El presente Acuerdo de Asociado Comercial (“BAA”) se celebra entre Avril Group Limited (“EyeCandys”) y ____________________ (“Entidad Cubierta”), y entra en vigor a partir del ________________ (la “Fecha de Entrada en Vigor del BAA”). EyeCandys y la Entidad Cubierta podrán denominarse individualmente una “Parte” y, conjuntamente, las “Fiestas” en este BAA.
CONSIDERANDOS
- EyeCandys presta determinados servicios a la Entidad Cubierta en virtud de las Condiciones del Servicio subyacentes (los “Servicios” o el “Acuerdo Subyacente”).
- En la medida en que EyeCandys cree, reciba, mantenga o transmita “Información Health Protegida” o “PHI” (según se define más adelante) en nombre de la Entidad Cubierta en el curso de la prestación de los Servicios, y EyeCandys actúe como “Asociado Comercial” (definido más adelante) de la Entidad Cubierta, los términos de este BAA se aplicarán respecto de dicha PHI.
- EyeCandys podrá crear, recibir, mantener o transmitir PHI en nombre de la Entidad Cubierta únicamente según lo dispuesto en este Acuerdo y en la medida permitida por la Ley de Portabilidad y Responsabilidad del Seguro Médico de 1996 (Health Insurance Portability and Accountability Act), Ley Pública 104-191, en su versión modificada (“HIPAA”), y por la Regla de Privacidad, la Regla de Seguridad, la Regla de Cumplimiento y la Regla de Notificación de Violaciones establecidas en el 45 C.F.R. Partes 160 y 164 (conjuntamente, las “HIPAA Reglas” promulgadas en virtud de aquella.
- La Entidad Cubierta y EyeCandys pretenden proteger la privacidad y garantizar la seguridad de la PHI en cumplimiento de la HIPAA y de las Reglas de la HIPAA.
- El propósito de este BAA es satisfacer determinados estándares y requisitos de la HIPAA y de las Reglas de la HIPAA, incluidos, entre otros, el Título 45, §§ 164.314(a)(2)(i), 164.502(e) y 164.504(e) del Código de Regulaciones Federales (“F.R.”).
POR TANTO, en consideración de los pactos y promesas mutuos aquí establecidos, y de otra contraprestación valiosa y suficiente, cuyo recibo y suficiencia se reconocen por la presente, las Partes acuerdan lo siguiente:
- DEFINICIONES
- Términos con inicial mayúscula. Los términos con inicial mayúscula utilizados en este BAA y no definidos de otro modo en el presente tendrán los significados establecidos en las Reglas de la HIPAA, cuyas definiciones se incorporan a este BAA por referencia.
- “Asociado Comercial” tendrá el mismo significado que se le da a dicho término en el 45 C.F.R. § 160.103.
- “Información de Salud Protegida” o “PHI” tendrá el mismo significado que se le da a dicho término en el 45 C.F.R. § 160.103, aplicado a la información creada, recibida, mantenida o transmitida por EyeCandys desde la Entidad Cubierta o en nombre de esta.
- “Incidente de Seguridad Fallido” significará los pings y otros ataques de difusión contra un cortafuegos, los escaneos de puertos, los intentos fallidos de inicio de sesión, las denegaciones de servicio u otros intentos similares de Incidente de Seguridad que no hayan tenido éxito, o una combinación de ellos, siempre que ninguno de dichos incidentes dé lugar al acceso, uso o divulgación no autorizados de PHI.
- USOS Y DIVULGACIONES PERMITIDOS DE LA PHI
- Usos y divulgaciones de la PHI
. EyeCandys no usará ni divulgará la PHI salvo en la forma permitida o requerida para desempeñar funciones, actividades o servicios para la Entidad Cubierta o en su nombre, o según lo exija la Ley, siempre que dicho uso o divulgación no infringiera la Regla de Privacidad si lo realizara la Entidad Cubierta, salvo lo dispuesto en las Secciones 2.2, 2.3 y 2.4. En la medida en que EyeCandys lleve a cabo alguna de las obligaciones de la Entidad Cubierta conforme a la Regla de Privacidad para prestar los Servicios o en virtud de los términos de este BAA, EyeCandys cumplirá los requisitos de la Regla de Privacidad que se aplican a la Entidad Cubierta en el desempeño de dicha(s) obligación(es).
- Usos permitidos de la PHI por parte de EyeCandys
. Salvo que este BAA disponga lo contrario, EyeCandys podrá usar la PHI para la gestión y administración adecuadas de EyeCandys o para cumplir las responsabilidades legales de EyeCandys.
- Divulgaciones permitidas de la PHI por parte de EyeCandys
. Salvo que este BAA disponga lo contrario, EyeCandys podrá divulgar la PHI para la gestión y administración adecuadas de EyeCandys, siempre que las divulgaciones sean exigidas por la Ley, o que EyeCandys obtenga garantías razonables de la persona a quien se divulga la información de que esta permanecerá confidencial y solo se usará o divulgará posteriormente según lo exija la Ley o para el fin para el que se divulgó a la persona (fin que debe ser coherente con las limitaciones impuestas a EyeCandys en virtud de este BAA), y de que dicha persona se compromete a notificar a EyeCandys cualquier caso del que tenga conocimiento en el que se haya vulnerado la confidencialidad de la información. EyeCandys podrá divulgar la PHI para denunciar infracciones de la ley ante las autoridades federales y estatales competentes, de conformidad con el 45 C.F.R. § 164.502(j)(1).
- Agregación de datos
. Salvo que este BAA disponga lo contrario, EyeCandys podrá usar la PHI para prestar servicios de Agregación de Datos según lo permitido por el 45 C.F.R. § 164.504(e)(2)(i)(B).
- Datos desidentificados
. EyeCandys podrá desidentificar la PHI de acuerdo con los estándares establecidos en el 45 C.F.R. § 164.514(b) y podrá usar o divulgar dichos datos desidentificados para cualquier fin.
- OBLIGACIONES DE EyeCandys
- Salvaguardas adecuadas
. EyeCandys utilizará salvaguardas adecuadas y cumplirá la Regla de Seguridad con respecto a la PHI Electrónica, para evitar el uso o la divulgación de dicha información de forma distinta a la prevista en el Acuerdo Subyacente o en este BAA.
- Notificación de uso o divulgación indebidos, Incidente de Seguridad o Violación
. EyeCandys notificará a la Entidad Cubierta cualquier uso o divulgación de la PHI no permitido por este BAA, Violación de PHI Sin Proteger o Incidente de Seguridad, sin demora injustificada y, en cualquier caso, en un plazo máximo de diez (10) días hábiles desde su descubrimiento; no obstante, las Partes reconocen y aceptan que esta Sección constituye una notificación de EyeCandys a la Entidad Cubierta de la existencia y ocurrencia continuas de Incidentes de Seguridad Fallidos.
- Agentes de EyeCandys
. De conformidad con el 45 C.F.R. § 164.502(e)(1)(ii) y el 45 C.F.R. § 164.308(b)(2), según corresponda, EyeCandys celebrará un acuerdo por escrito con cualquier agente o subcontratista que cree, reciba, mantenga o transmita PHI en nombre de EyeCandys para servicios prestados a la Entidad Cubierta, en el que el subcontratista o agente acepte, en lo sustancial, las mismas restricciones y condiciones que se aplican a EyeCandys a través de este BAA con respecto a dicha PHI.
- Acceso a la PHI
. En la medida en que EyeCandys tenga PHI contenida en un Conjunto de Registros Designado, EyeCandys se compromete a poner la información a disposición de la Entidad Cubierta de conformidad con el 45 C.F.R. § 164.524, para responder a la solicitud de un Individuo a la Entidad Cubierta de revisar o copiar la PHI del Individuo; no obstante, EyeCandys no está obligada a proporcionar dicho acceso cuando la PHI contenida en un Conjunto de Registros Designado duplique la PHI contenida en un Conjunto de Registros Designado en poder de la Entidad Cubierta. Si un Individuo presenta una solicitud de acceso de conformidad con el 45 C.F.R. § 164.524 directamente a EyeCandys, o consulta sobre su derecho de acceso, EyeCandys remitirá dicha solicitud a la Entidad Cubierta o dirigirá al Individuo a la Entidad Cubierta.
- Modificación de la PHI
. En la medida en que EyeCandys tenga PHI contenida en un Conjunto de Registros Designado, EyeCandys se compromete a poner dicha información a disposición de la Entidad Cubierta para su modificación de conformidad con el 45 C.F.R. § 164.526. Si un Individuo presenta una solicitud de modificación por escrito de conformidad con el 45 C.F.R. § 164.526 directamente a EyeCandys, o consulta sobre su derecho de modificación, EyeCandys remitirá dicha solicitud a la Entidad Cubierta o dirigirá al Individuo a la Entidad Cubierta.
- Documentación de las divulgaciones
. EyeCandys se compromete a documentar las divulgaciones de PHI y la información relacionada con ellas que la Entidad Cubierta necesitaría para responder a la solicitud de un Individuo de un informe de divulgaciones de PHI de conformidad con el 45 C.F.R. § 164.528. EyeCandys documentará, como mínimo, la siguiente información: (i) la fecha de la divulgación, (ii) el nombre y, si se conoce, la dirección del destinatario de la PHI, (iii) una breve descripción de la PHI divulgada, (iv) el fin de la divulgación, que incluya una explicación de su fundamento, y (v) cualquier información adicional exigida por la Ley HITECH y por cualquier reglamento de desarrollo.
- Informe de divulgaciones
. EyeCandys se compromete a proporcionar a la Entidad Cubierta, previa recepción de una solicitud por escrito de esta, la información recopilada de conformidad con la Sección 3.6 de este BAA para permitir a la Entidad Cubierta responder a la solicitud de un Individuo de un informe de divulgaciones de PHI de conformidad con el 45 C.F.R. § 164.528. Si un Individuo presenta una solicitud por escrito de un informe de divulgaciones de PHI conforme al 45 C.F.R. § 164.528 directamente a EyeCandys, o consulta sobre su derecho a un informe de divulgaciones de PHI, EyeCandys dirigirá al Individuo a la Entidad Cubierta.
- Acceso gubernamental a los registros
. EyeCandys pondrá a disposición del Secretario sus prácticas internas, libros y registros relativos al uso y la divulgación de la PHI recibida de la Entidad Cubierta, o creada o recibida por EyeCandys en su nombre, a fin de que el Secretario determine el cumplimiento de la Regla de Privacidad por parte de la Entidad Cubierta.
- Mitigación
. En la medida de lo posible, EyeCandys cooperará razonablemente con los esfuerzos de la Entidad Cubierta para mitigar cualquier efecto perjudicial conocido por EyeCandys derivado de un uso o divulgación de PHI por parte de EyeCandys no permitido por este BAA.
- Mínimo necesario
. EyeCandys solicitará, usará y divulgará la cantidad mínima de PHI necesaria para cumplir el fin de la solicitud, uso o divulgación, de conformidad con el 45 C.F.R. § 164.514(d) y sus modificaciones.
- OBLIGACIONES DE LA ENTIDAD CUBIERTA
- Aviso de Prácticas de Privacidad
. La Entidad Cubierta notificará a EyeCandys cualquier limitación de su aviso de prácticas de privacidad de conformidad con el 45 C.F.R. § 164.520, en la medida en que dicha limitación pueda afectar al uso o la divulgación de la PHI por parte de EyeCandys.
- Notificación de cambios relativos al permiso del Individuo
. La Entidad Cubierta obtendrá cualquier consentimiento o autorización que pueda exigir la Regla de Privacidad o la legislación estatal aplicable antes de facilitar PHI a EyeCandys. La Entidad Cubierta notificará a EyeCandys cualquier cambio o revocación del permiso de un Individuo para usar o divulgar la PHI, en la medida en que dichos cambios puedan afectar al uso o la divulgación de la PHI por parte de EyeCandys.
- Notificación de restricciones al uso o la divulgación de la PHI
. La Entidad Cubierta notificará a EyeCandys cualquier restricción al uso o la divulgación de la PHI que la Entidad Cubierta haya acordado de conformidad con el 45 C.F.R. § 164.522, en la medida en que dicha restricción pueda afectar al uso o la divulgación de la PHI por parte de EyeCandys.
- Solicitudes permisibles de la Entidad Cubierta
. La Entidad Cubierta no solicitará a EyeCandys que use o divulgue la PHI de ninguna manera que no fuera permisible conforme a las Reglas de la HIPAA si la realizara la Entidad Cubierta, salvo lo permitido en virtud de lo dispuesto en las Secciones 2.2, 2.3 y 2.4 de este BAA.
- DURACIÓN Y RESOLUCIÓN
- Duración
. La duración de este BAA comenzará en la Fecha de Entrada en Vigor del BAA y finalizará cuando toda la PHI proporcionada por la Entidad Cubierta a EyeCandys, o creada o recibida por EyeCandys en nombre de la Entidad Cubierta, sea destruida o devuelta a la Entidad Cubierta. Si no es factible devolver o destruir la PHI, EyeCandys extenderá las protecciones a dicha información de conformidad con la Sección 5.3.
- Resolución por incumplimiento
. Si una de las Partes tiene conocimiento de un incumplimiento sustancial de este BAA por la otra Parte, aquella podrá resolver este BAA de forma inmediata si no es posible subsanarlo. En caso contrario, la Parte que no incumple enviará un aviso por escrito a la Parte incumplidora en el que detalle la naturaleza del incumplimiento y le conceda la oportunidad de subsanarlo en un plazo de treinta (30) días hábiles. Al vencimiento de dicho periodo de subsanación de treinta (30) días, la Parte que no incumple podrá resolver este BAA si la Parte incumplidora no subsana el incumplimiento o si no es posible subsanarlo.
- Efecto de la resolución
.
- Salvo lo dispuesto en la Sección 5.3.2, a la resolución del Acuerdo Subyacente o de este BAA por cualquier motivo, EyeCandys devolverá o destruirá toda la PHI recibida de la Entidad Cubierta, o creada o recibida por EyeCandys en nombre de la Entidad Cubierta, y no conservará copia alguna de la PHI.
- Si no es factible que EyeCandys devuelva o destruya la PHI a la resolución del Acuerdo Subyacente o de este BAA, EyeCandys: (a) extenderá las protecciones de este BAA a dicha PHI y (b) limitará los usos y divulgaciones posteriores de dicha PHI a aquellos fines que hagan inviable su devolución o destrucción, mientras EyeCandys conserve dicha PHI.
- COOPERACIÓN EN INVESTIGACIONES
Las Partes reconocen que determinados incumplimientos o infracciones de este BAA pueden dar lugar a litigios o investigaciones por parte de autoridades gubernamentales federales o estatales de los Estados Unidos que deriven en responsabilidad civil o sanciones penales. Cada Parte cooperará de buena fe y en todos los aspectos con la otra Parte en relación con cualquier solicitud de una autoridad gubernamental federal o estatal de información y documentos adicionales o con cualquier investigación, queja, acción u otra indagación gubernamental.
- SUPERVIVENCIA
Los respectivos derechos y obligaciones de EyeCandys en virtud de la Sección 5.3 de este BAA subsistirán tras la resolución de este BAA y del Acuerdo Subyacente.
- MODIFICACIÓN
Este BAA solo podrá modificarse, o renunciarse a cualquiera de sus derechos, mediante un documento escrito firmado por los representantes autorizados de ambas Partes. Además, si alguna disposición pertinente de las Reglas de la HIPAA se modifica de manera que cambie las obligaciones de EyeCandys o de la Entidad Cubierta incorporadas en los términos de este BAA, las Partes acuerdan negociar de buena fe los términos o modificaciones no financieros adecuados de este BAA para dar efecto a dichas obligaciones revisadas.
- EFECTO DEL BAA
En caso de cualquier incoherencia entre las disposiciones de este BAA y el Acuerdo Subyacente, prevalecerán las disposiciones de este BAA. En el supuesto de que un tribunal o un organismo regulador con competencia sobre EyeCandys o la Entidad Cubierta interprete las disposiciones obligatorias de las Reglas de la HIPAA de una manera incompatible con las disposiciones de este BAA, prevalecerá dicha interpretación. Cuando las disposiciones de este BAA difieran de las exigidas por las Reglas de la HIPAA, pero estén permitidas por dichas reglas según las interpreten los tribunales u organismos, prevalecerán las disposiciones de este BAA.
- DISPOSICIONES GENERALES
Este BAA se rige e interpreta de conformidad con las leyes del Estado de Nueva York. Cualquier acción relacionada con este BAA debe iniciarse en el plazo de un (1) año desde la fecha en que se originó la causa de la acción. La Entidad Cubierta no cederá este BAA sin el consentimiento previo por escrito de EyeCandys, que no se denegará de forma injustificada. Si alguna parte de una disposición de este BAA se considera ilegal o inaplicable, se aplicará en la máxima medida permitida, y la legalidad y aplicabilidad del resto de dicha disposición y de todas las demás disposiciones de este BAA no se verán afectadas. Todas las notificaciones relativas a los derechos y recursos legales de las Partes en virtud de este BAA se harán por escrito a una Parte, se enviarán a su dirección indicada más abajo, o a cualquier otra dirección que dicha Parte designe mediante notificación a la Parte remitente, y harán referencia a este BAA. Nada de lo dispuesto en este BAA conferirá derecho, recurso u obligación alguna a nadie que no sea la Entidad Cubierta y EyeCandys. Este BAA constituye el acuerdo completo y exclusivo entre las Partes con respecto a su objeto, y sustituye y reemplaza todos los acuerdos, comunicaciones y entendimientos previos (escritos y orales) relativos a dicho objeto.
- Contratista independiente
EyeCandys será considerada, a todos los efectos, contratista independiente, y EyeCandys no actuará, directa ni indirectamente, como agente, empleada o dependiente de la Entidad Cubierta ni asumirá compromisos ni contraerá obligaciones en nombre de la Entidad Cubierta sin su consentimiento expreso por escrito. Nada de lo dispuesto en este BAA se considerará constitutivo de una relación laboral, de representación o de sociedad entre las Partes. EyeCandys conservará plena y absoluta discreción en cuanto a la forma y los medios de llevar a cabo sus actividades y responsabilidades en virtud de este BAA.
EN FE DE LO CUAL, las Partes han hecho que este BAA sea firmado en su nombre por sus representantes debidamente autorizados a partir de la Fecha de Entrada en Vigor del BAA.
|
EyeCandys Avril Group Limited Flat C 22F, 235 Wing Lok St Trade Center, Sheung Wan, Hong Kong
|
ENTIDAD CUBIERTA
Dirección:
|
|
Firmado Nombre Cargo Fecha |
Firmado Nombre Cargo Fecha |