HIPAA Business Associate Agreement
לתשומת לבך: HIPAA - הסכם שותפות עסקית של אתר CoachCare הגרסה באנגלית היא הקובעת ויש להסתמך עליה במקרה של סתירה בין התרגום לבין הגרסה באנגלית.
הסכם עמיתים עסקי זה (להלן: "ההסכם") נחתם בין לבין ("גוף מכוסה") לבין Lexington Wellness Holdings Inc. D / b / CoachCare ("חבר עמית"). ישות מכוסה וחבר עסקי, ביחד, עשויים להיקרא להלן "הצדדים".
1. מבוא
1.1.HIPAA
ישות מכוסה וחברה לעסקים נכנסים להסכם זה על מנת לעמוד בדרישות של חוק ניידות ביטוח בריאות ואחריות משנת 1996 (להלן: "HIPAA"), כפי שתוקן, לרבות תקנות הפרטיות, האבטחה, הודעת ההפרה וחוקי האכיפה ב- 45 C.F.R. חלק 160 ו חלק 164, כמו גם את טכנולוגיית המידע הבריאותי הכלכלי וקליני בריאות חוק, נחקק במסגרת השחזור האמריקאי Reinvestment Act של 2009 ("HITECH"), כפי שתוקן, וחוקים אחרים הפדרלי תקף המדינה (ביחד את "חוקי HIPAA").
1.2.מידע בריאותי מוגן
הסכם זה נועד להבטיח שחברה עסקית תקים ותטמיע אמצעי הגנה מתאימים עבור מידע מסוים המוגן באופן אינדיבידואלי לבריאות מוגן, המתייחס לחולים של ישות מכוסה ("PHI" כהגדרת מונח זה להלן), שחבר עסקי עשוי לקבל, ליצור, לתחזק, להשתמש או לחשוף בקשר לפונקציות, פעילויות ושירותים מסוימים שמבצעת החברה לעסקים מכוסים. הפונקציות, הפעילויות והשירותים שמבצעת החברה לעסקים מכוסים מוגדרים בהסכם אחד או יותר בין הצדדים (להלן: "ההסכמים הבסיסיים").
2. הגדרות
2.1.תנאים
תנאים המשמשים אך לא הוגדרו אחרת בהסכם זה יהיו בעלי משמעות זהה לתנאים אלה בכללי HIPAA, אילו הגדרות משולבות בהסכם זה על-ידי הפניה.
2.2.הגדרות
למטרות הסכם זה:
2.2.1"מידע בריאותי מוגן אלקטרונית" או "ePHI" תהיה המשמעות שניתנה למונח זה על פי כלל הפרטיות ותקנון הבטיחות, כולל, אך לא רק, 45 C.F.R. 160.103, כפי שיושם על המידע שנוצר, התקבל, נשמר או הועבר על ידי חברה כלולה או מטעם גוף מכוסה
2.2.2"ליחיד" תהיה אותה משמעות שניתנה למונח זה ב 45. § 160.103 ויכלול אדם הזכאי כנציג אישי בהתאם ל- 45 C.F.R. § 164.502 (g).
2.2.3"מידע בריאותי מוגן" או "PHI" יקבלו את המשמעות שניתנה למונח זה ב - 45 C.F.R. 160.103, מוגבל למידע שנוצר, קיבל, נשמר או הועבר על ידי חברה כלולה או מטעם גוף מכוסה.
2.2.4"חוק פרטיות" פירושו תקנים לפרטיות של מידע בריאותי הניתן לזיהוי בנפרד, שפורסם ב- 45 C.F.R. חלקים 160 ו -164, תת-תחנות A ו- E.
2.2.5"נדרש על פי חוק" תהיה המשמעות שניתנה למונח זה ב 45 C.F.R. 164.103
2.2.6"מזכיר" פירושו מזכיר משרד הבריאות ושירותי האנוש או מי מטעמו.
2.2.7"שלטון אבטחה" shll פירושו תקני אבטחה ב 45 C.F.R. חלק 160, חלק 164, תת-פרקים א 'ו-ג'.
3. התחייבויות כלליות של שותף עסקי
3.1.שימוש וגילוי
שותף עסקי מסכים לא להשתמש או לחשוף את ה- PHI, למעט כפי שהותר או נדרש על פי הסכם זה או כנדרש על פי חוק. במידה ש- Business Associate יבצע התחייבות אחת או יותר של הישות המוטלת על פי חוק הפרטיות בהתאם לתנאי הסכם הבסיס או הסכם זה, עמית עסקי יעמוד בדרישות של כלל הפרטיות החלות על הישות המכוסה בביצועים של מחויבות כאמור.
3.2אמצעי הגנה מתאימים
שותף עסקי ישתמש באמצעים פיזיים, טכניים ומנהליים מתאימים, ויעמוד בכללי האבטחה ביחס ל- ePHI, כדי למנוע שימוש או גילוי של PHI אחר מאשר לפי הוראות הסכם זה או כנדרש בחוק
3.3גורמים מקלים
שותף עסקי מסכים לצמצם, ככל שהדבר ניתן, כל השפעה מזיקה שידועה ל- Business Associate כתוצאה משימוש או גילוי של PHI על-ידי שותף עסקי, תוך הפרה של דרישות הסכם זה או פעולה אחרת שתגרום להפרה של PHI לא מאובטח.
3.4דיווח על הפרה
עמית עסקי ידווח לישות המכוסה על כל שימוש או גילוי של PHI שאינו מותר על פי BAA זה, הפרה של PHI לא מאובטחת או תקרית אבטחה, ללא עיכוב בלתי סביר, ובכל מקרה לא יותר משלושים (30) ימים לאחר הגילוי; ובלבד שהצדדים מאשרים ומסכים כי סעיף זה מהווה הודעה על ידי חבר עסקי לישות מכוסה של המשך קיומם והתרחשותם של תקריות אבטחה ניסויות אך לא מוצלחות (כהגדרתן להלן), אשר יידרש להודעה לישות מכוסה על - ידי עמית עסקי רק לפי בקשה. "תקריות אבטחה לא מוצלחות" יכלול, אך לא יוגבל, פינגים והתקפות שידור אחרות בחומת האש של Business Associate, סריקות יציאות, ניסיונות כניסה לא מוצלחים, שלילת שירות וכל שילוב של האמור לעיל, כל עוד אין תוצאות בגישה לא מורשית, שימוש או גילוי של PHI. הודעה של עמית לעמותה לישות מכוסה של הפרה תכלול:
3.4.1.זיהוי של כל אדם שה- PHI הלא מאובטח שלו, או שמאמין באופן סביר על ידי עמית לעסקים, נרכש, נרכש או נחשף במהלך ההפרה; ו
3.4.2.פרטים כלשהם בדבר הפרת הישות המכוסה יצטרכו לכלול בהודעתה, שכן פרטים אלה מזוהים ב - 45 C.F.R. § 164.404.
3.5.קבלני משנה
בהתאם 45 C.F.R. § 164.502 (e) (1) (ii) ו- 164.308 (ב) (2), אם ישים, עמית עסקי יחתום על הסכם בכתב עם כל סוכן או קבלן משנה שיוצר, מקבל, שומר או משדר PHI בשם שותף עסקי לשירותים המסופקים לישות מקורה, המספק שהסוכן מסכים לאותן הגבלות, תנאים ודרישות החלים על ה - Business Associate לגבי מידע זה
3.6.גישה ל- PHI
שותף עסקי מסכים לספק גישה PHI במערך שיא ייעודי הישות מכוסה. אם אדם מבצע בקשה לגישה לפי 45 C.F.R. § 164.524 ישירות לעמית עסקים, או שואל על זכותו לגשת, עמית עסקי יעביר אותו לישות מכוסה. כל תגובה לבקשה כאמור תהיה באחריות הישות המכוסה.
3.7.דרישות מינימום הכרחי
שותף עסקי מסכים כי בעת בקשה, שימוש או גילוי PHI בהתאם 45 C.F.R. § 502 (b) (1) שהבקשה, השימוש או הגילוי האמורים יהיו במידה המינימלית הנדרשת, לרבות שימוש ב"מערכת נתונים מוגבלת "כהגדרתה בסעיף 45 ג. § 164.514 (ה) (2), כדי להשיג את המטרה המיועדת של הבקשה, השימוש או הגילוי, כפי שמתפרש תחת הנחיות קשורות שהונפקו על ידי המזכיר מעת לעת.
3.8.תיקון PHI
Business Associate מסכים לעשות PHI הכלול קבוצה ייעודית שיא זמין הישות מכוסה עבור תיקון לפי 45 C.F.R. § 164.526. אם אדם מבצע בקשה לתיקון לפי 45 C.F.R. § 164.526 ישירות ל- Business Associate, או שואל על זכותו לגשת, עמית עסקי יעביר אותו לישות מכוסה. כל תגובה לבקשה כאמור תהיה באחריות הישות המכוסה.
3.9.חשבונאות של גילויים
עמית עסקי יספק מידע של ישויות מכוסות שנאספו בהתאם לסעיף 3.11 להסכם זה, כדי לאפשר לישות המכוסה להגיב לבקשה של אדם לצורך חשבונאות של גילויים של PHI בהתאם ל- 45 CF.R. § 164.528. אם כל אדם מבקש חשבונאות של גילויים של PHI ישירות מחברת Business Associate, עמית עסקי יעביר בקשה כזו לישות מכוסה. כל תגובה לבקשה כאמור תהיה באחריות הישות המכוסה.
3.10.גישה למדיניות ולרשומות
שותף עסקי מסכים לעשות את הפרקטיקות הפנימיות שלו, ספרים ורשומות, כולל מדיניות ונהלים לגבי PHI, הקשורים לשימוש ובגילוי של PHI והפרת כל PHI לא מאובטח שהתקבל מישות מכוסה, או נוצר או התקבל על ידי השותף העסקי מטעם ישות מכוסה, לרשות המזכיר לצורך הישות המכוסה או המזכיר הקובע ציות לכללי HIPAA.
3.11.תיעוד הגילויים
עמית לעסקים יתעד גילויים כאלה של PHI ומידע הקשור לגילויים כאמור, כפי שיידרש עבור ישות מכוסה להגיב לבקשה של אדם לצורך חשבונאות של גילויים של PHI בהתאם ל- 45 CF.R. § 164.528. עמית לעסקים יתעד, לכל הפחות, את המידע הבא ("מידע לגבי הגילוי"):
3.11.1.תאריך הגילוי;
3.11.2.שם, ואם ידוע, את כתובתו של המקבל של PHI;
3.11.3.תיאור קצר של ה- PHI נחשף;
3.11.4.מטרת הגילוי הכוללת הסבר על הבסיס לגילוי כאמור; ו
3.11.5.כל מידע נוסף הנדרש על פי חוק HITECH וכל תקנות יישום.
4. שימושים מוגבלים וגילוי על - ידי חברה עסקית
4.1.שימושים וגילויים כלליים
שותף עסקי מסכים לקבל, ליצור, להשתמש או לחשוף את ה- PHI רק כפי שמתיר הסכם זה, הכללים של HIPAA, ורק בקשר למתן שירותים ליישות מכוסה; בתנאי שהשימוש או הגילוי לא יפרו את כלל הפרטיות אם נעשה על ידי ישות מכוסה, למעט כמפורט בסעיף 4 זה.
4.2.נדרש על פי חוק
עמית לעסקים רשאי להשתמש או לחשוף את ה- PHI כנדרש על פי חוק.
4.3.שימושים אחרים
למעט כפי שנקבע אחרת בהסכם זה, שותף עסקי רשאי:
4.3.1.השתמש ב- PHI לניהול תקין ולניהול של שותף עסקי, או כדי לבצע את האחריות המשפטית שלו.
4.3.2.לחשוף את PHI לניהול תקין ולניהול של שותף עסקי או לבצע את האחריות המשפטית של שותף עסקי, בתנאי שהגילויים נדרשים על פי חוק או עמית עסקי מקבל הבטחות סבירות בכתב מראש מאת האדם שאליו נמסר המידע כי המידע יישארו חסויים ונמצאים בשימוש או ייחשפו עוד רק כנדרש על פי דין או למטרות אשר לגביהם נחשף לאדם, והאדם מודיע על כך לעמית עסקים בכל המקרים שבהם הוא מודע לסודיות המידע הפרה, בהתאם לדרישות ההפרה של הסכם זה.
4.3.3.השתמש ב- PHI כדי לספק שירותי צבירת נתונים ליישות מקורה כפי שמתיר זאת לפי כללי HIPAA.
5. החובות של הגוף המכוסה
5.1.הישות המכוסה:
5.1.1.להודיע לעמית על כל הגבלה (s) בהודעה על נוהלי הפרטיות שלה בהתאם ל- 45 C.F.R. 164.520, ככל שמגבלה זו עלולה להשפיע על שימוש או שימוש של שותף עסקי של PHI.
5.1.2.להודיע ל - Business Associate על כל הגבלה לשימוש או גילוי של ה - PHI שהישות המוסכמת הסכימה לו בהתאם ל - 45 C.F.R. § 164.522, במידה ששינויים אלה עשויים להשפיע על שימוש או גילוי של שותף עסקי.
5.1.3.להודיע לעמית על כל שינוי או ביטול של הרשאה על ידי אדם להשתמש או לחשוף את ה- PHI שלו, במידה ששינוי או ביטול כאמור עשויים להשפיע על השימושים והגילויים המותרים או הדרושים של PHI.
5.2.
הישות המכוסה לא תבקש מחברת Business Associate להשתמש או לחשוף את PHI בכל אופן שלא יהיה מותר על פי כלל הפרטיות או כלל האבטחה אם נעשה על ידי ישות מכוסה, אלא בהתאם לסעיף 4 של הסכם זה.
6. מונח וסיום
6.1טווח
הסכם זה יהיה בתוקף החל ממועד התחילה ויסתיים במועד מוקדם יותר, בו:
6.1.1.כל צד מסיים את הסיבה כמורשה לפי סעיף 6.2.
6.1.2.כל ה- PHI שהתקבל מישות מכוסה, או נוצר או התקבל על ידי חברה עסקית מטעם גוף מכוסה, נהרס או מוחזר לישות מקורה. אם ייקבע, כדי שלא ניתן להחזיר או להרוס את ה- PHI, מוגנות הגנות למידע כאמור בהתאם לסעיף 6.3.
6.2.סיום לסיבה
על ידי הישות המכוסה של ידע של הפרה מהותית על ידי עמית לעסקים, הישות מכוסה יספק הזדמנות עבור שותף עסקי לרפא את הפרה או לסיים את ההפרה. אם שותף עסקי אינו מרפא את ההפרה או את ההפרה במסגרת הזמן שצוין על ידי ישות מכוסה, או אם מונח מהותי של הסכם זה הופר והתרופה אינה אפשרית, ישות מכוסה יכולה לסיים הסכם זה ואת הסכם הבסיס (s) ), אם בכלל, בהודעה בכתב ל - Business Associate.
6.3.התחייבויות של העסק עם סיום
עם סיום הסכם זה מכל סיבה שהיא, חבר עסקי, ביחס ל - PHI המתקבל מישות מכוסה, או נוצר, נשמר או התקבל על ידי חברה עסקית בשם גוף מכוסה, יהיה:
6.3.1.שמור רק על ה- PHI הנחוץ עבור שותף עסקי כדי להמשיך את ניהול תקין שלו או ניהול או לבצע את האחריות המשפטית;
6.3.2.חזור אל ישות מכוסה, או אם הוסכם על ידי ישות מכוסה בכתב, להרוס את PHI הנותר כי עמית עסקים עדיין שומרת בכל צורה שהיא;
6.3.3.המשך להשתמש באמצעי הגנה מתאימים ופעל בהתאם ל- Subpart C של 45 C.F.R. חלק 164 ביחס ל - ePHI כדי למנוע שימוש או גילוי של ה - PHI, למעט האמור בסעיף 6 זה, כל עוד עמית עסקי מחזיק ב - PHI;
6.3.4.להגביל שימוש נוסף וגילוי של PHI אלה למטרות אשר הופכות את ההחזר או ההרס בלתי אפשריים, כל עוד שותף עסקי שומר על PHI כזה; ו
6.3.5.חזרה אל ישות מכוסה או להרוס את PHI נשמר על ידי שותף עסקי כאשר הוא אינו זקוק עוד על ידי שותף עסקי על ניהול תקין שלה וניהול או לבצע את האחריות המשפטית.
7. שונות
7.1.תיקון
הצדדים מסכימים לנקוט בפעולה הנדרשת לתיקון הסכם זה כדי לעמוד בדרישות הכללים של HIPAA ובכל חוק חל אחר.
7.2.הישרדות
הזכויות וההתחייבויות המתאימות של שותף עסקי לפי סעיף 6 של הסכם זה ישמרו על סיום הסכם זה.
7.3.הפניות רגולטוריות
אזכור בהסכם זה לקטע של כללי HIPAA פירושו הסעיף בתוקף או מתוקן.
7.4פרשנות
הסכם זה יפורש באופן הבא:
7.4.1.כל עמימות תיפתר לטובת משמעות המתירה לישות מכוסה לציית לכללי HIPAA.
7.4.2.כל אי התאמה בין הוראות ההסכם לבין כללי HIPAA, לרבות כל התיקונים, כפי שפורש על ידי מחלקת הבריאות ושירותי האנוש, בית משפט או רשות רגולטורית אחרת בעלת סמכות על הצדדים, יפורשו על פי הפרשנות של משרד הבריאות שירותי אנוש, בית המשפט או הרשות הרגולטורית.
7.4.3.כל הוראה של הסכם זה השונה מאלו המוטלים על פי כללי HIPAA, אך מותרת בכל זאת על פי כללי HIPAA, תידרש כאמור בהסכם זה.
7.5.כל ההסכם, ניתוק
הסכם זה מהווה את מלוא ההסכם בין הצדדים הקשורים לנושא הנושא של הסכם זה, למעט במידה שהסכם הבסיס (ים), אם בכלל, מטילים דרישות מחמירות יותר הנוגעות לשימוש ולהגנה של PHI עם עמית עסקי. הסכם זה מחליף כל משא ומתן, דיונים, מצגים או הצעות, בין בעל פה ובין בכתב. לא ניתן לשנות הסכם זה אלא אם כן נעשה בכתב וחתום על ידי נציג מורשה של שני הצדדים. אם כל הוראה של הסכם זה, או חלק ממנו, אינה תקפה, שאר ההוראות יישארו בתוקף.
7.6.הקצאה
הסכם זה יחייב את היורשים והמומחים של הישות המכוסה ושותף עסקי. עם זאת, הסכם זה אינו יכול להיות מוקצה על ידי שותף עסקי, כולו או חלקו, ללא הסכמה בכתב של הישות המכוסה; עם זאת, שותף עסקי רשאי להמחות הסכם זה בשלמותו, ללא הסכמת הישות המכוסה לשותפה שלה או בקשר עם מיזוג, רכישה, ארגון מחדש של תאגיד או מכירה של כל נכסיה או בעצם כולם. כל ניסיון הקצאה תוך הפרה של הוראה זו תהיה בטלה ומבוטלת.
7.7.מספר רב של עמיתים
הסכם זה עשוי להתבצע בשני עמיתים או יותר, שכל אחד מהם ייחשב כמקור.
7.8.חוק מסדיר
למעט במידה שמקובל על ידי החוק הפדראלי, הסכם זה יהיה כפוף ומתפרש בהתאם לחוקי מדינת דלאוור.