Legal

Acuerdo de Socio Comercial

Versión 2026-09-09

Acuerdo de Socio Comercial (BAA) — versión 2026-09-09. Complementa los Términos de Servicio y el DPA. Se basa en los elementos exigidos por 45 CFR § 164.504(e) (muestra HHS).

Entre la entidad cubierta o socio comercial cliente que usa TrazaLab (la Entidad Cubierta a efectos de este BAA) y TrazaLab (el Socio Comercial). Contacto: [email protected].

Los términos Breach, Disclosure, Protected Health Information (PHI), Required By Law, Secretary, Security Incident, Subcontractor y Use tienen el significado de las HIPAA Rules (45 CFR Parts 160 y 164).

1. Obligaciones del Socio Comercial

El Socio Comercial acuerda:

  1. No usar ni divulgar PHI salvo lo permitido o exigido por este Acuerdo o por ley.
  2. Usar salvaguardas adecuadas y, respecto de ePHI, cumplir el Subpart C de 45 CFR Part 164 (Security Rule) para impedir usos o divulgaciones no autorizados.
  3. Reportar a la Entidad Cubierta cualquier uso o divulgación no previsto en este Acuerdo del que tenga conocimiento, incluidas brechas de PHI no asegurada según 45 CFR § 164.410, y cualquier incidente de seguridad del que tenga conocimiento.
  4. Asegurar que los subcontratistas que creen, reciban, mantengan o transmitan PHI en su nombre acepten las mismas restricciones y condiciones (45 CFR §§ 164.502(e)(1)(ii) y 164.308(b)(2)).
  5. Poner a disposición PHI en un Designated Record Set según sea necesario para que la Entidad Cubierta cumpla 45 CFR § 164.524 (acceso).
  6. Realizar enmiendas a PHI en un Designated Record Set según indiquen 45 CFR § 164.526.
  7. Mantener y facilitar la información necesaria para un accounting of disclosures según 45 CFR § 164.528.
  8. En la medida en que asuma una obligación de la Entidad Cubierta bajo el Subpart E, cumplir los requisitos aplicables a esa obligación.
  9. Poner a disposición del Secretario sus prácticas, libros y registros relativos al uso y divulgación de PHI para determinar el cumplimiento de las HIPAA Rules.

2. Usos y divulgaciones permitidos

El Socio Comercial solo puede usar o divulgar PHI según sea necesario para prestar el Servicio descrito en los Términos de Servicio / acuerdo de servicios subyacente; según lo exija la ley; y, opcionalmente, para su propia administración y gestión o responsabilidades legales, con las garantías razonables exigidas por 45 CFR § 164.504(e)(4). No usará ni divulgará PHI de forma que violaría el Subpart E si lo hiciera la Entidad Cubierta, salvo esos usos permitidos de administración.

3. Vigencia y terminación

Este BAA entra en vigor con la aceptación electrónica en el registro (o firma posterior) y termina cuando termina el acuerdo de servicios, o antes si la Entidad Cubierta termina por causa tras incumplimiento material. Tras la terminación, el Socio Comercial devolverá o destruirá, si es factible, la PHI que aún mantenga; si la destrucción o devolución no es factible, extenderá las protecciones de este BAA y limitará usos ulteriores a esos fines.

4. Interpretación

Cualquier ambigüedad se resolverá para permitir el cumplimiento de las HIPAA Rules. Este BAA no declara certificación HIPAA de terceros ni sustituye el juicio clínico. Las prácticas de seguridad se alinean con los requisitos técnicos descritos en la documentación pública de TrazaLab; la Entidad Cubierta sigue siendo responsable de su propio programa de cumplimiento.