Business Associate Agreement (BAA)

1. Definiciones

Los términos en mayúsculas no definidos aquí tienen el significado que les dan las Privacy Rule, Security Rule y Breach Notification Rule de HIPAA (45 CFR partes 160 y 164). A efectos de este BAA:

• "PHI" (Protected Health Information): información de salud individualmente identificable, según se define en 45 CFR §160.103, creada, recibida, mantenida o transmitida por RUFÜS en nombre del Cliente.
• "ePHI" (Electronic PHI): PHI transmitida o mantenida en formato electrónico.
• "Covered Entity" (Entidad Cubierta): el Cliente, cuando es proveedor de atención sanitaria sujeto a HIPAA.
• "Business Associate" (Asociado de Negocios): RUFÜS, en tanto trata PHI por cuenta del Cliente.
• "Security Incident" (Incidente de Seguridad): intento o materialización exitosa de acceso, uso, divulgación, modificación o destrucción no autorizada de información o interferencia con la operación de un sistema de información.
• "Breach" (Brecha): adquisición, acceso, uso o divulgación no permitida de PHI que comprometa su seguridad o privacidad, conforme a 45 CFR §164.402.
• "Subcontratista": cualquier persona o entidad a la que RUFÜS delegue, total o parcialmente, una función que implique el tratamiento de PHI.

2. Usos y divulgaciones permitidas de PHI

RUFÜS solo usará o divulgará PHI:

• Para prestar los Servicios al Cliente, según el contrato de servicio.
• Para fines de gestión y administración propias de RUFÜS, o para cumplir con las responsabilidades legales de RUFÜS, siempre que la divulgación sea exigida por ley o que RUFÜS obtenga garantías razonables del receptor de que la información será conservada como confidencial y solo se usará o divulgará según lo exija la ley o para el propósito por el que fue divulgada, y que el receptor notificará a RUFÜS cualquier instancia de la que tenga conocimiento en la que la confidencialidad haya sido comprometida.
• Para realizar Servicios de Agregación de Datos (Data Aggregation Services) relacionados con las operaciones de salud del Cliente, en la medida en que el Cliente lo haya solicitado.
• Según lo requiera la ley.

3. Obligaciones del Asociado de Negocios

RUFÜS se compromete a:

• No usar ni divulgar PHI de forma distinta a lo permitido o exigido por este BAA o por la ley.
• Implementar y mantener salvaguardas administrativas, físicas y técnicas razonables y apropiadas que protejan la confidencialidad, integridad y disponibilidad de la ePHI que RUFÜS cree, reciba, mantenga o transmita por cuenta del Cliente, conforme a la Security Rule (45 CFR partes 164.308, 164.310, 164.312 y 164.316).
• Reportar al Cliente cualquier uso o divulgación de PHI no prevista en este BAA de la que RUFÜS tenga conocimiento, incluyendo Brechas de PHI no Asegurada ("unsecured PHI") según 45 CFR §164.410.
• Reportar al Cliente cualquier Incidente de Seguridad del que RUFÜS tenga conocimiento.
• Asegurar que cualquier Subcontratista que cree, reciba, mantenga o transmita PHI por cuenta de RUFÜS acepte por escrito las mismas restricciones, condiciones y requisitos que se aplican a RUFÜS en este BAA, mediante un BAA equivalente.
• Poner la PHI a disposición del Cliente para que pueda atender el derecho de acceso del individuo conforme a 45 CFR §164.524.
• Poner la PHI a disposición del Cliente para realizar enmiendas conforme a 45 CFR §164.526, e incorporar las enmiendas que el Cliente le indique.
• Mantener y poner a disposición del Cliente la información necesaria para que el Cliente pueda atender el derecho del individuo a obtener un cómputo de divulgaciones conforme a 45 CFR §164.528.
• Cumplir con los requisitos aplicables de la Privacy Rule en la medida en que RUFÜS ejecute una obligación del Cliente.
• Poner a disposición del Cliente y del Secretario de Salud y Servicios Humanos ("HHS") sus prácticas internas, libros y registros relativos al uso y divulgación de PHI, a efectos de determinar el cumplimiento del Cliente con la Privacy Rule.

4. Notificación de Brechas e Incidentes

RUFÜS notificará al Cliente cualquier Brecha de PHI no Asegurada sin demora indebida y, en cualquier caso, dentro de los 30 días naturales siguientes al descubrimiento, conforme a 45 CFR §164.410. RUFÜS se esforzará por notificar dentro de las 72 horas siguientes al descubrimiento siempre que sea razonablemente posible.

La notificación incluirá, en la medida disponible: identificación de cada individuo cuya PHI haya sido o se sospeche razonablemente que ha sido objeto de la Brecha; descripción de lo ocurrido, fechas, tipo de PHI afectado, medidas tomadas y recomendadas.

Los Incidentes de Seguridad menores (intentos de acceso sin éxito, pings, scans rutinarios y similares) se reportan en formato agregado periódico.

5. Subcontratistas

RUFÜS celebrará BAAs equivalentes con cualquier Subcontratista que cree, reciba, mantenga o transmita PHI por cuenta de RUFÜS, conforme a 45 CFR §164.502(e)(1)(ii) y §164.308(b)(2).

La lista actual de Subcontratistas que pueden tratar PHI está disponible para el Cliente bajo petición a privacy@rufus.solutions y, a la fecha de este BAA, puede incluir: OpenAI, ElevenLabs, Twilio, Stripe, Hetzner, Vercel, Cal.com, en función de la configuración del Servicio contratado por el Cliente.

6. Vigencia y terminación

Este BAA entra en vigor en la fecha de firma por las partes y permanece vigente mientras RUFÜS preste el Servicio al Cliente.

El Cliente puede terminar este BAA y el contrato de servicio si determina, a su criterio razonable, que RUFÜS ha incurrido en un incumplimiento material y no lo subsana en un plazo razonable, no inferior a 30 días, desde la notificación por escrito.

Si la terminación de este BAA no es razonablemente posible, el Cliente puede reportar el incumplimiento al Secretario de HHS.

7. Devolución o destrucción de PHI al terminar

A la terminación de este BAA, RUFÜS devolverá al Cliente o destruirá toda la PHI recibida del Cliente, o creada, mantenida o recibida por RUFÜS por cuenta del Cliente, que RUFÜS mantenga en cualquier forma. RUFÜS no conservará copias de la PHI.

Si devolver o destruir la PHI no es razonablemente posible, RUFÜS extenderá a esa PHI las protecciones de este BAA y limitará los usos y divulgaciones de esa PHI a los propósitos que hacen imposible su devolución o destrucción, mientras RUFÜS la mantenga.

8. Disposiciones varias

Cualquier ambigüedad de este BAA se resolverá a favor de la interpretación que permita al Cliente cumplir con HIPAA.

Las referencias en este BAA a una sección de las regulaciones de HIPAA se entenderán hechas a la versión vigente en cada momento.

Las partes acuerdan tomar las acciones necesarias para enmendar este BAA cuando sea preciso para mantener el cumplimiento con HIPAA, HITECH y normativa de desarrollo.

Si alguna disposición se declarara nula, el resto mantendrá su plena vigencia. Las disposiciones que por su naturaleza deban sobrevivir a la terminación (notificación de brechas, devolución/destrucción, supervivencia de obligaciones sobre PHI no devuelta) sobrevivirán.

9. Ley aplicable, idioma e interpretación

Este BAA se rige por las leyes federales aplicables de EE. UU. (HIPAA, HITECH y normativa de desarrollo). En lo no regulado por la legislación federal, se aplican las leyes del estado de Carolina del Sur.

Este BAA se publica en español e inglés. En caso de discrepancia entre versiones, prevalecerá la versión en inglés, al ser HIPAA ley federal de EE. UU. en inglés y al ser EE. UU. la jurisdicción primaria del BAA.

Cualquier consulta sobre este BAA puede dirigirse a privacy@rufus.solutions.