Contrato de Asociado Comercial HIPAA DE COACHCARE
Este Contrato de Asociado Comercial (el "Contrato") se celebra entre usted y ("Entidad Cubierta") y Lexington Wellness Holdings Inc., cuyo nombre comercial es CoachCare ("Asociado Comercial "). La Entidad Cubierta y el Asociado Comercial, que colectivamente pueden denominarse las "Partes" en este documento.
1. Introducción
1.1. HIPAA
La Entidad Cubierta y el Asociado Comercial celebran este Contrato para cumplir con los requisitos de la Ley de Responsabilidad y Portabilidad de Seguros de Salud de 1996 ("HIPAA"), en su versión enmendada, incluyendo las normas de privacidad, seguridad, notificación de incumplimiento y cumplimiento establecidas en el reglamento 45 C.F.R. La Parte 160 y la Parte 164, así como la Ley de Tecnología de la Información de Salud para la Salud Económica y Clínica, promulgada como parte de la Ley Estadounidense de Recuperación y Reinversión de 2009 ("HITECH"), según su versión enmendada, y otras leyes federales y estatales aplicables (colectivamente las "Reglas HIPAA").
1.2. Información de salud protegida
Este Contrato tiene como objetivo garantizar que el Asociado Comercial establezca e implemente las salvaguardas adecuadas para cierta Información de salud protegida, de identificación individual, relacionada con los pacientes de la Entidad Cubierta ("PHI" como se define ese término a continuación y por sus siglas en inglés) que el Asociado Comercial puede recibir, crear, mantener, usar o divulgar en relación con ciertas funciones, actividades y servicios que el Asociado Comercial presta a la Entidad Cubierta . Las funciones, actividades y servicios que realiza el Asociado Comercial a la Entidad Cubierta se definen en uno o más Contratos entre las Partes (los "Contratos Subyacentes").
2. Definiciones
2.1. Términos
Los términos utilizados pero no definidos de otro modo en este Contrato tendrán el mismo significado que aquellos términos establecidos en las Reglas HIPAA, cuyas definiciones se incorporan en este Contrato por referencia.
2.2. Definiciones
Para los propósitos de este Contrato:
2.2.1. "Información Electrónica de Salud Protegida" o "ePHI" tendrá el significado que se le da a dicho término bajo la Regla de Privacidad y la Regla de Seguridad, que incluye, entre otras, la regla 45 CFR 160.103, según se aplique a la información creada, recibida, mantenida o transmitida por el Asociado Comercial de o en nombre de la Entidad Cubierta.
2.2.2. "Individual" tendrá el mismo significado que se le dio a dicho término en la regla 45 C.F.R. § 160.103 e incluirá a una persona que califica como representante personal del Contrato, según la regla 45 C.F.R. § 164.502 (g).
2.2.3. "Información de salud protegida" o "PHI" tendrá el significado que se le da a dicho término en la regla 45 C.F.R. 160.103, limitado a la información creada, recibida, mantenida o transmitida por el Asociado Comercial de o en nombre de la Entidad Cubierta.
2.2.4. "Regla de Privacidad" se refiere a las Normas de Privacidad de la información de salud individualmente identificable publicadas en 45 el reglamento C.F.R., Partes 160 y 164, y subpartes A y E.
2.2.5. "Requerido por la Ley" tendrá el significado dado a dicho término en la regla 45 C.F.R. 164.103.
2.2.6. "Secretario" significará el Secretario del Departamento de Salud y Servicios Humanos o su designado.
2.2.7. "Regla de seguridad" significará las Normas de seguridad definidas en la regla 45 C.F.R., Parte 160 y parte 164, y subpartes A y C.
3. Obligaciones generales del Asociado Comercial
3.1. Uso y divulgación
El Asociado Comercial se compromete a no utilizar o divulgar la PHI, a excepción de lo permitido o requerido por este Contrato o según lo exija la ley. En la medida en que el Asociado Comercial cumpla con una o más de las obligaciones de la Entidad Cubierta según la Regla de privacidad y de conformidad con los términos del Contrato subyacente o este Contrato, el Asociado Comercial deberá cumplir con los requisitos de las reglas de privacidad que se aplican a la Entidad Cubierta en el desempeño de tales obligaciones.
3.2. Garantías apropiadas
El Asociado Comercial deberá usar las medidas de seguridad físicas, técnicas y administrativas adecuadas, y deberá cumplir con las regla de seguridad con respecto a la ePHI, para evitar el uso o la divulgación de la PHI que no sea acorde a lo dispuesto en este Contrato o según lo exija la Ley
3.3. Mitigación
El Asociado Comercial acepta mitigar, en la medida de lo posible, cualquier efecto dañino conocido por el Asociado Comercial como resultado del uso o divulgación de la PHI por parte del Asociado Comercial en violación de los requisitos de este Contrato, o que de otro modo podría causar una violación de la PHI sin garantía.
3.4. Reportes de incumplimientos
El Asociado Comercial informará a la Entidad Cubierta cualquier uso o divulgación de la PHI no permitido bajo este Contrato, así como cualquier filtración de la PHI o incidente de seguridad, sin demoras injustificadas y, en cualquier caso, no más de treinta (30) días después del descubrimiento; sin embargo, las Partes reconocen y acuerdan que esta Sección constituye una notificación por parte del Asociado Comercial a la Entidad Cubierta de la existencia y ocurrencia en curso de incidentes de seguridad intentados pero infructuosos (según se define a continuación) para los cuales se requerirá la notificación a la Entidad Cubierta por parte del Asociado Comercial únicamente bajo solicitud expresa. Los "incidentes de seguridad fallidos" incluirán, entre otros, pings y otros ataques hacia el firewall del Asociado de Negocios, escaneos de puertos, intentos fallidos de inicio de sesión, denegaciones de servicio y cualquier combinación de los anteriores, siempre que no se produzcan incidentes en el acceso no autorizado, uso o divulgación de la PHI. La notificación del Asociado de Negocios a la Entidad Cubierta de una filtración incluirá:
3.4.1. La identificación de cada individuo cuya PHI ha sido, o el Asociado Comercial cree razonablemente que pueda haber sido, vulnerada, adquirida o divulgada durante la filtración; y
3.4.2. Cualquier información con respecto a la filtración que la Entidad Cubierta debería incluir en su notificación, ya que dichos detalles se identifican en la regla 45 C.F.R. § 164.404.
3.5. Subcontratistas
De acuerdo con la regla 45 C.F.R. §§ 164.502 (e) (1) (ii) y 164.308 (b) (2), cuando corresponda, el Asociado Comercial deberá celebrar un Contrato por escrito con cualquier agente o subcontratista que cree, reciba, mantenga o transmita la PHI en nombre de Asociado Comercial para los servicios prestados a la Entidad Cubierta, en el que se establezca que el agente acepta las mismas restricciones, condiciones y requisitos que se aplican al Asociado Comercial con respecto a dicha información.
3.6. Acceso a la PHI
El Asociado Comercial acepta proporcionar acceso a la PHI en un conjunto de registros designados a la Entidad Cubierta. Si un individuo hace una solicitud de acceso de conformidad con la regla 45 C.F.R. § 164.524 directamente al Asociado Comercial, o si tiene preguntas sobre su derecho de acceso, el Asociado Comercial lo remitirá a la Entidad Cubierta. Cualquier respuesta a dicha solicitud será responsabilidad de la Entidad Cubierta.
3.7. Requisito mínimo necesario
El Asociado Comercial acepta que al solicitar, usar o divulgar la PHI de acuerdo con la regla 45 C.F.R. § 502 (b) (1) dicha solicitud, uso o divulgación será en la medida mínima necesaria, incluyendo el uso de un "conjunto de datos limitados" como se define en la regla 45 C.F.R. § 164.514 (e) (2), para cumplir con el propósito previsto de tal solicitud, uso o divulgación, tal como se interpreta bajo la guía relacionada emitida por el Secretario ocasionalmente.
3.8. Modificación de la PHI
El socio comercial acuerda poner a disposición de la Entidad Cubierta la PHI contenida en un conjunto de registros designados para su modificación de conformidad con la regla 45 C.F.R. § 164.526. Si un individuo hace una solicitud de enmienda de conformidad con la regla 45 C.F.R. § 164.526 directamente al Asociado Comercial, o si tiene preguntas sobre su derecho de acceso, el Asociado Comercial lo remitirá a la Entidad Cubierta. Cualquier respuesta a dicha solicitud será responsabilidad de la Entidad Cubierta.
3.9. Informe de Divulgaciones
El Asociado Comercial proporcionará a la Entidad Cubierta la información recopilada de acuerdo con la Sección 3.11 de este Contrato, para permitir que la Entidad Cubierta responda a una solicitud de un individuo con relación a la contabilidad de las divulgaciones de la PHI de acuerdo con la regla 45 CFR § 164.528. Si un individuo solicita un informe de divulgaciones de la PHI directamente de un Asociado Comercial, el Asociado Comercial remitirá dicha solicitud a la Entidad Cubierta. Cualquier respuesta a dicha solicitud será responsabilidad de la Entidad Cubierta.
3.10. Acceso a políticas y registros
El Asociado Comercial está de acuerdo con llegar a cabo prácticas internas adecuadas, así como los correspondientes libros y registros, incluidas las políticas y procedimientos relacionados con la PHI, sobre el uso y la divulgación de la PHI y el incumplimiento al asegurar cualquier PHI recibida de la Entidad Cubierta, o creada o recibida por el Asociado Comercial en nombre de la Entidad Cubierta. Además de poner las prácticas a disponibilidad del Secretario para su verificación por parte de la Entidad Cubierta a la hora de determinar el cumplimiento de las Reglas HIPAA.
3.11. Documentación de Divulgaciones
El Asociado Comercial deberá documentar las divulgaciones de la PHI y la información relacionada con dichas divulgaciones que podría ser requerida para que la Entidad Cubierta responda a una solicitud de parte de un individuo en cuanto a su PHI, de acuerdo con lo establecido en la regla 45 CFR § 164.528. El Asociado Comercial deberá documentar, como mínimo, la siguiente información (“Información de Divulgación”):
3.11.1. La fecha de la divulgación;
3.11.2. El nombre y, si se conoce, la dirección del destinatario de la PHI;
3.11.3. Una breve descripción de la PHI divulgada;
3.11.4. El propósito de la divulgación que incluye una explicación de la base de dicha divulgación; y
3.11.5. Cualquier información adicional requerida por la Ley HITECH y cualquier reglamento de implementación.
4. Usos y divulgaciones permitidos para los Asociados Comerciales
4.1. Usos y divulgaciones generales
El Asociado Comercial acepta recibir, crear, usar o divulgar la PHI solo según lo permita este Contrato, las Reglas HIPAA, y únicamente en conexión con la prestación de servicios a la Entidad Cubierta; siempre que el uso o la divulgación no infrinja las reglas de privacidad al ser realizada por la Entidad Cubierta, excepto lo establecido en este Artículo 4.
4.2. Requerido por la ley
El socio comercial puede usar o divulgar la PHI según lo exija la ley.
4.3. Otros usos
Salvo que se disponga lo contrario en este Contrato, el Asociado Comercial puede:
4.3.1. Usar la PHI para la administración y gestión adecuada de las labores del Asociado Comercial, o para llevar a cabo sus responsabilidades legales.
4.3.2. Divulgar la PHI para la administración y gestión adecuada de los Asociados Comerciales o para llevar a cabo las responsabilidades legales de los Asociados Comerciales, siempre que las divulgaciones sean exigidas por la ley o cuando los Asociados Comerciales hayan obtenido garantía previa y por escrito de la persona a quien se divulga la información de que la misma se mantendrá confidencial y se usará o divulgará únicamente según lo exija la ley o para los fines para los que fue divulgada a la persona, y la persona haya notificado al Asociado Comercial cualquier instancia de la que tenga conocimiento en la que se haya violado la confidencialidad de la información, de conformidad con los requisitos de notificación de incumplimiento de este Contrato.
4.3.3. Usar la PHI para proporcionar servicios de agregación de datos a la Entidad Cubierta según lo permiten las Normas HIPAA.
5. Obligaciones de la Entidad Cubierta
5.1. La Entidad Cubierta tiene la obligación de:
5.1.1. Notificar a un Asociado Comercial cualquier limitación en su Notificación de Prácticas de Privacidad de acuerdo con la regla 45 C.F.R. 164.520, en la medida en que dicha limitación pueda afectar el uso o divulgación de la PHI por parte del Asociado Comercial.
5.1.2. Notificar a un Asociado Comercial de cualquier restricción al uso o divulgación de la PHI que la Entidad Cubierta haya aceptado de acuerdo con la regla 45 C.F.R. § 164.522, en la medida en que dichos cambios puedan afectar el uso o divulgación de la PHI por parte del Asociado Comercial.
5.1.3. Notificar a un Asociado Comercial de cualquier cambio o revocación del permiso de un individuo para usar o divulgar su PHI, en la medida en que dicho cambio o revocación pueda afectar los usos y divulgaciones permitidos o requeridos de la PHI por parte del Asociado Comercial.
5.2.
5.2. La Entidad Cubierta no solicitará al Asociado Comercial el uso o divulgación de la PHI de ninguna manera que no esté permitida por las reglas de privacidad o las reglas de seguridad, excepto lo dispuesto en el Artículo 4 de este Contrato.
6. Plazos y terminación
6.1 Plazos
Este Contrato entrará en vigencia a partir de la fecha de entrada en vigencia y terminará en la fecha más temprana en que:
6.1.1. Cualquiera de las partes termine el Contrato por causa autorizada según la Sección 6.2.
6.1.2. Toda la PHI recibida de la Entidad Cubierta, o creada o recibida por el Asociado Comercial en nombre de la Entidad Cubierta, haya sido destruida o devuelta a la Entidad Cubierta. Si se determina que no es factible devolver o destruir la PHI, se extenderán las protecciones a dicha información de acuerdo con la Sección 6.3.
6.2. Terminación por incumplimiento
Tras el conocimiento por parte de la Entidad Cubierta de algún incumplimiento importante del Contrato por parte del Asociado Comercial, la Entidad Cubierta brindará una oportunidad para que el Asociado Comercial solucione el incumplimiento o finalice la violación. Si el Asociado Comercial no resuelve el incumplimiento o finaliza la violación dentro del plazo especificado por la Entidad Cubierta, o si se ha incumplido un término importante de este Contrato y no es posible tomar una medida de remediación, la Entidad Cubierta puede terminar este Contrato y los Contratos subyacentes, con previa notificación por escrito al Asociado Comercial.
6.3. Obligaciones del Asociado Comercial con la terminación del contrato
Al terminar este Contrato por cualquier motivo, el Asociado Comercial, y con relación a la gestión de la PHI recibida de la Entidad Cubierta, o que haya sido creada, mantenida, o recibida por el Asociado Comercial en nombre de la Entidad Cubierta, deberá:
6.3.1. Conservar solo la PHI que sea necesaria para que el Asociado Comercial continúe con su administración y gestión adecuadas o para cumplir con sus responsabilidades legales;
6.3.2. Devolver a la Entidad Cubierta o, si la Entidad Cubierta lo acuerda por escrito, destruir la PHI que el Asociado Comercial aún mantenga en cualquier forma;
6.3.3. Continuar usando las medidas de seguridad adecuadas y cumplir con la Subparte C de 45 C.F.R. Parte 164 con respecto a la ePHI para evitar el uso o la divulgación de la PHI, a excepción de lo dispuesto en la Sección 6, durante el tiempo que el Asociado Comercial retenga la PHI;
6.3.4. Limitar los usos y divulgaciones adicionales de dicha PHI a aquellos fines que hagan inviable la devolución o la destrucción, siempre que el Asociado Comercial mantenga dicha PHI; y
6.3.5. Regresar a la Entidad Cubierta o destruir la PHI retenida por el Asociado Comercial cuando ya no sea necesaria para su adecuada administración y gestión o para llevar a cabo sus responsabilidades legales.
7. Misceláneos
7.1. Enmiendas
Las Partes acuerdan tomar las medidas que sean necesarias para enmendar este Contrato para cumplir con los requisitos de las Reglas HIPAA y cualquier otra ley aplicable.
7.2. Acuerdo de continuidad
Los respectivos derechos y obligaciones del Asociado Comercial en relación con el Artículo 6 de este Contrato sobrevivirán a la terminación de este Contrato.
7.3. Referencias reglamentarias
Cualquier referencia en este Contrato a una sección de las Reglas HIPAA se relaciona con la sección vigente o enmendada.
7.4. Interpretación
Este Contrato se interpretará de la siguiente manera:
7.4.1. Cualquier ambigüedad se resolverá a favor de un significado que permita a la Entidad Cubierta cumplir con las Reglas HIPAA.
7.4.2. Cualquier inconsistencia entre las disposiciones del Contrato y las Reglas HIPAA, incluidas todas las enmiendas, según lo interpretado por el Departamento de Salud y Servicios Humanos, el tribunal u otra agencia reguladora con autoridad sobre las Partes, se interpretará de acuerdo con la interpretación del Departamento de Salud y Servicios Humanos, el tribunal o la agencia reguladora.
7.4.3. Cualquier disposición de este Contrato que difiera de lo estipulado en las Reglas HIPAA, pero que este permitida por las mismas, se mantendrá como se indica en este Contrato.
7.5. Contrato completo, divisibilidad
Este Contrato constituye el contrato completo entre las Partes en relación con el objeto de este Contrato, excepto en la medida en que el los Contratos Subyacentes lo sustituyan, o impongan requisitos más estrictos relacionados con el uso y la protección de la PHI. Este Contrato reemplaza todas las negociaciones, discusiones, afirmaciones o propuestas anteriores, ya sean orales o escritas. Este Contrato no puede ser modificado a menos que se haga por escrito y esté firmado por un representante debidamente autorizado de ambas Partes. Si alguna disposición de este Contrato, o parte del mismo, se considera inválida, las disposiciones restantes permanecerán en vigencia.
7.6. Asignación
Este Acuerdo será vinculante para los sucesores y cesionarios de la Entidad cubierta y el Socio comercial. Sin embargo, este Acuerdo no puede ser cedido por el Socio comercial, en su totalidad o en parte, sin el consentimiento por escrito de la Entidad cubierta; siempre que, sin embargo, el Asociado comercial pueda ceder este Acuerdo en su totalidad, sin el consentimiento de la Entidad cubierta a su afiliado o en relación con una fusión, adquisición, reorganización corporativa o venta de todos o sustancialmente todos sus activos. Cualquier intento de cesión en violación de esta disposición será nulo y sin efecto.
7.7. Múltiples contrapartes
Este Contrato se puede ejecutar en dos o más contrapartes, cada una de las cuales se considerará un original.
7.8. Ley aplicable
Excepto en la medida en que lo prevea la ley federal, este Contrato se regirá e interpretará de acuerdo con las leyes del estado de Delaware.
Aviso importante: por favor considere que el texto oficial del Contrato de Asociado Comercial HIPPA es la versión en inglés del mismo.