Acuerdo de Socio Comercial

1Partes y alcance

Este Acuerdo de Socio Comercial (“BAA” o “Acuerdo”) se celebra entre las partes indicadas abajo e implementa los elementos exigidos por 45 CFR § 164.504(e), siguiendo las disposiciones modelo publicadas por el HHS.

Cuando el cliente sea a su vez socio comercial de una entidad cubierta (por ejemplo, un laboratorio que trabaja para clínicas), este BAA opera como acuerdo con subcontratista conforme a 45 CFR § 164.502(e)(1)(ii), y las referencias a la “Entidad Cubierta” se entienden hechas al cliente.

Este BAA complementa los Términos de Servicio y el Acuerdo de Encargo de Tratamiento (DPA).

2Definiciones

Términos generales

Los siguientes términos, cuando se usan en este Acuerdo, tienen el significado que les dan las HIPAA Rules:

Términos específicos

Socio Comercial

TrazaLab, con el significado de “business associate” de 45 CFR § 160.103.

Entidad Cubierta

El cliente identificado en la Sección 1, con el significado de “covered entity” de 45 CFR § 160.103 o, en su caso, de socio comercial que contrata a TrazaLab como subcontratista.

HIPAA Rules

Las Privacy, Security, Breach Notification y Enforcement Rules de 45 CFR Part 160 y Part 164.

ePHI

PHI transmitida o mantenida en medios electrónicos.

Servicio

La plataforma de coordinación de casos entre clínicas y laboratorios descrita en los Términos de Servicio.

3Obligaciones del Socio Comercial

El Socio Comercial acuerda:

1. Limitar el uso y la divulgación. No usar ni divulgar PHI salvo lo permitido o exigido por este Acuerdo o por la ley.
2. Aplicar salvaguardas. Usar salvaguardas adecuadas y, respecto de la ePHI, cumplir el Subpart C de 45 CFR Part 164 (Security Rule) para impedir usos o divulgaciones no previstos en este Acuerdo. 45 CFR §§ 164.308–164.316
3. Reportar usos o divulgaciones no permitidos. Reportar a la Entidad Cubierta cualquier uso o divulgación de PHI no previsto en este Acuerdo del que tenga conocimiento.
4. Notificar brechas de PHI no asegurada. Notificar a la Entidad Cubierta sin demora injustificada y, en cualquier caso, a más tardar 60 días naturales después de su descubrimiento, incluyendo, en la medida en que esté disponible, la identificación de las personas afectadas y la demás información que la Entidad Cubierta necesite para sus propias notificaciones. 45 CFR §§ 164.410, 164.404(c)
5. Reportar incidentes de seguridad. Reportar cualquier incidente de seguridad del que tenga conocimiento. Las partes reconocen que los intentos rutinarios no exitosos (como pings, escaneos de puertos o intentos fallidos de inicio de sesión) que no resultan en acceso, uso o divulgación no autorizados ocurren de forma continua; este párrafo sirve como aviso de su existencia, sin necesidad de reporte adicional.
6. Mitigar. Mitigar, en la medida de lo practicable, cualquier efecto perjudicial conocido de un uso o divulgación de PHI en incumplimiento de este Acuerdo.
7. Vincular a subcontratistas. Asegurar que los subcontratistas que creen, reciban, mantengan o transmitan PHI en su nombre acepten por escrito las mismas restricciones, condiciones y requisitos. La lista de subencargados figura en el Anexo A del DPA. 45 CFR §§ 164.502(e)(1)(ii), 164.308(b)(2)
8. Acceso. Poner a disposición la PHI de un Designated Record Set en la medida necesaria para que la Entidad Cubierta cumpla sus obligaciones de acceso. 45 CFR § 164.524
9. Enmiendas. Realizar las enmiendas a la PHI de un Designated Record Set que indique la Entidad Cubierta. 45 CFR § 164.526
10. Registro de divulgaciones. Mantener y facilitar la información necesaria para un accounting of disclosures. 45 CFR § 164.528
11. Obligaciones del Subpart E. En la medida en que asuma una obligación de la Entidad Cubierta bajo el Subpart E de 45 CFR Part 164, cumplir los requisitos aplicables a esa obligación.
12. Libros y registros. Poner a disposición del Secretario sus prácticas internas, libros y registros relativos al uso y divulgación de PHI, para determinar el cumplimiento de las HIPAA Rules.

4Usos y divulgaciones permitidos

1. Prestación del Servicio. El Socio Comercial puede usar o divulgar PHI según sea necesario para prestar el Servicio descrito en los Términos de Servicio o en el acuerdo de servicios subyacente.
2. Exigido por ley. El Socio Comercial puede usar o divulgar PHI según lo exija la ley.
3. Mínimo necesario. El Socio Comercial solicitará, usará y divulgará solo el mínimo necesario, de acuerdo con las políticas y procedimientos de mínimo necesario de la Entidad Cubierta. 45 CFR §§ 164.502(b), 164.514(d)
4. Límite del Subpart E. El Socio Comercial no usará ni divulgará PHI de forma que violaría el Subpart E de 45 CFR Part 164 si lo hiciera la Entidad Cubierta, salvo los usos previstos en los incisos (e) y (f).
5. Administración propia. El Socio Comercial puede usar PHI para su propia administración y gestión o para cumplir sus responsabilidades legales.
6. Divulgación para administración propia. El Socio Comercial puede divulgar PHI para los fines del inciso (e) solo si la divulgación es exigida por ley, o si obtiene garantías razonables del destinatario de que la información se mantendrá confidencial, se usará o divulgará solo según exija la ley o para el fin para el que se divulgó, y de que el destinatario notificará al Socio Comercial cualquier caso del que tenga conocimiento en que se haya violado su confidencialidad. 45 CFR § 164.504(e)(4)

5Obligaciones de la Entidad Cubierta

1. Aviso de prácticas de privacidad. Informar al Socio Comercial de cualquier limitación en su Notice of Privacy Practices que pueda afectar el uso o la divulgación de PHI por el Socio Comercial. 45 CFR § 164.520
2. Cambios de autorización. Informar al Socio Comercial de cualquier cambio o revocación de la autorización de una persona para usar o divulgar su PHI, en la medida en que pueda afectar al Socio Comercial.
3. Restricciones acordadas. Informar al Socio Comercial de cualquier restricción al uso o divulgación de PHI que la Entidad Cubierta haya acordado o deba cumplir, en la medida en que pueda afectar al Socio Comercial. 45 CFR § 164.522
4. Solicitudes admisibles. No solicitar al Socio Comercial que use o divulgue PHI de una forma que no sería admisible bajo el Subpart E si la realizara la Entidad Cubierta, salvo los usos de administración previstos en la Sección 4.
5. Gestión de su cuenta. Gestionar los accesos de su equipo en la plataforma, revocarlos cuando sea necesario y subir solo la PHI necesaria para el fin clínico del caso.

6Vigencia y terminación

1. Vigencia. Este BAA entra en vigor con la aceptación electrónica en el registro (o firma posterior) y permanece vigente hasta que termine el acuerdo de servicios, salvo terminación anticipada conforme al inciso (b).
2. Terminación por causa. Si la Entidad Cubierta determina que el Socio Comercial ha incumplido una disposición material de este Acuerdo y el incumplimiento no se subsana en el plazo razonable que fije la Entidad Cubierta, esta podrá terminar este BAA y el acuerdo de servicios.
3. Obligaciones tras la terminación. Tras la terminación, el Socio Comercial devolverá a la Entidad Cubierta o destruirá, si es factible, toda la PHI que aún mantenga, sin conservar copias. Si la devolución o destrucción no es factible, extenderá las protecciones de este Acuerdo a esa PHI y limitará los usos y divulgaciones posteriores a los fines que hacen inviable su devolución o destrucción, mientras la mantenga.
4. Supervivencia. Las obligaciones del Socio Comercial previstas en el inciso (c) subsisten tras la terminación de este BAA.

7Disposiciones generales

1. Referencias normativas. Una referencia en este Acuerdo a una sección de las HIPAA Rules significa la sección vigente o según sea modificada.
2. Modificaciones. Las partes acuerdan modificar este Acuerdo en la medida necesaria para cumplir los requisitos de las HIPAA Rules y de cualquier otra ley aplicable. TrazaLab publicará las nuevas versiones en esta página y las notificará conforme a lo previsto en los Términos de Servicio.
3. Interpretación. Cualquier ambigüedad en este Acuerdo se resolverá de forma que permita el cumplimiento de las HIPAA Rules.
4. Prelación. En caso de conflicto entre este BAA y los Términos de Servicio o el DPA respecto de la PHI, prevalece este BAA.
5. Alcance. Este BAA no constituye una certificación HIPAA de terceros ni sustituye el juicio clínico. Las prácticas de seguridad se alinean con las medidas técnicas descritas en la documentación pública de TrazaLab; la Entidad Cubierta sigue siendo responsable de su propio programa de cumplimiento.

8Aceptación y contacto

La Entidad Cubierta acepta este BAA electrónicamente al crear su cuenta TrazaLab, en la versión publicada en ese momento. Los avisos conforme a este Acuerdo y las solicitudes relativas a la PHI deben enviarse a [email protected].

Documentos relacionados

Versión 2026-10-28 · sustituye a la versión 2026-09-09. Los términos jurídicos en inglés provienen de las HIPAA Rules (45 CFR Parts 160 y 164).