Lyve  – Avenant au Contrat de partenariat commercial en vertu de la loi HIPAA

Le présent AVENANT AU CONTRAT DE PARTENARIAT COMMERCIAL EN VERTU DE LA LOI HIPAA (le « CPC ») est intégré par référence à l'Accord Client Lyve, la Commande ou tout autre accord dont il constitue un avenant (« l'Accord ») conclu entre Seagate et l'Entreprise, comme chacun est défini dans l'Accord. Dans les présentes, l'Entreprise et Seagate sont dénommées individuellement une Partie et collectivement les Parties.

Le présent Avenant au Contrat de partenariat commercial prend effet (i) à la date de signature de l'Accord ; ou (ii) si l'Accord est conclu par voie électronique, le jour où l'Accord est accepté par voie électronique par l'Entreprise.

Pour lever tout doute, l'Entreprise doit avoir conclu un Accord dans lequel elle aura indiqué et spécifié à Seagate qu'elle inclura les Informations médicales protégées (telles que définies ci-dessous) parmi les données de l'Entreprise dans le cadre des Services. Cet Accord doit, d'autre part, être actuellement en place et en vigueur pour que le présent Avenant au Contrat de partenariat commercial soit valide et applicable. Conjointement à l'Accord, le présent Avenant régit les obligations respectives de chaque Partie concernant lesdites Informations médicales protégées.

CONTEXTE

1. La Société est soit une « entité visée », soit un « partenaire commercial » d'une telle entité, comme chacun d'entre eux est défini dans la loi de 1996 sur la portabilité et la responsabilité en matière d’assurance maladie (Health Insurance Portability and Accountability Act, Public Law 104-191), telle que modifiée par le HITECH Act (tel que défini ci-dessous) et les règlements connexes promulgués par le HHS (tel que défini ci-dessous) (collectivement, HIPAA). En tant que tel, la Société est tenue de se conformer aux dispositions de la loi HIPAA concernant la confidentialité et le respect de la vie privée des Informations médicales protégées (telles que définies ci-dessous) ;
2. Les Parties ont conclu l'Accord en vertu duquel Seagate fournit ou fournira à l'Entreprise les Services qui y sont spécifiés ;
3. En fournissant les Services conformément à l'Accord, Seagate peut avoir accès à des Informations médicales protégées ;
4. Dans ce même cadre, Seagate devient un partenaire commercial de l'Entreprise ;
5. Les deux Parties s'engagent à respecter toutes les lois fédérales et étatiques américaines applicables régissant la confidentialité des informations médicales, y compris, mais sans s'y limiter, la Règle de confidentialité (telle que définie ci-dessous) ; et,
6. Les deux Parties entendent respecter la vie privée et la confidentialité, et assurer la sécurité des Informations médicales protégées divulguées à Seagate conformément aux conditions de l'Accord, du présent Avenant au Contrat de partenariat commercial, de la loi HIPAA et de toute autre exigence légale.

DÉCLARATION D'INTENTION

Les Parties conviennent de ce qui suit :

1. Définitions. Aux fins du présent Avenant au Contrat de partenariat, les Parties donnent la signification suivante à chacun des termes du présent Article 1, ci-dessous. Tout terme commençant par une majuscule utilisé dans le présent Avenant au Contrat de partenariat, mais non défini par ailleurs, a la signification qui lui est donnée dans l'Accord, la loi HIPAA, la Règle de confidentialité ou la loi pertinente.
   1. Le terme « Contrat de partenariat commercial » a la définition qui lui est donnée dans la loi HIPAA.
   2. Le terme « Violation » désigne l'acquisition, la consultation, l'utilisation ou la divulgation d'Informations médicales protégées d'une manière non autorisée par la Règle de confidentialité et qui compromet la sécurité ou la confidentialité desdites informations, comme défini à l'article 45 CFR, alinéa 164.402.
   3. Le terme « CFR » désigne le Code des règlements fédéraux.
   4. Le terme « Entité visée » a la définition qui lui est donnée dans la loi HIPAA.
   5. Le terme « Services visés » désigne les Services expressément mentionnés dans l'Accord comme étant régis par le présent Avenant au Contrat de partenariat commercial.
   6. Le terme « HHS » désigne le Ministère américain de la Santé et des Services sociaux (U.S. Department of Health and Human Services).
   7. Le terme « HIPAA » a la signification donnée dans la section Contexte ci-dessus.
   8. Le terme « HITECH Act » (Health Information Technology for Economic and Clinical Health Act) désigne la loi sur les technologies de l'information en matière de santé économique et clinique, adoptée dans le cadre de l'American Recovery and Reinvestment Act de 2009, Public Law 111-005.
   9. Le terme « Individu » a la même signification que celle donnée à ce même terme à l'article 45 CFR alinéas 164.501 et 160.130 en ce qui concerne une personne qui se qualifie comme représentant personnel conformément à l'article 45 CFR, alinéa 164.502(g).
   10. Le terme « Utilisation ou divulgation inadmissible » a la définition qui lui est donnée dans la loi HIPAA.
   11. Le terme « Règle de confidentialité » désigne la partie de la loi HIPAA énoncée à l'article 45 CFR, Parties 160 et 164, Sous-parties A et E.
   12. Le terme « Informations médicales protégées » ou « PHI » (Protected Health Information) a le sens donné à ce même terme à l'article 45 CFR, alinéas 164.501 et 160.103, limité aux informations créées ou reçues par Seagate de ou pour le compte de l'Entreprise.
   13. Le terme « Requis par la loi » a le sens qui lui est donné par la loi HIPAA.
   14. Le terme « Incident de sécurité » a le sens qui lui est donné par la loi HIPAA à l'article 45 CFR, alinéa 164.304, à savoir la consultation, l'utilisation, la divulgation, la modification ou la destruction non autorisées, tentées ou réussies, d'informations ou l'interférence avec le fonctionnement d'un système d'information.
   15. Le terme « Règle de sécurité » désigne les normes de sécurité pour la protection des informations médicales électroniques prévues à l'article 45 CFR, Parties 160 et 164, Sous-parties A et C.
   16. Le terme « Informations médicales protégées non sécurisées » ou « PHI non sécurisées » désigne toute information médicale protégée qui n'est pas rendue inutilisable, illisible ou indéchiffrable pour des personnes non autorisées via l'utilisation d'une technologie ou d'une méthodologie spécifiée par le Secrétaire du Ministère de la Santé et des Services sociaux (HHS) dans les directives publiées conformément à la loi HITECH et codifiées à l'article 42 USC alinéa 17932(h).
   17. Le terme « Évènements de sécurité infructueux » désigne, sans s'y limiter, les pings ou autres attaques par diffusion sur les pare-feu de Seagate, les balayages de ports, les tentatives d'ouverture de session infructueuses, les attaques par déni de service et toute combinaison ou variation de ce qui précède, tant qu'un tel incident n'entraîne pas la consultation, l'utilisation, la divulgation, la modification ou la destruction non autorisée des Informations médicales protégées.
2. Utilisation et divulgation des PHI.
   1. Sauf disposition contraire du présent Avenant au Contrat de partenariat commercial, Seagate peut accéder aux informations médicales personnelles, les utiliser, les divulguer, les modifier ou les détruire dans la mesure où cela est raisonnablement nécessaire pour fournir à l'Entreprise les Services décrits dans l'Accord et pour entreprendre d'autres activités de Seagate autorisées ou exigées par l'Accord, le présent Avenant ou par la loi.
   2. Sauf limitation contraire du présent Avenant ou des lois fédérales ou d'État, l'Entreprise autorise Seagate à utiliser les Informations médicales protégées en sa possession pour la gestion et l'administration appropriées des activités de Seagate, et pour répondre à ses obligations légales. Seagate peut divulguer des Informations médicales protégées pour sa gestion et son administration, à condition (i) que ces divulgations soient exigées par la loi ou (ii) que Seagate obtienne, par écrit, avant toute divulgation à un tiers, l'assurance raisonnable de ce dernier que les Informations médicales protégées resteront confidentielles comme le prévoit le présent Accord et qu'elles seront utilisées ou divulguées uniquement comme l'exige la loi ou aux fins pour lesquelles elles ont été divulguées au tiers.
   3. Seagate n'utilisera ni ne divulguera les Informations médicales protégées d'une manière autre que celle prévue dans le présent Avenant, que celle autorisée par la Règle de confidentialité ou que celle exigée par la loi. Seagate peut utiliser ou divulguer des Informations médicales protégées, dans la mesure du possible, sous la forme d'un ensemble de données limité ou limité à la quantité d'informations raisonnablement nécessaires pour atteindre l'objectif prévu par leur utilisation ou divulgation, conformément aux exigences de la loi HIPAA, y compris de la section 13405(b) de la loi HITECH (codifiée à l'article 42 USC alinéa 17935(b)) et de tout règlement d'application de la loi adopté par le HHS, pour chaque utilisation ou divulgation d'Informations médicales protégées.
   4. Sur demande, Seagate mettra à la disposition de l'Entreprise les Informations médicales protégées de l'Entreprise que Seagate ou l'un de ses représentants ou sous-traitants ont en leur possession, sous réserve des dispositions du présent Avenant au Contrat de partenariat commercial.
   5. Seagate peut utiliser les Informations médicales protégées pour signaler les violations de la loi aux autorités fédérales et étatiques américaines appropriées, conformément à l'article 45 CFR, alinéa 164.502(j)(1).
3. Protections contre l'utilisation abusive des Informations médicales protégées. Comme il est raisonnable de le faire compte tenu de la nature des services, Seagate utilisera des mesures de protection appropriées conçues pour empêcher l'utilisation ou la divulgation des Informations médicales protégées. Seagate accepte également de mettre en œuvre des mesures de protection administratives, physiques et techniques qui protègent de façon raisonnable et appropriée la confidentialité, l'intégrité et la disponibilité des Informations médicales électroniques protégées qu'elle crée, reçoit, conserve ou transmet au nom de l'Entreprise. Seagate s'engage à prendre des mesures raisonnables, y compris à former ses employés, pour se conformer au présent Accord et pour éviter que les actions ou les omissions de ses employés ou de ses représentants ne l'amènent à enfreindre les conditions du présent Avenant.
4. Chiffrement. En raison de la configuration du chiffrement et des contrôles de sécurité associés aux Services, Seagate n'a pas accès aux Informations médicales protégées contenues dans les fichiers et dossiers chiffrés de l'Entreprise stockés dans les Services, ni n'en connaît la nature. À ce titre, les Parties reconnaissent qu'il peut être impossible pour Seagate de fournir à l'Entreprise tous les renseignements pertinents concernant les Informations médicales protégées des personnes qui peuvent être concernées par un incident de sécurité, une utilisation ou une divulgation inadmissible ou une violation des Informations médicales protégées non sécurisées.
5. Signalement des divulgations d'Informations médicales protégées et des incicents de sécurité. Seagate signale à l'Entreprise, par écrit (y compris par e-mail), toute utilisation ou divulgation d'Informations médicales protégées non prévue par le présent Avenant au Contrat de partenariat commercial ou l'Accord, dont elle a connaissance. Seagate accepte d'autre part de signaler à l'Entreprise tout incident de sécurité touchant réellement les Informations médicales électroniques protégées de l'Entreprise dont elle a connaissance. Seagate s'engage à signaler tout évènement de ce type dans les cinq jours ouvrables suivant la confirmation de l'évènement. Nonobstant ce qui précède, les Parties reconnaissent et conviennent que le présent article 5 constitue une notification de Seagate à l'Entreprise de l'existence et de la survenance continues d'Évènements de sécurité non réussis pour lesquels aucune autre notification à l'Entreprise n'est requise. L'Entreprise reconnaît et accepte par les présentes qu'une notification est réputée donnée pour tous les Évènements de sécurité non réussis et que Seagate n'est pas tenue de fournir une notification en vertu du présent Avenant au Contrat de partenariat commercial au sujet de tels évènements.
6. Signalement des violation d'Informations médicales protégées non sécurisées. Seagate s'engage à informer l'Entreprise par écrit (y compris par e-mail) dès la découverte d'une violation d'Informations médicales protégées non sécurisées, conformément aux exigences énoncées à l'article 45 CFR, alinéa 164.410, mais en aucun cas plus de 30 jours civils après la découverte de cette violation. Dans la mesure du possible, ces informations comprennent l'identification de chaque personne dont les Informations médicales protégées ont été, ou sont raisonnablement considérées par Seagate comme ayant été consultées, acquises ou divulguées de façon inappropriée, en vertu de l'article 5 ci-dessus.
7. Obligations de signalement. À la lumière de l'article 4 ci-dessus et en cas de violation d'Informations médicales protégées non sécurisées, d'incident de sécurité ou d'utilisation ou de divulgation inadmissible, l'Entreprise est seule responsable de l'identification des personnes concernées (le cas échéant), de la détermination de l'opportunité d'en informer lesdites personnes, de la détermination de la nécessité d'informer les organismes de réglementation, tels que le Secrétaire du Département de la santé et des services sociaux des États-Unis, ou d'autres commissions d'application applicables à l'Entreprise, et de la communication de ces notifications.
8. Atténuation des risques liés à la divulgation d'Informations médicales protégées. Seagate s'engage à prendre des mesures raisonnables pour atténuer, dans la mesure du possible, les risques raisonnablement susceptibles d'entraîner un effet nuisible connu de Seagate en lien avec l'utilisation ou la divulgation d'Informations médicales protégées par Seagate ou ses représentants ou sous-traitants en violation des exigences du présent Avenant au Contrat de partenariat commercial.
9. Accords avec les représentants ou les sous-traitant. Seagate s'engage à prendre les mesures appropriées pour s'assurer que les représentants ou les sous-traitants auxquels elle fait appel pour s'acquitter de ses obligations en vertu de l'Accord et qui doivent avoir accès à des Informations médicales protégées soient liés par des obligations écrites qui offrent sensiblement le même niveau de protection des Informations médicales protégées que le présent Avenant. Dans la mesure où elle fait appel à des représentants ou à des sous-traitants dans l'exécution de ses obligations en vertu des présentes, Seagate demeure responsable de leur exécution comme si elle était effectuée par ses soins.
10. Rapport d'audit. Dans la mesure où la loi l'exige, et conformément à tous les privilèges légaux applicables, Seagate doit, sur demande écrite, mettre à la disposition du Secrétaire du Ministère de la Santé et des services sociaux (le « Secrétaire ») ses pratiques internes, ses livres, ses accords, ses dossiers et ses politiques et procédures concernant l'utilisation et la divulgation des Informations médicales protégées, afin que le Secrétaire puisse déterminer si l'Entreprise et Seagate se conforment à la loi HIPAA et au présent Avenant.
11. Déclaration des divulgations.
    1. Seagate s'engage à documenter toutes les divulgations d'Informations médicales protégées qu'elle a faites afin d'en rendre compte, comme l'exige l'article 45 CFR, alinéa 164.528(a). Seagate mettra également à disposition les informations relatives à ces divulgations qui seraient nécessaires à l'Entreprise pour répondre à une demande de déclaration des divulgations conformément à l'article 45 CFR, alinéa 164.528. Au minimum, Seagate fournira à l'Entreprise les renseignements suivants concernant les divulgations visées par Seagate : (i) la date de divulgation des Informations médicales protégées ; (ii) le nom de l'entité ou de la personne qui a reçu ces informations et, si elle est connue, l'adresse de cette entité ou de cette personne ; (iii) une brève description des Informations médicales protégées divulguées ; et (iv) un bref énoncé de l'objet de la divulgation qui comprend le fondement de cette divulgation.
    2. Seagate fournira à l'Entreprise les renseignements recueillis conformément au présent Article 11, dans les quinze jours ouvrables suivant un avis écrit de l'Entreprise, afin de permettre à cette dernière de rendre compte des divulgations, comme l'exige l'article 45 CFR, alinéa 164.528. Dans le cas où l'Entreprise choisirait de communiquer à un Individu la liste de ses partenaires commerciaux, Seagate fournira un compte rendu de ses divulgations d'Informations médicales protégées à la demande de l'Individu, si et dans la mesure où un tel compte rendu est requis en vertu de la loi HITECH ou des règlements du HHS adoptés en rapport avec cette loi.
    3. Si un Individu remet directement à Seagate l'avis écrit initial de demande de compte rendu concernant les Informations médicales protégées qui le concernent et qui sont conservées par Seagate, Seagate transmettra cette demande à l'Entreprise dans les dix jours ouvrables.
12. Responsabilités de l'Entreprise. En ce qui concerne l'utilisation ou la divulgation des Informations médicales protégées par Seagate, l'Entreprise convient de ce qui suit :
    1. L'Entreprise n'inclura dans sa notification sur les pratiques en matière de protection de la vie privée aucune restriction limitant les utilisations ou les divulgations autorisées ou requises d'Informations médicales protégées par Seagate en vertu du présent Avenant au Contrat de partenariat commercial, à moins qu'une telle restriction ne soit exigée par la loi. Dans le cas où elle est tenue par la loi d'inclure une telle limitation dans cette notification, l'Entreprise doit aviser rapidement Seagate de cette limitation, dans la mesure où celle-ci peut avoir une incidence sur l'utilisation ou la divulgation, par Seagate, des Informations médicales protégées.
    2. L'Entreprise doit aviser Seagate de tout changement ou de toute révocation de l'autorisation donnée par un Individu d'utiliser ou de divulguer des Informations médicales protégées, dans la mesure où ces changements peuvent avoir une incidence sur l'utilisation ou la divulgation, par Seagate, des Informations médicales protégées.
    3. L'Entreprise n'acceptera aucune demande de restriction limitant les utilisations ou les divulgations autorisées ou requises des Informations médicales protégées, par Seagate, en vertu du présent Avenant, ou la prestation des Services, à moins que cela ne soit exigé par la loi. Si l'Entreprise est tenue par la loi d'accepter une telle restriction, elle doit en informer Seagate dans les plus brefs délais.
    4. L'Entreprise ne demandera pas ou ne fera pas en sorte que Seagate utilise ou divulgue des Informations médicales protégées, d'une manière qui ne serait pas autorisée par la loi HIPAA si elle était faite par l'Entreprise, ou d'une manière qui ne serait pas conforme aux Services.
    5. L'Entreprise mettra en œuvre et utilisera des mesures de protection appropriées en matière de confidentialité et de sécurité, conçues pour empêcher l'utilisation ou la divulgation non autorisée des Informations médicales protégées. D'autre part, elle mettra en œuvre et utilisera des mesures de protection administratives, physiques et techniques afin de protéger les Informations médicales protégées de manière raisonnable et appropriée, conformément à la loi HIPAA et au présent Avenant au Contrat de partenariat commercial, et comme l'exige par ailleurs la Règle de sécurité. En particulier, l'Entreprise doit chiffrer toutes les Informations médicales protégées stockées ou transmises par le biais des Services conformément au document du Secrétaire du HHS intitulé « Guidance to Render Unsecured Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals », disponible en ligne à l'adresse https://www.hhs.gov/hipaa/for-professionals/breach-notification/guidance/index.html, tel qu'il peut être mis à jour de temps à autre, et tel qu'il peut être rendu disponible sur tout site suivant ou connexe désigné par le HHS. Dans la mesure où l'Entreprise choisit d'utiliser les Services pour transmettre des Informations médicales protégées sans chiffrement, il lui incombe de prouver, conformément à la Règle de sécurité, que le chiffrement n'est pas raisonnable et approprié pour ces communications, et de mettre en œuvre toute mesure alternative équivalente si elle est raisonnable et appropriée. L'Entreprise reconnaît et accepte le fait que Seagate n'a aucune obligation de sécuriser les Informations médicales protégées en vertu du présent Avenant lorsque l'Entreprise crée, reçoit, conserve ou transmet de telles informations en dehors des Services.
    6. L'Entreprise garantit pour chaque communication d'Informations médicales protégées qu'elle a obtenu toutes les autorisations, tous les consentements et toutes les autres permissions nécessaires en vertu de la loi applicable avant de divulguer ou de télécharger des données, y compris, mais sans s'y limiter, les Informations médicales protégées, en rapport avec les Services.
13. Propriété des données. Le présent Avenant au Contrat de partenariat commercial ne modifie en rien les dispositions relatives à la propriété des données convenues dans l'Accord.
14. Durée et résiliation.
    1. Le présent Avenant au Contrat de partenariat commercial prendra fin à la première des deux dates suivantes : (i) la résiliation autorisée conformément au présent article 14, ou (ii) l'expiration ou la résiliation de l'Accord en vertu duquel l'Entreprise a accès aux Services.
    2. L'Entreprise peut mettre fin immédiatement au présent Avenant s'il est établi que Seagate a violé l'une de ses conditions importantes et qu'elle n'a pas remédié à cette violation majeure, à la satisfaction raisonnable de l'Entreprise, dans les 30 jours suivant un avis écrit de cette dernière. L'Entreprise peut signaler le problème au secrétaire du HHS si la loi l'exige, sous réserve de tous les privilèges légaux applicables.
    3. Conformément à l'article de l'Accord relatif à la suspension, si Seagate détermine que l'Entreprise a violé une condition importante du présent Avenant au Contrat de partenariat commercial, Seagate doit aviser l'Entreprise par écrit de l'existence de la violation et lui donner 30 jours pour y remédier. L'incapacité de l'Entreprise à remédier à la violation dans le délai de 30 jours est un motif de résiliation immédiate de l'Accord ou du présent Avenant par Seagate. Seagate peut signaler la violation au HHS, conformément à tous les privilèges légaux applicables.
    4. Après la résiliation de l'Accord ou du présent Avenant au Contrat de partenariat commercial pour quelque raison que ce soit, toutes les Informations médicales protégées conservées par Seagate sont supprimées des Services conformément aux conditions relatives aux données de l'Entreprise prévues dans l'Accord. Seagate s'engage à étendre les protections du présent Avenant à ces Informations médicales protégées, et à limiter leurs utilisations et divulgations ultérieures aux fins qui rendent leur retour ou destruction infaisable, tant que Seagate les conservera. Les Parties conviennent que le présent article 14.4.. survivra à toute résiliation du présent Avenant au Contrat de partenariat commercial.
15. Effet de l'Avenant au Contrat de partenariat commercial. Le présent Avenant au Contrat de partenariat commercial fait partie de l'Accord et est soumis aux conditions de celui-ci. Le présent Avenant, ainsi que l'Accord tel que modifié par les présentes, (i) est conçu par les Parties comme l'expression finale, complète et exclusive des termes de leur accord et (ii) remplace tous les accords et arrangements antérieurs (oraux ou écrits) entre les Parties en ce qui concerne l'objet des présentes. Les dispositions du présent Avenant au Contrat de partenariat commercial l'emportent sur toute disposition contradictoire de l'Accord. Toutefois, sauf modification ou amendement explicite du présent Avenant en ce qui concerne les Informations médicales protégées, les termes de l'Accord restent pleinement en vigueur.
16. Amendements de mise en conformité à la législation. Les Parties reconnaissent que les lois fédérales et étatiques relatives à la sécurité des données et à la confidentialité des informations médicales évoluent rapidement et qu'il peut être nécessaire de modifier le présent Avenant au Contrat de partenariat commercial afin de prévoir des procédures garantissant le respect de ces évolutions. Les Parties conviennent expressément de prendre les mesures nécessaires pour mettre en œuvre les normes et les exigences de la loi HIPAA. À la demande de l'une ou l'autre des Parties, l'autre Partie s'engage à entamer rapidement des négociations sur les termes d'une modification du présent Avenant au Contrat de partenariat commercial comportant des garanties écrites conformes aux normes et exigences de la loi HIPAA ou d'autres lois applicables. L'une ou l'autre des Parties peut résilier le présent Avenant au Contrat de partenariat commercial sous réserve d'un préavis écrit de trente (30) jours si l'autre Partie : (i) n'entame pas rapidement des négociations en vue de modifier le présent Avenant lorsqu'elle en fait la demande conformément au présent Article 16 ; ou (ii) ne conclut pas un amendement au présent Avenant fournissant des garanties concernant une protection des Informations médicales protégées suffisante pour satisfaire aux normes et exigences de la loi HIPAA.
17. Interprétation. Le présent Avenant au Contrat de partenariat commercial et l'Accord doivent être interprétés aussi largement que nécessaire pour mettre en œuvre et respecter la loi HIPAA. Les Parties conviennent que toute ambiguïté dans le présent Avenant doit être résolue en faveur d'une signification conforme et cohérente avec la loi HIPAA.

10 décembre 2024