Addendum all'HIPAA di Lyve per i soci

Il presente ADDENDUM ALL'HIPAA DI LYVE PER I SOCI ("Addendum") è allegato mediante riferimento nell'Accordo per Lyve con il cliente ("Accordo"), di cui questo documento è un'integrazione, tra Seagate e la Società, definite nell'Accordo. Nel presente Addendum, Seagate e la società sono, singolarmente, una "Parte" e, collettivamente, le "Parti".

Il presente Addendum entra in vigore (i) alla data di esecuzione dell'Accordo o, (ii) se l'Accordo viene concluso elettronicamente, nel giorno in cui l'Accordo viene accettato elettronicamente dalla società.

Per evitare ambiguità, la società deve avere già concluso un accordo, in cui ha indicato e specificato a Seagate che l'accordo includerà, tra i dati della società nell'ambito dei servizi, le informazioni sanitarie protette (definite di seguito) e che deve essere attualmente in vigore affinché il presente Addendum sia valido ed effettivo. Unitamente all'Accordo, il presente Addendum disciplinerà gli obblighi di ciascuna parte in merito alle informazioni sanitarie protette.

PANORAMICA

1. La società è un'"entità coperta" o un "socio" di un'entità coperta, secondo le definizioni contenute nell'Health Insurance Portability and Accountability Act (HIPAA) del 1996, Public Law 104-191, modificato dall'HITECH Act (definito di seguito) e dalle relative normative promulgate dal Dipartimento della salute e dei servizi umani (HHS) (definito di seguito) (collettivamente "HIPAA") e, in quanto tale, è tenuta a conformarsi alle disposizioni dell'HIPAA relative alla riservatezza e alla privacy delle informazioni sanitarie protette (definite di seguito).
2. Le Parti hanno concluso l'Accordo, in virtù del quale Seagate fornisce o fornirà alla società determinati servizi ivi specificati.
3. Nell'erogazione dei servizi ai sensi dell'Accordo, Seagate può avere accesso alle informazioni sanitarie protette.
4. Fornendo i servizi ai sensi dell'Accordo, Seagate diventerà un "socio" della società.
5. Entrambe le Parti si impegnano a osservare tutte le leggi federali e statali degli Stati Uniti vigenti che disciplinano la riservatezza e la privacy delle informazioni sanitarie, tra cui, in via esemplificativa, la normativa sulla privacy (definita di seguito).
6. Entrambe le Parti intendono proteggere la privacy e garantiscono la sicurezza delle informazioni sanitarie protette divulgate a Seagate ai sensi dei termini dell'Accordo, del presente Addendum, dell'HIPAA e negli altri casi previsti dalla legge.

TERMINI DELL'ACCORDO

Con il presente documento, le Parti concordano quanto segue:

1. Definizioni. Ai fini del presente Addendum, le Parti attribuiscono a ciascuno dei termini della Sezione 1, riportata di seguito, il significato seguente. Eventuali termini in maiuscolo utilizzati nel presente Addendum, ma non definiti altrimenti, hanno il significato assegnato loro nell'Accordo, nell'HIPAA, nella normativa sulla privacy o dalla legge pertinente.
   1. La definizione di "socio" è quella riportata nell'HIPAA.
   2. Per "violazione" si intende l'acquisizione, l'accesso, l'uso o la divulgazione di informazioni sanitarie protette in un modo non consentito dalla normativa sulla privacy e che compromette la sicurezza o la privacy di tali informazioni, ai sensi di CFR 45 §164.402.
   3. "CFR" è l'acronimo di Code of Federal Regulations (Codice dei regolamenti federali).
   4. La definizione di "entità coperta" è quella riportata nell'HIPAA.
   5. Per "servizi coperti" si intendono i servizi espressamente specificati nell'Accordo e coperti dal presente Addendum.
   6. "HHS" indica il Dipartimento della sanità e dei servizi sociali degli Stati Uniti.
   7. Il significato di "HIPAA" è quello presente nella sezione Panoramica riportata sopra.
   8. "HITECH Act" è l'acronimo di Health Information Technology for Economic and Clinical Health Act, una legge promulgata dall'American Recovery and Reinvestment Act del 2009, Public Law 111-005.
   9. Il significato di "individuo" è quello riportato in CFR 45 §§164.501 e 160.130 relativamente a una persona che si qualifica come rappresentante personale ai sensi di CFR 45 §164.502(g).
   10. La definizione di "uso o divulgazione non autorizzati" è quella riportata nell'HIPAA.
   11. Per "normativa sulla privacy" si intende la parte dell'HIPAA definita in CFR 45, parti 160 e 164, capitoli A ed E.
   12. Il significato di "informazioni sanitarie protette" è quello riportato in CFR 45 §§164.501 e 160.103, limitatamente alle informazioni create o ricevute da Seagate da parte o per conto della società.
   13. Il significato dell'espressione "previsto dalla legge" è quello riportato nell'HIPAA.
   14. Il significato di "incidente di sicurezza" è quello presente nell'HIPAA in CFR 45 §164.304 relativamente all'accesso, all'uso, alla divulgazione, alla modifica o alla distruzione, non autorizzati, tentati o riusciti, di informazioni oppure all'interferenza con le operazioni di sistema in un sistema informatico.
   15. Per "normativa sulla sicurezza" si intende le norme di sicurezza per la protezione delle informazioni sanitarie elettroniche specificate in CFR 45, parti 160 e 164, capitoli A e C.
   16. Per "informazioni sanitarie protette senza protezione" si intendono eventuali informazioni sanitarie protette che non sono rese inutilizzabili, illeggibili e indecifrabili per gli individui non autorizzati tramite l'uso di una tecnologia o di una metodologia specificata dal segretario del Dipartimento HHS nelle linee guida emanate ai sensi dell'HITECH Act e codificate in USC 42 §17932(h).
   17. Per "eventi di sicurezza non riusciti" si intendono, senza limitazioni, ping o altri attacchi di trasmissione contro i firewall di Seagate, scansioni di porte, tentativi di accesso non riusciti, attacchi DoS e qualsiasi combinazione o variazione di quanto sopra, a condizione che tali incidenti non portino all'accesso, all'uso, alla divulgazione, alla modifica o alla distruzione, non autorizzati, di informazioni sanitarie protette.
2. Uso e divulgazione di informazioni sanitarie protette.
   1. Salvo disposizioni contrarie del presente Addendum, Seagate può accedere, usare, divulgare, modificare o distruggere le informazioni sanitarie protette nella misura ritenuta ragionevolmente necessaria per fornire alla società i servizi descritti nell'Accordo e per intraprendere altre attività di Seagate autorizzate o richieste a Seagate ai sensi dell'Accordo, del presente Addendum o negli altri casi previsti dalla legge.
   2. Salvo quanto diversamente limitato dal presente Addendum oppure dalle legge federale o statale, la società autorizza Seagate a usare le informazioni sanitarie protette in suo possesso per la corretta gestione e amministrazione delle attività di Seagate e per adempiere alle proprie responsabilità legali. Seagate può divulgare le informazioni sanitarie protette per la corretta gestione e amministrazione a condizione che (i) la divulgazione sia prevista dalla legge o (II) Seagate ottenga, per iscritto, prima di divulgare a terze parti, garanzie ragionevoli dalla terza parte che le informazioni sanitarie protette saranno mantenute riservate ai sensi del presente Addendum e usate o ulteriormente divulgate solo come previsto dalla legge o allo scopo per cui sono state divulgate alla terza parte.
   3. Seagate non utilizzerà o divulgherà le informazioni sanitarie protette in un modo che non sia previsto dal presente Addendum, che non sia ai sensi della normativa sulla privacy o che non sia contemplato dalla legge. Seagate può utilizzare o divulgare le informazioni sanitarie protette, nella misura possibile, come set di dati limitato o limitatamente alla quantità ragionevolmente necessaria per lo scopo previsto dell'uso o della divulgazione, in conformità ai requisiti dell'HIPAA, tra cui la Sezione 13405(b) dell'HITECH Act (codificato in USC 42 §17935(b)) e qualsiasi normativa sull'esecuzione della legge adottata dal Dipartimento HHS, per ogni uso o divulgazione delle informazioni sanitarie protette.
   4. Su richiesta, Seagate metterà a disposizione della società qualsiasi informazione sanitaria protetta della società in possesso di Seagate o di uno qualsiasi degli agenti o dei subappaltatori, ai sensi delle disposizioni del presente Addendum.
   5. Seagate può utilizzare le informazioni sanitarie protette per segnalare eventuali violazioni della legge alle autorità federali e statali degli Stati Uniti, ai sensi di CFR 45 §164.502(j)(1).
3. Misure di sicurezza contro l'uso improprio di informazioni sanitaria protette Per quanto ragionevole in considerazione della natura dei servizi, Seagate adotterà misure di sicurezza appropriate volte a impedire l'uso o la divulgazione di informazioni sanitarie protette. Accetta inoltre di implementare misure di sicurezza amministrative, fisiche e tecniche che tutelino, in modo corretto e appropriato, la riservatezza, l'integrità e la disponibilità delle informazioni sanitarie protette create, ricevute, gestite o trasmesse per conto della società. Seagate accetta di adottare misure ragionevoli, inclusa la formazione dei propri dipendenti per conformarsi al presente Addendum, che sono volte a impedire che eventuali azioni oppure omissioni dei dipendenti o degli agenti possano indurre Seagate a violare i termini del presente Addendum.
4. Crittografia A causa della configurazione della crittografia e dei controlli di sicurezza associati ai servizi, Seagate non avrà accesso o non conoscerà la natura delle informazioni sanitarie protette contenute nelle cartelle e nei file crittografati della società archiviati nei servizi. Pertanto le Parti riconoscono che Seagate potrebbe non essere in grado di fornire alla società tutte le informazioni sanitarie protette pertinenti degli individui che potrebbero essere coinvolti in un incidente di sicurezza, in un episodio di uso o divulgazione non autorizzati o in una violazione di informazioni sanitarie protette senza protezione.
5. Segnalazione della divulgazione di informazioni sanitarie protette e di incidenti di sicurezzanbsp;Seagate informerà la società per iscritto (anche tramite e-mail) dell'eventuale uso o divulgazione di informazioni sanitarie protette non previsti dal presente Addendum o dall'Accordo di cui viene a conoscenza e accetta di segnalare alla società eventuali incidenti di sicurezza che abbiano effettivamente un impatto sulle informazioni sanitarie protette elettroniche della società di cui viene a conoscenza. Seagate accetta di segnalare qualsiasi evento di questo tipo entro cinque giorni lavorativi dalla conferma dell'evento. Fatto salvo quanto precede, le Parti riconoscono e accettano che la presente Sezione 5 costituisce una notifica da parte di Seagate alla società dell'esistenza e del verificarsi di eventi di sicurezza non riusciti per i quali non sarà richiesta un'ulteriore notifica alla società. Con il presente documento, la società riconosce e accetta che è stata trasmessa una notifica per tutti gli eventi di sicurezza non riusciti e che Seagate non sarà tenuta a fornire alcuna notifica ai sensi del presente Addendum in merito a tali eventi.
6. Segnalazione di violazioni di informazioni sanitarie protette senza protezione. Seagate informerà la società per iscritto (anche tramite e-mail) tempestivamente nel caso in cui rilevi una violazione di informazioni sanitarie protette senza protezione in conformità ai requisiti stabiliti in CFR 45 §164.410, ma in nessun caso oltre 30 giorni di calendario dalla determinazione della violazione. Nella misura possibile, tali informazioni dovranno includere l'identificazione di ciascun individuo le cui informazioni sanitarie protette siano state visualizzate, acquisite o divulgate in modo improprio, o che Seagate ritiene ragionevolmente che lo siano state, ai sensi della precedente Sezione 5.
7. Obblighi di segnalazione. In considerazione della precedente Sezione 4 e in caso di violazione di informazioni sanitarie protette senza protezione, incidente di sicurezza oppure uso o divulgazione non autorizzati, la società sarà l'unica responsabile dell'identificazione degli individui eventualmente interessati, della decisione di notificare a tali individui, della determinazione dell'eventuale necessità di informare gli enti normativi, ad esempio il segretario del Dipartimento della salute e dei servizi umani degli Stati Uniti o altre commissioni di applicazione rilevanti per la società, e della notifica.
8. Mitigazione della divulgazione di informazioni sanitarie protette. Seagate adotterà le misure adeguate necessarie per mitigare, nella misura possibile, i rischi potenziali che possono ragionevolmente provocare un effetto dannoso noto a Seagate di qualsiasi uso o divulgazione di informazioni sanitarie protette da parte di Seagate o degli agenti o dei subappaltatori in violazione dei requisiti del presente Addendum.
9. Accordi con gli agenti o i subappaltatori. Seagate adotterà le misure appropriate volte a garantire che gli agenti o i subappaltatori impiegati da Seagate per adempiere agli obblighi previsti dall'Accordo che richiedono l'accesso alle informazioni sanitarie protette siano vincolati da obblighi scritti che garantiscono lo stesso livello di protezione delle informazioni sanitarie protette del presente Addendum. Nella misura in cui Seagate impiega agenti o subappaltatori per adempiere agli obblighi previsti dal presente documento, continuerà a essere responsabile delle prestazioni di questi come se vi avesse adempiuto direttamente.
10. Report della revisione. Nella misura prevista dalla legge e in conformità a tutti i privilegi legali applicabili, Seagate dovrà, su richiesta scritta, mettere a disposizione le pratiche interne, i libri, gli accordi, i registri, le politiche e le procedure in relazione all'uso e alla divulgazione di informazioni sanitarie protette al segretario del Dipartimento della salute e dei servizi sociali ("Segretario") ai fini della determinazione, a opera del Segretario, dell'osservanza dell'HIPAA e del presente Addendum da parte della società e di Seagate.
11. Giustificazione della divulgazione.
    1. Seagate documenterà l'eventuale divulgazione di informazioni sanitarie protette per giustificarla, come previsto da CFR 45 §164.528(a). Seagate metterà inoltre a disposizione le informazioni relative alla divulgazione così come, ai sensi di CFR 45 §164.528, a una società verrebbe richiesto di rispondere a una richiesta di giustificazione di una divulgazione. Seagate dovrà fornire alla società almeno quanto segue con riferimento a eventuali divulgazioni coperte da parte di Seagate: (i) la data di divulgazione delle informazioni sanitarie protette; (ii) il nome dell'entità o della persona che ha ricevuto le informazioni sanitarie protette e, se noto, l'indirizzo di tale entità o persona; (iii) una breve descrizione delle informazioni sanitarie protette divulgate; e (iv) una breve spiegazione del motivo della divulgazione che include le motivazioni di tale divulgazione.
    2. Seagate fornirà alla società le informazioni raccolte in conformità alla presente Sezione 11 entro 15 giorni lavorativi dalla comunicazione scritta da parte della società per consentire a quest'ultima di giustificare eventuali divulgazioni come previsto da CFR 45 §164.528. Oppure, nel caso in cui la società scelga di fornire a un individuo un elenco dei soci, Seagate giustificherà le divulgazioni di informazioni sanitarie protette su richiesta dell'individuo se e nella misura in cui tale giustificazione è prevista ai sensi dell'HITECH Act o delle normative del Dipartimento HHS adottate in relazione all'HITECH Act.
    3. Nel caso in cui un individuo fornisca direttamente a Seagate la notifica scritta iniziale di una giustificazione relativamente alle informazioni sanitarie protette dell'individuo memorizzate da Seagate, Seagate inoltrerà la richiesta alla società entro dieci giorni lavorativi.
12. Responsabilità della società. Per quanto riguarda l'uso o la divulgazione di informazioni sanitarie protette da parte di Seagate, la società accetta di:
    1. Non includere nella notifica delle pratiche sulla privacy alcuna restrizione che limiti l'uso o la divulgazione, autorizzati o richiesti da Seagate, di informazioni sanitarie protette a meno che la restrizione non sia prevista dalla legge. Nel caso in cui la società sia tenuta, per legge, a includere tale restrizione nella notifica delle pratiche sulla privacy, dovrà comunicare tempestivamente a Seagate qualsiasi limitazione di questo tipo nella misura in cui la restrizione può influire sull'uso o sulla divulgazione di informazioni sanitarie protette da parte di Seagate.
    2. Informare Seagate di eventuali modifiche, o revoche, dell'autorizzazione da parte di un individuo a usare o divulgare informazioni sanitarie protette nella misura in cui tali modifiche possono influire sull'uso o sulla divulgazione di informazioni sanitarie protette da parte di Seagate.
    3. Non acconsentire ad alcuna richiesta di restrizione dell'uso o della divulgazione, consentiti o richiesti, di informazioni sanitarie protette da parte di Seagate ai sensi del presente Addendum, o dell'erogazione dei servizi a meno che non siano previsti dalla legge. Nel caso in cui la società sia tenuta, per legge, ad acconsentire a tale restrizione, la società dovrà informare tempestivamente Seagate.
    4. Non richiedere o indurre Seagate a usare o divulgare informazioni sanitarie protette in un modo che non sia consentito ai sensi dell'HIPAA se a opera della società o in una maniera non conforme ai servizi.
    5. Implementare e usare misure di tutela della privacy e di sicurezza adeguate, volte a impedire l'uso o la divulgazione, non autorizzati, di informazioni sanitarie protette e implementare e utilizzare misure di sicurezza amministrative, fisiche e tecniche per proteggere in modo ragionevole e appropriato le informazioni sanitarie protette in conformità all'HIPAA e al presente Addendum e negli altri casi previsti dalla normativa sulla sicurezza. In particolare la società dovrà crittografare tutte le informazioni sanitarie protette memorizzate nei servizi o trasmesse con i servizi in conformità al documento del segretario del Dipartimento HHS relativo alle linee guida per rendere le informazioni sanitarie protette senza protezione inutilizzabili, illeggibili o indecifrabili per gli individui non autorizzati, disponibile online all'indirizzo https://www.hhs.gov/hipaa/for-professionals/breach-notification/guidance/index.html. Questo documento può venire aggiornato di tanto in tanto ed essere reso disponibile su qualsiasi sito successivo o correlato designato dal Dipartimento HHS. Nella misura in cui la società sceglie di utilizzare i servizi per trasmettere informazioni sanitarie protette senza crittografarle, ha il compito di documentare, ai sensi della normativa sulla sicurezza, che la crittografia non è una misura ragionevole e appropriata per tali comunicazioni e di implementare eventuali misure alternative equivalenti, se considerate ragionevoli e appropriate. La società riconosce e accetta che Seagate non ha alcun obbligo di proteggere le informazioni sanitarie protette ai sensi del presente Addendum nella misura in cui la società crea, riceve, gestisce o trasmette informazioni sanitarie protette al di fuori dei servizi.
    6. Garantire, per ogni distribuzione di informazioni sanitarie protette, di avere ottenuto tutte le autorizzazioni, i consensi e altri permessi necessari che potrebbero essere richiesti dalla legge applicabile prima di divulgare o caricare eventuali dati, tra cui, senza limitazione, le informazioni sanitarie protette relativamente ai servizi.
13. Proprietà dei dati. Il presente Addendum non altererà in alcun modo le disposizioni sulla proprietà dei dati concordate nell'Accordo.
14. Durata e risoluzione.
    1. Il presente Addendum verrà rescisso in occasione (i) di una risoluzione autorizzata ai sensi della presente Sezione 14 o (II) della scadenza o della risoluzione dell'Accordo in virtù del quale la società ha accesso ai servizi, a seconda di quale situazione si verifichi per prima.
    2. La società può rescindere immediatamente il presente Addendum se viene determinato che Seagate ha violato un termine materiale dell'Addendum e non è riuscita a porvi rimedio, con ragionevole soddisfazione della società, entro 30 giorni dalla notifica scritta da parte della società. La società può segnalare il problema al Segretario del Dipartimento HHS, se previsto dalla legge, in conformità a tutti i privilegi legali applicabili.
    3. In base alla sezione dell'Accordo relativa alla sospensione, se Seagate determina che la società ha violato un termine materiale del presente Addendum, notificherà la violazione per iscritto alla società e le concederà 30 giorni per porvi rimedio. Il mancato rimedio alla violazione da parte della società entro il periodo di 30 giorni sarà motivo della risoluzione immediata dell'Accordo o del presente Addendum da parte di Seagate. Seagate può segnalare la violazione al Dipartimento HHS, in conformità a tutti i privilegi legali applicabili.
    4. Dopo la risoluzione dell'Accordo o del presente Addendum per qualsiasi motivo, tutte le informazioni sanitarie protette gestite da Seagate verranno eliminate dai servizi in conformità ai termini relativi ai dati della società contenuti nell'Accordo. Seagate estenderà le misure di sicurezza del presente Addendum a tali informazioni sanitarie protette e limiterà l'uso e la divulgazione delle informazioni agli scopi che rendono la restituzione o la distruzione impraticabili fintanto che Seagate le gestisce. Le Parti comprendono che la presente Sezione 14.4.. rimarrà valida anche in caso di risoluzione del presente Addendum.
15. Efficacia dell'Addendum. Il presente Addendum è parte e soggetto ai termini dell'Accordo. Il presente Addendum, unitamente all'Accordo modificato dall'Addendum, (i) è considerato dalle Parti l'espressione finale, completa ed esclusiva dei termini del loro accordo e (ii) sostituisce tutti gli accordi e le intese precedenti (orali o scritti) tra le Parti per quanto riguarda l'oggetto della presente decisione. Le disposizioni del presente Addendum sostituiscono e disciplinano qualsiasi disposizione in conflitto dell'Accordo. Tuttavia, a eccezione di quanto espressamente modificato o emendato in virtù del presente Accordo per quanto riguarda le informazioni sanitarie protette, i termini dell'Accordo rimangono pienamente in vigore.
16. Modifiche necessarie per la conformità alla legge. Le Parti riconoscono che le leggi federali e statali relative alla sicurezza dei dati e alla privacy delle informazioni sanitarie sono in rapida evoluzione e che potrebbe essere necessario modificare il presente Addendum per definire procedure volte a garantire la conformità a tali sviluppi. Le Parti decidono specificamente di adottare le misure necessarie per implementare le norme e i requisiti dell'HIPAA. Su richiesta di una qualsiasi delle Parti, l'altra Parte accetta di avviare tempestivamente i negoziati sui termini di una modifica al presente Addendum contenente garanzie scritte conformi alle norme e ai requisiti dell'HIPAA o di altre leggi applicabili. Ciascuna Parte può rescindere il presente Addendum dando trenta (30) giorni di preavviso per iscritto nel caso in cui l'altra Parte: (i) non avvii tempestivamente i negoziati per modificare il presente Addendum quando richiesto ai sensi della presente Sezione 16; oppure (ii) non apporti una modifica del presente Addendum fornendo garanzie in merito alla sicurezza delle informazioni sanitarie protette sufficienti per soddisfare le norme e i requisiti dell'HIPAA.
17. Interpretazione. Il presente Addendum e l'Accordo saranno interpretati nella misura più ampia necessaria per attuare e conformarsi all'HIPAA. Le Parti accettano che eventuali ambiguità nel presente Addendum saranno risolte a favore di un significato conforme e coerente con l'HIPAA.

10 dicembre 2024