2.プライバシーと保護される健康情報

a.業務提携者による PHI の使用および開示の許可。 業務提携者は、対象事業体から受け取った PHI を次の目的で使用または開示することができます。(i) その役員、従業員、下請け業者および代理店に対して:
(a) 対象事業体にサービスを提供する目的。 (b) 法的責任を遂行するための適切な管理および運営のため。 (c) 本 BAA および契約に規定されているとおり。または (d) 適用される法律で許可されている場合。 (ii) 対象事業体の指示に従って。本契約または BAA によって許可されていないその他すべての使用または開示は禁止されています。業務提携者が HIPAA 規則に基づく対象事業体の義務を履行する限り、業務提携者は、かかる義務の履行において対象事業体に適用される HIPAA 規則の要件に従うものとします。
‍
b. 業務提携者の責任。 PHI の使用または開示に関して、業務提携者は次のことに同意します。

i.サービスに必要な、または本 BAA または契約で許可されている特定の機能を実行または履行するために必要な最小限の PHI のみを、その下請け業者、代理店、またはその他の第三者に使用または開示します。

ii.対象事業体が PHI を使用または開示する場合、規制に違反しない方法でのみ PHI を使用または開示してください。 「規制」とは、医療保険の相互運用性と説明責任の管理の簡素化サブタイトルに従って保健社会福祉長官（「長官」ともいう）によって公布された、個人を特定できる健康情報のプライバシーとセキュリティに関する基準を意味します。 1996 年法律;

iii.以下のセクション 3(b)(iv) に基づく PHI のセキュリティに関する対象事業体のポリシーおよび手順に従うことを含むがこれに限定されない、PHI のセキュリティを維持するために商業的に合理的な努力を行ってください。

iv. PHI Business Associate が対象事業体に代わって受信、維持、または送信する機密性、完全性、および可用性を合理的かつ適切に保護し、状況下で可能な限り有害な情報を軽減するための、管理的、物理的および技術的な保護手段を確立および実装します。業務提携者が対象事業体に報告する PHI の不適切な使用または開示による影響。

v.業務提携者が認識したセキュリティインシデント (つまり、本 BAA によって許可または許可されていない対象事業体の PHI の使用または開示) を対象事業体の指定役員に書面で速やかに報告します。

vi.ビジネスアソシエートの下請け業者または代理店が以下に同意することを確認してください。(a) 対象事業体に代わって受信、維持、または送信する電子 PHI の機密性、完全性、および可用性を保護するための合理的かつ適切な保護措置を確立および実装する。 (b) PHI に関して業務提携者に適用されるものと同等に保護される制限および条件。

vii.業務提携業者が本 BAA および契約に準拠しているかどうかを判断する目的で、PHI の使用および開示に関連するすべての記録、ポリシーおよび手順を以下に提供します。 (a) 秘書。 (b) 対象事業体は、通常の営業時間内に業務提携先のオフィスに、少なくとも 15 営業日前までに書面による通知を行う。

viii.業務提携者が対象事業体に代わって指定された記録セットを保持している場合、対象事業体から書面による要求を受け取ってから 15 日以内に、対象事業体が個人による開示の会計要求に応答できるようにするための情報を対象事業体に提供する。および

ix.業務提携者が対象事業者に代わって指定された記録セットを維持する場合、対象事業者の要請に応じて、対象事業者が指定した時間および方法で、業務提携者は以下を行うものとします。 (a) 業務提携者が維持する PHI へのアクセスを対象事業者に提供するか、または個人;または (b) 対象事業体の指示に応じて PHI に修正を加えます。