Acuerdo de Asociado Comercial

Acuerdo de Asociado Comercial HIPAA

Versión 2.0

Fecha de Efectividad: 23 de febrero de 2026

ENTRE:

Syntari International, Inc.
(el "Asociado Comercial")

[Nombre Legal de la Entidad Cubierta]
(la "Entidad Cubierta")
Tabla de Contenidos
● 1. Definiciones
● 2. Usos y Divulgaciones Permitidas de PHI
● 2.1 Obligaciones del Asociado Comercial
● 2.2 Salvaguardas para PHI
● 2.3 Medidas de Seguridad Específicas de Syntari
● 2.4 Restricciones de Uso
● 2.5 Restricciones de Divulgación
● 2.6 Notificación de Violaciones
● 2.7 Subcontratistas
● 2.8 Contratos de Asociados Comerciales
● 2.9 Disponibilidad y Acceso a PHI
● 2.10 Restricciones HIPAA de Características de IA
● 2.11 Anexos de Atención Médica del Proveedor de IA
● 2.12 Mínimo Necesario para el Procesamiento de IA
● 3. Derechos de la Entidad Cubierta
● 4. Terminación
● 5. Disposiciones Administrativas
● Anexo A - Subprocesadores con Acceso a PHI
● Anexo B - Anexo de Procesamiento de Datos

DEFICICIONES
Los siguientes términos tienen los significados asignados en la Ley de Portabilidad y Responsabilidad de Seguros de Salud de 1996 (HIPAA), la Regla de Privacidad (45 CFR Partes 160 y 164, Subpartes A y E), la Regla de Seguridad (45 CFR Partes 160 y 164, Subpartes A y C), y la Regla de Notificación de Violaciones (45 CFR Partes 160 y 164, Subparte D):
● "Violación" significa la adquisición, acceso, uso o divulgación no autorizados de Información de Salud Protegida (PHI) que compromete la seguridad o privacidad de dicha información.
● "Asociado Comercial" (BA) significa Syntari International, Inc., que crea, recibe, mantiene o transmite PHI en nombre de la Entidad Cubierta.
● "Entidad Cubierta" (CE) significa un proveedor de atención médica, plan de salud o centro de procesamiento de salud que está sujeto a las regulaciones HIPAA.
● "Mínimo Necesario" significa la PHI limitada razonablemente necesaria para cumplir el propósito previsto del uso, divulgación o solicitud.
● "Información de Salud Protegida" (PHI) significa cualquier información en un registro médico o plan de salud que pueda ser utilizada para identificar a un individuo.
● "Incidente de Seguridad" significa el acceso, uso o divulgación no autorizados de ePHI que compromete la seguridad o privacidad de dicha información.
● "Subcontratista" o "Subprocesador" significa cualquier entidad que el Asociado Comercial permite recibir, acceder o usar PHI mientras asiste con los servicios proporcionados bajo este Acuerdo.
USOS Y DIVULGACIONES PERMITIDOS DE PHI

2.1 Obligaciones del Asociado Comercial
El Asociado Comercial no deberá usar ni divulgar PHI excepto en la medida necesaria para realizar las funciones, actividades o servicios especificados en el acuerdo de servicio subyacente para el cual se proporciona la PHI, o según lo requiera la ley. El Asociado Comercial deberá limitar sus usos y divulgaciones a aquellos necesarios para lograr el propósito del acuerdo de servicio.

2.2 Salvaguardas para PHI
El Asociado Comercial deberá implementar y mantener salvaguardas administrativas, físicas y técnicas que protejan razonablemente la confidencialidad, integridad y disponibilidad de la PHI recibida, mantenida o transmitida en nombre de la Entidad Cubierta.
Estas salvaguardas deberán incluir:
● Cifrado de ePHI en reposo utilizando AES-256 o equivalente
● Cifrado de ePHI en tránsito utilizando TLS 1.2 o superior
● Controles de acceso que limiten el acceso a PHI solo a personal autorizado
● Autenticación multifactor para todos los sistemas que contienen ePHI
● Registro de auditoría y monitoreo de todos los accesos a ePHI
● Evaluaciones de riesgo de seguridad y pruebas de vulnerabilidad regulares
● Capacitación de empleados sobre los requisitos de privacidad y seguridad de HIPAA
● Planificación de continuidad del negocio y recuperación ante desastres

2.3 Medidas de Seguridad Específicas de Syntari
Además de las salvaguardias generales descritas en la Sección 2.2, Syntari AI implementa las siguientes medidas de seguridad:
● Certificación en proceso de ISO 27001 para la gestión de seguridad de la información
● Cumplimiento de auditoría tipo 2 de SOC 2 en proceso
● Centro de operaciones de seguridad dedicado (SOC) monitoreando ePHI
● Restricciones de residencia de datos con procesamiento solo en EE. UU.
● Registros de auditoría inmutables con retención de 7 años para cumplimiento
● Pruebas de penetración trimestrales por terceros independientes
● Gestión de claves de cifrado con módulos de seguridad de hardware (HSM)
● Segmentación de red que aísla los sistemas compatibles con HIPAA

2.4 Restricciones de Uso
El Asociado Comercial no deberá usar PHI para ningún propósito diferente de:
● Rendimiento de servicios especificados en el contrato de servicio subyacente
● Operaciones de atención médica, incluyendo mejora de calidad y cumplimiento
● Análisis de datos desidentificados (donde PHI ha sido correctamente desidentificado)
● Cumplimiento de requisitos legales y solicitudes de aplicación de la ley
El Asociado Comercial no deberá usar PHI para marketing, recaudación de fondos, o cualquier propósito comercial sin la autorización previa explícita por escrito de la Entidad Cubierta.

2.5 Restricciones de Divulgación
El Asociado Comercial no deberá divulgar PHI excepto:
● A la Entidad Cubierta o sus representantes autorizados
● Según lo requiera la ley o una orden judicial
● A subcontratistas que hayan sido verificados y que hayan celebrado Acuerdos de Asociado Comercial
● Según lo autorizado por escrito por la Entidad Cubierta
● En respuesta a una citación válida, solicitud de descubrimiento o orden judicial (con notificación a la Entidad Cubierta)

2.6 Notificación de Incidentes
El Asociado Comercial deberá notificar a la Entidad Cubierta de un Incidente de Seguridad o Brecha dentro de las 48 horas posteriores al descubrimiento o sospecha razonable de una Brecha. La notificación deberá incluir:
● Fecha y hora de la Brecha
● Fecha y hora del descubrimiento
● Descripción de la PHI involucrada (tipos y volumen aproximado)
● Número de individuos cuyo PHI fue afectado
● Descripción de la Brecha (cómo ocurrió, acceso/uso/divulgación no autorizados)
● Pasos de mitigación tomados para asegurar PHI
● Información de contacto para preguntas adicionales
El Asociado Comercial deberá proporcionar actualizaciones continuas a medida que la información esté disponible. Para Brechas que afecten a más de 500 individuos, la notificación deberá ser proporcionada dentro de las 24 horas posteriores al descubrimiento.

2.7 Subcontratistas
El Asociado Comercial no deberá contratar con ningún subcontratista o subprocesador para recibir, acceder o usar PHI a menos que:
● El subcontratista acepte por escrito cumplir con los términos consistentes con este Acuerdo
● El subcontratista esté listado en el Anexo A - Subprocesadores
● Los controles de seguridad y salvaguardias sean verificados a través de auditorías de terceros
El Asociado Comercial será responsable de asegurar que todos los subcontratistas cumplan con las regulaciones de HIPAA y este Acuerdo.

2.8 Contratos del Asociado Comercial con Subcontratistas
El Asociado Comercial requerirá que todos los subcontratistas con acceso a PHI firmen acuerdos por escrito que incluyan:
● Obligaciones de cumplimiento de HIPAA equivalentes a este Acuerdo
● Limitaciones en los usos y divulgaciones de PHI
● Requisitos de salvaguarda y seguridad
● Obligaciones de notificación de violaciones (dentro de 48 horas)
● Disponibilidad de PHI para solicitudes de acceso y enmienda
● Cláusulas de terminación y devolución/destrucción de PHI
● Disposiciones de auditoría de terceros

2.9 Disponibilidad y Acceso a PHI
El Asociado Comercial deberá:
● Hacer PHI disponible para acceso y enmienda por la Entidad Cubierta según lo requiera la Regla de Privacidad
● Proporcionar a la Entidad Cubierta acceso a PHI dentro de los 5 días hábiles posteriores a la solicitud
● Mantener PHI en formatos accesibles
● Proporcionar un informe completo de las divulgaciones según lo requiera HIPAA
● Conservar registros de auditoría durante un mínimo de 7 años

2.10 Restricciones HIPAA para Características de IA
El Asociado Comercial reconoce que no todas las características de IA están diseñadas para o son adecuadas para procesar Información de Salud Protegida. Se aplican las siguientes restricciones:
● PHI solo puede ser procesada a través de características de IA explícitamente designadas como "Cumplidoras de HIPAA" por Syntari AI
● La Entidad Cubierta no deberá introducir PHI en características de IA no cumplidoras de HIPAA, modelos generativos o servicios
● El Asociado Comercial deberá mantener y proporcionar una lista actual de características de IA cumplidoras de HIPAA
● El Asociado Comercial deberá mostrar de manera prominente qué características son y no son cumplidoras de HIPAA en su documentación e interfaz de usuario
● Las características no cumplidoras de HIPAA pueden incluir: análisis generales, generación de contenido, visualización de datos e integraciones de terceros
La Entidad Cubierta es responsable de asegurar que los usuarios solo introduzcan PHI en características cumplidoras de HIPAA designadas. El Asociado Comercial no es responsable por Violaciones resultantes del incumplimiento de la Entidad Cubierta con estas restricciones.

2.11 Apéndices para Proveedores de IA en Salud
El Asociado Comercial confía en proveedores de IA de terceros para ciertas características y análisis de IA. Syntari AI mantiene apéndices de salud con proveedores aplicables que incluyen:
● Obligaciones de cumplimiento de HIPAA
● Restricciones de procesamiento de datos específicas para PHI
● Requisitos de encriptación y seguridad
● Obligaciones de notificación de violaciones
● Requisitos de retención y destrucción de datos
Las restricciones específicas de los proveedores sobre el procesamiento de PHI se divulgan en el Anexo A. La Entidad Cubierta es responsable de revisar estas restricciones antes de procesar cualquier PHI a través de los servicios de Syntari AI.

2.12 Mínimo Necesario para el Procesamiento de IA
El Asociado Comercial deberá configurar todas las características de IA para procesar solo el Mínimo Necesario de PHI requerido para lograr el propósito de salud especificado. La implementación incluye:
● Los campos de datos de PHI están limitados a aquellos explícitamente requeridos para la característica de IA
● Técnicas de des-identificación aplicadas donde sea posible (eliminando edad, fechas de servicio, identificadores de pacientes)
● Agregación de datos cuando los registros individuales no son necesarios
● Filtros automáticos que previenen la transmisión innecesaria de PHI a proveedores de IA
● Opciones de configuración que permiten al Entidad Cubierta especificar restricciones de campos de datos
La Entidad Cubierta deberá revisar y aprobar la configuración de Mínimo Necesario antes de procesar cualquier PHI.
3. DERECHOS DE LA ENTIDAD CUBIERTA

3.1 Derecho a Auditoría e Inspección
La Entidad Cubierta tiene el derecho a:
● Auditar los libros, registros y controles de seguridad del Asociado Comercial
● Realizar inspecciones de las instalaciones donde se almacena o procesa PHI
● Entrevistar al personal del Asociado Comercial sobre el cumplimiento de HIPAA
● Revisar informes de auditoría de terceros (SOC 2 en progreso, ISO 27001 en progreso)
● Solicitar informes de incidentes de seguridad y notificaciones de violaciones

3.2 Derecho a Rescisión
La Entidad Cubierta puede rescindir este Acuerdo sin causa con un aviso escrito de 30 días. La Entidad Cubierta puede rescindir de inmediato si el Asociado Comercial incumple cualquier término material de este Acuerdo y no corrige dentro de los 30 días de la notificación escrita.

3.3 Devolución o Destrucción de PHI
Al finalizar el acuerdo de servicio subyacente, el Asociado Comercial deberá:
● Devolver toda la PHI a la Entidad Cubierta en un formato electrónico utilizable dentro de los 30 días, o
● Destruir de forma segura toda la PHI si la devolución es inviable (con certificación escrita de destrucción)
● Asegurar que todos los subcontratistas devuelvan o destruyan PHI en el mismo plazo
● Retener registros de auditoría durante un mínimo de 7 años para verificación de cumplimiento
4. RESCISIÓN

4.1 Rescisión por Causa
La Entidad Cubierta puede rescindir este Acuerdo de inmediato mediante notificación escrita si:
● El Asociado Comercial incumple sustancialmente cualquier disposición de este Acuerdo
● El Asociado Comercial no corrige a tiempo un incumplimiento dentro de los 30 días de la notificación escrita
● El Asociado Comercial se encuentra en violación de las regulaciones de HIPAA
● El Asociado Comercial experimenta un incidente de seguridad material o violación
● Las certificaciones de seguridad del Asociado Comercial (ISO 27001 en progreso, SOC 2 en progreso) son revocadas o degradadas significativamente

4.2 Rescisión Sin Causa
La Entidad Cubierta puede rescindir este Acuerdo en cualquier momento sin causa con un aviso escrito de 30 días al Asociado Comercial.

4.3 Obligaciones Tras la Rescisión
Al finalizar, el Asociado Comercial deberá:
● Cesear todos los usos y divulgaciones de PHI
● Devolver toda la PHI a la Entidad Cubierta en un formato electrónico utilizable dentro de los 30 días
● Destruir todas las copias de PHI no devueltas (con certificación escrita)
● Proporcionar una contabilidad final de todas las divulgaciones
● Asegurar que todos los subcontratistas cumplan con estas obligaciones de rescisión
Si la devolución o destrucción es inviable, el Asociado Comercial deberá extender todas las protecciones a la PHI retenida y limitar su uso a fines que eviten su devolución.
5. DISPOSICIONES ADMINISTRATIVAS

5.1 Fecha de Entrada en Vigor y Duración
Este Acuerdo es efectivo a partir del 23 de febrero de 2026, y continuará hasta que cualquiera de las partes lo termine de acuerdo con la Sección 4.

5.2 Enmienda
La Entidad Cubierta puede enmendar este Acuerdo para cumplir con los cambios en las regulaciones de HIPAA con un aviso por escrito de 30 días. El Asociado de Negocios deberá cumplir con las enmiendas para mantener la conformidad con HIPAA. Si el Asociado de Negocios no puede cumplir con las enmiendas, la Entidad Cubierta puede terminar sin penalización.

5.3 Avisos
Todos los avisos bajo este Acuerdo deberán ser por escrito y entregados por:
● Entrega personal
● Mensajería urgente (FedEx, UPS)
● Correo certificado, con acuse de recibo solicitado
● Correo electrónico con acuse de recibo (para avisos no legales)

5.4 Ley Aplicable
Este Acuerdo se regirá y será interpretado de acuerdo con las leyes de los Estados Unidos y las leyes estatales aplicables donde se encuentre la Entidad Cubierta, sin tener en cuenta los principios de conflicto de leyes.

5.5 Acuerdo Completo
Este Acuerdo, junto con el acuerdo de servicio subyacente y todos los anexos y exhibiciones, constituye el acuerdo completo entre las partes respecto al uso y divulgación de PHI y reemplaza todas las negociaciones, representaciones y acuerdos anteriores.

5.6 Divisibilidad
Si alguna disposición de este Acuerdo se considera invalida o inaplicable, las disposiciones restantes continuarán en pleno vigor y efecto.

5.7 Renuncia
Ninguna renuncia de cualquier disposición de este Acuerdo será efectiva a menos que sea por escrito y firmada por la parte que renuncia. Una renuncia de cualquier incumplimiento no constituirá una renuncia de ningún incumplimiento subsecuente.

5.8 Contratistas Independientes
El Asociado de Negocios es un contratista independiente. Nada en este Acuerdo crea una sociedad, empresa conjunta, agencia o relación laboral entre las partes.
ANEXO A - SUBPROCESADORES CON ACCESO A PHI

Fecha de Entrada en Vigor: 23 de febrero de 2026

Los siguientes subprocesadores han sido autorizados para procesar PHI en nombre de Syntari AI. Todos los subprocesadores han firmado Acuerdos de Asociados de Negocios de acuerdo con los requisitos de HIPAA.

Nombre del Subprocesador Descripción del Servicio Ubicación de Procesamiento de Datos Salvaguardias de Seguridad Restricciones Especiales
Anthropic, Inc. (Claude API) Análisis impulsado por IA, análisis de contenido y generación de texto Estados Unidos (multi-región) SOC 2 en progreso Tipo 2 certificado, cifrado AES-256, TLS 1.2+ Solo nivel de API compatible con HIPAA. No se permite entrenamiento o ajuste en PHI.
OpenAI, LLC Análisis impulsado por IA y generación de contenido Estados Unidos SOC 2 en progreso Tipo 2 certificado, cifrado AES-256, TLS 1.2+ Requiere un Anexo de Salud firmado. No se permite el entrenamiento de modelos en PHI.
Google LLC (Gemini API) Análisis impulsado por IA y análisis de contenido Estados Unidos (multi-región) ISO 27001 en progreso, SOC 2 en progreso Tipo 2 certificado, cifrado AES-256 Se aplican restricciones de uso clínico. Retención de datos: 30 días máximo.
Amazon Web Services (AWS) Infraestructura en la nube, almacenamiento de datos y cálculo Estados Unidos (regiones configurables) SOC 2 en progreso, ISO 27001 en progreso, BAA de HIPAA firmado Solo servicios elegibles para HIPAA. Cifrado obligatorio.

Notas sobre la Selección de Subprocesadores
● Todos los subprocesadores mantienen Acuerdos de Asociados de Negocios separados con Syntari AI
● Los subprocesadores se someten a auditorías de seguridad anuales y evaluaciones de riesgo
● Se mantienen Anexos de Salud en archivo y disponibles a solicitud
● Cualquier nueva adición de subprocesador requiere un aviso por escrito de 30 días a la Entidad Cubierta
● La Entidad Cubierta puede solicitar la eliminación de un subprocesador con 30 días de aviso
● Todos los subprocesadores deben cumplir con los principios de Mínimo Necesario
ANEXO B - ANEXO DE PROCESAMIENTO DE DATOS

Este Anexo de Procesamiento de Datos (DPA) se aplica al procesamiento de Datos Personales (incluyendo PHI) bajo este Acuerdo de Asociados de Negocios.

Detalles del Procesamiento de Datos
● Controlador de Datos: Entidad Cubierta
● Procesador de Datos: Syntari International, Inc.
● Propósito del procesamiento: Operaciones de atención médica, análisis y entrega de servicios
● Categorías de datos: Demografía de pacientes, historial médico, notas clínicas, diagnósticos, medicamentos, resultados de laboratorio
● Categorías de sujetos de datos: Pacientes de la Entidad Cubierta
● Duración: Plazo del acuerdo de servicio subyacente

Medidas de seguridad
El Asociado Comercial implementa las siguientes medidas técnicas y organizativas:
● Cifrado: AES-256 en reposo, TLS 1.2+ en tránsito
● Control de acceso: Control de acceso basado en roles (RBAC), autenticación multifactor
● Monitoreo: Monitoreo del centro de operaciones de seguridad 24/7
● Respuesta a incidentes: Equipo de respuesta a incidentes de seguridad de 24 horas
● Copia de seguridad: Copias de seguridad diarias cifradas con recuperación probada
● Auditoría: Evaluaciones de vulnerabilidad trimestrales, pruebas de penetración anuales
● Personal: Verificaciones de antecedentes, capacitación en HIPAA, acuerdos de confidencialidad

Derechos del sujeto de datos
El Asociado Comercial deberá:
● Proporcionar asistencia a la Entidad Cubierta para cumplir con las solicitudes de acceso de los sujetos de datos
● Proporcionar correcciones, eliminaciones y portabilidad de datos a solicitud
● Documentar todas las solicitudes de sujetos de datos y las respuestas de la Entidad Cubierta
● Proporcionar un informe de divulgaciones según lo requiera HIPAA

Gestión de subprocessores
El Asociado Comercial deberá:
● Mantener una lista actualizada de todos los subprocessores (Anexo A)
● Obtener autorización escrita previa antes de involucrar nuevos subprocessores
● Imponer obligaciones equivalentes de protección de datos a los subprocessores
● Seguir siendo responsable del cumplimiento de los subprocessores

Eliminación y devolución de datos
Al terminación o solicitud de la Entidad Cubierta, el Asociado Comercial deberá:
● Devolver PHI a la Entidad Cubierta dentro de los 30 días en formato electrónico utilizable
● Eliminar de forma segura todas las copias de PHI (con certificación por escrito)
● Proporcionar atestación de eliminación de todos los subprocessores
● Retener solo los registros de auditoría requeridos para la verificación de cumplimiento

Cumplimiento y auditoría
El Asociado Comercial deberá:
● Mantener certificaciones SOC 2 en progreso Tipo 2, ISO 27001 en progreso y cumplimiento de HIPAA
● Proporcionar informes de auditoría a la Entidad Cubierta a solicitud
● Someterse a auditorías e inspecciones de la Entidad Cubierta
● Informar incidentes de seguridad dentro de las 48 horas posteriores al descubrimiento
● Mantener registros de auditoría durante un mínimo de 7 años