Accord d'Associé Commercial

Accord d'Associé Commercial HIPAA

Version 2.0

Date d'Effet: 23 Février 2026

ENTRE:

Syntari International, Inc.
(l'"Associé Commercial")

ET:

[Nom Légal de l'Entité Couverte]
(l'"Entité Couverte")
Table des Matières
● 1. Définitions
● 2. Utilisations et divulgations autorisées de PHI
● 2.1 Obligations de l'associé commercial
● 2.2 Mesures de protection pour PHI
● 2.3 Mesures de sécurité spécifiques à Syntari
● 2.4 Restrictions d'utilisation
● 2.5 Restrictions de divulgation
● 2.6 Notification de violation
● 2.7 Sous-traitants
● 2.8 Contrats d'associé commercial
● 2.9 Disponibilité et accès à PHI
● 2.10 Restrictions HIPAA des fonctionnalités IA
● 2.11 Addenda sur les soins de santé du fournisseur IA
● 2.12 Minimum nécessaire pour le traitement IA
● 3. Droits de l'entité couverte
● 4. Résiliation
● 5. Dispositions administratives
● Annexe A - Sous-traitants ayant accès à PHI
● Annexe B - Addendum de traitement des données

1. DÉFINITIONS
   Les termes suivants ont les significations qui leur sont attribuées dans la loi sur la portabilité et la responsabilité de l'assurance santé de 1996 (HIPAA), la règle de confidentialité (45 CFR Sections 160 et 164, Sous-parties A et E), la règle de sécurité (45 CFR Sections 160 et 164, Sous-parties A et C) et la règle de notification de violation (45 CFR Sections 160 et 164, Sous-partie D) :
   ● "Violation" signifie l'acquisition, l'accès, l'utilisation ou la divulgation non autorisés d'informations de santé protégées (PHI) qui compromettent la sécurité ou la confidentialité de ces informations.
   ● "Associé Commercial" (BA) désigne Syntari International, Inc., qui créé, reçoit, conserve ou transmet des PHI pour le compte de l'entité couverte.
   ● "Entité Couvert" (CE) signifie un fournisseur de soins de santé, un plan de santé ou un clearinghouse de soins de santé soumis aux règlements HIPAA.
   ● "Minimum Nécessaire" signifie les PHI limitées raisonnablement nécessaires pour accomplir l'objectif prévu de l'utilisation, de la divulgation ou de la demande.
   ● "Informations de Santé Protégées" (PHI) désigne toute information dans un dossier médical ou un plan de santé qui peut être utilisée pour identifier un individu.
   ● "Incident de Sécurité" signifie l'accès, l'utilisation ou la divulgation non autorisés d'ePHI qui compromettent la sécurité ou la confidentialité de ces informations.
   ● "Sous-traitant" ou "Sous-traitant" désigne toute entité que l'associé commercial autorise à recevoir, accéder ou utiliser des PHI tout en aidant à fournir les services prévus dans cet accord.

2. UTILISATIONS ET DIVULGATIONS AUTORISÉES DE PHI

2.1 Obligations de l'associé commercial
L'associé commercial ne doit pas utiliser ni divulguer des PHI, sauf si nécessaire pour exécuter les fonctions, activités ou services spécifiés dans l'accord de service sous-jacent pour lequel les PHI sont fournies, ou comme requis par la loi. L'associé commercial doit limiter ses utilisations et divulgations à celles nécessaires pour accomplir l'objectif de l'accord de service.

2.2 Mesures de protection pour PHI
L'associé commercial doit mettre en œuvre et maintenir des mesures de protection administratives, physiques et techniques qui protègent raisonnablement la confidentialité, l'intégrité et la disponibilité des PHI reçues, maintenues ou transmises pour le compte de l'entité couverte.
Ces mesures de protection doivent inclure :
● Chiffrement de l'ePHI au repos utilisant AES-256 ou équivalent
● Chiffrement de l'ePHI en transit utilisant TLS 1.2 ou supérieur
● Contrôles d'accès limitant l'accès aux PHI au personnel autorisé uniquement
● Authentification à facteurs multiples pour tous les systèmes contenant de l'ePHI
● Journalisation des audits et surveillance de tous les accès à l'ePHI
● Évaluations régulières des risques de sécurité et tests de vulnérabilité
● Formation des employés sur les exigences de confidentialité et de sécurité HIPAA
● Planification de la continuité des activités et de la récupération après sinistre

2.3 Mesures de sécurité spécifiques à Syntari
En plus des mesures de protection générales décrites dans la section 2.2, Syntari AI met en œuvre les mesures de sécurité suivantes :
● Certification ISO 27001 en cours pour la gestion de la sécurité de l'information
● Conformité à l'audit Type 2 SOC 2 en cours
● Centre d'opérations de sécurité (SOC) dédié surveillant ePHI
● Restrictions de résidence des données avec traitement uniquement aux États-Unis
● Journaux d'audit immuables avec conservation de 7 ans pour conformité
● Tests de pénétration trimestriels par des tiers indépendants
● Gestion des clés de cryptage avec modules de sécurité matériel (HSM)
● Segmentation du réseau isolant les systèmes conformes à HIPAA

2.4 Restrictions d'utilisation
Le Business Associate ne doit pas utiliser le PHI à d'autres fins que :
● L'exécution des services spécifiés dans l'accord de service sous-jacent
● Les opérations de santé, y compris l'amélioration de la qualité et la conformité
● Analyse de données désidentifiées (lorsque le PHI a été correctement désidentifié)
● Conformité aux exigences légales et aux demandes des forces de l'ordre
Le Business Associate ne doit pas utiliser le PHI à des fins de marketing, de collecte de fonds ou de toute autre fin commerciale sans autorisation écrite préalable explicite de l'Entité Couvert.

2.5 Restrictions de divulgation
Le Business Associate ne doit pas divulguer le PHI sauf :
● À l'Entité Couvert ou à ses représentants autorisés
● Comme requis par la loi ou par ordonnance du tribunal
● À des sous-traitants qui ont été vérifiés et ont signé des accords d'associé commercial
● Comme autorisé par écrit par l'Entité Couvert
● En réponse à une assignation valide, une demande de divulgation ou une ordonnance du tribunal (avec notification à l'Entité Couvert)

2.6 Notification de violation
Le Business Associate doit informer l'Entité Couvert d'un incident de sécurité ou d'une violation dans les 48 heures suivant la découverte ou un soupçon raisonnable de violation. La notification doit inclure :
● Date et heure de la violation
● Date et heure de la découverte
● Description du PHI impliqué (types et volume approximatif)
● Nombre d'individus dont le PHI a été affecté
● Description de la violation (comment elle s'est produite, accès/utilisation/divulgation non autorisés)
● Mesures d'atténuation prises pour sécuriser le PHI
● Informations de contact pour des questions supplémentaires
Le Business Associate doit fournir des mises à jour continues à mesure que des informations deviennent disponibles. Pour les violations affectant plus de 500 individus, la notification doit être fournie dans les 24 heures suivant la découverte.

2.7 Sous-traitants
L’Associé commercial ne doit conclure de contrat avec un sous-traitant ou un sous-traitant ultérieur pour recevoir, consulter ou utiliser des PHI que si :
● Le sous-traitant accepte par écrit de se conformer aux termes compatibles avec cet accord
● Le sous-traitant est listé dans le Schedule A - Sous-traitants
● Les contrôles et protections de sécurité sont vérifiés par des audits tiers
L'Associé commercial sera responsable de garantir que tous les sous-traitants se conforment aux règlements HIPAA et à cet Accord.

2.8 Contrats de l'Associé commercial avec des sous-traitants
L'Associé commercial exigera que tous les sous-traitants ayant accès à des PHI signent des accords écrits incluant :
● Obligations de conformité HIPAA équivalentes à cet Accord
● Limitations sur les utilisations et divulgations de PHI
● Exigences de sauvegarde et de sécurité
● Obligations de notification de violation (dans les 48 heures)
● Disponibilité de PHI pour les demandes d'accès et de modification
● Clauses de résiliation et de retour/destruction de PHI
● Dispositions d'audit tiers

2.9 Disponibilité et accès aux PHI
L'Associé commercial doit :
● Rendre les PHI disponibles pour accès et modification par l'Entité couverte comme requis par la Règle de confidentialité
● Fournir à l'Entité couverte l'accès aux PHI dans les 5 jours ouvrables suivant la demande
● Maintenir les PHI dans des formats accessibles
● Fournir une comptabilité complète des divulgations comme requis par HIPAA
● Conserver les journaux d'audit pendant un minimum de 7 ans

2.10 Restrictions HIPAA pour les fonctionnalités d'IA
L'Associé commercial reconnaît que toutes les fonctionnalités d'IA ne sont pas conçues ni adaptées au traitement des Informations de santé protégées. Les restrictions suivantes s'appliquent :
● Les PHI ne peuvent être traitées que par des fonctionnalités d'IA explicitement désignées comme "Conformes à HIPAA" par Syntari AI
● L'Entité couverte ne doit pas entrer de PHI dans des fonctionnalités d'IA non conformes à HIPAA, modèles génératifs ou services
● L'Associé commercial doit maintenir et fournir une liste à jour des fonctionnalités d'IA conformes à HIPAA
● L'Associé commercial doit afficher de manière visible quelles fonctionnalités sont et ne sont pas conformes à HIPAA dans sa documentation et son interface utilisateur
● Les fonctionnalités non conformes à HIPAA peuvent inclure : analyses générales, génération de contenu, visualisation de données et intégrations tierces
L’Entité couverte doit veiller à ce que les utilisateurs ne saisissent des PHI que dans les fonctionnalités désignées conformes à HIPAA. L’Associé commercial n’est pas responsable des violations résultant du non-respect de ces restrictions par l’Entité couverte.

2.11 Addendas de prestataire d'IA en soins de santé
L'Associé commercial s'appuie sur des fournisseurs d'IA tiers pour certaines fonctionnalités et analyses d'IA. Syntari AI maintient des addendas de soins de santé avec les fournisseurs applicables qui incluent :
● Obligations de conformité HIPAA
● Restrictions de traitement des données spécifiques aux PHI
● Exigences de chiffrement et de sécurité
● Obligations de notification de violation
● Exigences de conservation et de destruction des données
Les restrictions spécifiques aux fournisseurs sur le traitement des PHI sont divulguées dans l'Annexe A. L'Entité couverte est responsable de l'examen de ces restrictions avant de traiter des PHI via les services Syntari AI.

2.12 Minime nécessaire pour le traitement d'IA
L'Associé commercial doit configurer toutes les fonctionnalités d'IA pour traiter uniquement les PHI minimales nécessaires requises pour accomplir le but de santé spécifié. L'implémentation inclut :
● Les champs de données PHI sont limités à ceux explicitement requis pour la fonctionnalité d'IA
● Techniques de désidentification appliquées lorsque faisable (suppression de l'âge, des dates de service, des identifiants de patient)
● Agrégation des données lorsque les enregistrements individuels ne sont pas nécessaires
● Filtres automatiques empêchant la transmission inutile de PHI aux fournisseurs d'IA
● Options de configuration permettant à l'Entité Couvert de spécifier des restrictions sur les champs de données
L'Entité Couvert doit examiner et approuver la configuration Minimum Nécessaire avant de traiter toute PHI.
3. DROITS DE L'ENTITÉ COUVERT

3.1 Droit d'Audit et d'Inspection
L'Entité Couvert a le droit de :
● Auditer les livres, les dossiers et les contrôles de sécurité de l'Associé Commercial
● Effectuer des inspections des installations où la PHI est stockée ou traitée
● Interviewer le personnel de l'Associé Commercial concernant la conformité à la HIPAA
● Examiner les rapports d'audit tiers (SOC 2 en cours, ISO 27001 en cours)
● Demander des rapports d'incidents de sécurité et des notifications de violation

3.2 Droit de Résiliation
L'Entité Couvert peut résilier cet Accord sans motif après un préavis écrit de 30 jours. L'Entité Couvert peut résilier immédiatement si l'Associé Commercial enfreint une condition matérielle de cet Accord et ne remédie pas dans les 30 jours suivant le préavis écrit.

3.3 Retour ou Destruction de la PHI
Lors de la résiliation de l'accord de service sous-jacent, l'Associé Commercial doit :
● Retourner toute la PHI à l'Entité Couvert dans un format électronique utilisable dans les 30 jours, ou
● Détruire de manière sécurisée toute la PHI si le retour est infaisable (avec certification écrite de destruction)
● S'assurer que tous les sous-traitants retournent ou détruisent la PHI dans le même calendrier
● Conserver les journaux d'audit pendant un minimum de 7 ans pour la vérification de la conformité
4. RÉSILIATION

4.1 Résiliation pour Motif
L'Entité Couvert peut résilier cet Accord immédiatement sur préavis écrit si :
● L'Associé Commercial enfreint matériellement une disposition de cet Accord
● L’Associé commercial ne remédie pas à une violation dans les 30 jours suivant une notification écrite
● L'Associé Commercial est reconnu en violation des règlements HIPAA
● L'Associé Commercial subit un Incident de Sécurité ou une Violation matérielle
● Les certificats de sécurité de l'Associé Commercial (ISO 27001 en cours, SOC 2 en cours) sont révoqués ou significativement dévalués

4.2 Résiliation Sans Motif
L'Entité Couvert peut résilier cet Accord à tout moment sans motif après un préavis écrit de 30 jours à l'Associé Commercial.

4.3 Obligations Lors de la Résiliation
Lors de la résiliation, l'Associé Commercial doit :
● Cesser toutes les utilisations et divulgations de la PHI
● Retourner toute la PHI à l'Entité Couvert dans un format électronique utilisable dans les 30 jours
● Détruire toutes les copies de la PHI non retournées (avec certification écrite)
● Fournir un compte rendu final de toutes les divulgations
● S'assurer que tous les sous-traitants respectent ces obligations de résiliation
Si le retour ou la destruction est infaisable, l'Associé Commercial doit étendre toutes les protections à la PHI conservée et limiter son utilisation à des fins qui préviennent son retour.
5. DISPOSITIONS ADMINISTRATIVES

5.1 Date d'Entrée en Vigueur et Durée
Cet Accord prend effet le 23 février 2026 et continuera jusqu'à ce qu'il soit résilié par l'une des parties conformément à l'Article 4.

5.2 Amendement
L'Entité Couverte peut modifier cet Accord pour se conformer aux changements des règlements HIPAA après un préavis écrit de 30 jours. Le Partenaire Commercial doit se conformer aux modifications pour maintenir la conformité HIPAA. Si le Partenaire Commercial ne peut pas se conformer aux modifications, l'Entité Couverte peut résilier sans pénalité.

5.3 Avis
Tous les avis en vertu de cet Accord doivent être rédigés et livrés par :
● Remise en main propre
● Service de messagerie express (FedEx, UPS)
● Courrier certifié, accusé de réception demandé
● Email avec accusé de réception (pour les avis non juridiques)

5.4 Droit applicable
Cet Accord sera régi et interprété conformément aux lois des États-Unis et aux lois d'État applicables où se trouve l'Entité Couverte, sans tenir compte des principes de conflit de lois.

5.5 Accord complet
Cet Accord, avec le contrat de service sous-jacent et tous les annexes et expositions, constitue l'intégralité de l'accord entre les parties concernant l'utilisation et la divulgation de PHI et remplace toutes les négociations, représentations et accords antérieurs.

5.6 Divisibilité
Si une disposition de cet Accord est jugée invalide ou inapplicable, les dispositions restantes continueront à avoir pleine force et effet.

5.7 Renonciation
Aucune renonciation à une disposition de cet Accord ne sera efficace à moins d'être rédigée et signée par la partie qui renonce. Une renonciation à une violation ne constitue pas une renonciation à toute violation ultérieure.

5.8 Entrepreneurs indépendants
Le Partenaire Commercial est un entrepreneur indépendant. Rien dans cet Accord ne crée un partenariat, une coentreprise, une agence ou une relation d'emploi entre les parties.
ANNEXE A - SOUS-TRAITANTS AYANT ACCÈS À LA PHI

Date d'effet : 23 février 2026

Les sous-traitants suivants ont été autorisés à traiter la PHI au nom de Syntari AI. Tous les sous-traitants ont signé des accords de partenariat commercial conformes aux exigences HIPAA.

Nom du sous-traitant Description du service Lieu de traitement des données Mesures de sécurité Restrictions spéciales
Anthropic, Inc. (Claude API) Analytique alimentée par l'IA, analyse de contenu et génération de texte États-Unis (multi-région) SOC 2 en cours de certification de type 2, chiffrement AES-256, TLS 1.2+ Seulement le niveau d'API conforme à HIPAA. Pas d'entraînement ou d'ajustement sur PHI.
OpenAI, LLC Analytique alimentée par l'IA et génération de contenu États-Unis SOC 2 en cours de certification de type 2, chiffrement AES-256, TLS 1.2+ Nécessite un addendum de soins de santé signé. Pas d'entraînement de modèles sur PHI.
Google LLC (Gemini API) Analytique alimentée par l'IA et analyse de contenu États-Unis (multi-région) ISO 27001 en cours, SOC 2 en cours de certification de type 2, chiffrement AES-256 Restrictions d'utilisation clinique applicables. Conservation des données : 30 jours maximum.
Amazon Web Services (AWS) Infrastructure cloud, stockage de données et calcul États-Unis (régions configurables) SOC 2 en cours, ISO 27001 en cours, BAA HIPAA signé Services éligibles HIPAA uniquement. Chiffrement obligatoire.

Remarques sur la sélection des sous-traitants
● Tous les sous-traitants maintiennent des accords de partenariat commercial séparés avec Syntari AI
● Les sous-traitants subissent des audits de sécurité annuels et des évaluations de risque
● Les addenda de soins de santé sont conservés au dossier et disponibles sur demande
● Toute addition d'un nouveau sous-traitant nécessite un préavis écrit de 30 jours à l'Entité Couverte
● L'Entité Couverte peut demander le retrait d'un sous-traitant avec un préavis de 30 jours
● Tous les sous-traitants doivent respecter les principes du Minimum Nécessaire
ANNEXE B - ADDENDUM DE TRAITEMENT DES DONNÉES

Cet Addendum de Traitement des Données (ATD) s'applique au traitement des Données Personnelles (y compris PHI) dans le cadre de cet Accord de Partenaire Commercial.

Détails du traitement des données
● Responsable du traitement : Entité Couverte
● Sous-traitant : Syntari International, Inc.
● Objectif de traitement : opérations de santé, analytique et prestation de services
● Catégories de données : Démographie des patients, antécédents médicaux, notes cliniques, diagnostics, médicaments, résultats de laboratoire
● Catégories de sujets de données : Patients de l'Entité Couverte
● Durée : Durée de l'accord de service sous-jacent

Mesures de sécurité
Le Partenaire commercial met en œuvre les mesures techniques et organisationnelles suivantes :
● Chiffrement : AES-256 au repos, TLS 1.2+ en transit
● Contrôle d'accès : Contrôle d'accès basé sur les rôles (RBAC), authentification multi-facteurs
● Surveillance : Surveillance 24/7 du centre des opérations de sécurité
● Réponse aux incidents : Équipe de réponse aux incidents de sécurité disponible 24 heures sur 24
● Sauvegarde : Sauvegardes chiffrées quotidiennes avec récupération testée
● Audit : Évaluations trimestrielles des vulnérabilités, tests de pénétration annuels
● Personnel : Vérifications des antécédents, formation HIPAA, accords de confidentialité

Droits des personnes concernées
Le Partenaire commercial doit :
● Fournir de l'aide à l'Entité couverte dans la satisfaction des demandes d'accès des personnes concernées
● Fournir des corrections, suppressions et portabilité des données sur demande
● Documenter toutes les demandes des personnes concernées et les réponses de l'Entité couverte
● Fournir un relevé des divulgations tel que requis par la HIPAA

Gestion des sous-traitants
Le Partenaire commercial doit :
● Maintenir une liste à jour de tous les sous-traitants (Annexe A)
● Obtenir une autorisation écrite préalable avant d'engager de nouveaux sous-traitants
● Imposer des obligations de protection des données équivalentes aux sous-traitants
● Rester responsable de la conformité des sous-traitants

Suppression et retour des données
À la résiliation ou sur demande de l'Entité couverte, le Partenaire commercial doit :
● Retourner les PHI à l'Entité couverte dans les 30 jours dans un format électronique utilisable
● Supprimer de manière sécurisée toutes les copies de PHI (avec certification écrite)
● Fournir une attestation de suppression de tous les sous-traitants
● Conserver uniquement les journaux d'audit nécessaires à la vérification de la conformité

Conformité et audit
Le Partenaire commercial doit :
● Maintenir les certifications SOC 2 en cours Type 2, ISO 27001 en cours et conformité HIPAA
● Fournir des rapports d'audit à l'Entité couverte sur demande
● Soumettre à des audits et inspections par l'Entité couverte
● Signaler les incidents de sécurité dans les 48 heures suivant leur découverte
● Maintenir des journaux d'audit pendant un minimum de 7 ans