre la violación y conceder treinta (30) días para subsanar. Si la subsanación no es factible, la parte no infractora podrá rescindir inmediatamente tanto este BAA como el acuerdo de servicio subyacente.
Al término, Business Associate deberá, a elección de Covered Entity, devolver o destruir toda PHI recibida de o creada en nombre de Covered Entity. Si la devolución o destrucción no es factible, Business Associate deberá extender las protecciones de este BAA a dicha PHI y limitar los usos y divulgaciones posteriores a aquellos fines que hacen que la devolución o destrucción no sean factibles.
6. Obligaciones de la entidad cubierta
- La Entidad cubierta notificará al Socio comercial sobre cualquier limitación en su Aviso de prácticas de privacidad que pueda afectar el uso o la divulgación de PHI por parte del Socio comercial.
- La Entidad Cubierta notificará al Socio Comercial sobre cualquier cambio o revocación de la autorización por parte de un individuo para usar o divulgar PHI, en la medida en que dichos cambios puedan afectar los usos y divulgaciones permitidos del Socio Comercial.
- La Entidad Cubierta no solicitará al Socio Comercial que use o divulgue PHI de ninguna manera que viole las Reglas HIPAA.
7. Disposiciones varias
Este BAA se regirá e interpretará de conformidad con la ley federal aplicable, incluidas las HIPAA Rules. Cualquier ambigüedad en este BAA se interpretará de manera que permita el cumplimiento de las HIPAA Rules. Este BAA constituye el acuerdo completo entre las partes con respecto al asunto objeto del mismo y reemplaza a todos los acuerdos previos, ya sean escritos u orales, relacionados con el mismo asunto.