Adendo de parceiro de negócios HIPPA do Lyve

Este ADENDO DE PARCEIRO DE NEGÓCIOS HIPAA DO LYVE (o “BAA”) é incorporado por referência ao acordo do Lyve do qual este BAA é um adendo (o "Acordo") celebrado entre a Seagate e a Empresa, como cada uma é definida no Acordo. Neste BAA, a Empresa e a Seagate são, individualmente, cada uma uma “Parte” e, coletivamente, as “Partes”.

Este BAA entra em vigor (i) na data de execução do Acordo; ou (ii) se o Acordo for celebrado eletronicamente, no dia em que o Acordo for aceito eletronicamente pela Empresa.

Para evitar qualquer dúvida, a Empresa deve ter um Acordo existente, no qual a Empresa tenha indicado e especificado para a Seagate que incluirá Informações de Saúde Protegidas (conforme definido abaixo) entre os Dados da Empresa no escopo dos Serviços, e o Acordo deve estar atualmente em vigor e efeito para este BAA ser válido e efetivo. Juntamente com o Acordo, este BAA regerá as obrigações de cada respectiva Parte com relação a essas Informações de Saúde Protegidas.

HISTÓRICO

1. A Empresa é uma “entidade coberta” ou uma “parceira de negócios” de uma entidade coberta, conforme cada uma é definida na Lei da Portabilidade e Responsabilização do Seguro de Saúde (Health Insurance Portability and Accountability Act) de 1996, Lei Pública 104-191, conforme atualizada pela Lei HITECH (conforme definido abaixo) e os regulamentos relacionados promulgados pelo HHS (conforme definido abaixo) (coletivamente, “HIPAA”) e, como tal, deve cumprir com as disposições do HIPAA relativas à confidencialidade e privacidade de Informações de Saúde Protegidas (conforme definido abaixo);
2. As Partes celebraram o Acordo, conforme o qual a Seagate fornece ou fornecerá determinados Serviços para a Empresa que são especificados neste documento;
3. Ao fornecer Serviços conforme este Acordo, a Seagate pode ter acesso a Informações de Saúde Protegidas;
4. Ao fornecer Serviços conforme este Acordo, a Seagate se tornará uma “parceira de negócios” da Empresa;
5. Ambas as Partes se comprometem a cumprir com todas as leis federais e estaduais aplicáveis dos Estados Unidos que regem a confidencialidade e privacidade de informações de saúde, inclusive entre outras, a Regra de Privacidade (conforme definido abaixo); e,
6. Ambas as Partes pretendem proteger a privacidade e garantir a segurança das Informações de Saúde Protegidas divulgadas para a Seagate nos termos do Acordo, deste BAA, da HIPAA e conforme Exigido pela Lei.

DECLARAÇÃO DE ACORDO

As Partes reconhecem e concordam com o seguinte:

1. Definições. Para os fins deste BAA, as Partes dão o seguinte significado a cada um dos termos na Seção 1, abaixo. Qualquer termo em letras maiúsculas usado neste BAA, mas não definido, tem o significado dado a ele no Acordo, na HIPAA, na Regra de Privacidade ou na lei pertinente.
   1. “Parceiro de Negócios” tem a definição do termo em inglês “Business Associate” encontrado na HIPAA.
   2. “Violação” significa a aquisição, acesso, uso ou divulgação de PHI de uma maneira não permitida conforme a Regra de Privacidade e que compromete a segurança ou privacidade de PHI, conforme definido no 45 CFR §164.402.
   3. “CFR" significa Code of Federal Regulations, ou Código de Regulamentos Federais (dos Estados Unidos).
   4. “Entidade Coberta” tem a definição do termo em inglês “Covered Entity” encontrado na HIPAA.
   5. “Serviços Cobertos” significa os Serviços expressamente declarados no Acordo como cobertos por este BAA.
   6. “HHS” significa Department of Health and Human Services, ou Departamento de Saúde e Serviços Humanos (dos Estados Unidos).
   7. “HIPAA” tem o significado encontrado na seção Histórico, acima.
   8. “Lei HITECH” significa Health Information Technology for Economic and Clinical Health Act, ou Lei de Tecnologia da Informação em Saúde para a Saúde Clínica e Econômica, decretada como parte da American Recovery and Reinvestment Act (Lei Americana de Recuperação e Reinvestimento) de 2009, Lei Pública 111-005.
   9. “Indivíduo” tem o mesmo significado do termo em inglês “Individual” no 45 CFR §§164.501 e 160.130, sendo a pessoa que se qualifica como representante pessoal de acordo com 45 CFR §164.502(g).
   10. “Utilização ou Divulgação Proibida" tem a definição do termo em inglês “Impermissible Use or Disclosure” encontrado na HIPAA.
   11. “Regra de Privacidade” significa a parte da HIPAA estabelecida no 45 CFR Parte 160 e Parte 164, Subpartes A e E.
   12. “Informações de Saúde Protegidas” ou o acrônimo “PHI” têm o significado do termo em inglês “Protected Health Information” no 45 CFR §§164.501 e 160.103, limitando-se às informações criadas ou recebidas pela Seagate da ou em nome da Empresa.
   13. “Exigido por Lei” tem o significado do termo em inglês “Required By Law" encontrado na HIPAA.
   14. “Incidente de Segurança” tem o significado do termo em inglês “Security Incident” encontrado na HIPAA em 45 CFR § 164.304 como a tentativa de ou o bem-sucedido acesso, uso, divulgação, modificação ou destruição não autorizados de informações ou interferência com as operações de um sistema de informações.
   15. “Regra de Segurança” significa os Padrões de Segurança para a Proteção de Informações de Saúde Eletrônicas fornecidos em 45 CFR Parte 160 e Parte 164, Subpartes A e C.
   16. “Informações de Saúde Protegidas Não Seguras” ou “PHI Não Seguras” significa quaisquer Informações de Saúde Protegidas que não são consideradas inutilizáveis, ilegíveis ou indecifráveis a indivíduos não autorizados pelo uso da tecnologia ou metodologia especificada pela Secretaria do HHS na orientação emitida de acordo com a Lei HITECH e codificada em 42 USC §17932(h).
   17. “Eventos de Segurança Malsucedidos” significa, sem limitação, pings ou outros ataques de broadcast nos firewalls da Seagate, escaneamento de portas, tentativas malsucedidas de fazer logon, ataques de negação de serviço e qualquer combinação ou variação dos mesmos, contanto que nenhum incidente resulte em acesso, uso, divulgação, modificação ou destruição não autorizados de Informações de Saúde Protegidas.
2. Utilização e Divulgação de PHI.
   1. Exceto se disposto de outra forma neste BAA, a Seagate poderá acessar, usar, divulgar, modificar ou destruir PHI conforme razoavelmente necessário para fornecer os Serviços descritos no Acordo para a Empresa e para realizar outras atividades da Seagate permitidas ou necessárias pelo Acordo, por este BAA ou conforme Exigido pela Lei.
   2. Exceto se limitado por este BAA ou por lei federal ou estadual, a Empresa autoriza a Seagate a usar as PHI em sua posse para a gestão e administração adequadas dos negócios da Seagate e para cumprir com suas responsabilidades. A Seagate pode divulgar PHI para sua gestão e administração adequadas, contanto que (i) as divulgações sejam Exigidas por Lei; ou (ii) a Seagate obtiver, por escrito e antes de fazer qualquer divulgação para um terceiro, garantias razoáveis desse terceiro de que as PHI serão mantidas confidenciais conforme este BAA e usadas ou divulgadas somente se Exigido por Lei ou para os fins para os quais foram divulgadas para esse terceiro.
   3. A Seagate não usará nem divulgará as PHI de uma maneira diferente da estabelecida neste BAA, conforme permitido pela Regra de Privacidade ou conforme Exigido por Lei. A Seagate pode usar ou divulgar PHI, na medida praticável, como um conjunto de dados limitado ou limitado à quantidade razoavelmente necessária de PHI para a realização da finalidade pretendida do uso ou divulgação, de acordo com os requisitos da HIPAA, inclusive a Seção 13405(b) da Lei HITECH (codificada em 42 USC §17935(b)) e qualquer um dos regulamentos de implementação da lei adotados pelo HHS, para cada uso ou divulgação de PHI.
   4. Mediante solicitação, a Seagate disponibilizará à Empresa quaisquer das PHI da Empresa que a Seagate ou um de seus agentes ou subcontratados tiverem em sua posse, sujeito às disposições deste BAA.
   5. A Seagate pode usar PHI para comunicar violações à lei às autoridades competentes federais e estaduais dos Estados Unidos, de acordo com 45 CFR §164.502(j)(1).
3. Proteções contra uso impróprio de PHI. Conforme razoável tendo em vista a natureza dos Serviços, a Seagate usará as proteções apropriadas designadas para impedir o uso e a divulgação de PHI, e a Seagate concorda em implementar proteções administrativas, físicas e técnicas que protejam, de maneira razoável e apropriada, a confidencialidade, integridade e disponibilidade de PHI eletrônicas que cria, recebe, mantém ou transmite em nome da Empresa. A Seagate concorda em tomar medidas razoáveis, inclusive fornecendo treinamento a seus funcionários para seguir este BAA, e que sejam criadas para evitar que ações ou omissões de seus funcionários ou agentes façam a Seagate violar os termos deste BAA.
4. Criptografia. Devido aos controles de segurança e configuração de criptografia associados aos Serviços, a Seagate não terá acesso nem saberá a natureza das PHI contidas nos arquivos e pastas criptografados da Empresa armazenados nos Serviços. Dessa forma, as Partes reconhecem que pode não ser possível para a Seagate fornecer à Empresa todas as informações relevantes relacionadas às PHI de Indivíduos que podem ser afetados por um Incidente de Segurança, Utilização ou Divulgação Proibida ou Violação de PHI Não Seguras.
5. Comunicação de divulgações de PHI e Incidentes de Segurança. A Seagate comunicará à Empresa por escrito (inclusive por email) qualquer uso ou divulgação de PHI não prevista neste BAA ou no Acordo sobre o qual tomar ciência e a Seagate concorda em comunicar a Empresa sobre qualquer Incidente de Segurança de que souber que realmente afetar PHI eletrônicas da Empresa. A Seagate concorda em comunicar tal evento até cinco dias úteis após a confirmação do evento. Não obstante o disposto anteriormente, as Partes reconhecem e concordam que esta Seção 5 constitui um aviso pela Seagate para a Empresa da contínua existência e ocorrência de Eventos de Segurança Malsucedidos sobre os quais nenhum aviso adicional precisará ser feito à Empresa. A Empresa reconhece e concorda que esse aviso foi considerado dado para todos os Eventos de Segurança Malsucedidos e que a Seagate não tem obrigação de enviar nenhum outro aviso conforme este BAA com relação a tais Eventos de Segurança Malsucedidos.
6. Comunicação de Violações de PHI Não Seguras. A Seagate informará a Empresa por escrito (inclusive por email) assim que for descoberta qualquer Violação de PHI Não Seguras, de acordo com os requisitos estabelecidos no 45 CFR §164.410, mas, em caso algum, mais do que 30 dias corridos após a descoberta da Violação. Na medida do possível, tais informações incluirão a identificação de cada Indivíduo cujas Informações de Saúde Protegidas tenham sido, ou a Seagate acredite que tenham sido, acessadas, adquiridas ou divulgadas inadequadamente, sujeito à Seção 5 imediatamente acima.
7. Obrigações de comunicação. À luz da Seção 4 acima e em caso de uma Violação de PHI Não Seguras, Incidente de Segurança ou Utilização ou Divulgação Proibida, a Empresa será a única responsável por identificar os Indivíduos afetados (se houver), determinar se notificará esses Indivíduos afetados, determinar se órgãos regulamentares, como a Secretaria do Departamento de Saúde e Serviços Humanos dos Estados Unidos, ou outras comissões de imposição da lei aplicáveis para a Empresa deverão ser notificados, e por enviar tais avisos.
8. Mitigação de Divulgações de PHI. A Seagate tomará medidas razoáveis para mitigar, na medida do possível, os riscos em potencial que poderão resultar em um efeito prejudicial que seja conhecido da Seagate de qualquer utilização ou divulgação de PHI pela Seagate ou por seus agentes ou subcontratados em violação aos requisitos deste BAA.
9. Acordos com agentes e subcontratados. A Seagate tomará medidas apropriadas criadas para garantir que quaisquer agentes ou subcontratados usados pela Seagate para cumprir com suas obrigações segundo o Acordo que precisem de acesso a PHI estejam vinculados a obrigações por escrito que fornecem o mesmo nível de proteção para PHI do que este BAA. Na medida em que a Seagate usar agentes e subcontratados no desempenho das obrigações aqui determinadas, a Seagate permanecerá responsável pelo desempenho deles como se a própria Seagate as estivesse desempenhando.
10. Relatório de auditoria. Na medida Exigida pela Lei, e sujeito a todos os privilégios jurídicos aplicáveis, a Seagate deverá, mediante solicitação por escrito, disponibilizar suas práticas internas, livros, contratos, registros e políticas e procedimentos relacionados ao uso e divulgação de PHI para a Secretaria do Departamento de Saúde e Serviços Humanos dos Estados Unidos (a "Secretaria") para que a Secretaria possa determinar a conformidade da Empresa e da Seagate com a HIPAA e este BAA.
11. Prestação de contas de divulgações.
    1. A Seagate documentará quaisquer divulgações de PHI realizadas para prestar contas de tais divulgações conforme exigido pelo 45 CFR §164.528(a). A Seagate também disponibilizará informações relacionadas a tais divulgações assim como seria exigido da Empresa para responder a uma solicitação de prestação de contas de divulgações de acordo com o 45 CFR §164.528. No mínimo, a Seagate fornecerá à Empresa o seguinte com respeito a quaisquer divulgações cobertas pela Seagate: (i) a data da divulgação de PHI; (ii) o nome da entidade ou pessoa que recebeu as PHI, e, se souber, o endereço dessa entidade ou pessoa; (iii) uma breve descrição das PHI divulgadas; e (iv) uma breve declaração da finalidade da divulgação que inclua a base para a divulgação.
    2. A Seagate fornecerá à Empresa informações coletadas de acordo com esta Seção 11, até quinze dias úteis após a notificação por escrito pela Empresa, para permitir que a Empresa preste contas de divulgações, conforme exigido pelo 45 CFR §164.528, ou no caso de a Empresa optar por fornecer a um Indivíduo uma lista de seus parceiros de negócios, a Seagate fornecerá uma prestação de contas de suas divulgações de PHI mediante solicitação do Indivíduo, se e na medida em que tal prestação de contas seja exigida conforme a Lei HITECH ou os regulamentos do HHS adotados com relação à Lei HITECH.
    3. Caso um Indivíduo entregue a notificação por escrito inicial de prestação de contas diretamente à Seagate com relação a PHI desse Indivíduo armazenadas pela Seagate, a Seagate encaminhará, em até dez dias úteis, a solicitação para a Empresa.
12. Responsabilidades da Empresa. Com respeito ao uso ou divulgação de Informações de Saúde Protegidas pela Seagate, a Empresa concorda que:
    1. Não incluirá em seu aviso de práticas de privacidade qualquer limitação que restrinja os usos ou divulgações permitidos ou necessários pela Seagate ou as divulgações de PHI conforme este BAA, a menos que esse limite seja exigido por lei. Caso a Empresa seja obrigada por lei a incluir essa limitação em seu aviso de práticas de privacidade, a Empresa deverá imediatamente notificar a Seagate dessa limitação, na medida em que ela possa afetar o uso ou a divulgação de PHI da Seagate.
    2. Notificará a Seagate sobre quaisquer alterações, revogação, permissão por um Indivíduo para usar ou divulgar PHI, na medida em que tais alterações possam afetar o uso ou a divulgação de PHI da Seagate.
    3. Não aceitará nenhuma solicitação de restrição que limite os usos ou divulgações de PHI permitidos ou necessários pela Seagate conforme este BAA, ou entrega dos Serviços, a menos que Exigido por Lei. Caso a Empresa seja obrigada por lei a aceitar tal restrição, deverá notificar a Seagate imediatamente da restrição.
    4. Não solicitará ou fará a Seagate usar ou divulgar PHI de nenhuma maneira que não seria permitida segundo a HIPAA se feitos pela Empresa, ou que de alguma forma não se conforme com os Serviços.
    5. Implementará e usará proteções de privacidade e segurança desenvolvidas para impedir a utilização e divulgação não autorizadas de PHI, e implementará e usará proteções administrativas, físicas e técnicas para proteger, de maneira razoável e apropriada, as PHI em conformidade com a HIPAA e este BAA e conforme exigido pela Regra de Segurança. Em particular, a Empresa deverá criptografar todas as PHI armazenadas ou transmitidas usando os Serviços, segundo o documento da Secretaria do HHS intitulado “Guidance to Render Unsecured Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals”, disponível em https://www.hhs.gov/hipaa/for-professionals/breach-notification/guidance/index.html, conforme pode ser atualizado de tempos em tempos, e como disponibilizado por qualquer site sucessor ou relacionado designado pelo HHS. Na medida em que a Empresa escolher usar os Serviços para transmitir PHI sem criptografia, a Empresa será responsável por documentar, de acordo com a Regra de Segurança, que a criptografia não é razoável ou apropriada para tais comunicações e implementar medidas alternativas equivalentes, se for razoável e apropriado. A Empresa reconhece e concorda que a Seagate não tem obrigação de proteger PHI segundo este BAA caso a Empresa crie, receba, mantenha ou transmita PHI fora dos Serviços.
    6. Garantirá para cada entrega de PHI que obteve quaisquer autorizações, consentimentos e outras permissões necessárias que podem ser exigidas pela lei aplicável antes da divulgação ou upload de quaisquer dados, inclusive, entre outros, PHI, em relação aos Serviços.
13. Propriedade de dados. Este BAA não irá, de forma alguma, alterar as disposições sobre propriedade de dados contidas no Acordo.
14. Vigência e rescisão
    1. Este BAA se encerrará no caso que ocorrer mais cedo de (i) um cancelamento permitido de acordo com esta Seção 14, ou (ii) o vencimento ou cancelamento do Acordo segundo o qual a Empresa tem acesso aos Serviços.
    2. A Empresa poderá cancelar imediatamente este BAA se for determinado que a Seagate violou um termo material deste BAA e não remediou a violação, para a satisfação razoável da Empresa, até 30 dias após o aviso por escrito da Empresa. A Empresa poderá comunicar o problema para a Secretaria do HHS se Exigido por Lei, sujeito a todos os privilégios jurídicos aplicáveis.
    3. Sujeito à seção no Acordo relativa a Suspensão, se a Seagate determinar que a Empresa violou um termo material deste BAA, a Seagate avisará por escrito a Empresa sobre a existência da violação e dará à Empresa 30 dias para remediar a violação. Se a Empresa não remediar a violação dentro do prazo de 30 dias, haverá base para o cancelamento imediato do Acordo ou deste BAA pela Seagate. A Seagate pode comunicar a violação ao HHS, sujeito a todos os privilégios jurídicos aplicáveis.
    4. Após o cancelamento do Acordo ou deste BAA por qualquer motivo, todas as PHI mantidas pela Seagate serão excluídas dos Serviços conforme os termos relacionados a Dados da Empresa no Acordo. A Seagate estenderá as proteções deste BAA para essas PHI e limitará os usos e divulgações das PHI àqueles que tenham a finalidade de inviabilizar a devolução ou destruição, pelo tempo em que a Seagate mantiver as PHI. As Partes entendem que esta Seção 14.4.. sobreviverá a qualquer cancelamento deste BAA.
15. Efeito do BAA. Este BAA faz parte e está sujeito aos termos do Acordo. Este BAA, juntamente com o Acordo, conforme alterado por este BAA, (i) é considerado pelas Partes como a expressão final, completa e exclusiva dos termos de seu acordo e (ii) substitui todos os acordos e entendimentos anteriores (sejam orais ou por escrito) entre as Partes com respeito ao assunto deste documento. As disposições deste BAA superam e controlam qualquer disposição conflitante do Acordo, entretanto, exceto conforme expressamente modificado ou retificado neste BAA quanto a PHI, os termos do Acordo permanecerão em pleno vigor e efeito.
16. Alterações para estar em conformidade com a lei. As Partes reconhecem que as leis federais e estaduais com relação a segurança de dados e privacidade de informações de saúde estão evoluindo rapidamente e que alterações deste BAA poderão ser necessárias para fornecer procedimentos para garantir a conformidade com tais desenvolvimentos. As Partes concordam especificamente tomar as medidas necessárias para implementar os padrões e requisitos da HIPAA. Mediante solicitação de uma das Partes, a outra Parte concorda em iniciar negociações imediatamente com relação aos termos de uma alteração deste BAA incorporando garantias por escrito consistentes com os padrões e requisitos da HIPAA ou de outras leis aplicáveis. Qualquer uma das Partes pode cancelar este BAA com uma notificação por escrito enviada trinta (30) dias antes no caso da outra Parte: (i) não iniciar negociações imediatamente para alterar este BAA quando solicitado de acordo com esta Seção 16; ou (ii) não celebrar uma alteração deste BAA fornecendo garantias sobre a proteção de PHI suficiente para satisfazer os padrões e requisitos da HIPAA.
17. Interpretação. Este BAA e o Acordo serão interpretados o mais amplamente necessário para implementar e cumprir com a HIPAA. As Partes concordam que qualquer ambiguidade neste BAA será resolvida em favor de um significado que cumpra e seja consistente com a HIPAA.

10 de dezembro de 2024