1. Kapsam ve Amaç
Bu İş Ortağı Sözleşmesi ("BAA"), Kapsanan Kuruluş ile İş Ortağı arasındaki hizmet sözleşmesini tamamlar ve onun bir parçası olur. Morlivo tarafından sağlanan çeviri, transkripsiyon ve dil işleme hizmetleri ("Hizmetler") kapsamında İş Ortağının Kapsanan Kuruluş adına Korunan Sağlık Bilgilerini ("PHI") oluşturabileceği, alabileceği, saklayabileceği veya iletebileceği koşulları belirler.
Taraflar, İş Ortağının Hizmetleri sağlama sürecinde PHI'ye erişebileceğini, kullanabileceğini veya açıklayabileceğini kabul eder ve bu BAA, HIPAA, HITECH Yasası ve bunların uygulama yönetmeliklerinin (toplu olarak "HIPAA Kuralları") geçerli hükümlerine uygun olarak İş Ortağının bu tür PHI ile ilgili yükümlülüklerini belirler.
2. İzin Verilen Kullanımlar ve Açıklamalar
İş Ortağı, PHI'yi yalnızca şu amaçlarla kullanabilir veya açıklayabilir:
- Temel hizmet sözleşmesinde açıklanan Hizmetleri yerine getirmek için gerektiğinde
- Yasa gereği, ABD Sağlık ve İnsan Hizmetleri Bakanlığı Sekreteri tarafından istenen açıklamalar dahil ancak bunlarla sınırlı olmamak üzere
- İş Ortağının uygun yönetimi ve idaresi için, herhangi bir açıklamanın yasalarca zorunlu olması veya İş Ortağının üçüncü taraftan bilgilerin gizli tutulacağına dair makul güvence alması koşuluyla
- Hizmet sözleşmesinde açıkça yetkilendirilmişse, Kapsanan Kuruluşun sağlık hizmeti operasyonlarına ilişkin veri toplama hizmetleri sağlamak için
İş Ortağı, bu BAA'da açıkça izin verilenler dışında, Kapsanan Kuruluş tarafından yapılması halinde HIPAA Kurallarını ihlal edecek şekilde PHI'yi kullanmayacak veya açıklamayacaktır. İş Ortağı, PHI'yi pazarlama amacıyla kullanmayacak, PHI'yi satmayacak veya sigorta değerlendirme amacıyla kullanmayacaktır.
3. Güvenceler
İş Ortağı, HIPAA Güvenlik Kuralı gereği, elektronik PHI (ePHI) dahil PHI'nin gizliliğini, bütünlüğünü ve kullanılabilirliğini makul ve uygun şekilde koruyan idari, fiziksel ve teknik güvenceleri uygulayacak ve sürdürecektir. Bu güvenceler aşağıdakileri içerir ancak bunlarla sınırlı değildir:
- AES-256 kullanarak bekleyen ePHI'nin ve TLS 1.2 veya üstü kullanarak aktarım sırasındaki ePHI'nin şifrelenmesi
- PHI erişimini yalnızca yetkili personelle sınırlayan rol tabanlı erişim kontrolleri
- PHI'ye yapılan tüm erişim ve değişikliklerin kapsamlı denetim günlüğü
- Düzenli risk değerlendirmeleri ve güvenlik açığı taraması
- HIPAA gereksinimleri ve güvenlik farkındalığı konusunda iş gücü eğitimi
- Hizmetler için artık gerekli olmayan PHI'nin güvenli imha prosedürleri
İş Ortağı, 45 CFR § 164.502(e)(1)(ii) uyarınca, PHI sağladığı taşeronlar dahil tüm temsilcilerin, bu BAA kapsamında İş Ortağına uygulanan aynı kısıtlama ve koşulları kabul etmesini sağlayacaktır.
4. İhlal Bildirimi
İş Ortağı, 45 CFR § 164.402'de tanımlanan Güvensiz PHI İhlali dahil, bu BAA tarafından izin verilmeyen herhangi bir PHI kullanımını veya açıklamasını fark ettiğinde Kapsanan Kuruluşa bildirecektir. İş Ortağı, bu bildirimi makul olmayan bir gecikme olmaksızın ve İhlalin keşfinden itibaren en geç otuz (30) takvim günü içinde yapacaktır.
Bildirim, mümkün olduğu ölçüde aşağıdakileri içerecektir:
- Güvensiz PHI'sine erişilmiş, edinilmiş, kullanılmış veya açıklanmış olan ya da böyle olduğuna makul olarak inanılan her bireyin kimliğinin belirlenmesi
- İlgili PHI türleri dahil, İhlalin niteliğinin açıklaması
- İhlalin tarihi ve keşfedilme tarihi
- İş Ortağının İhlali araştırmak, etkilerini azaltmak ve gelecekte tekrarını önlemek için attığı adımların açıklaması
- Ek ayrıntı sağlayabilecek kişilerin iletişim bilgileri
5. Süre ve Fesih
Bu BAA, yürürlük tarihinden itibaren geçerli olacak ve burada belirtildiği şekilde daha önce feshedilmediği sürece, temel hizmet sözleşmesinin süresi boyunca yürürlükte kalacaktır.
Taraflardan herhangi biri, diğer tarafın bu BAA'nın önemli bir hükmünü ihlal ettiğini tespit ederse bu BAA'yı feshedebilir. İhlal etmeyen taraf, ihlal eden tarafa yazılı ihtar verecek ve düzeltme için otuz (30) gün süre tanıyacaktır. Düzeltme mümkün değilse, ihlal etmeyen taraf hem bu BAA'yı hem de temel hizmet sözleşmesini derhal feshedebilir.
Fesih üzerine İş Ortağı, Kapsanan Kuruluşun tercihine göre, Kapsanan Kuruluştan alınan veya Kapsanan Kuruluş adına oluşturulan tüm PHI'yi iade edecek veya imha edecektir. İade veya imha mümkün değilse, İş Ortağı bu BAA'nın korumalarını söz konusu PHI'ye genişletecek ve sonraki kullanımları ve açıklamaları, iade veya imhayı olanaksız kılan amaçlarla sınırlandıracaktır.
6. Kapsanan Kuruluş Yükümlülükleri
- Kapsanan Kuruluş, İş Ortağının PHI kullanımını veya açıklamasını etkileyebilecek Gizlilik Uygulamaları Bildirimi'ndeki herhangi bir kısıtlamayı İş Ortağına bildirecektir
- Kapsanan Kuruluş, bir bireyin PHI kullanımı veya açıklaması için verdiği yetkilendirmedeki değişiklikleri veya iptalini, bu değişikliklerin İş Ortağının izin verilen kullanımlarını ve açıklamalarını etkileyebileceği ölçüde İş Ortağına bildirecektir
- Kapsanan Kuruluş, İş Ortağından HIPAA Kurallarını ihlal edecek şekilde PHI kullanmasını veya açıklamasını talep etmeyecektir
7. Çeşitli Hükümler
Bu BAA, HIPAA Kuralları dahil geçerli federal yasaya göre yönetilecek ve yorumlanacaktır. Bu BAA'daki herhangi bir belirsizlik, HIPAA Kurallarına uyumu sağlayacak şekilde yorumlanacaktır. Bu BAA, konusuyla ilgili taraflar arasındaki tüm anlaşmayı oluşturur ve aynı konuyla ilgili yazılı veya sözlü tüm önceki anlaşmaların yerine geçer.