Accord de partenariat commercial pour les freelances Verbit

Le présent Accord de partenariat (« APP ») est conclu entre vous (« Partenaire ») et Verbit Software Ltd. et/ou ses entités affiliées (collectivement, « Verbit », et conjointement avec le Partenaire, les « Parties »). Il régit le traitement des données de santé protégées (définies ci-dessous) que vous effectuez pour le compte de Verbit dans le cadre du contrat de services (« Contrat ») conclu entre les Parties. Les dispositions du présent APP complètent le Contrat et y sont réputées intégrées dans leur intégralité. Les termes en majuscules utilisés et non définis dans le présent document ont la même signification que dans le Contrat.

1. DÉFINITIONS ET TERMES GÉNÉRAUX.
   1. Conformément à la loi HIPAA (Health Insurance Portability and Accountability Act) de 1996, à la loi HIPAA (Health Information Technology for Economic and Clinical Health Act) de 2009 et à la loi américaine de relance et de réinvestissement de 2009 (American Recovery and Reinvestment Act) de 2009 (telles que modifiées et y compris leurs règlements d'application, ci-après désignées collectivement par « HIPAA »), le présent accord de partenariat commercial (BAA) définit les obligations des parties en vertu de la loi HIPAA à l'égard des « partenaires commerciaux », tels que définis par les règles de confidentialité, de sécurité, de notification des violations et d'application prévues aux parties 160 et 164 du titre 45 du Code des réglementations fédérales (45 CFR Part 160 et Part 164) (« Règles HIPAA »). Toute référence dans le présent BAA à un article des Règles HIPAA s'entend de cet article dans sa version en vigueur ou telle que modifiée.
   2. Ce BAA vise à garantir que (i) le partenaire commercial établira et mettra en œuvre des mesures de protection appropriées en matière de confidentialité, de sécurité et de violation des données pour les informations de santé protégées (telles que définies dans les règles HIPAA, « PHI ») que le partenaire commercial peut recevoir, créer, conserver, utiliser ou divulguer dans le cadre des fonctions, activités et services que le partenaire commercial effectue pour ou au nom de Verbit.
   3. Sauf indication contraire du contexte, les termes suivants dans le présent BAA auront la même signification que ceux figurant dans les règles HIPAA : violation, agrégation de données, ensemble de dossiers désigné, divulgation, supports électroniques, informations de santé électroniques protégées (ePHI), opérations de soins de santé, individu, minimum nécessaire, avis de pratiques de confidentialité, requis par la loi, secrétaire, incident de sécurité, sous-traitant, PHI non sécurisé et utilisation.
   4. Sauf indication contraire du contexte, les termes en majuscules dans le présent BAA auront la même signification que ceux figurant dans l'Accord.
   5. Dans le présent BAA, toute référence à la règle de confidentialité fait référence aux parties de la partie 160 du titre 45 du CFR et aux sous-parties A et E de la partie 164 qui s’appliquent à un partenaire commercial (la « règle de confidentialité »).
   6. Dans le présent BAA, toute référence à la règle de sécurité fait référence aux parties de la partie 160 du titre 45 du CFR et aux sous-parties A et C de la partie 164 qui s’appliquent à un partenaire commercial (la « règle de sécurité »).
2. OBLIGATIONS GÉNÉRALES DU COLLABORATEUR.
   1. Le partenaire commercial s’engage à recevoir, créer, utiliser et divulguer les informations de santé protégées (ISP) uniquement de manière (i) conforme au présent accord de partenariat commercial et aux règles HIPAA, et uniquement dans le cadre de la prestation de services à Verbit, et (ii) qui ne violerait pas les règles HIPAA, notamment l’article 45 CFR 164.504(e), si l’utilisation ou la divulgation était effectuée par Verbit. Nonobstant ce qui précède,
   2. Le partenaire commercial peut utiliser ou divulguer les renseignements personnels sur la santé conformément à la loi.
   3. Le partenaire commercial s'engage à n'effectuer que les utilisations, divulgations et demandes minimales nécessaires concernant les informations de santé protégées (ISP) lorsque les règles HIPAA l'exigent.
      Le partenaire commercial s'engage à utiliser des mesures de protection appropriées conçues pour se conformer à la règle de sécurité en ce qui concerne les informations de santé électroniques protégées et pour empêcher toute utilisation ou divulgation d'informations de santé protégées autrement que conformément aux dispositions du présent accord de partenariat commercial.
   4. Le partenaire commercial s'engage à atténuer, dans la mesure du possible et de toute manière requise par la loi, tout effet néfaste dont il aurait connaissance à la suite d'une utilisation ou d'une divulgation d'informations médicales protégées par le partenaire commercial en violation des exigences du présent accord de partenariat commercial.
   5. Le partenaire commercial s'engage à signaler sans délai injustifié à Verbit toute violation, réelle ou tentée, de données de santé protégées non sécurisées dont il aurait connaissance, conformément à l'article 164.410 du titre 45 du CFR. La notification par le partenaire commercial d'une violation, réelle ou tentée, de données de santé protégées non sécurisées en vertu de la présente section doit être conforme à tous égards importants aux règles HIPAA.
   6. Le partenaire commercial accepte, conformément aux articles 45 CFR 164.502(e)(1)(ii) et 164.308(b)(2), le cas échéant, d'exiger que tout sous-traitant qui crée, reçoit, conserve ou transmet des informations de santé protégées au nom du partenaire commercial dans le cadre de la prestation de services du partenaire commercial à Verbit accepte les mêmes restrictions, conditions et exigences que celles qui s'appliquent au partenaire commercial en ce qui concerne ces informations.
   7. Si la loi l'exige, le Partenaire commercial s'engage à mettre à disposition les informations de santé protégées (ISP) contenues dans un dossier désigné, au choix exclusif de Verbit, soit Verbit, soit la personne concernée ou son représentant désigné, afin de satisfaire aux obligations de Verbit en vertu de l'article 164.524 du titre 45 du CFR. Le Partenaire commercial s'engage à apporter toute modification aux ISP contenues dans un dossier désigné, conformément aux instructions ou à l'accord de Verbit en vertu de l'article 164.526 du titre 45 du CFR, ou à prendre toute autre mesure nécessaire pour satisfaire aux obligations de Verbit en vertu de l'article 164.526 du titre 45 du CFR, aux frais de Verbit. Aucune disposition des présentes ne saurait être interprétée comme imposant au Partenaire commercial l'obligation de conserver les ISP.
   8. Le partenaire commercial accepte de se conformer à la demande d'une personne de restreindre la divulgation de ses renseignements personnels sur la santé lorsque cette demande a été communiquée au partenaire commercial d'une manière conforme à l'article 45 CFR 164.522, sauf lorsque cette utilisation, divulgation ou demande est requise ou autorisée en vertu de la loi applicable.
   9. Le partenaire commercial accepte de conserver et de mettre à disposition les informations nécessaires pour fournir un compte rendu des divulgations à Verbit, au choix exclusif de Verbit, soit à Verbit, soit à la personne concernée ou à son représentant désigné, selon ce qui est nécessaire pour satisfaire aux obligations de Verbit en vertu du 45 CFR 164.528.
   10. Le partenaire commercial accepte de mettre à la disposition de Verbit (ou du Secrétaire) ses pratiques internes, ses livres et ses registres, y compris ses politiques et procédures concernant les renseignements personnels sur la santé (RPS), relatifs à l'utilisation et à la divulgation des RPS et à la violation de tout RPS non sécurisé reçu de Verbit, ou créé ou reçu par le partenaire commercial au nom de Verbit, afin que Verbit ou le Secrétaire puissent déterminer la conformité aux règles HIPAA.
       Dans la mesure où le partenaire commercial doit exécuter une ou plusieurs obligations de Verbit en vertu de la sous-partie E de la partie 164 du titre 45 du CFR, le partenaire commercial accepte de se conformer aux exigences de la sous-partie E qui s'appliquent à Verbit dans l'exécution de ces obligations.
3. OBLIGATIONS DU VERBIT.
   1. Dans la mesure où cela pourrait avoir un impact sur l'utilisation ou la divulgation des renseignements personnels sur la santé (RPS) par le partenaire commercial en vertu des présentes, Verbit doit : (i) fournir au partenaire commercial l'avis de pratiques en matière de confidentialité que Verbit produit conformément à la règle sur la confidentialité, ainsi que toute modification ou limitation de cet avis en vertu du 45 CFR 164.520 ; (ii) aviser le partenaire commercial de toute restriction à l'utilisation ou à la divulgation des RPS à laquelle Verbit a consenti ou qu'elle est tenue de respecter en vertu du 45 CFR 164.522 ; et (iii) aviser le partenaire commercial de toute modification ou révocation de l'autorisation par une personne d'utiliser ou de divulguer des RPS.
   2. Verbit ne demandera pas à son partenaire commercial d'utiliser ou de divulguer des informations de santé protégées d'une manière qui ne serait pas autorisée par les règles HIPAA si elle était effectuée par Verbit.
4. DURÉE ET RÉSILIATION.
   1. Le présent accord de partenariat commercial (BAA) restera en vigueur jusqu'à la résiliation du contrat.
   2. Dès qu'une Partie a connaissance d'un manquement substantiel de l'autre Partie, la Partie non fautive doit donner à la Partie fautive la possibilité de remédier au manquement ou de mettre fin à la violation. Si la Partie fautive ne remédie pas au manquement ou ne met pas fin à la violation dans un délai raisonnable, n'excédant pas trente jours à compter de la notification du manquement, ou si une clause essentielle du Contrat de Accord de Gestion de la Partie (BAA) a été violée et qu'il est impossible d'y remédier, la Partie non fautive peut résilier le présent BAA et le Contrat par notification écrite à la Partie fautive.
   3. En cas de résiliation du présent accord de partenariat commercial (BAA) pour quelque raison que ce soit, les parties conviennent que le partenaire commercial devra restituer à Verbit ou, si Verbit y consent expressément par écrit, détruire toutes les données de santé protégées (PHI) reçues de Verbit ou pour son compte, ou créées, conservées ou reçues par le partenaire commercial pour le compte de Verbit, et que ce dernier conserve sous quelque forme que ce soit. Le partenaire commercial ne conservera aucune copie des PHI.
5. DIVERS
   1. Entre Verbit et son partenaire commercial, toutes les informations de santé protégées soumises au présent accord de partenariat commercial resteront la propriété exclusive de Verbit.
   2. Les Parties conviennent de prendre les mesures nécessaires pour modifier le présent BAA afin de se conformer aux exigences de la règle de confidentialité, de la règle de sécurité, de la loi HIPAA, de l'ARRA, de la loi HITECH, des règles HIPAA et de toute autre loi applicable.
   3. Le présent accord de partenariat commercial (APC) constitue l'intégralité de l'accord conclu entre les Parties concernant son objet, à l'exception des exigences plus strictes qu'il impose au Partenaire commercial en matière d'utilisation et de protection des données de santé protégées (DSP). Le présent APC annule et remplace toutes les négociations, discussions, déclarations ou propositions antérieures, qu'elles soient orales ou écrites. Il ne peut être modifié que par un avenant écrit et signé par un représentant dûment habilité des deux Parties. Si une disposition quelconque du présent APC, ou une partie de celle-ci, est jugée invalide, les autres dispositions demeurent pleinement applicables.
   4. Le présent accord commercial (BAA) est contraignant pour les successeurs et ayants droit autorisés de Verbit et du Partenaire commercial. Toutefois, Verbit ne peut céder, en tout ou en partie, le présent BAA sans le consentement écrit du Partenaire commercial. Toute tentative de cession contraire à la présente disposition est nulle et non avenue.
   5. Sauf dans la mesure où le droit fédéral le prévaut, le présent BAA sera régi et interprété conformément aux mêmes lois internes que celles de l'Accord.