SHAREFILE. Contrato de socio comercial

Transcripción

1 SHAREFILE Contrato de socio comercial Este Contrato de socio comercial ("Contrato de SC") se hace vigente de acuerdo con los términos de la sección 5 del Contrato de servicio del usuario final ("EUSA") entre el Cliente ("Entidad cubierta") y Citrix. La Entidad cubierta y Citrix son partes contratantes del EUSA en virtud del cual, Citrix presta servicios de ShareFile a la Entidad cubierta y, en relación con tales servicios, ShareFile LLC ("ShareFile" o "Socio comercial"), afiliada de Citrix, suministra dichos servicios y puede recibir, usar y/o divulgar a la Entidad cubierta, o en su nombre, determinada Información médica confidencial acerca de los pacientes de la Entidad cubierta que está sujeta a la protección de la Ley de responsabilidad y portabilidad de seguro médico de 1996 (Health Insurance Portability and Accountability Act, "Ley HIPAA") y a la Ley de tecnología de información clínica y económica para la salud (Health Information Technology for Economic and Clinical Health Act, "Ley HITECH"). En cumplimiento de tales actividades, las partes contratantes acuerdan que ShareFile es un Socio comercial de la Entidad cubierta. La Entidad cubierta y el Socio comercial tienen intención de cumplir todos los aspectos de los requisitos de la Ley HIPAA y la Ley HITECH aplicables a la relación entre entidades cubiertas y sus socios comerciales. La Entidad cubierta y el Socio comercial también tienen intención de cumplir las Modificaciones de las reglas de privacidad, seguridad, aplicación y notificación de incumplimiento de la ley HIPAA, bajo la Ley de tecnología de información clínica y económica para la salud y la Ley de no discriminación de información genética, publicadas el 25 de enero de Definiciones. Los términos utilizados, aunque no definidos, en este Contrato de SC tendrán el mismo significado que los términos presentados en la Regla de privacidad o la Regla de seguridad. (a) Incumplimiento. Por "Incumplimiento" se entenderá la adquisición, el acceso, el uso o la divulgación no autorizados de Información médica confidencial de una forma no permitida según la Regla de privacidad y que comprometa la seguridad o la privacidad de tal información. El término "Incumplimiento" excluye: (i) (ii) (iii) Cualquier adquisición, acceso o uso no intencional de la Información médica confidencial por parte de un miembro del personal o una persona que responda a la autoridad de la Entidad cubierta o el Socio comercial, si tal adquisición, acceso o uso fue hecho de buena fe y dentro de su autoridad, y no provoca el posterior uso o divulgación de una forma no permitida por la Regla de privacidad. Cualquier divulgación accidental por parte de una persona que posea acceso autorizado a la Información médica confidencial en la Entidad cubierta o el Socio comercial ante otra persona que tenga acceso autorizado a la Información médica confidencial en la Entidad cubierta o el Socio comercial, siempre que la información recibida como resultado de tal divulgación no sea utilizada ni divulgada de una forma no autorizada por la Regla de privacidad. Cualquier divulgación de Información médica confidencial sobre la cual la Entidad cubierta o el Socio comercial crea de buena fe que la persona no autorizada a quien se ha revelado información no posee medios razonables para conservar tal información.

2 Con excepción de lo expresado en los puntos (i) a (iii) anteriores, se presupone que la adquisición, el acceso, el uso o la divulgación de Información médica confidencial de alguna forma no permitida por la Regla de privacidad constituye un Incumplimiento, excepto que la Entidad cubierta o el Socio comercial, según corresponda, demuestre que la posibilidad de que la Información médica confidencial se haya visto comprometida es baja, según una evaluación de riesgos que debe incluir, como mínimo, los siguientes factores: (i) (ii) (iii) (iv) La naturaleza y la cantidad de Información médica confidencial involucrada, incluidos los tipos de identificadores y la probabilidad de reidentificación. La persona no autorizada que usó la Información médica confidencial o la persona a quién se divulgó tal información. Si la Información médica confidencial fue efectivamente adquirida o vista. El grado en que se haya mitigado el riesgo para la Información médica confidencial. (b) Información médica confidencial electrónica. Por "Información médica confidencial electrónica" se entenderá la Información médica confidencial que se transmite por Medios electrónicos (según se define en la Regla de seguridad) o se conserva en Medios electrónicos. (c) Regla de privacidad. Por "Regla de privacidad" se entenderán las Normas de privacidad de la información médica personal identificable del Código de Reglamentaciones Federales 45 (45 CFR), secciones 160 y 164, y subsecciones A y E. (d) Información médica confidencial. Por "Información médica confidencial" se entenderá lo mismo que por "información médica protegida" ("protected health information") según se especifica en el código 45 CFR, sección , limitado a la información recibida por el Socio comercial desde la Entidad cubierta o en su nombre. (e) Secretaría. Por "Secretaría" se entenderá la Secretaría del Departamento de salud y servicios sociales o su representante. (f) Incidente de seguridad. Por "Incidente de seguridad" se entenderá el acceso, uso, divulgación, modificación o destrucción no autorizados de información, o la interferencia con el funcionamiento de un sistema informático que permita el acceso a Información médica confidencial, o el intento de estas acciones. (g) Regla de seguridad. Por "Regla de seguridad" se entenderán las Normas de seguridad para la protección de información médica confidencial electrónica establecidas en el código 45 CFR, sección 164, subsección C. 2. Obligaciones y actividades del Socio comercial. El Socio comercial se compromete a: (a) No usar ni divulgar Información médica confidencial, excepto según lo permitido o exigido en virtud de este Contrato de SC o según lo exija la ley aplicable. (b) Usar, revelar y solicitar únicamente la cantidad mínima necesaria de Información médica confidencial requerida para prestar sus servicios a la Entidad cubierta. (c) Tomar las medidas de protección adecuadas y cumplir la Regla de seguridad respecto de la Información médica confidencial electrónica, a fin de prevenir el uso o la divulgación de Información médica confidencial en formas que no estén permitidas por este Contrato de SC. (d) Mitigar, en la medida posible, cualquier efecto nocivo del cual el Socio comercial tenga conocimiento debido al uso o la divulgación de Información médica confidencial por parte del Socio comercial en contravención de los requisitos del presente Contrato de SC o de la Regla de privacidad.

3 (e) Informar a la Entidad cubierta sobre cualquier uso o divulgación de Información médica confidencial en contravención de este Contrato de SC sobre el cual el Socio comercial tenga conocimiento, incluido cualquier Incumplimiento por falta de protección de la Información médica confidencial y cualquier Incidente de seguridad. Para todas las obligaciones de notificación derivadas de este Contrato de SC, las partes acuerdan que, dado que el Socio comercial no conoce la naturaleza de la Información médica confidencial contenida en las cuentas de la Entidad cubierta, no será posible para el Socio comercial suministrar información sobre las identidades de los individuos que puedan verse afectados, ni una descripción del tipo de información que pueda ser objeto de Incumplimiento o Incidente de seguridad. (f) De acuerdo con lo establecido en la Regla de privacidad y la Regla de seguridad, garantizar que cualquier agente, incluido un subcontratista, a quien proporcione Información médica confidencial recibida de la Entidad cubierta o recibida por el Socio comercial en nombre de la Entidad cubierta, acepte someterse a las mismas restricciones y condiciones que se aplican al Socio comercial. (g) En la medida en que la Información médica confidencial constituye un conjunto de registros designados, hacer disponible la Información médica confidencial en el grado, para los objetivos y de la forma que lo exija el código 45 CFR, sección (Acceso de individuos a información médica confidencial), y 45 CFR, sección (Modificación de información médica confidencial), e incorporar cualquier modificación respecto de la Información médica confidencial que se exija en virtud del código 45 CFR, sección (h) En la medida en que el Socio comercial deba cumplir una o varias de las obligaciones de la Entidad cubierta en virtud de la Regla de privacidad, el Socio comercial cumplirá los requisitos de la Regla de privacidad que se aplican a la Entidad cubierta durante el cumplimiento de tales obligaciones. (i) Permitir que los procesos internos, libros y registros vinculados con el uso y la divulgación de Información médica confidencial recibida de la Entidad cubierta o recibida por el Socio comercial en nombre de la Entidad cubierta estén disponibles para la Secretaría cuando la Secretaría quisiera determinar el cumplimiento de la Regla de privacidad o la Regla de seguridad por parte de la Entidad cubierta. (j) Documentar tal divulgación de Información médica confidencial e información relacionada con tal divulgación según sea necesario para que la Entidad cubierta responda a la solicitud de un Individuo para justificar las divulgaciones de Información médica confidencial según el código 45 CFR, sección (Responsabilidad de divulgación de información médica confidencial). Para evitar cualquier duda, el Socio comercial documentará y pondrá a su disposición la información necesaria para suministrar una justificación de las divulgaciones de las que tenga conocimiento el Socio comercial, de acuerdo con 45 CFR , si lo solicita la Entidad cubierta. Puesto que el Socio comercial no puede identificar fácilmente qué individuos están identificados o qué tipos de Información médica confidencial están incluidos en las cuentas de una Entidad cubierta, la Entidad cubierta será la única responsable de identificar qué individuos están incluidos en los datos de la Entidad cubierta que se hayan divulgado, y de ofrecer una breve descripción de qué Información médica confidencial se ha divulgado. (k) Proporcionar a la Entidad cubierta, en el momento y la forma que las partes acuerden, la información recopilada en virtud de la Sección 2(i) de este Contrato de SC a fin de que la Entidad cubierta pueda responder a una solicitud de un Individuo y justificar las divulgaciones de Información médica confidencial según el código 45 CFR, sección

4 3. Usos y divulgaciones permitidos para el Socio comercial. (a) Cláusulas generales de uso y divulgación. Sujeto a los términos de este Contrato de SC, el Socio comercial puede usar o divulgar Información médica confidencial para la ejecución de funciones, actividades o servicios para la Entidad cubierta o en nombre de ella, siempre que tal uso o divulgación no infrinja la Regla de privacidad si fuera realizado por la Entidad cubierta. (b) Cláusulas específicas de uso y divulgación. El Socio comercial puede usar o divulgar Información médica confidencial para la adecuada gestión y administración del Socio comercial (por ejemplo, para mejorar la calidad, realizar pruebas y soporte de productos o servicios, y mantenimiento del sistema) siempre que el Socio comercial divulgue tal Información médica confidencial únicamente: (i) según lo exija la ley aplicable, o (ii) a personas sobre las cuales el Socio comercial tiene seguridad suficiente de que mantendrán la confidencialidad y utilizarán o divulgarán tal información según lo exija la ley o con el fin para el cual fue divulgada, y que la persona notificará al Socio comercial sobre cualquier situación de la cual tenga conocimiento que pudiera representar un riesgo para la confidencialidad de la información. (c) Notificar contravenciones de la ley. El Socio comercial puede usar la Información médica confidencial para notificar las contravenciones de la ley correspondientes a las autoridades federales y estatales, según se establece en el código 45 CFR, sección (j)(1). 4. Obligaciones de la Entidad cubierta. La Entidad cubierta declara que: (a) Ha incluido e incluirá, en el Aviso de prácticas de privacidad de la Entidad cubierta exigido según la Regla de privacidad, una cláusula donde se indica que la Entidad cubierta puede divulgar Información médica confidencial con fines de operaciones de cuidado de la salud y pagos. Cuando así se solicite, la Entidad cubierta entregará al Socio comercial una copia del Aviso de prácticas de privacidad de la Entidad cubierta, así como de cualquier cambio realizado a tal Aviso. (b) Ha informado al Socio comercial sobre cualquier limitación de las Prácticas de privacidad de la Entidad cubierta si tales limitaciones afectaran la prestación de los servicios del Socio comercial a la Entidad cubierta o el uso o la divulgación de Información médica confidencial. (c) Proporcionará, cuando así lo solicite razonablemente el Socio comercial, copias de cualquier consentimiento, autorización, reconocimiento o permiso para que un Individuo use o divulgue Información médica confidencial que pudiera afectar a la prestación de los servicios del Socio comercial a la Entidad cubierta o al uso o la divulgación de Información médica confidencial. (d) Ha obtenido y obtendrá de los Individuos los consentimientos, las autorizaciones y cualquier otro permiso necesario o exigido por la ley aplicable a la Entidad cubierta para que el Socio comercial y la Entidad cubierta cumplan sus respectivas obligaciones y en virtud de este Contrato de SC. (e) Informará al Socio comercial sobre cualquier cambio, revocación o permiso de un Individuo para usar o divulgar Información médica confidencial, si tales cambios afectaran a la prestación de los servicios del Socio comercial a la Entidad cubierta o al uso o la divulgación de Información médica confidencial. (f) Notificará al Socio comercial, a pedido de este, sobre el nombre y la información de contacto del funcionario de privacidad designado por la Entidad cubierta según se indica en el código 45 CFR, sección Solicitudes permitidas para la Entidad cubierta La Entidad cubierta no solicitará al Socio comercial que use o divulgue Información médica confidencial de ninguna forma que no estuviera permitida por la Regla de privacidad si así lo hiciera la Entidad cubierta, excepto según se indica en la Sección 3(b) anterior.

5 6. Plazo de vigencia y terminación (a) Plazo de vigencia La Entidad cubierta tendrá derecho a terminar este Contrato de SC ante cualquier incumplimiento del presente Contrato de SC siempre que, antes de tal terminación, la Entidad cubierta informe al Socio comercial sobre la existencia de un incumplimiento y brinde al Socio comercial la oportunidad de subsanar tal incumplimiento. En caso de que el Socio comercial no subsane el incumplimiento dentro de los treinta (30) días de la recepción del aviso por escrito, la Entidad cubierta tendrá derecho a terminar de inmediato el presente Contrato de SC. (b) Efectos de la terminación. (i) (ii) Con excepción de lo establecido en el párrafo (ii) de esta sección, ante la terminación de este Contrato de SC por cualquier motivo, el Socio comercial deberá devolver o destruir toda la Información médica confidencial recibida de la Entidad cubierta, o creada o recibida por el Socio comercial en nombre de la Entidad cubierta, o convertir tal Información médica confidencial en un formato no identificable conforme a la Regla de privacidad. Esta cláusula también se aplicará a la Información médica confidencial que se encuentre en posesión de los subcontratistas o los agentes del Socio comercial. El Socio comercial no conservará copia alguna de la Información médica confidencial. En caso de que el Socio comercial determine que la devolución o la destrucción de Información médica confidencial es impracticable, el Socio comercial deberá notificar a la Entidad cubierta sobre las condiciones por las cuales tal devolución o destrucción es impracticable. El Socio comercial ampliará las protecciones del Contrato de SC a tal Información médica confidencial y limitará cualquier otro uso o divulgación de tal Información médica confidencial a los fines que impiden la devolución o la destrucción, durante el tiempo en que el Socio comercial conserve tal Información médica confidencial. Las partes acuerdan que, en la medida en que la ley aplicable exija al Socio comercial la conservación de copias de Información médica confidencial, la devolución de tal Información médica confidencial se considerará impracticable, y el Socio comercial tendrá derecho a conservar tal Información médica confidencial según lo exige la ley, siempre que el Socio comercial solamente use o divulgue tal Información médica confidencial para los fines y según las exigencias establecidos en la ley. Los derechos y obligaciones respectivos del Socio comercial en virtud de la Sección 6 del presente Contrato de SC seguirán vigentes después de la terminación de este Contrato de SC.

6 7. Generales (a) Referencias normativas. Todas las referencias de este Contrato de SC a una sección de la Regla de privacidad o a la Regla de seguridad hacen referencia a esta sección tal como esté vigente o según haya sido modificada, cuyo cumplimiento se exige. (b) Modificaciones. Citrix actualizará este Contrato de SC regularmente según sea necesario para la Entidad cubierta o el Socio comercial, según corresponda, a fin de cumplir los requisitos de la Ley HIPAA, la Regla de privacidad, la Regla de seguridad o la Ley HITECH. (c) Interpretación. Cualquier ambigüedad en este Contrato de SC será resuelta a favor de un significado que permita que la Entidad cubierta o el Socio comercial, según corresponda, cumpla con la Ley HIPAA, la Regla de privacidad, la Regla de seguridad o la Ley HITECH. (d) Ausencia de beneficiarios. Este Contrato de SC no comprende terceras partes beneficiarias tales como, sin limitación, los Individuos sobre los cuales versa la Información médica confidencial. (e) Legislación aplicable. Este Contrato de SC se regirá y se interpretará según las leyes internas especificadas en la sección 10 del EUSA. (f) Integridad del contrato. El presente Contrato de SC, incorporado al EUSA, constituye el contrato exclusivo y completo entre las partes contratantes, respecto de sus obligaciones en virtud de la Ley HIPAA, la Regla de privacidad, la Regla de seguridad y la Ley HITECH, y sustituye a cualquier contrato, acuerdo y comunicaciones previos al respecto. Con independencia de lo anterior, el EUSA regirá todos los demás términos establecidos entre las partes tales como, sin limitaciones, los términos relacionados con la prestación de servicios, las obligaciones de pago y las limitaciones de responsabilidad respecto de los Contratos subyacentes y este Contrato de SC. CTX_code: SF 13/09/13