Accord d'association d'entreprises
Le client, une entité couverte, et ci-après dénommé " l'entité couverte ".entité couverteet Troy Group, Inc., ci-après dénommé "associé commercial".associé commercialconcluent l'accord suivant entre l'entité couverte et l'associé commercial dans le cadre de l'accord de service du logiciel DischargeRx (l'" accord de service ").Accord de service") signé par Troy Group, Inc. et le client. Cet accord d'association commerciale ("Accord) est conclu conformément au Health Insurance and Accountability Act (HIPAA), au Health Information Technology for Economic and Clinical Health (" HITECH ") et à la loi sur la protection des données.HITECH") Act, et à la règle omnibus finale publiée en janvier 2013. Les parties conviennent de ce qui suit :
- Définitions. Les termes suivants utilisés dans le présent accord ont la même signification que ceux figurant dans les règles de l'HIPAA : violation, agrégation de données, ensemble de dossiers désignés, divulgation, opérations de soins de santé, individu, minimum nécessaire, notification des pratiques de confidentialité, informations de santé protégées, requis par la loi, secrétaire, incident de sécurité, sous-traitant, informations de santé protégées non sécurisées et utilisation.
Définitions spécifiques :
(a) Business Associate."associé commercial"a généralement la même signification que le terme "associé commercial" dans 45 CFR 160.103, et en référence à la partie de cet accord, signifie Troy Group, Inc.
(b) Entité couverte. Le terme "entitécouverte" a généralement la même signification que le terme "entité couverte" dans la norme 45 CFR 160.103 et, en ce qui concerne la partie au présent accord, il s'agit du client.
(c) Règles HIPAA. "règles HIPAA"les règles relatives à la protection de la vie privée, à la sécurité, à la notification des violations et à l'application des lois, telles qu'elles sont définies dans les règlements 45 CFR Part 160 et Part 164.
- Obligations et activités de l'associé commercial. L'associé commercial s'engage à :
(a) Ne pas utiliser ou divulguer des informations de santé protégées autrement que dans les conditions autorisées ou requises par l'Accord ou par la loi ;
(b) utiliser les garanties appropriées et se conformer à la sous-partie C de la partie 164 du CFR en ce qui concerne les informations électroniques protégées sur la santé, afin d'empêcher l'utilisation ou la divulgation d'informations protégées sur la santé autres que celles prévues par l'accord ;
(c) signaler à l'entité couverte toute utilisation ou divulgation d'informations de santé protégées non prévues par l'accord dont elle a connaissance, y compris les violations d'informations de santé protégées non sécurisées conformément à la norme 45 CFR 164.410, ainsi que tout incident de sécurité dont elle a connaissance ;
(d) conformément à 45 CFR 164.502(e)(1)(ii) et 164.308(b)(2), le cas échéant, veiller à ce que tout sous-traitant qui crée, reçoit, conserve ou transmet des informations de santé protégées pour le compte de l'associé commercial accepte les mêmes restrictions, conditions et exigences que celles qui s'appliquent à l'associé commercial en ce qui concerne ces informations ;
(e) mettre à la disposition de l'entité couverte des informations de santé protégées dans un ensemble de dossiers désignés, si cela est nécessaire pour satisfaire aux obligations de l'entité couverte en vertu de la norme 45 CFR 164.524 ;
f) apporter toute(s) modification(s) aux informations de santé protégées dans un ensemble de dossiers désigné, conformément aux instructions ou à l'accord de l'entité couverte en vertu de la norme 45 CFR 164.526, ou prendre d'autres mesures nécessaires pour satisfaire aux obligations de l'entité couverte en vertu de la norme 45 CFR 164.526 ;
(g) conserver et mettre à disposition les informations requises pour fournir un compte rendu des divulgations à l'entité couverte, si nécessaire pour satisfaire aux obligations de l'entité couverte en vertu de l'article 45 CFR 164.528 ;
(h) dans la mesure où l'associé commercial doit remplir une ou plusieurs obligations de l'entité couverte en vertu de la sous-partie E de la partie 164 du CFR, se conformer aux exigences de la sous-partie E qui s'appliquent à l'entité couverte dans le cadre de l'exécution de ces obligations ; et
(i) mettre ses pratiques internes, ses livres et ses registres à la disposition du secrétaire afin de déterminer la conformité aux règles de l'HIPAA.
- Utilisations et divulgations autorisées par l'associé commercial
(a) L'associé commercial ne peut utiliser ou divulguer des informations de santé protégées que dans la mesure où cela est nécessaire pour fournir les services prévus dans l'accord de service. L'associé commercial est autorisé à utiliser des informations de santé protégées pour les dépersonnaliser conformément à la norme 45 CFR 164.514(a)-(c), dans la mesure où cela est nécessaire pour fournir les services prévus par l'accord de service.
(b) L'associé commercial peut utiliser ou divulguer des informations de santé protégées comme l'exige la loi.
(c) L'associé commercial s'engage à limiter les utilisations, les divulgations et les demandes d'informations sur la santé protégées au minimum nécessaire pour atteindre les objectifs fixés dans l'accord de service sous-jacent.
(d) L'associé commercial ne peut pas utiliser ou divulguer des informations de santé protégées d'une manière qui violerait la sous-partie E de la partie 164 du CFR 45 si elle était effectuée par l'entité couverte.
- Dispositions permettant à l'entité couverte d'informer l'associé commercial des pratiques et des restrictions en matière de protection de la vie privée
a) L'entité couverte notifie à l'associé commercial toute(s) limitation(s) dans la notification des pratiques de confidentialité de l'entité couverte en vertu de la norme 45 CFR 164.520, dans la mesure où cette limitation peut affecter l'utilisation ou la divulgation par l'associé commercial d'informations de santé protégées.
(b) L'entité couverte notifie à l'associé commercial toute modification ou révocation de l'autorisation accordée à une personne d'utiliser ou de divulguer ses informations de santé protégées, dans la mesure où ces modifications peuvent affecter l'utilisation ou la divulgation par l'associé commercial d'informations de santé protégées.
(c) L'entité couverte notifie à l'associé commercial toute restriction à l'utilisation ou à la divulgation d'informations de santé protégées qu'elle a acceptée ou qu'elle est tenue de respecter en vertu de l'article 45 CFR 164.522, dans la mesure où cette restriction peut affecter l'utilisation ou la divulgation d'informations de santé protégées par l'associé commercial.
- Demandes autorisées par l'entité couverte
L'entité couverte ne doit pas demander à l'associé commercial d'utiliser ou de divulguer des informations de santé protégées d'une manière qui ne serait pas autorisée en vertu de la sous-partie E de la partie 164 du CFR si elle était effectuée par l'entité couverte.
- Durée et résiliation
(a) Durée. Le présent accord prend effet à la date de l'accord de service sous-jacent et prend fin (i) lorsque toutes les informations de santé protégées fournies par l'entité couverte à l'associé commercial, ou créées ou reçues par l'associé commercial pour le compte de l'entité couverte, sont détruites ou renvoyées à l'entité couverte ou, s'il n'est pas possible de renvoyer ou de détruire les informations de santé protégées, lorsque les protections sont étendues à ces informations ou (ii) à la date à laquelle l'entité couverte met fin à l'accord pour un motif valable, conformément au paragraphe (b) de la présente section, la date la plus proche étant retenue.
(b) Résiliation pour cause. L'associé commercial autorise la résiliation du présent accord par l'entité couverte si cette dernière détermine que l'associé commercial a violé une condition importante de l'accord et que l'associé commercial n'a pas remédié à la violation ou n'y a pas mis fin dans le délai spécifié par l'entité couverte.
(c) Obligations de l'associé commercial en cas de résiliation. En cas de résiliation du présent accord pour quelque raison que ce soit, l'associé commercial doit renvoyer à l'entité couverte ou détruire toutes les informations de santé protégées reçues de l'entité couverte, ou créées, conservées ou reçues par l'associé commercial pour le compte de l'entité couverte, que l'associé commercial conserve encore sous quelque forme que ce soit ou, s'il n'est pas possible de renvoyer ou de détruire les informations de santé protégées, les protections sont étendues à ces informations.
(d) Survie. Les obligations de l'associé commercial en vertu de la présente section survivent à la résiliation du présent accord.
- Divers
(a) Références réglementaires. Toute référence dans le présent accord à un article des règles de l'HIPAA désigne l'article en vigueur ou modifié.
(b) Modification. Les parties conviennent de prendre les mesures nécessaires pour modifier le présent accord de temps à autre afin de se conformer aux exigences des règles HIPAA et de toute autre loi applicable.
(c) Interprétation. Toute ambiguïté dans le présent accord sera interprétée de manière à permettre le respect des règles de l'HIPAA.
(d) Limitation de responsabilité. Sauf interdiction légale contraire, la responsabilité des associés commerciaux en vertu du présent accord est soumise aux limitations de responsabilité énoncées dans l'accord de service.