SHAREFILE业务伙伴协议选编.PDFVIP

SHAREFILE 业务伙伴协议 本业务伙伴协议（“BA 协议”）依据客户（“适用实体”）与 Citrix 之间最终用户服务协议（“EUSA”） 第 5 部分的条款而生效。 适用实体和 Citrix 是 EUSA 的当事双方，Citrix 依据该协议向适用实体提供 Sharefile 服务，对 于此类服务，Citrix 的附属公司 ShareFile LLC （“ShareFile”或“业务伙伴”）将提供此类服务， 并且可能会接收、使用和/或披露或代表适用实体接收、使用和/或披露与适用实体的病人相关的某些 受保护健康信息，此类接收、使用或披露行为必须遵守 1996 年的《健康保险流通及责任法案》 (Health Insurance Portability and Accountability Act， HIPAA) 和《医疗信息技术促进经济和临床 健康法案》(Health Information Technology for Economic and Clinical Health Act, HITECH 法案)。 基于此类活动，当事方认定 ShareFile 是适用实体的业务伙伴。适用实体和业务伙伴需要在所有方 面遵守适用于适用实体与其业务伙伴之间关系的 HIPAA 和 HITECH 法案的要求。适用实体和业 务伙伴还应遵守《针对医疗信息技术促进经济和临床健康法案和个人基因信息非歧视法案下 HIPAA 隐私、安全、强制实施和违反通知规则的修订条例》，该条例于 2013 年 1 月 25 日发布。 1. 定义。在本 BA 协议中使用但未另行定义的术语与隐私规则或安全规则中阐明的术语具有相同 的含义。 (a) 违反。“违反”是指以隐私规则中不允许的方式未经授权地获取、访问、使用或披露受 保护健康信息，并且危及了此类信息安全性或隐私。以下行为不构成“违反”： (i) 适用实体或业务伙伴授权的工作成员或人员无意中获取、访问或使用受保护的健 康信息，并且此类获取、访问或使用行为是出于善意在授权范围内进行的，没有 导致进一步以隐私规则不允许的方式使用或披露此信息。 (ii) 适用实体或业务伙伴内部有权访问受保护健康信息的个人不慎将此类信息披露给 适用实体或业务伙伴内部有权访问受保护健康信息的另一人，并且没有进一步以 隐私规则不允许的方式使用或披露因此次披露所接收到的信息。 (iii) 适用实体或业务伙伴有充分的理由相信接收被披露的受保护健康信息的未经授权 人员没有理由会一直保留此类信息。 除上述 (i)-(iii) 所述之例外情况外，以隐私规则不允许的方式获取、访问、使用或披露受保护健康信 息均视为“违反”行为，除非在适用情况下，适用实体或业务伙伴能够根据以下至少一条风险评估 因素证明受保护健康信息被泄露的可能性很低： (i) 所涉及的受保护健康信息的性质和程度，包括鉴定者的类型和重新鉴定的可能性； (ii) 使用受保护健康信息的未经授权人员或接收被披露信息的人员； (iii) 受保护健康信息是否被实际获取或查看；以及 (iv) 受保护健康信息的风险被降低的程度。 (b) 电子受保护健康信息。“电子受保护健康信息”是指通过电子介质传递（按照“安全规 则”中的定义）或保存在电子介质上的受保护健康信息。 (c) 隐私规则。“隐私规则”是指 45 CFR 第 160 条和 164 条第 A 和 E 款的“个人可 识别健康信息隐私标准”。 (d) 受保护健康信息。“受保护健康信息”与 45 CFR §160.103 中的“受保护健康信息” 具有相同的含义，仅限于业务伙伴从适用实体或代表适用实体接收到的信息。 (e) 部长。“部长”是指卫生和公众服务部的部长或其指派者。 (f) 安全事故。“安全事故”是指企图或成功对信息进行未经授权的访问、使用、披露、修 改或破坏，或者干扰在提供受保护健康信息访问的信息系统中进行的系统操作。 (g) 安全规则。“安全规则”是指 45 CFR 第