Acuerdo de socio comercial, bajo HIPAA.

1. Introducción

2. Definiciones

3. Responsabilidades del Socio Comercial (Keni)

Keni acepta:

3.1 Uso y Divulgación

No usar ni divulgar PHI excepto según lo permitido por este BAA o según lo requiera la ley.

3.2 Salvaguardas

Implementar salvaguardas administrativas, físicas y técnicas apropiadas para proteger PHI y cumplir con la Regla de Seguridad HIPAA (45 CFR §164 Subparte C).

3.3 Reportes

Reportar prontamente a la Entidad Cubierta cualquier uso, divulgación o Brecha no autorizada de PHI No Asegurada, y cualquier Incidente de Seguridad material según lo requiera la ley. Keni no está obligado a reportar intentos rutinarios no exitosos como pings, escaneos o inicios de sesión fallidos que no representen una amenaza material.

3.4 Subcontratistas

Asegurar que cualquier subcontratista que cree, reciba o transmita PHI en nombre de Keni acepte por escrito las mismas restricciones y salvaguardas requeridas por este BAA.

3.5 Acceso y Enmienda

Proporcionar a la Entidad Cubierta acceso a PHI en un Conjunto de Registros Designado dentro de los 15 días posteriores a una solicitud por escrito (45 CFR §164.524). Incorporar enmiendas a PHI dentro de los 30 días cuando se solicite bajo 45 CFR §164.526.

3.6 Contabilidad de Divulgaciones

Proporcionar la información necesaria para que la Entidad Cubierta proporcione una contabilidad de divulgaciones de PHI dentro de los 30 días de la solicitud (45 CFR §164.528).

3.7 Asistencia de Cumplimiento

Cumplir con los requisitos aplicables de la Regla de Privacidad al llevar a cabo cualquier obligación de la Entidad Cubierta bajo 45 CFR Parte 164, Subparte E.

3.8 Inspección del Secretario

Poner a disposición sus prácticas, registros y políticas relacionadas con PHI al Departamento de Salud y Servicios Humanos de los EE. UU. (HHS) a petición.

4. Usos y Divulgaciones Permitidos por el Socio Comercial

Keni puede:

4.1 Prestar Servicios

Usar y divulgar PHI según sea necesario para realizar sus servicios bajo el Acuerdo Subyacente.

4.2 Desidentificar Datos

Desidentificar PHI de acuerdo con 45 CFR §164.514; los datos desidentificados pueden usarse para analítica, rendimiento o fines de mejora.

4.3 Uso Legal y Administrativo

Usar PHI para gestión interna y cumplimiento legal, siempre que las divulgaciones se hagan solo a entidades legales que acepten mantener la confidencialidad.

4.4 Requerido por Ley

Divulgar PHI cuando lo requiera la ley.

4.5 Agregación de Datos

Proporcionar servicios de agregación de datos para las operaciones de atención médica de la Entidad Cubierta (45 CFR §164.501).

5. Usos o Divulgaciones Impermisibles

6. Responsabilidades de la Entidad Cubierta

La Entidad Cubierta representa y garantiza que:

• •Ha obtenido todos los consentimientos o autorizaciones necesarios para que Keni maneje PHI;
• •Notificará a Keni cualquier limitación de prácticas de privacidad o revocaciones que afecten el uso de PHI; y
• •Informará a Keni de cualquier restricción sobre el uso de PHI bajo 45 CFR §164.522.

Si la Entidad Cubierta no cumple o cambia las restricciones de manera que afecte la capacidad de Keni para realizar sus obligaciones, Keni puede terminar inmediatamente este BAA y/o el Acuerdo Subyacente.

7. Solicitudes Prohibidas

La Entidad Cubierta no solicitará a Keni usar o divulgar PHI de manera que viole la Regla de Privacidad HIPAA si lo hiciera la propia Entidad Cubierta.

8. Vigencia y Terminación

8.1 Vigencia

Este BAA entra en vigor en la fecha efectiva del Acuerdo Subyacente y termina automáticamente cuando dicho acuerdo finaliza o cuando se termine como se describe a continuación.

8.2 Terminación por Causa

Cualquiera de las partes puede terminar este BAA con 30 días de aviso por escrito si la otra parte incumple materialmente y no subsana la brecha dentro del período de aviso.

8.3 Terminación por Preocupaciones de Cumplimiento

Cualquiera de las partes puede terminar este BAA si el desempeño continuo violaría la ley o arriesgaría acción regulatoria.

8.4 Efecto de la Terminación

Al terminar:

• •Keni devolverá o destruirá de forma segura toda PHI cuando sea factible;
• •Si la retención es necesaria para cumplimiento legal, Keni continuará protegiendo PHI según lo requerido bajo este BAA;
• •Todas las obligaciones de confidencialidad y salvaguardas sobreviven a la terminación.

9. Disposiciones Varias

9.1 Enmiendas

Las partes acuerdan enmendar este BAA según sea necesario para mantener el cumplimiento con cambios en HIPAA u otra ley aplicable.

9.2 Ley Aplicable

Este BAA se regirá e interpretará bajo las leyes del Estado de Florida, manteniendo el cumplimiento con las Reglas HIPAA.

9.3 Cesión

Keni puede ceder o subcontratar sus obligaciones a terceros calificados que acepten cumplir con protecciones equivalentes a HIPAA.

9.4 Cooperación

Ambas partes acuerdan cooperar en caso de investigación de brecha, mitigación o consulta gubernamental relacionada con PHI.

9.5 Relación con el Acuerdo Subyacente

Este BAA complementa, y cuando sea necesario reemplaza, el Acuerdo Subyacente únicamente respecto a obligaciones relacionadas con PHI.

9.6 Sin Derechos de Terceros

Este BAA no crea derechos para ningún tercero.

9.7 Limitación de Responsabilidad

La responsabilidad total de Keni por cualquier reclamación bajo este BAA no excederá el total de tarifas pagadas por la Entidad Cubierta a Keni durante los seis (6) meses anteriores al evento que dé lugar a la responsabilidad. Keni no será responsable de daños indirectos, incidentales o consecuentes.

9.8 Acuerdo Completo

Este BAA constituye el acuerdo completo respecto a PHI y reemplaza cualquier acuerdo previo relacionado con obligaciones HIPAA.

9.9 Avisos

Los avisos bajo este BAA se entregarán de acuerdo con las disposiciones de aviso del Acuerdo Subyacente o de la siguiente manera: