Accordo di Associazione Aziendale HIPAA
Versione 2.0
Data di Entrata in Vigore: 23 Febbraio 2026
TRA:
Syntari International, Inc.
(l' "Associato Aziendale")
E:
[Nome Legale dell'Entità Coperta]
(l' "Entità Coperta")
Indice
● 1. Definizioni
● 2. Utilizzi e Divulgazioni Consentiti di PHI
● 2.1 Obblighi del Business Associate
● 2.2 Garanzie per PHI
● 2.3 Misure di Sicurezza Specifiche per Syntari
● 2.4 Restrizioni all'Utilizzo
● 2.5 Restrizioni sulla Divulgazione
● 2.6 Notifica di Violazione
● 2.7 Subappaltatori
● 2.8 Contratti del Business Associate
● 2.9 Disponibilità e Accesso a PHI
● 2.10 Restrizioni HIPAA sulle Funzionalità AI
● 2.11 Addendum per i Fornitori AI nel Settore Sanitario
● 2.12 Minimo Necessario per l'Elaborazione AI
● 3. Diritti dell'Entità Coperta
● 4. Risoluzione
● 5. Disposizioni Amministrative
● Allegato A - Subprocessori con Accesso a PHI
● Allegato B - Addendum per il Trattamento dei Dati
-
DEFINIZIONI
I seguenti termini hanno i significati assegnati in base all'Health Insurance Portability and Accountability Act del 1996 (HIPAA), alla Privacy Rule (45 CFR Parti 160 e 164, Sottoparti A ed E), alla Security Rule (45 CFR Parti 160 e 164, Sottoparti A e C) e alla Breach Notification Rule (45 CFR Parti 160 e 164, Sottoparte D):
● "Violazione" significa l'acquisizione, accesso, uso o divulgazione non autorizzata di Informazioni Sanitarie Protette (PHI) che compromette la sicurezza o la privacy di tali informazioni.
● "Business Associate" (BA) significa Syntari International, Inc., che crea, riceve, mantiene o trasmette PHI per conto dell'Entità Coperta.
● "Entità Coperta" (CE) significa un fornitore di assistenza sanitaria, piano sanitario o clearinghouse sanitaria soggetti alle normative HIPAA.
● "Minimo Necessario" significa la PHI limitata ragionevolmente necessaria per raggiungere lo scopo previsto dell'uso, della divulgazione o della richiesta.
● "Informazioni Sanitarie Protette" (PHI) significa qualsiasi informazione in un record medico o piano sanitario che può essere utilizzata per identificare un individuo.
● "Incidente di Sicurezza" significa l'accesso, l'uso o la divulgazione non autorizzata di ePHI che compromette la sicurezza o la privacy di tali informazioni.
● "Subappaltatore" o "Subprocessore" significa qualsiasi entità che il Business Associate consente di ricevere, accedere o utilizzare PHI mentre assiste con i servizi forniti ai sensi di questo Accordo. -
UTILIZZI E DIVULGAZIONI CONSENTITI DI PHI
2.1 Obblighi del Business Associate
Il Business Associate non deve utilizzare o divulgare PHI se non necessario per svolgere le funzioni, le attività o i servizi specificati nel contratto di servizio sottostante per il quale la PHI è fornita, o come richiesto dalla legge. Il Business Associate deve limitare i suoi utilizzi e divulgazioni a quelli necessari per raggiungere lo scopo del contratto di servizio.
2.2 Garanzie per PHI
Il Business Associate deve implementare e mantenere garanzie amministrative, fisiche e tecniche che proteggano ragionevolmente la riservatezza, l'integrità e la disponibilità di PHI ricevute, mantenute o trasmesse per conto dell'Entità Coperta.
Queste garanzie devono includere:
● Crittografia di ePHI a riposo utilizzando AES-256 o equivalente
● Crittografia di ePHI in transito utilizzando TLS 1.2 o superiore
● Controlli di accesso che limitano l'accesso a PHI solo al personale autorizzato
● Autenticazione a più fattori per tutti i sistemi contenenti ePHI
● Registrazione e monitoraggio di accesso a ePHI
● Valutazioni regolari dei rischi di sicurezza e test di vulnerabilità
● Formazione dei dipendenti sui requisiti di privacy e sicurezza HIPAA
● Pianificazione della continuità aziendale e del recupero dopo un disastro
2.3 Misure di Sicurezza Specifiche di Syntari
In aggiunta alle misure generali di protezione delineate nella Sezione 2.2, Syntari AI implementa le seguenti misure di sicurezza:
● Certificazione in corso ISO 27001 per la gestione della sicurezza delle informazioni
● Conformità all'audit Type 2 SOC 2 in corso
● Centro operativo di sicurezza (SOC) dedicato al monitoraggio dell'ePHI
● Restrizioni sulla residenza dei dati con elaborazione solo negli Stati Uniti
● Registri di audit immutabili con retention di 7 anni per la conformità
● Test di penetrazione trimestrali da parte di terze parti indipendenti
● Gestione delle chiavi di crittografia con moduli di sicurezza hardware (HSM)
● Segmentazione della rete che isola i sistemi conformi HIPAA
2.4 Restrizioni sull'Utilizzo
Il Business Associate non deve utilizzare PHI per alcun scopo diverso da:
● Esecuzione dei servizi specificati nell'accordo di servizio sottostante
● Operazioni sanitarie, inclusi miglioramenti della qualità e conformità
● Analisi di dati anonimizzati (dove PHI è stata correttamente anonimizzata)
● Conformità ai requisiti legali e alle richieste delle forze dell'ordine
Il Business Associate non deve utilizzare PHI per marketing, raccolta fondi o qualsiasi scopo commerciale senza esplicita autorizzazione scritta preventiva da parte dell'Entità Coperta.
2.5 Restrizioni sulla Divulgazione
Il Business Associate non deve divulgare PHI eccetto:
● All'Entità Coperta o ai suoi rappresentanti autorizzati
● Come richiesto dalla legge o da un'ordinanza del tribunale
● A subappaltatori che sono stati verificati e hanno stipulato Accordi di Business Associate
● Come autorizzato per iscritto dall'Entità Coperta
● In risposta a un subpoena valido, richiesta di scoperta o ordine del tribunale (con notifica all'Entità Coperta)
2.6 Notifica di Violazione
Il Business Associate deve notificare all'Entità Coperta un Incidente di Sicurezza o Violazione entro 48 ore dalla scoperta o da un sospetto ragionevole di una Violazione. La notifica deve includere:
● Data e ora della Violazione
● Data e ora della scoperta
● Descrizione della PHI coinvolta (tipi e volume approssimativo)
● Numero di individui la cui PHI è stata colpita
● Descrizione della Violazione (come è avvenuta, accesso/utilizzo/divulgazione non autorizzati)
● Passi di mitigazione adottati per proteggere la PHI
● Informazioni di contatto per ulteriori domande
Il Business Associate fornirà aggiornamenti continui man mano che le informazioni diventano disponibili. Per le Violazioni che colpiscono più di 500 individui, la notifica deve essere fornita entro 24 ore dalla scoperta.
2.7 Subappaltatori
Il Business Associate non deve stipulare contratti con alcun subappaltatore o subprocessore per ricevere, accedere o utilizzare PHI a meno che:
● Il subappaltatore accetti per iscritto di conformarsi ai termini coerenti con questo Accordo
● Il subappaltatore è elencato nell'Allegato A - Subprocessori
● I controlli di sicurezza e le salvaguardie sono verificati tramite audit di terze parti
Il Business Associate sarà responsabile di garantire che tutti i subappaltatori rispettino le normative HIPAA e questo Accordo.
2.8 Contratti del Business Associate con i Subappaltatori
Il Business Associate richiederà a tutti i subappaltatori con accesso a PHI di stipulare accordi scritti che includano:
● obblighi di conformità HIPAA equivalenti a questo Accordo
● Limitazioni sull'uso e sulle divulgazioni di PHI
● Requisiti di salvaguardia e sicurezza
● Obblighi di notifica di violazione (entro 48 ore)
● Disponibilità di PHI per richieste di accesso e modifica
● Clausole di risoluzione e restituzione/distruzione di PHI
● Disposizioni per audit di terze parti
2.9 Disponibilità e Accesso a PHI
Il Business Associate dovrà:
● Rendere disponibile PHI per accesso e modifica da parte dell'Entità Coperta come richiesto dalla Privacy Rule
● Fornire all'Entità Coperta l'accesso a PHI entro 5 giorni lavorativi dalla richiesta
● Mantenere PHI in formati accessibili
● Fornire un rendiconto completo delle divulgazioni come richiesto dalla HIPAA
● Conservare i registri di audit per un minimo di 7 anni
2.10 Restrizioni HIPAA delle Funzioni AI
Il Business Associate riconosce che non tutte le funzionalità AI sono progettate per o adatte per elaborare Informazioni Sanitarie Protette. Si applicano le seguenti restrizioni:
● PHI può essere elaborato solo tramite funzionalità AI esplicitamente designate come "HIPAA-Compliant" da Syntari AI
● L'Entità Coperta non deve inserire PHI in funzionalità AI non compliant HIPAA, modelli generativi o servizi
● Il Business Associate dovrà mantenere e fornire un elenco aggiornato delle funzionalità AI compliant HIPAA
● Il Business Associate dovrà mostrare in modo prominente quali funzionalità sono e non sono compliant HIPAA nella sua documentazione e interfaccia utente
● Le funzionalità non compliant HIPAA possono includere: analisi generali, generazione di contenuti, visualizzazione dei dati e integrazioni di terze parti
L'Entità Coperta è responsabile di garantire che gli utenti inseriscano PHI solo nelle funzionalità designate compliant HIPAA. Il Business Associate non è responsabile per le violazioni risultanti dal mancato rispetto di queste restrizioni da parte dell'Entità Coperta.
2.11 Addendums per Fornitori AI nel Settore Sanitario
Il Business Associate si affida a fornitori AI di terze parti per determinate funzionalità e analisi AI. Syntari AI mantiene addendums sanitari con fornitori applicabili che includono:
● obblighi di conformità HIPAA
● restrizioni sul trattamento dei dati specifiche per PHI
● requisiti di crittografia e sicurezza
● obblighi di notifica di violazione
● requisiti di conservazione e distruzione dei dati
Le restrizioni specifiche del fornitore sul trattamento di PHI sono divulgate nell'Allegato A. L'Entità Coperta è responsabile della revisione di queste restrizioni prima di elaborare qualsiasi PHI attraverso i servizi Syntari AI.
2.12 Minimo Necessario per l'Elaborazione AI
Il Business Associate dovrà configurare tutte le funzionalità AI per elaborare solo il Minimo Necessario di PHI richiesto per raggiungere lo scopo sanitario specificato. L'implementazione include:
● i campi di dati PHI sono limitati a quelli esplicitamente richiesti per la funzionalità AI
● tecniche di de-identificazione applicate dove possibile (rimuovendo età, date di servizio, identificatori dei pazienti)
● aggregazione dei dati quando i registri individuali non sono necessari
● Filtri automatizzati che impediscono la trasmissione non necessaria di PHI ai fornitori di AI
● Opzioni di configurazione che consentono all'Entità Coperta di specificare restrizioni sui campi dati
L'Entità Coperta deve esaminare e approvare la configurazione del Minimo Necessario prima di elaborare qualsiasi PHI.
3. DIRITTI DELL'ENTITÀ COPERTA
3.1 Diritto di Audit e Ispezione
L'Entità Coperta ha il diritto di:
● Auditare i libri e i registri del Business Associate e i controlli di sicurezza
● Condurre ispezioni delle strutture dove è memorizzata o elaborata la PHI
● Intervistare il personale del Business Associate riguardo la conformità HIPAA
● Esaminare i report di audit di terze parti (SOC 2 in corso, ISO 27001 in corso)
● Richiedere report sugli incidenti di sicurezza e notifiche di violazione
3.2 Diritto di Risoluzione
L'Entità Coperta può risolvere questo Accordo senza giusta causa con un preavviso scritto di 30 giorni. L'Entità Coperta può risolvere immediatamente se il Business Associate viola qualsiasi termine materiale di questo Accordo e non ripara entro 30 giorni dalla notifica scritta.
3.3 Restituzione o Distruzione della PHI
Al termine del contratto di servizio sottostante, il Business Associate deve:
● Restituire tutta la PHI all'Entità Coperta in un formato elettronico utilizzabile entro 30 giorni, oppure
● Distruggere in modo sicuro tutta la PHI se il ritorno non è fattibile (con certificazione scritta di distruzione)
● Assicurarsi che tutti i subappaltatori restituiscano o distruggano la PHI secondo lo stesso termine
● Conservare i registri di audit per un minimo di 7 anni per la verifica della conformità
4. RISOLUZIONE
4.1 Risoluzione per Giusta Causa
L'Entità Coperta può risolvere questo Accordo immediatamente mediante notifica scritta se:
● Il Business Associate viola materialmente qualsiasi disposizione di questo Accordo
● Il Business Associate non ripara tempestivamente una violazione entro 30 giorni dalla notifica scritta
● Il Business Associate è trovato in violazione delle normative HIPAA
● Il Business Associate ha un incidente di sicurezza o violazione materiale
● Le certificazioni di sicurezza del Business Associate (ISO 27001 in corso, SOC 2 in corso) vengono revocate o significativamente ridotte
4.2 Risoluzione Senza Giusta Causa
L'Entità Coperta può risolvere questo Accordo in qualsiasi momento senza giusta causa con un preavviso scritto di 30 giorni al Business Associate.
4.3 Obblighi In Caso di Risoluzione
Al termine, il Business Associate deve:
● Cessare tutti gli usi e le divulgazioni di PHI
● Restituire tutta la PHI all'Entità Coperta in un formato elettronico utilizzabile entro 30 giorni
● Distruggere tutte le copie di PHI non restituite (con certificazione scritta)
● Fornire un rendiconto finale di tutte le divulgazioni
● Assicurarsi che tutti i subappaltatori rispettino questi obblighi di risoluzione
Se il ritorno o la distruzione non è fattibile, il Business Associate deve estendere tutte le protezioni alla PHI trattenuta e limitare il suo uso a scopi che ne impediscano il ritorno.
5. DISPOSIZIONI AMMINISTRATIVE
5.1 Data di Efficacia e Durata
Questo Accordo è efficace dal 23 febbraio 2026 e continuerà fino a quando non sarà risolto da una delle parti in conformità con la Sezione 4.
5.2 Emendamento
L'Entità Coperta può modificare questo Accordo per conformarsi ai cambiamenti delle normative HIPAA con un preavviso scritto di 30 giorni. Il Business Associate deve conformarsi alle modifiche per mantenere la conformità con l'HIPAA. Se il Business Associate non può conformarsi alle modifiche, l'Entità Coperta può risolvere senza penale.
5.3 Notifiche
Tutte le notifiche sotto questo Accordo devono essere scritte e consegnate da:
● Consegna personale
● Corriere espresso (FedEx, UPS)
● Posta certificata, con ricevuta di ritorno richiesta
● Email con ricevuta di lettura (per notifiche non legali)
5.4 Legge Applicabile
Questo Accordo sarà regolato e interpretato in conformità con le leggi degli Stati Uniti e delle leggi statali applicabili in cui si trova l'Entità Coperta, senza riguardo ai principi di conflitto di leggi.
5.5 Accordo Completo
Questo Accordo, insieme all'accordo di servizio sottostante e a tutti gli allegati ed esposizioni, costituisce l'intero accordo tra le parti riguardo all'uso e alla divulgazione di PHI e sostituisce tutte le precedenti negoziazioni, rappresentazioni e accordi.
5.6 Separabilità
Se una qualsiasi disposizione di questo Accordo viene ritenuta invalida o inapplicabile, le restanti disposizioni continueranno a pieno titolo ed effetto.
5.7 Rinuncia
Nessuna rinuncia a qualsiasi disposizione di questo Accordo sarà efficace a meno che non sia scritta e firmata dalla parte che rinuncia. Una rinuncia a qualsiasi violazione non costituirà una rinuncia a qualsiasi violazione successiva.
5.8 Contraenti Indipendenti
Il Business Associate è un contraente indipendente. Nulla in questo Accordo crea una partnership, joint venture, agenzia o rapporto di lavoro tra le parti.
PROGRAMMA A - SUBPROCESSORI CON ACCESSO A PHI
Data di Efficacia: 23 febbraio 2026
I seguenti subprocessori sono stati autorizzati a trattare PHI per conto di Syntari AI. Tutti i subprocessori hanno eseguito Accordi di Business Associate conformi ai requisiti HIPAA.
Nome del Subprocessore Descrizione del Servizio Luogo di Trattamento dei Dati Garanzie di Sicurezza Restrizioni Speciali
Anthropic, Inc. (Claude API) Analisi basata su AI, analisi dei contenuti e generazione di testo Stati Uniti (multi-regione) SOC 2 in corso Certificato di tipo 2, crittografia AES-256, TLS 1.2+ Solo API conformi all'HIPAA. Nessun addestramento o affinamento su PHI.
OpenAI, LLC Analisi basata su AI e generazione di contenuti Stati Uniti SOC 2 in corso Certificato di tipo 2, crittografia AES-256, TLS 1.2+ Richiede un Addendum Sanitario firmato. Nessun addestramento ai modelli su PHI.
Google LLC (Gemini API) Analisi basata su AI e analisi dei contenuti Stati Uniti (multi-regione) ISO 27001 in corso, SOC 2 in corso Certificato di tipo 2, crittografia AES-256 Si applicano restrizioni all'uso clinico. Conservazione dei dati: massimo 30 giorni.
Amazon Web Services (AWS) Infrastruttura cloud, archiviazione dati e calcolo Stati Uniti (regioni configurabili) SOC 2 in corso, ISO 27001 in corso, HIPAA BAA firmato Solo servizi idonei HIPAA. Crittografia obbligatoria.
Note sulla Selezione dei Subprocessori
● Tutti i subprocessori mantengono separati Accordi di Business Associate con Syntari AI
● I subprocessori sono sottoposti a audit di sicurezza annuali e valutazioni del rischio
● Gli Addendum Sanitari sono mantenuti in archivio e disponibili su richiesta
● Qualsiasi nuova aggiunta di subprocessore richiede un preavviso scritto di 30 giorni all'Entità Coperta
● L'Entità Coperta può richiedere la rimozione di un subprocessore con un preavviso di 30 giorni
● Tutti i subprocessori devono conformarsi ai principi di Necessità Minima
PROGRAMMA B - ADDENDUM SUL TRATTAMENTO DEI DATI
Questo Addendum sul Trattamento dei Dati (DPA) si applica al trattamento dei Dati Personali (inclusi PHI) ai sensi di questo Accordo di Business Associate.
Dettagli sul Trattamento dei Dati
● Controllore dei Dati: Entità Coperta
● Processore dei Dati: Syntari International, Inc.
● Scopo del Trattamento: Operazioni sanitarie, analisi e fornitura di servizi
● Categorie di Dati: Demografia dei pazienti, storia medica, note cliniche, diagnosi, farmaci, risultati di laboratorio
● Categorie dei soggetti interessati: Pazienti dell'Entità Coperta
● Durata: Durata del contratto di servizio sottostante
Misure di Sicurezza
Il Business Associate implementa le seguenti misure tecniche e organizzative:
● Crittografia: AES-256 a riposo, TLS 1.2+ in transito
● Controllo Accessi: controllo degli accessi basato sui ruoli (RBAC), autenticazione a più fattori
● Monitoraggio: monitoraggio del centro operativo di sicurezza 24 ore su 24, 7 giorni su 7
● Risposta agli Incidenti: team di risposta agli incidenti di sicurezza disponibile 24 ore su 24
● Backup: backup giornalieri crittografati con recupero testato
● Audit: valutazioni di vulnerabilità trimestrali, test di penetrazione annuali
● Personale: controlli dei precedenti, formazione HIPAA, accordi di riservatezza
Diritti dei Soggetti Interessati
Il Business Associate deve:
● Fornire assistenza all'Entità Coperta nel soddisfare le richieste di accesso dei soggetti interessati
● Fornire correzioni, eliminazioni e portabilità dei dati su richiesta
● Documentare tutte le richieste dei soggetti interessati e le risposte dell'Entità Coperta
● Fornire rendiconti delle comunicazioni come richiesto dalla HIPAA
Gestione dei Subprocessori
Il Business Associate deve:
● Mantenere un elenco aggiornato di tutti i subprocessori (Allegato A)
● Ottenere preventiva autorizzazione scritta prima di coinvolgere nuovi subprocessori
● Imporre obblighi equivalenti di protezione dei dati sui subprocessori
● Rimanere responsabile per il rispetto da parte dei subprocessori
Cancellazione e Restituzione dei Dati
Alla cessazione o su richiesta dell'Entità Coperta, il Business Associate deve:
● Restituire PHI all'Entità Coperta entro 30 giorni in un formato elettronico utilizzabile
● Eliminare in modo sicuro tutte le copie di PHI (con certificazione scritta)
● Fornire attestazione di eliminazione da tutti i subprocessori
● Conservare solo i log di audit necessari per la verifica di conformità
Conformità e Audit
Il Business Associate deve:
● Mantenere SOC 2 in corso Tipo 2, ISO 27001 in corso e certificazioni di conformità HIPAA
● Fornire rapporti di audit all'Entità Coperta su richiesta
● Sottoporsi ad audit e ispezioni dall'Entità Coperta
● Segnalare incidenti di sicurezza entro 48 ore dalla scoperta
● Mantenere log di audit per un minimo di 7 anni
