Anexo de socio comercial de Lyve conforme a la HIPAA

Este ANEXO PARA SOCIOS COMERCIALES DE HIPAA DE LYVE (el "ASC") se incorpora por referencia al acuerdo de Lyve del que este ASC es un anexo (el "Acuerdo") entre Seagate y la Empresa, tal y como se define cada uno de ellos en el Acuerdo. En este ASC, la Empresa y Seagate son, individualmente, cada una de ellas una "Parte" y, colectivamente, las "Partes".

Este ASC entra en vigor (i) en la fecha de ejecución del Acuerdo; o (ii) si el Acuerdo se celebra electrónicamente, el día en que el Acuerdo es aceptado electrónicamente por la Empresa.

Para evitar dudas, la Empresa debe tener un Acuerdo existente, donde la Empresa haya indicado y especificado a Seagate que incluirá Información de Salud Protegida (como se define a continuación) entre los Datos de la Empresa en el alcance de los Servicios, y dicho Acuerdo debe estar vigente y en vigor actualmente para que este BAA sea válido y efectivo. Junto con el Acuerdo, este BAA regirá las obligaciones respectivas de cada Parte con respecto a dicha Información de Salud Protegida.

ANTECEDENTES

1. La empresa es una "entidad cubierta" o un "socio comercial" de una entidad cubierta, tal y como se define cada una de ellas en la Ley de Portabilidad y Responsabilidad de los Seguros Médicos de 1996, Ley Pública 104-191, modificada por la Ley HITECH (tal y como se define a continuación) y los reglamentos relacionados promulgados por el HHS (tal y como se define a continuación) (colectivamente, "HIPAA") y, como tal, está obligada a cumplir las disposiciones de la HIPAA relativas a la confidencialidad y privacidad de la Información Sanitaria Protegida (tal y como se define a continuación);
2. Las Partes han celebrado el Acuerdo, en virtud del cual Seagate presta o prestará determinados Servicios a la Empresa que se especifican en el mismo;
3. Al prestar los Servicios en virtud del Acuerdo, Seagate puede tener acceso a la Información Sanitaria Protegida;
4. Al prestar los Servicios en virtud del Acuerdo, Seagate se convertirá en un "socio comercial" de la Empresa;
5. Ambas Partes se comprometen a cumplir todas las leyes federales y estatales de los Estados Unidos que rigen la confidencialidad y la privacidad de la información sanitaria, incluida, entre otras, la Regla de privacidad (tal y como se define a continuación); y,
6. Ambas partes tienen la intención de proteger la privacidad y proporcionar la seguridad de la Información Sanitaria Protegida revelada a Seagate de conformidad con los términos del Acuerdo, este ASC, la HIPAA, y según lo requerido por la ley.

DECLARACIÓN DE CONFORMIDAD

Las Partes interesadas en este documento reconocen y acuerdan lo siguiente:

1. Definiciones. A efectos de este BAA, las Partes otorgan el siguiente significado a cada uno de los términos de esta Sección 1, a continuación. Cualquier término en mayúsculas utilizado en este ASC, pero no definido de otro modo, tiene el significado que se le da a ese término en el Acuerdo, la HIPAA, la Norma de privacidad o la ley pertinente.
   1. "Socios comerciales" tiene la definición que se le da en la HIPAA.
   2. "Infracción" significa la adquisición, el acceso, el uso o la divulgación de la PHI de una manera no permitida por la Regla de privacidad y que compromete la seguridad o la privacidad de la PHI, tal como se define en 45 CFR §164.402.
   3. “CFR" significa Código de Regulaciones Federales.
   4. "Entidad cubierta" tiene la definición que le da la HIPAA.
   5. "Servicios cubiertos" se refiere a los Servicios expresamente indicados en el Acuerdo como cubiertos por este ASC.
   6. "HHS" significa el Departamento de Salud y Servicios Humanos de los Estados Unidos.
   7. "HIPAA" tiene el significado que se le da en la sección de Antecedentes.
   8. "Ley HITECH" significa la Ley de Tecnología de la Información Sanitaria para la Salud Económica y Clínica, promulgada como parte de la Ley de Recuperación y Reinversión Americana de 2009, Ley Pública 111-005.
   9. "Individuo" tiene el mismo significado que se le da a ese término en 45 CFR §§164.501 y 160.130 en cuanto a una persona que se califica como representante personal de acuerdo con 45 CFR §164.502(g).
   10. "Uso o divulgación no permisible" tiene la definición que se la da según la HIPAA.
   11. "Regla de privacidad" significa la parte de la HIPAA establecida en 45 CFR Parte 160 y Parte 164, Subpartes A y E.
   12. "Información Sanitaria Protegida" o "PHI" tiene el significado dado al término "información sanitaria protegida" en 45 CFR §§164.501 y 160.103, limitado a la información creada o recibida por Seagate de o en nombre de la Empresa.
   13. "Requerido por ley" tiene el significado que se le otorga según la HIPAA.
   14. "Incidente de Seguridad" tiene el significado que se le da según la HIPAA en el título 45 del CFR § 164.304 en cuanto al intento o éxito de acceso, uso, divulgación, modificación o destrucción no autorizados de información o interferencia con las operaciones del sistema en un sistema de información.
   15. "Regla de Seguridad" se refiere a los Estándares de Seguridad para la Protección de la Información de Salud Electrónica proporcionados en el título 45 del CFR Parte 160 y Parte 164, Subpartes A y C.
   16. "Información Sanitaria Protegida no asegurada" o "Información Sanitaria Protegida no asegurada" significa cualquier Información Sanitaria Protegida que no sea inutilizable, ilegible o indescifrable para personas no autorizadas mediante el uso de una tecnología o metodología especificada por el Secretario del HHS en las directrices emitidas en virtud de la Ley HITECH y codificadas en 42 USC §17932(h).
   17. "Eventos de seguridad infructuosos" significa, sin limitación, pings u otros ataques de difusión a los cortafuegos de Seagate, escaneos de puertos, intentos infructuosos de inicio de sesión, ataques de denegación de servicio, y cualquier combinación o variación de lo anterior, siempre y cuando ningún incidente de este tipo dé lugar a un acceso, uso, divulgación, modificación o destrucción no autorizados de la Información Sanitaria Protegida.
2. Uso y Divulgación de la PHI.
   1. Salvo que se indique lo contrario en este BAA, Seagate puede acceder, usar, divulgar, modificar o destruir la PHI según sea razonablemente necesario para proporcionar los Servicios descritos en el Acuerdo a la Empresa y para que Seagate lleve a cabo otras actividades permitidas o requeridas en virtud del Acuerdo, este BAA, o según lo Requiera la Ley.
   2. Salvo que este BAA o la ley federal o estatal lo limiten de otro modo, la Empresa autoriza a Seagate utilizar la PHI en su poder para la gestión y administración adecuadas de los negocios de Seagate y para llevar a cabo sus responsabilidades legales. Seagate puede divulgar la PHI para su gestión y administración adecuadas, siempre que (i) las divulgaciones sean Requeridas por Ley; o (ii) Seagate obtenga, por escrito, antes de realizar cualquier divulgación a un tercero, garantías razonables de este tercero de que la PHI se mantendrá confidencial según lo dispuesto en este BAA y se usará o divulgará solo según lo Requiera la Ley o para el propósito para el cual le fue revelada a este tercero.
   3. Seagate no usará ni divulgará la PHI de una manera que no sea la prevista en este BAA, según lo permita la Norma de Privacidad o según lo Requiera la Ley. Seagate puede utilizar o divulgar la IPS, en la medida de lo posible, como un conjunto de datos limitados o limitados a la cantidad razonablemente necesaria de IPS para llevar a cabo el propósito previsto del uso o la divulgación, de acuerdo con los requisitos de la HIPAA, incluida la Sección 13405(b) de la Ley HITECH (codificada en 42 USC §17935(b)) y cualquiera de las normas de aplicación de la ley adoptadas por el HHS, para cada uso o divulgación de la IPS.
   4. Previa solicitud, Seagate pondrá a disposición de la Empresa toda la IPS de la Empresa que Seagate o cualquiera de sus agentes o subcontratistas tenga en su poder, con sujeción a las disposiciones de este ASC.
   5. Seagate puede utilizar la IPS para informar de las infracciones de la ley a las autoridades federales y estatales de EE.UU. correspondientes, de acuerdo con el 45 CFR §164.502(j)(1).
3. Medidas de Seguridad Contra el Uso Indebido de la PHI. Según sea razonable a la luz de la naturaleza de los Servicios, Seagate utilizará medidas de seguridad adecuadas diseñadas para evitar el uso o la divulgación de la PHI, y Seagate acepta implementar medidas de seguridad administrativas, físicas y técnicas que protejan de manera razonable y adecuada la confidencialidad, la integridad y la disponibilidad de la PHI electrónica que cree, reciba, mantenga o transmita en nombre de la Empresa. Seagate acepta tomar medidas razonables, incluida la capacitación de sus empleados para cumplir con este BAA y que estén diseñadas para evitar que las acciones u omisiones de sus empleados o agentes hagan que Seagate incumpla con los términos de este BAA.
4. Cifrado. Debido a la configuración de cifrado y los controles de seguridad asociados con los Servicios, Seagate no tendrá acceso ni conocerá la naturaleza de la PHI contenida en los archivos y carpetas cifrados de la Empresa almacenados en los Servicios. Como tal, las Partes reconocen que es posible que Seagate no pueda proporcionar a la Empresa toda la información relevante sobre la PHI de las Personas que puedan verse afectadas por un Incidente de Seguridad, Uso o Divulgación No Permisible o Violación de la PHI No Resguardada.
5. Informar de las divulgaciones de la IPS y de los incidentes de seguridad. Seagate informará a la Empresa por escrito (incluso por correo electrónico) de cualquier uso o divulgación de la PHI no previstos en este BAA o en el Acuerdo del que tenga conocimiento y Seagate acuerda informar a la Empresa de cualquier Incidente de Seguridad del que tenga conocimiento que realmente afecte la PHI electrónica de la Empresa. Seagate acepta informar cualquier evento de este tipo en un lapso de cinco días hábiles posteriores a la confirmación del evento. Sin perjuicio de lo anterior, las Partes reconocen y aceptan que esta Sección 5 constituye un aviso de Seagate a la Empresa sobre la existencia e incidencia de Eventos de Seguridad Fallidos para los cuales no se requerirá ningún aviso adicional a la Empresa. Por el presente, la Empresa reconoce y acepta que se considera que se ha dado aviso de todos los Eventos de Seguridad Fallidos y que Seagate no estará obligado a proporcionar ningún aviso en virtud de este BAA con respecto a dichos Eventos de Seguridad Fallidos.
6. Informar de las infracciones de la IPS no segura. Seagate informará a la Empresa por escrito (incluso por correo electrónico) de inmediato sobre el descubrimiento de cualquier Violación de la PHI No Resguardada de acuerdo con los requisitos establecidos en el título 45 del CFR §164.410, pero en ningún caso después de los 30 días calendario posteriores al descubrimiento de tal Violación. En la medida de lo posible, dicha información deberá incluir la identificación de cada Persona a cuya Información de Salud Protegida se haya, a criterio razonable de Seagate, accedido, adquirido, divulgado o que esté sujeta a la Sección 5 mencionada recién.
7. Obligaciones de informar. Considerando la sección 4 anterior y en el caso de una Violación de la PHI No Resguardada, un Incidente de Seguridad o un Uso o Divulgación No Permisible, la Empresa será la única responsable de identificar a las Personas afectada (si las hay), determinar si notificará a dichas Personas afectadas, determinar si es necesario notificar a los organismos reguladores, como el Secretario del Departamento de Salud y Servicios Humanos de los EE. UU., o si es necesario notificar a otras comisiones encargadas de la aplicación de la ley relacionadas con la Empresa, y de realizar dichas notificaciones.
8. Mitigación de la divulgación de la IPS. Seagate tomará medidas razonables para mitigar, en la medida de lo posible, los posibles riesgos que podrían dar como resultado un efecto dañino del que Seagate tenga conocimiento por cualquier uso o divulgación de la PHI por parte de Seagate o sus agentes o subcontratistas en violación de los requisitos de este BAA.
9. Acuerdos con agentes o subcontratistas. Seagate tomará las medidas pertinentes diseñadas para garantizar que cualquier agente o subcontratista empleado por Seagate que requiere acceso a la PHI para cumplir con sus obligaciones en virtud del Acuerdo esté comprometidos por obligaciones escritas a que brinden sustancialmente el mismo nivel de protección para la PHI que este BAA. En la medida en que Seagate utilice agentes o subcontratistas para el cumplimiento de sus obligaciones en virtud del presente, Seagate seguirá siendo responsable de su cumplimiento como si fueran responsabilidades de Seagate.
10. Informe de auditoría. En la medida en que lo Requiera la Ley, y sujeto a todos los privilegios legales aplicables, Seagate, con previa solicitud por escrito, pondrá a disposición del Secretario del Departamento de Salud y Servicios Humanos (el "Secretario") sus prácticas internas, libros, acuerdos, registros y políticas y procedimientos relacionados con el uso y la divulgación de PHI con el fin de que el Secretario determine el cumplimiento con la HIPAA y este BAA por parte de la Empresa y de Seagate.
11. Registro de Divulgaciones.
    1. Seagate documentará cualquier divulgación de PHI que realice para dar cuenta de dichas divulgaciones según lo exige el título 45 del CFR §164.528(a). Seagate también pondrá a disposición la información relacionada con las divulgaciones mencionadas que sen necesarias para que la empresa responda a una solicitud de registro de divulgaciones de acuerdo con 45 CFR §164.528. Como mínimo, Seagate facilitará a la Empresa lo siguiente con respecto a cualquier divulgación que se encuentre cubierta por Seagate: (i) la fecha de la divulgación de la PHI; (ii) el nombre de la entidad o la persona que ha recibido la PHI y, si se conoce, la dirección de la entidad o la persona; (iii) una breve descripción de la PHI que se ha divulgado; y (iv) una declaración breve sobre la finalidad de la divulgación que incluya la base de esta.
    2. Seagate proporcionará a la Empresa la información recopilada de conformidad con esta Sección 11, en un lapso de quince días hábiles posteriores a la notificación por escrito de la Empresa, para permitir que la Empresa haga un registro de las divulgaciones según lo exige el título 45 del CFR §164.528, o en caso de que la Empresa opte por entregarle a una Persona Individuo una lista de sus socios comerciales, Seagate proporcionará un registro de sus divulgaciones de PHI a pedido de la Persona, si y en la medida en que dicho registro sea requerido por la Ley HITECH o por las reglamentaciones del HHS adoptadas en relación con la Ley HITECH.
    3. En el caso de que una Persona entregue a Seagate el aviso inicial por escrito para obtener un registro relacionado con la PHI de dicha Persona almacenada por Seagate, Seagate, en un lapso de diez días hábiles, enviará dicha solicitud a la Empresa.
12. Responsabilidades de la empresa. Con respecto al uso o la divulgación de Información de Salud Protegida por parte de Seagate, la Empresa acepta que:
    1. No incluirá en su aviso de prácticas de privacidad ninguna limitación que restrinja los usos o divulgaciones de PHI permitidos o requeridos por Seagate en virtud de este BAA, a menos que la ley exija dicho límite. En el caso de que la Empresa esté obligada por ley a incluir dicha limitación en su aviso de prácticas de privacidad, la Empresa notificará inmediatamente a Seagate dicha limitación, en la medida en que dicha limitación pueda afectar al uso o divulgación de la IPS por parte de Seagate.
    2. Notificar a Seagate cualquier cambio o revocación del permiso de un individuo para utilizar o divulgar la información médica protegida, en la medida en que dichos cambios puedan afectar al uso o divulgación de la información médica protegida por parte de Seagate.
    3. No aceptará ninguna solicitud de restricción que limite los usos o divulgaciones permitidos o requeridos de la PHI por parte de Seagate en virtud de este BAA, o para prestación de los Servicios, a menos que lo Requiera la Ley. En caso de que la Empresa esté obligada por ley a aceptar dicha restricción, la Empresa deberá notificar inmediatamente a Seagate dicha restricción.
    4. No solicitar ni hacer que Seagate utilice o divulgue la IPS de ninguna manera que no estaría permitida por la HIPAA si fuera realizada por la Empresa, o de ninguna manera que no se ajuste a los Servicios.
    5. Implementará y utilizará protecciones de seguridad y privacidad adecuadas diseñadas para evitar el uso o la divulgación no autorizados de la PHI, e implementará y utilizará protecciones administrativas, físicas y técnicas a fin de proteger razonable y adecuadamente la PHI de conformidad con la HIPAA y este BAA y según lo requiera la Regla de Seguridad. En particular, la Empresa cifrará toda la PHI almacenada o transmitida mediante los Servicios de acuerdo con el documento del Secretario del HHS titulado "Guía para convertir la Información de Salud Protegida No Resguardada en Inutilizable, Ilegible o Indescifrable para Personas No Autorizadas", disponible en línea en https ://www.hhs.gov/hipaa/for-professionals/breach-notification/guidance/index.html, ya que puede actualizarse periódicamente y puede estar disponible en cualquier sitio sucesor o relacionado designado por el HHS. En la medida en que la Empresa opte por utilizar los Servicios para transmitir PHI sin cifrado, la Empresa es responsable de documentar según la Regla de Seguridad que el cifrado no es razonable ni apropiado para tales comunicaciones e implementar cualquier medida alternativa equivalente si es razonable y apropiada. La empresa reconoce y acepta que Seagate no tiene ninguna obligación de proteger la IPS en virtud de este ASC en la medida en que la empresa cree, reciba, mantenga o transmita la IPS fuera de los Servicios.
    6. Garantiza para cada entrega de la IPS que ha obtenido todas las autorizaciones, consentimientos y otros permisos necesarios que puedan ser requeridos por la legislación aplicable antes de revelar o cargar cualquier dato, incluyendo sin limitación la IPS, en relación con los Servicios.
13. Propiedad de los datos. Este BAA no alterará de ninguna manera las disposiciones de propiedad de datos pactadas en el Acuerdo.
14. Plazo y rescisión.
    1. Este BAA terminará ya sea mediante (i) una rescisión autorizada de acuerdo con esta Sección 14, o mediante (ii) el vencimiento o la rescisión del Acuerdo en virtud del cual la Empresa tiene acceso a los Servicios, lo que ocurra primero.
    2. La Empresa puede rescindir inmediatamente este BAA si se determina que Seagate ha incumplido un término material de este BAA y que Seagate no ha subsanado ese incumplimiento material, a satisfacción razonable de la Empresa, en un lapso de 30 días posteriores a la notificación por escrito por parte de la Empresa. La Empresa puede informar al Secretario de HHS sobre el problema si así lo Requiere la Ley, sujeto a todos los privilegios legales aplicables.
    3. Sujeto a la sección del Acuerdo con respecto a la Suspensión, si Seagate determina que la Empresa ha violado un término material de este BAA, entonces Seagate proporcionará a la Empresa un aviso por escrito de la existencia del incumplimiento y le concederá a la Empresa 30 días para subsanar la violación. Si la Empresa no subsana la violación dentro del período de 30 días, será motivo para la rescisión inmediata del Acuerdo o de este BAA por parte de Seagate. Seagate puede informar al HHS de la violación, sujeto a todos los privilegios legales aplicables.
    4. Después de la rescisión del Acuerdo o de este BAA por cualquier motivo, toda la PHI mantenida por Seagate se eliminará de los Servicios de acuerdo con los términos relacionados con los Datos de la Empresa en el Acuerdo. Seagate extenderá las protecciones de este BAA a dicha PHI y limitará los usos y divulgaciones adicionales de dicha PHI a aquellos fines que hagan que la devolución o destrucción no sea factible, mientras Seagate mantenga dicha PHI. Las Partes entienden que esta Sección 14.4.. persistirá a cualquier rescisión de este BAA.
15. Efecto del BAA. Este BAA es parte y está sujeto a los términos del Acuerdo. Este BAA, junto con el Acuerdo enmendado por este BAA, (i) está previsto para que las Partes sean una expresión final, completa y exclusiva de los términos de su acuerdo y (ii) reemplaza todos los acuerdos y entendimientos anteriores (ya sean orales o escritos) entre las Partes con respecto al objeto del presente. Las disposiciones de este BAA anulan y rigen cualquier disposición en conflicto del Acuerdo; sin embargo, salvo que se modifique o enmiende expresamente en virtud de este BAA con respecto a la PHI, los términos del Acuerdo permanecerán en pleno vigor y efecto.
16. Enmiendas para cumplir la ley. Las Partes reconocen que las leyes federales y estatales relacionadas con la seguridad de los datos y la privacidad de la información de salud están evolucionando rápidamente y que es posible que se requiera la modificación de este BAA para proporcionar procedimientos que garanticen el cumplimiento de dichos desarrollos. Las Partes acuerdan específicamente tomar las medidas necesarias para implementar los estándares y requisitos de la HIPAA. A solicitud de cualquiera de las Partes, la otra Parte acepta entablar negociaciones inmediatas sobre los términos de una enmienda a este BAA que incorpore garantías por escrito que concuerden con los estándares y requisitos de la HIPAA u otras leyes aplicables. Cualquiera de las dos partes puede rescindir este BAA con una notificación por escrito de 30 días de antelación en caso de que la otra parte: (i) no se presente de inmediato a las negociaciones para modificar este BAA cuando así se le solicite en virtud de esta Sección 16; o (ii) no acceda a la modificación de este BAA facilitando las garantías suficientes en cuanto a la protección de la PHI para satisfacer las normativas y los requisitos de HIPAA.
17. Interpretación. Este BAA y el Acuerdo se interpretarán tan ampliamente como sea necesario para implementar y cumplir con la HIPAA. Las Partes acuerdan que cualquier ambigüedad en este BAA se resolverá a favor de un significado que cumpla y concuerde con la HIPAA.

10 de diciembre de 2024