Avenant relatif aux partenariats commerciaux pour les clients de Verbit

Le présent avenant relatif au partenariat (« APP ») complète les conditions d’utilisation de Verbit disponibles à l’ adresse https://verbit.ai/terms-and-conditions/ , ainsi que tout autre contrat-cadre de services conclu entre les parties et toute commande l’intégrant (collectivement, le « Contrat »). Cet APP entre en vigueur et lie les parties, sans autre signature, dès la sélection de l’option « Conforme à la loi HIPAA » (ou son équivalent) sur une commande ou un cahier des charges applicable (« CC »), et s’applique à chaque service couvert commandé en vertu de celui-ci, tel qu’identifié à l’annexe A des présentes (« Tableau des services »). Le Contrat régit l’utilisation des services couverts par le Client. Les termes en majuscules utilisés dans le présent document et non expressément définis ici ont la même signification que dans le Contrat. Le terme « Partenaire », tel qu’utilisé dans le présent document, désigne le Fournisseur.

I. DÉFINITIONS ET TERMES GÉNÉRAUX.

1. Conformément à la loi HIPAA (Health Insurance Portability and Accountability Act) de 1996, à la loi HIPAA (Health Information Technology for Economic and Clinical Health Act) de 2009 et à la loi américaine de relance et de réinvestissement de 2009 (American Recovery and Reinvestment Act) de 2009 (telles que modifiées et y compris leurs règlements d'application, ci-après désignées collectivement par « HIPAA »), le présent accord de partenariat commercial (BAA) définit les obligations des parties en vertu de la loi HIPAA à l'égard des « partenaires commerciaux », tels que définis par les règles de confidentialité, de sécurité, de notification des violations et d'application prévues aux parties 160 et 164 du titre 45 du Code des réglementations fédérales (45 CFR Part 160 et Part 164) (« Règles HIPAA »). Toute référence dans le présent BAA à un article des Règles HIPAA s'entend de cet article dans sa version en vigueur ou telle que modifiée.
2. Le présent accord de partenariat commercial (BAA) vise à garantir que : (i) le Partenaire commercial mettra en place et appliquera des mesures de protection appropriées en matière de confidentialité, de sécurité et de protection des données relatives aux informations de santé protégées (telles que définies par la loi HIPAA, « ISP ») que le Partenaire commercial peut recevoir, créer, conserver, utiliser ou divulguer dans le cadre des fonctions, activités et services qu’il fournit pour le compte du Client ou de tout utilisateur autorisé du Compte du Client, et qui constituent les Services couverts, tels que définis dans le Cahier des charges ci-joint, dans la limite et sous réserve des droits, exigences et limitations qui y sont énoncés ; et (ii) le Client ne transférera, ne divulguera ni ne donnera accès au Partenaire commercial aux ISP que conformément au présent BAA et aux Conditions d’utilisation des Services couverts, telles que définies dans le Cahier des charges ci-joint. Toutes les obligations découlant des présentes s’appliquent exclusivement à la fourniture des Services couverts par le Partenaire commercial et à leur utilisation par le Client, et uniquement à la version en vigueur et aux autres versions prises en charge des Services au moment de leur utilisation. Nonobstant toute disposition contraire, les versions obsolètes et non prises en charge des Services ne seront pas considérées comme des Services couverts.
3. Sauf indication contraire du contexte, les termes suivants dans le présent BAA auront la même signification que ceux figurant dans les règles HIPAA : violation, agrégation de données, ensemble de dossiers désigné, divulgation, supports électroniques, informations de santé électroniques protégées (ePHI), opérations de soins de santé, individu, minimum nécessaire, avis de pratiques de confidentialité, requis par la loi, secrétaire, incident de sécurité, sous-traitant, PHI non sécurisé et utilisation.
4. Sauf indication contraire du contexte, les termes en majuscules dans le présent BAA auront la même signification que ceux figurant dans l'Accord.
5. Dans le présent BAA, toute référence à la règle de confidentialité fait référence aux parties de la partie 160 du titre 45 du CFR et aux sous-parties A et E de la partie 164 qui s’appliquent à un partenaire commercial (la « règle de confidentialité »).
6. Dans le présent BAA, toute référence à la règle de sécurité fait référence aux parties de la partie 160 du titre 45 du CFR et aux sous-parties A et C de la partie 164 qui s’appliquent à un partenaire commercial (la « règle de sécurité »).
7. Le Client comprend et accepte que les Utilisateurs autorisés soient tenus de respecter toutes les obligations du Client en vertu du présent Accord de partenariat commercial (APC). Tout manquement au présent APC par l'un des Utilisateurs autorisés du Client sera considéré comme un manquement du Client.

II. OBLIGATIONS GÉNÉRALES DU ASSOCIÉ COMMERCIAL.

1. Le Partenaire commercial s'engage à recevoir, créer, utiliser et divulguer les informations de santé protégées (ISP) uniquement de manière (i) conforme au présent accord de partenariat commercial et aux règles HIPAA, et uniquement dans le cadre de la prestation de services au Client, et (ii) qui ne contreviendrait pas aux règles HIPAA, notamment à l'article 164.504(e) du titre 45 du CFR, si l'utilisation ou la divulgation était effectuée par le Client. Nonobstant ce qui précède, le Partenaire commercial peut utiliser ou divulguer les ISP lorsque la loi l'exige.
2. Le partenaire commercial s'engage à n'effectuer que les utilisations, divulgations et demandes minimales nécessaires concernant les informations de santé protégées (ISP) lorsque les règles HIPAA l'exigent.
3. Le partenaire commercial s'engage à utiliser des mesures de protection appropriées et à se conformer à la règle de sécurité en ce qui concerne les informations de santé électroniques protégées (ePHI) et à empêcher toute utilisation ou divulgation d'informations de santé protégées (PHI) autrement que conformément aux dispositions du présent accord de partenariat commercial (BAA).
4. Le partenaire commercial s'engage à atténuer, dans la mesure du possible et de toute manière requise par la loi, tout effet néfaste dont il aurait connaissance à la suite d'une utilisation ou d'une divulgation d'informations médicales protégées par le partenaire commercial en violation des exigences du présent accord de partenariat commercial.
5. Le Partenaire s'engage à signaler sans délai au Client toute violation de données de santé protégées non sécurisées dont il aurait connaissance, conformément à l'article 164.410 du titre 45 du CFR. La notification de violation de données de santé protégées non sécurisées par le Partenaire, en vertu de la présente section, devra être conforme, à tous égards importants, aux règles HIPAA. Le Partenaire s'engage également à signaler sans délai au Client, après en avoir eu connaissance : (i) toute utilisation ou divulgation de données de santé protégées non prévue par le présent Accord de partenariat ; et (ii) tout incident de sécurité entraînant un accès non autorisé à des données de santé protégées électroniques (ePHI), ou leur utilisation, divulgation, modification ou destruction non autorisées. Le Partenaire fournit par les présentes, et le Client reconnaît par les présentes, la présente notification générale relative à la survenue continue d'incidents de sécurité, qu'ils soient tentés, non résolus ou mineurs, n'entraînant pas de violation de données de santé protégées non sécurisées.
6. Le partenaire commercial accepte, conformément aux articles 45 CFR 164.502(e)(1)(ii) et 164.308(b)(2), le cas échéant, d'exiger que tout sous-traitant qui crée, reçoit, conserve ou transmet des informations de santé protégées au nom du partenaire commercial dans le cadre de la prestation de services du partenaire commercial au client accepte les mêmes restrictions, conditions et exigences que celles qui s'appliquent au partenaire commercial en ce qui concerne ces informations.
7. Si la loi l'exige, le Partenaire commercial s'engage à mettre à disposition, au choix exclusif du Client, les informations de santé protégées (ISP) contenues dans un dossier désigné, soit le Client, soit la personne concernée ou son représentant désigné, afin de satisfaire aux obligations du Client en vertu de l'article 164.524 du titre 45 du CFR. Le Partenaire commercial s'engage à apporter toute modification aux ISP contenues dans un dossier désigné, conformément aux instructions ou à l'accord du Client en vertu de l'article 164.526 du titre 45 du CFR, ou à prendre toute autre mesure nécessaire pour satisfaire aux obligations du Client en vertu de l'article 164.526 du titre 45 du CFR, aux frais du Client. Aucune disposition des présentes ne saurait être interprétée comme imposant au Partenaire commercial l'obligation de conserver les ISP.
8. Le partenaire commercial accepte de se conformer à la demande d'une personne de restreindre la divulgation de ses renseignements personnels sur la santé lorsque cette demande a été communiquée au partenaire commercial d'une manière conforme à l'article 45 CFR 164.522, sauf lorsque cette utilisation, divulgation ou demande est requise ou autorisée en vertu de la loi applicable.
9. Le partenaire commercial s'engage à conserver et à mettre à disposition les informations nécessaires pour fournir un compte rendu des divulgations, au choix exclusif du client, soit au client, soit à la personne concernée ou à son représentant désigné, selon ce qui est nécessaire pour satisfaire aux obligations du client en vertu du 45 CFR 164.528.
10. Le Partenaire s'engage à mettre à la disposition du Client (ou du Secrétaire) ses pratiques internes, sa comptabilité et ses registres, y compris ses politiques et procédures relatives aux informations de santé protégées (ISP), à leur utilisation et à leur divulgation, ainsi qu'à toute violation de données ISP non sécurisées reçues du Client ou créées ou reçues par le Partenaire pour le compte du Client. Ces documents permettront au Client (ou au Secrétaire) de vérifier la conformité aux règles HIPAA. Le Client prendra en charge les frais raisonnables engagés par le Partenaire en réponse à toute demande formulée par le Client ou le Secrétaire en application du présent article.
11. Dans la mesure où le partenaire commercial doit exécuter une ou plusieurs obligations du client en vertu de la sous-partie E de la partie 164 du titre 45 du CFR, le partenaire commercial accepte de se conformer aux exigences de la sous-partie E qui s'appliquent au client dans l'exécution de ces obligations.
12. Nonobstant toute disposition contraire des présentes, le Client reconnaît et accepte que les obligations et responsabilités du Partenaire Commercial aux termes des présentes se limitent à la transmission, à l'utilisation, au stockage et à la divulgation des RSP conformément à l'utilisation par le Client des Services Couverts, strictement conformément aux exigences et limitations du présent Accord de Partenariat Commercial, y compris les Calendriers de Service applicables ; et que le Partenaire Commercial n'assume aucune responsabilité quant à l'utilisation ou au stockage des RSP sur des systèmes hors du contrôle raisonnable du Partenaire Commercial (par exemple, stockage local ou stockage en nuage par le Client, les Utilisateurs Autorisés ou des tiers).

III. OBLIGATIONS DU CLIENT.

1. Dans la mesure où cela pourrait avoir un impact sur l'utilisation ou la divulgation des renseignements personnels sur la santé (RPS) par le partenaire commercial en vertu des présentes, le client doit : (i) fournir au partenaire commercial l'avis de pratiques de confidentialité qu'il produit conformément à la règle de confidentialité, ainsi que toute modification ou limitation de cet avis en vertu du 45 CFR 164.520 ; (ii) informer le partenaire commercial de toute restriction à l'utilisation ou à la divulgation des RPS à laquelle le client a consenti ou qu'il est tenu de respecter en vertu du 45 CFR 164.522 ; et (iii) informer le partenaire commercial de toute modification ou révocation de l'autorisation d'une personne d'utiliser ou de divulguer des RPS.
2. Le client est seul responsable de veiller à ce qu'il n'utilise pas (et qu'il n'incite pas les patients à) les Services couverts pour divulguer, utiliser, transmettre ou stocker des informations de santé protégées, sauf dans les limites autorisées par les exigences du présent accord de partenariat commercial et de la loi HIPAA, et il doit défendre, indemniser et tenir le fournisseur à l'abri de toute réclamation ou perte découlant d'une violation de ce qui précède.
3. Le Client reconnaît et accepte que les Services couverts peuvent être consultés et utilisés via ses propres systèmes, comptes, intégrations et environnements. Le Client reconnaît et accepte également qu'il est seul responsable de s'assurer que ces systèmes, comptes, intégrations ou environnements, ainsi que leur configuration et leur utilisation des Services couverts, sont conformes à ses obligations en vertu de la loi HIPAA, notamment : (i) lorsque la loi applicable l'oblige à utiliser un service ou une configuration conforme à la loi HIPAA, il est seul responsable de la sélection et de l'activation de l'option conforme (y compris en cochant la case « Conforme à la loi HIPAA » sur le bon de commande ou le cahier des charges applicable) ; et (ii) il est seul responsable du respect des bonnes pratiques de sécurité lors de la transmission de fichiers et autres contenus vers les Services couverts, ainsi que lors de l'accès aux transcriptions et autres résultats.
4. Le client ne doit pas demander à son partenaire commercial d'utiliser ou de divulguer des renseignements personnels sur la santé d'une manière qui ne serait pas permise par les règles HIPAA si elle était effectuée par le client lui-même.

IV. DURÉE ET RÉSILIATION.

1. Le présent BAA sera en vigueur à l’égard de chaque Service couvert conformément au calendrier de service applicable, à condition qu’il prenne fin à la première des dates suivantes : (i) la résiliation du présent BAA par l’une ou l’autre des parties pour manquement grave, ou (ii) la résiliation de l’accord.
2. Dès qu'une Partie a connaissance d'un manquement substantiel de l'autre Partie, la Partie non fautive doit donner à la Partie fautive la possibilité de remédier au manquement ou de mettre fin à la violation. Si la Partie fautive ne remédie pas au manquement ou ne met pas fin à la violation dans un délai raisonnable, n'excédant pas trente jours à compter de la notification du manquement, ou si une clause essentielle du Contrat de Accord de Gestion de la Partie (BAA) a été violée et qu'il est impossible d'y remédier, la Partie non fautive peut résilier le présent BAA et le Contrat par notification écrite à la Partie fautive.
3. En cas de résiliation du présent accord de partenariat commercial (APC) pour quelque raison que ce soit, les Parties conviennent que le Partenaire commercial restituera au Client ou, si le Client y consent expressément par écrit, détruira toutes les informations de santé protégées (ISP) reçues du Client ou pour son compte, ou créées, conservées ou reçues par le Partenaire commercial pour le compte du Client, et que le Partenaire commercial conserve sous quelque forme que ce soit. Le Partenaire commercial ne conservera aucune copie des ISP, sauf si la restitution ou la destruction des ISP s'avère impossible. Dans ce cas, le Partenaire commercial étendra les protections du présent APC à ces ISP et limitera toute utilisation ou divulgation ultérieure aux fins qui rendent la restitution ou la destruction impossible, et ce, tant qu'il conserve ces ISP. Sans limiter ce qui précède, le partenaire commercial peut conserver (i) les informations de santé protégées contenues dans des supports de sauvegarde ou de reprise après sinistre sécurisés et de routine ou dans des journaux générés par le système qui ne peuvent pas être supprimés sélectivement dans le cours normal des affaires, jusqu'à ce que ces supports ou journaux soient remplacés dans le cours normal des affaires, pendant la période où le partenaire commercial ne doit pas accéder à ces informations de santé protégées, les utiliser ou les divulguer, sauf si cela est nécessaire pour maintenir la fonction de sauvegarde ou de journalisation applicable ou si la loi l'exige ; et (ii) les données dépersonnalisées créées conformément à 45 CFR § 164.514(a)-(b).

V. DIVERS

1. Entre le Client et le Partenaire Commercial, toutes les informations de santé protégées soumises au présent accord de partenariat commercial restent la propriété exclusive du Client.
2. Les Parties conviennent de prendre les mesures nécessaires pour modifier le présent BAA afin de se conformer aux exigences de la règle de confidentialité, de la règle de sécurité, de la loi HIPAA, de l'ARRA, de la loi HITECH, des règles HIPAA et de toute autre loi applicable.
3. Le présent accord de partenariat commercial (BAA) constitue l'intégralité de l'accord conclu entre les parties concernant son objet, à l'exception des exigences plus strictes que l'accord impose au partenaire commercial en matière d'utilisation et de protection des informations de santé protégées (ISP). Le présent BAA annule et remplace toutes les négociations, discussions, déclarations ou propositions antérieures, qu'elles soient orales ou écrites. Le partenaire commercial peut modifier le présent BAA conformément aux dispositions relatives aux modifications prévues par l'accord, notamment en publiant une version mise à jour à l'adresse URL mentionnée ci-dessus. Toute modification devra être conforme aux exigences de la réglementation HIPAA. Si une disposition du présent BAA, ou une partie de celle-ci, est jugée invalide, les autres dispositions demeurent en vigueur.
4. Le présent accord commercial (BAA) est contraignant pour les successeurs et ayants droit autorisés du Client et du Partenaire commercial. Toutefois, le Client ne peut céder, en tout ou en partie, le présent BAA sans l'accord écrit du Partenaire commercial. Toute tentative de cession contraire à la présente disposition est nulle et non avenue.
5. Sauf dans la mesure où le droit fédéral le prévaut, le présent BAA sera régi et interprété conformément aux mêmes lois internes que celles de l'Accord.
6. Les limitations de responsabilité, les exclusions et les exonérations de dommages, ainsi que les dispositions relatives à la répartition des risques énoncées dans l'Accord s'appliquent au présent BAA et à toute réclamation découlant du présent BAA ou s'y rapportant, y compris toute réclamation relative aux informations de santé protégées, et l'objet du présent BAA est considéré comme faisant partie de l'Accord aux fins de ces dispositions, dans chaque cas sauf disposition expresse contraire de l'Accord.
7. Le présent accord de partenariat commercial (APC) ne crée, et ne saurait être interprété comme créant, aucun droit au profit de tiers, y compris toute personne dont les données de santé protégées sont utilisées, divulguées, créées, reçues, conservées ou transmises en vertu du présent APC. Aucun de ces tiers ne sera considéré comme bénéficiaire du présent APC ni ne pourra se prévaloir d'une quelconque disposition de celui-ci.

ANNEXE A
Calendrier de service

Chacun des Services suivants sera considéré comme un Service Couvert uniquement dans la mesure où l'utilisation du Client est conforme à toutes les conditions correspondantes (« Conditions d'utilisation ») associées à ce Service Couvert, telles qu'elles sont énoncées dans le tableau ci-dessous.