Esta política describe los términos estándar de HiBoop para procesar la Información de Salud Protegida (PHI) y la Información de Salud Personal (PHI/PI) en nombre de las Entidades Cubiertas en los Estados Unidos y los Custodios de Información de Salud en Canadá.

HiBoop Inc. ("Asociado de Negocios" o "Procesador") reconoce sus obligaciones de proteger la privacidad y la seguridad de los datos de salud que le confían los proveedores de atención médica ("Entidad Cubierta" o "Custodio"). Esta política se aplica a todos los servicios prestados por HiBoop que involucren PHI.

01 Definiciones

Información de Salud Protegida (PHI): Información de salud individualmente identificable según la definición de HIPAA (EE. UU.) y PHIPA/PIPEDA (Canadá), que incluye datos demográficos, historial médico, resultados de pruebas e información de seguros.
Entidad Cubierta/Custodio: El proveedor de atención médica, clínica u organización que utiliza HiBoop para brindar atención.
Incidente de Seguridad: El intento o el éxito del acceso, uso, divulgación, modificación o destrucción no autorizados de la información o la interferencia con las operaciones del sistema.
Violación de seguridad: La adquisición, el acceso, el uso o la divulgación no autorizados de la PHI que compromete la seguridad o la privacidad de dicha información.

02 Usos y divulgaciones permitidos de la PHI

HiBoop puede usar o divulgar la PHI solo cuando sea necesario para prestar los servicios descritos en el Acuerdo Maestro de Servicios, y solo para los siguientes fines:

Tratamiento, Pago y Operaciones (TPO): Procesar, almacenar y transmitir datos de evaluación para respaldar el tratamiento clínico, la coordinación de la atención y las operaciones de la práctica en nombre de la Entidad Cubierta.
Gestión y Administración: Usar la PHI para la propia gestión, administración o para llevar a cabo responsabilidades legales de HiBoop, siempre que cualquier divulgación a un tercero sea requerida por ley o que el tercero dé garantías razonables por escrito de confidencialidad.
Agregación de Datos: Proporcionar servicios de agregación de datos a la Entidad Cubierta según lo permitido por 45 CFR § 164.504(e)(2)(i)(B). Los conjuntos de datos agregados se desidentifican según 45 CFR § 164.514 y nunca se vinculan de nuevo a pacientes individuales.
Requerido por la ley: Divulgar la PHI según lo requiera la ley federal o estatal/provincial aplicable, incluso a los EE. UU. Departamento de Salud y Servicios Humanos (HHS) de los EE. UU. para investigaciones de cumplimiento.

03 Obligaciones del Asociado de Negocios

HiBoop implementará las medidas de seguridad administrativas, físicas y técnicas adecuadas para evitar el uso o la divulgación de la PHI que no esté previsto en este Acuerdo. Esto incluye el cifrado en reposo y en tránsito, los controles de acceso y los registros de auditoría.

Subcontratistas

HiBoop se asegurará de que cualquier subcontratista que cree, reciba, mantenga o transmita PHI en nombre de HiBoop acepte las mismas restricciones y condiciones que se aplican a HiBoop con respecto a dicha información.

04 Obligaciones de la Entidad Cubierta

Proporcionar un Aviso de Prácticas de Privacidad: La Entidad Cubierta deberá notificar a HiBoop de cualquier limitación en su Aviso de Prácticas de Privacidad en la medida en que dicha limitación pueda afectar el uso o la divulgación de la PHI por parte de HiBoop.
Notificar cambios de permiso: La Entidad Cubierta notificará a HiBoop cualquier cambio o revocación del permiso de una persona para usar o divulgar la PHI.
Notificación de Incidentes de Seguridad: La Entidad Cubierta notificará con prontitud a HiBoop cualquier incidente de seguridad que involucre la PHI y que se origine en los sistemas o el personal de la Entidad Cubierta.

05 Informes y notificación de violaciones de seguridad

HiBoop se compromete a informar de cualquier Incidente de Seguridad o Violación de Seguridad a la Entidad Cubierta en un plazo de 24 horas desde su descubrimiento, superando los requisitos reglamentarios estándar de 60 días (HIPAA) o "tan pronto como sea factible" (PIPEDA).

06 Subprocesadores autorizados

HiBoop utiliza los siguientes subprocesadores que pueden procesar la PHI en el curso de la prestación de servicios.

Subprocesador	Propósito	Ubicación de los datos	Cumplimiento
Google Firebase / Cloud	Alojamiento, base de datos, funciones	US-Central1 / Montreal	BAA de HIPAA ✓

07 Especificaciones jurisdiccionales

Estados Unidos (HIPAA)

Este acuerdo sirve como un Acuerdo de Asociado de Negocios formal de la HIPAA. HiBoop se adhiere a la Regla de Seguridad, la Regla de Privacidad y la Regla de Notificación de Violaciones de Seguridad de la HIPAA. Residencia de los datos: US-Central1 (Iowa)

Canadá (PIPEDA / PHIPA)

HiBoop actúa como un “Gestor de Información” en virtud de la PHIPA (Ontario) y las leyes provinciales equivalentes de información de salud. Residencia de los datos: Northamerica-Northeast1 (Montreal)

08 Vigencia y rescisión

Vigencia: Este Acuerdo entrará en vigor a partir de la fecha del Acuerdo Maestro de Servicios y terminará cuando toda la PHI proporcionada por la Entidad Cubierta a HiBoop sea destruida o devuelta.
Efecto de la rescisión: Tras la rescisión, HiBoop devolverá o destruirá toda la PHI recibida de la Entidad Cubierta.

Política del Acuerdo de Asociado de Negocios (BAA)