Acordo de Associado Comercial

1Partes e âmbito

Este Acordo de Associado Comercial (“BAA” ou “Acordo”) é celebrado entre as partes abaixo e implementa os elementos exigidos por 45 CFR § 164.504(e), seguindo as disposições-modelo publicadas pelo HHS.

Quando o cliente for, por sua vez, associado comercial de uma entidade coberta (por exemplo, um laboratório que trabalha para clínicas), este BAA opera como acordo com subcontratado nos termos de 45 CFR § 164.502(e)(1)(ii), e as referências à “Entidade Coberta” entendem-se feitas ao cliente.

Este BAA complementa os Termos de Serviço e o Acordo de Processamento de Dados (DPA).

2Definições

Termos gerais

Os termos seguintes, quando usados neste Acordo, têm o significado que lhes é atribuído pelas HIPAA Rules:

Termos específicos

Associado Comercial

A TrazaLab, com o significado de “business associate” em 45 CFR § 160.103.

Entidade Coberta

O cliente identificado na Seção 1, com o significado de “covered entity” em 45 CFR § 160.103 ou, se aplicável, de associado comercial que contrata a TrazaLab como subcontratado.

HIPAA Rules

As Privacy, Security, Breach Notification e Enforcement Rules em 45 CFR Part 160 e Part 164.

ePHI

PHI transmitida ou mantida em meio eletrônico.

Serviço

A plataforma de coordenação de casos entre clínicas e laboratórios descrita nos Termos de Serviço.

3Obrigações do Associado Comercial

O Associado Comercial concorda em:

1. Limitar o uso e a divulgação. Não usar nem divulgar PHI salvo o permitido ou exigido por este Acordo ou por lei.
2. Aplicar salvaguardas. Usar salvaguardas adequadas e, quanto à ePHI, cumprir o Subpart C de 45 CFR Part 164 (Security Rule) para impedir usos ou divulgações não previstos neste Acordo. 45 CFR §§ 164.308–164.316
3. Reportar usos ou divulgações não permitidos. Reportar à Entidade Coberta qualquer uso ou divulgação de PHI não previsto neste Acordo de que tome conhecimento.
4. Notificar violações de PHI não segura. Notificar a Entidade Coberta sem demora injustificada e, em todo o caso, no máximo 60 dias corridos após a descoberta, incluindo, na medida em que estejam disponíveis, a identificação dos indivíduos afetados e a demais informação de que a Entidade Coberta necessite para suas próprias notificações. 45 CFR §§ 164.410, 164.404(c)
5. Reportar incidentes de segurança. Reportar qualquer incidente de segurança de que tome conhecimento. As partes reconhecem que tentativas sem êxito e rotineiras (como pings, varreduras de portas ou tentativas de login malsucedidas) que não resultem em acesso, uso ou divulgação não autorizados ocorrem continuamente; este parágrafo constitui aviso da sua existência, sem necessidade de relatório adicional.
6. Mitigar. Mitigar, na medida do possível, qualquer efeito prejudicial conhecido de um uso ou divulgação de PHI em violação deste Acordo.
7. Vincular subcontratados. Assegurar que os subcontratados que criem, recebam, mantenham ou transmitam PHI em seu nome aceitem por escrito as mesmas restrições, condições e requisitos. A lista de subprocessadores consta do Anexo A do DPA. 45 CFR §§ 164.502(e)(1)(ii), 164.308(b)(2)
8. Acesso. Disponibilizar a PHI num Designated Record Set na medida necessária para que a Entidade Coberta cumpra suas obrigações de acesso. 45 CFR § 164.524
9. Emendas. Efetuar as emendas à PHI num Designated Record Set indicadas pela Entidade Coberta. 45 CFR § 164.526
10. Prestação de contas das divulgações. Manter e disponibilizar a informação necessária para um accounting of disclosures. 45 CFR § 164.528
11. Obrigações do Subpart E. Na medida em que desempenhe uma obrigação da Entidade Coberta nos termos do Subpart E de 45 CFR Part 164, cumprir os requisitos aplicáveis a essa obrigação.
12. Livros e registros. Disponibilizar ao Secretário suas práticas internas, livros e registros relativos ao uso e divulgação de PHI, para efeitos de determinar o cumprimento das HIPAA Rules.

4Usos e divulgações permitidos

1. Prestação do Serviço. O Associado Comercial pode usar ou divulgar PHI na medida necessária para prestar o Serviço descrito nos Termos de Serviço ou no acordo de serviços subjacente.
2. Exigido por lei. O Associado Comercial pode usar ou divulgar PHI conforme exigido por lei.
3. Mínimo necessário. O Associado Comercial solicitará, usará e divulgará apenas o mínimo necessário, em conformidade com as políticas e procedimentos de mínimo necessário da Entidade Coberta. 45 CFR §§ 164.502(b), 164.514(d)
4. Limite do Subpart E. O Associado Comercial não usará nem divulgará PHI de forma que violaria o Subpart E de 45 CFR Part 164 se fosse feito pela Entidade Coberta, exceto quanto aos usos previstos nas alíneas (e) e (f).
5. Administração própria. O Associado Comercial pode usar PHI para sua própria gestão e administração ou para cumprir suas responsabilidades legais.
6. Divulgação para administração própria. O Associado Comercial pode divulgar PHI para os fins da alínea (e) apenas se a divulgação for exigida por lei, ou se obtiver garantias razoáveis do destinatário de que a informação permanecerá confidencial, será usada ou divulgada apenas conforme exigido por lei ou para o fim para o qual foi divulgada, e de que o destinatário notificará o Associado Comercial de qualquer caso em que tome conhecimento de que a confidencialidade foi violada. 45 CFR § 164.504(e)(4)

5Obrigações da Entidade Coberta

1. Aviso de práticas de privacidade. Informar o Associado Comercial de qualquer limitação no seu Notice of Privacy Practices que possa afetar o uso ou a divulgação de PHI pelo Associado Comercial. 45 CFR § 164.520
2. Alterações de autorização. Informar o Associado Comercial de qualquer alteração ou revogação da autorização de um indivíduo para usar ou divulgar sua PHI, na medida em que possa afetar o Associado Comercial.
3. Restrições acordadas. Informar o Associado Comercial de qualquer restrição ao uso ou divulgação de PHI que a Entidade Coberta tenha acordado ou deva cumprir, na medida em que possa afetar o Associado Comercial. 45 CFR § 164.522
4. Pedidos admissíveis. Não pedir ao Associado Comercial que use ou divulgue PHI de forma não permitida pelo Subpart E se fosse feito pela Entidade Coberta, exceto quanto aos usos de administração previstos na Seção 4.
5. Gestão da sua conta. Gerir os acessos de sua equipe na plataforma, revogá-los quando necessário e carregar apenas a PHI necessária para a finalidade clínica do caso.

6Vigência e cessação

1. Vigência. Este BAA entra em vigor com a aceitação eletrônica no registro (ou assinatura posterior) e mantém-se até que cesse o acordo de serviços, salvo cessação antecipada nos termos da alínea (b).
2. Cessação por justa causa. Se a Entidade Coberta determinar que o Associado Comercial violou uma disposição material deste Acordo e a violação não for sanada no prazo razoável fixado pela Entidade Coberta, esta poderá cessar este BAA e o acordo de serviços.
3. Obrigações após a cessação. Após a cessação, o Associado Comercial devolverá à Entidade Coberta ou destruirá, se for viável, toda a PHI que ainda mantenha, sem conservar cópias. Se a devolução ou destruição não for viável, estenderá as proteções deste Acordo a essa PHI e limitará usos e divulgações posteriores aos fins que tornam a devolução ou destruição inviável, enquanto a mantiver.
4. Subsistência. As obrigações do Associado Comercial previstas na alínea (c) subsistem à cessação deste BAA.

7Disposições gerais

1. Referências normativas. Uma referência neste Acordo a uma seção das HIPAA Rules significa a seção em vigor ou conforme alterada.
2. Alterações. As partes concordam em alterar este Acordo na medida necessária para cumprir os requisitos das HIPAA Rules e de qualquer outra lei aplicável. A TrazaLab publicará as novas versões nesta página e as notificará conforme o previsto nos Termos de Serviço.
3. Interpretação. Qualquer ambiguidade neste Acordo será resolvida de modo a permitir o cumprimento das HIPAA Rules.
4. Prevalência. Em caso de conflito entre este BAA e os Termos de Serviço ou o DPA quanto à PHI, prevalece este BAA.
5. Âmbito. Este BAA não constitui certificação HIPAA de terceiros nem substitui o juízo clínico. As práticas de segurança alinham-se com as medidas técnicas descritas na documentação pública da TrazaLab; a Entidade Coberta continua responsável pelo seu próprio programa de conformidade.

8Aceitação e contato

A Entidade Coberta aceita este BAA eletronicamente ao criar sua conta TrazaLab, na versão publicada nesse momento. As notificações previstas neste Acordo e os pedidos relativos à PHI devem ser enviados para [email protected].

Documentos relacionados

Versão 2026-10-28 · substitui a versão 2026-09-09. Os termos jurídicos em inglês provêm das HIPAA Rules (45 CFR Parts 160 e 164).