1. 범위 및 목적
This Business Associate Agreement ("BAA") supplements and is made part of the service agreement between Covered Entity and Business Associate. It establishes the terms under which Business Associate may create, receive, maintain, or transmit Protected Health Information ("PHI") on behalf of Covered Entity in connection with the translation, transcription, and language processing services provided by Morlivo (the "Services").
The parties acknowledge that Business Associate may access, use, or disclose PHI in the course of providing the Services, and this BAA sets forth the obligations of Business Associate with respect to such PHI pursuant to the applicable provisions of HIPAA, the HITECH Act, and their implementing regulations (collectively, the "HIPAA Rules").
2. 허용된 사용 및 공개
비즈니스 연계인은 PHI를 다음과 같은 경우에만 사용하거나 공개할 수 있습니다:
- 기본 서비스 계약에 설명된 서비스를 수행하는 데 필요한 범위에서.
- 법률에 의해 요구되는 경우, 여기에는 미 보건복지부 장관이 요구하는 공개사항을 포함하되 이에 국한되지 않습니다.
- Business Associate의 적절한 관리 및 운영을 위해, 단, 공개가 법률에 의해 요구되는 경우 또는 Business Associate가 제3자로부터 정보가 기밀로 유지된다는 합리적 보장을 받는 경우에 한한다.
- 서비스 계약에 명시적으로 승인된 경우, 피보호 기관(Covered Entity)의 의료 운영과 관련된 데이터 집계 서비스를 제공하기 위함.
Business Associate shall not use or disclose PHI in a manner that would violate the HIPAA Rules if done by Covered Entity, except as expressly permitted in this BAA. Business Associate shall not use PHI for marketing purposes, sell PHI, or use PHI for underwriting purposes.
3. 보호 조치
Business Associate shall implement and maintain administrative, physical, and technical safeguards that reasonably and appropriately protect the confidentiality, integrity, and availability of PHI, including electronic PHI (ePHI), as required by the HIPAA Security Rule. These safeguards include but are not limited to:
- 휴지 상태의 ePHI 암호화는 AES-256을 사용하며 전송 중 암호화는 TLS 1.2 이상을 사용합니다.
- 권한 있는 인원만 PHI에 접근하도록 제한하는 역할 기반 접근 제어.
- PHI에 대한 모든 접근 및 변경사항에 대한 포괄적인 감사 로깅.
- 정기적인 위험 평가 및 취약점 스캔.
- 직원 대상 HIPAA 요구사항 및 보안 인식 교육.
- 서비스에 더 이상 필요하지 않은 PHI의 안전한 폐기 절차.
Business Associate shall ensure that any agent, including subcontractors, to whom it provides PHI agrees to the same restrictions and conditions that apply to Business Associate under this BAA, in accordance with 45 CFR § 164.502(e)(1)(ii).
4. 침해 통지
Business Associate shall report to Covered Entity any use or disclosure of PHI not permitted by this BAA of which it becomes aware, including any Breach of Unsecured PHI as defined in 45 CFR § 164.402. Business Associate shall provide such notification without unreasonable delay and in no event later than thirty (30) calendar days after discovery of the Breach.
통지에는 가능한 범위에서 다음이 포함됩니다:
- 보호되지 않은 PHI에 접근, 획득, 사용 또는 공개되었거나 그럴 것으로 합리적으로 추정되는 각 개인의 식별.
- 침해의 성격에 대한 설명(관련된 PHI의 유형 포함).
- 유출 발생일과 발견일.
- 비즈니스 어소시에이트가 침해를 조사하고 완화하며 향후 발생을 방지하기 위해 취하고 있는 조치에 대한 설명.
- 추가 정보를 제공할 수 있는 담당자들의 연락처 정보.
5. 기간 및 해지
This BAA shall be effective as of the date of execution and shall remain in effect for the duration of the underlying service agreement, unless earlier terminated as provided herein.
Either party may terminate this BAA if it determines that the other party has violated a material term of this BAA. The non-breaching party shall provide the breaching party with written notice of the violation and afford thirty (30) days to cure. If cure is not feasible, the non-breaching party may immediately terminate both this BAA and the underlying service agreement.
Upon termination, Business Associate shall, at the election of Covered Entity, return or destroy all PHI received from or created on behalf of Covered Entity. If return or destruction is not feasible, Business Associate shall extend the protections of this BAA to such PHI and limit further uses and disclosures to those purposes that make return or destruction infeasible.
6. 적용 대상자의 의무
- Covered Entity는 Business Associate의 PHI 사용 또는 공개에 영향을 미칠 수 있는 자체 Notice of Privacy Practices의 어떤 제한사항도 Business Associate에게 통지해야 합니다.
- Covered Entity는 개인이 PHI를 사용하거나 공개하도록 한 권한의 변경 또는 취소가 Business Associate의 허용된 사용 및 공개에 영향을 미칠 수 있는 범위에서 그 변경 사항 또는 권한의 취소를 Business Associate에게 통지해야 합니다.
- Covered Entity는 Business Associate에게 HIPAA 규칙을 위반하는 방식으로 PHI를 사용하거나 공개하도록 요청해서는 안 됩니다.
7. 기타
This BAA shall be governed by and construed in accordance with applicable federal law, including the HIPAA Rules. Any ambiguity in this BAA shall be interpreted to permit compliance with the HIPAA Rules. This BAA constitutes the entire agreement between the parties with respect to the subject matter hereof and supersedes all prior agreements, whether written or oral, relating to the same subject matter.