Acordo de Associado de Negócios HIPAA
Versão 2.0
Data de Vigência: 23 de fevereiro de 2026
ENTRE:
Syntari International, Inc.
(o "Associado de Negócios")
E:
[Nome Legal da Entidade Coberta]
(a "Entidade Coberta")
Índice
● 1. Definições
● 2. Usos e Divulgações Permitidas de PHI
● 2.1 Obrigações do Associado Comercial
● 2.2 Salvaguardas para PHI
● 2.3 Medidas de Segurança Específicas da Syntari
● 2.4 Restrições de Uso
● 2.5 Restrições de Divulgação
● 2.6 Notificação de Brecha
● 2.7 Subcontratados
● 2.8 Contratos de Associados Comerciais
● 2.9 Disponibilidade e Acesso a PHI
● 2.10 Restrições HIPAA de Recursos de IA
● 2.11 Adendos de Saúde do Fornecedor de IA
● 2.12 Mínimo Necessário para Processamento de IA
● 3. Direitos da Entidade Coberta
● 4. Rescisão
● 5. Disposições Administrativas
● Cronograma A - Subprocessadores com Acesso a PHI
● Cronograma B - Adendo de Processamento de Dados
-
DEFINIÇÕES
Os seguintes termos têm os significados atribuídos a eles na Lei de Portabilidade e Responsabilidade de Seguros de Saúde de 1996 (HIPAA), na Regra de Privacidade (45 CFR Partes 160 e 164, Subpartes A e E), na Regra de Segurança (45 CFR Partes 160 e 164, Subpartes A e C) e na Regra de Notificação de Brecha (45 CFR Partes 160 e 164, Subparte D):
● "Brecha" significa a aquisição, acesso, uso ou divulgação não autorizada de Informações de Saúde Protegidas (PHI) que compromete a segurança ou a privacidade dessas informações.
● "Associado Comercial" (BA) significa Syntari International, Inc., que cria, recebe, mantém ou transmite PHI em nome da Entidade Coberta.
● "Entidade Coberta" (CE) significa um fornecedor de serviços de saúde, plano de saúde ou casa de saúde que está sujeito às regulamentações HIPAA.
● "Mínimo Necessário" significa o PHI limitado razoavelmente necessário para cumprir a finalidade pretendida do uso, divulgação ou solicitação.
● "Informação de Saúde Protegida" (PHI) significa qualquer informação em um registro médico ou plano de saúde que possa ser usada para identificar um indivíduo.
● "Incidente de Segurança" significa o acesso, uso ou divulgação não autorizada de ePHI que compromete a segurança ou a privacidade dessas informações.
● "Subcontratado" ou "Subprocessador" significa qualquer entidade que o Associado Comercial permite receber, acessar ou usar PHI enquanto auxilia nos serviços prestados sob este Acordo. -
USOS E DIVULGAÇÕES PERMITIDAS DE PHI
2.1 Obrigações do Associado Comercial
O Associado Comercial não deve usar ou divulgar PHI exceto conforme necessário para realizar as funções, atividades ou serviços especificados no contrato de serviço subjacente para o qual o PHI é fornecido, ou conforme exigido por lei. O Associado Comercial deve limitar seus usos e divulgações àqueles necessários para cumprir o propósito do contrato de serviço.
2.2 Salvaguardas para PHI
O Associado Comercial deve implementar e manter salvaguardas administrativas, físicas e técnicas que protejam razoavelmente a confidencialidade, integridade e disponibilidade do PHI recebido, mantido ou transmitido em nome da Entidade Coberta.
Essas salvaguardas devem incluir:
● Criptografia de ePHI em repouso usando AES-256 ou equivalente
● Criptografia de ePHI em trânsito usando TLS 1.2 ou superior
● Controles de acesso limitando o acesso a PHI apenas para pessoal autorizado
● Autenticação multifatorial para todos os sistemas que contêm ePHI
● Registro de auditoria e monitoramento de todo o acesso a ePHI
● Avaliações regulares de riscos de segurança e testes de vulnerabilidade
● Treinamento para funcionários sobre os requisitos de privacidade e segurança da HIPAA
● Planejamento de continuidade de negócios e recuperação de desastres
2.3 Medidas de Segurança Específicas da Syntari
Além das salvaguardas gerais descritas na Seção 2.2, a Syntari AI implementa as seguintes medidas de segurança:
● Certificação ISO 27001 em progresso para gerenciamento de segurança da informação
● Conformidade com a auditoria do Tipo 2 SOC 2 em progresso
● Centro de operações de segurança (SOC) dedicado monitorando ePHI
● Restrições de residência de dados com processamento apenas nos EUA
● Registros de auditoria imutáveis com retenção de 7 anos para conformidade
● Testes de penetração trimestrais realizados por terceiros independentes
● Gerenciamento de chaves de criptografia com módulos de segurança de hardware (HSM)
● Segmentação de rede isolando sistemas compatíveis com a HIPAA
2.4 Restrições de Uso
O Associado Comercial não deve usar PHI para qualquer finalidade além de:
● Execução dos serviços especificados no contrato de serviço subjacente
● Operações de saúde, incluindo melhoria de qualidade e conformidade
● Análise de dados não identificados (quando PHI foi devidamente desidentificado)
● Conformidade com requisitos legais e solicitações de aplicação da lei
O Associado Comercial não deve usar PHI para marketing, arrecadação de fundos ou qualquer finalidade comercial sem autorização prévia escrita explícita da Entidade Coberta.
2.5 Restrições de Divulgação
O Associado Comercial não deve divulgar PHI, exceto:
● Para a Entidade Coberta ou seus representantes autorizados
● Conforme exigido por lei ou ordem judicial
● Para subcontratados que foram avaliados e assinaram Acordos de Associados Comerciais
● Conforme autorizado por escrito pela Entidade Coberta
● Em resposta a uma intimação válida, solicitação de descoberta ou ordem judicial (com notificação à Entidade Coberta)
2.6 Notificação de Violação
O Associado Comercial deve notificar a Entidade Coberta sobre um Incidente de Segurança ou Violação dentro de 48 horas após a descoberta ou suspeita razoável de uma Violação. A notificação deve incluir:
● Data e hora da Violação
● Data e hora da descoberta
● Descrição do PHI envolvido (tipos e volume aproximado)
● Número de indivíduos cujo PHI foi afetado
● Descrição da Violação (como ocorreu, acesso/uso/divulgação não autorizado)
● Passos de mitigação tomados para proteger o PHI
● Informações de contato para mais perguntas
O Associado Comercial deve fornecer atualizações contínuas à medida que as informações se tornem disponíveis. Para Violações que afetem mais de 500 indivíduos, a notificação deve ser fornecida dentro de 24 horas após a descoberta.
2.7 Subcontratados
O Associado Comercial não deve contratar nenhum subcontratado ou subprocessador para receber, acessar ou usar PHI a menos que:
● O subcontratado concorde por escrito em cumprir os termos consistentes com este Acordo
● O subcontratado está listado no Anexo A - Subprocessadores
● Os controles e salvaguardas de segurança são verificados por meio de auditorias de terceiros
O Associado de Negócios será responsável por garantir que todos os subcontratados cumpram com as regulamentações HIPAA e este Acordo.
2.8 Contratos do Associado de Negócios com Subcontratados
O Associado de Negócios deverá exigir que todos os subcontratados com acesso ao PHI celebrem acordos escritos que incluam:
● Obrigações de conformidade com a HIPAA equivalentes a este Acordo
● Limitações sobre o uso e divulgações de PHI
● Requisitos de salvaguardas e segurança
● Obrigações de notificação de violação (dentro de 48 horas)
● Disponibilidade de PHI para pedidos de acesso e emenda
● Cláusulas de rescisão e devolução/destruição de PHI
● Disposições de auditoria de terceiros
2.9 Disponibilidade e Acesso ao PHI
O Associado de Negócios deve:
● Tornar o PHI disponível para acesso e emenda pela Entidade Coberta, conforme exigido pela Regra de Privacidade
● Fornecer à Entidade Coberta acesso ao PHI dentro de 5 dias úteis após a solicitação
● Manter o PHI em formatos acessíveis
● Fornecer uma contabilidade completa das divulgações conforme exigido pela HIPAA
● Manter registros de auditoria por um mínimo de 7 anos
2.10 Restrições HIPAA para Recursos de IA
O Associado de Negócios reconhece que nem todos os recursos de IA são projetados ou adequados para processar Informações de Saúde Protegidas. As seguintes restrições se aplicam:
● O PHI pode ser processado apenas por meio de recursos de IA explicitamente designados como "Conforme à HIPAA" pela Syntari AI
● A Entidade Coberta não deve inserir PHI em recursos de IA não conformes com a HIPAA, modelos gerativos ou serviços
● O Associado de Negócios deverá manter e fornecer uma lista atualizada de recursos de IA conforme à HIPAA
● O Associado de Negócios deverá exibir de forma proeminente quais recursos são e não são conforme à HIPAA em sua documentação e interface do usuário
● Recursos não conformes com a HIPAA podem incluir: análises gerais, geração de conteúdo, visualização de dados e integrações de terceiros
A Entidade Coberta é responsável por garantir que os usuários insiram apenas PHI em recursos designados como conformes à HIPAA. O Associado de Negócios não é responsável por violação resultante da falha da Entidade Coberta em cumprir essas restrições.
2.11 Adendos de Saúde de Fornecedores de IA
O Associado de Negócios depende de fornecedores de IA de terceiros para certos recursos e análises de IA. A Syntari AI mantém adendos de saúde com fornecedores aplicáveis que incluem:
● Obrigações de conformidade com a HIPAA
● Restrições de processamento de dados específicas para PHI
● Requisitos de criptografia e segurança
● Obrigações de notificação de violação
● Requisitos de retenção e destruição de dados
Restrições específicas do fornecedor sobre o processamento de PHI são divulgadas no Anexo A. A Entidade Coberta é responsável por revisar essas restrições antes de processar qualquer PHI por meio dos serviços da Syntari AI.
2.12 Mínimo Necessário para Processamento de IA
O Associado de Negócios deverá configurar todos os recursos de IA para processar apenas o Mínimo Necessário de PHI requerido para cumprir o propósito de saúde especificado. A implementação inclui:
● Os campos de dados do PHI são limitados aos explicitamente exigidos para o recurso de IA
● Técnicas de desidentificação aplicadas quando viável (removendo idade, datas de serviço, identificadores de paciente)
● Agregação de dados quando os registros individuais não são necessários
● Filtros automatizados evitando a transmissão desnecessária de PHI para provedores de IA
● Opções de configuração permitindo que a Entidade Coberta especifique restrições de campos de dados
A Entidade Coberta deve revisar e aprovar a configuração de Mínimo Necessário antes de processar qualquer PHI.
3. DIREITOS DA ENTIDADE COBERTA
3.1 Direito de Auditoria e Inspeção
A Entidade Coberta tem o direito de:
● Auditar livros, registros e controles de segurança do Associado Comercial
● Realizar inspeções em instalações onde PHI é armazenado ou processado
● Entrevistar pessoal do Associado Comercial sobre conformidade com o HIPAA
● Revisar relatórios de auditoria de terceiros (SOC 2 em andamento, ISO 27001 em andamento)
● Solicitar relatórios de incidentes de segurança e notificações de violação
3.2 Direito de Rescisão
A Entidade Coberta pode rescindir este Acordo sem justa causa mediante aviso prévio por escrito de 30 dias. A Entidade Coberta pode rescindir imediatamente se o Associado Comercial violar qualquer termo material deste Acordo e não corrigir dentro de 30 dias após o aviso por escrito.
3.3 Retorno ou Destruição de PHI
Após a rescisão do acordo de serviço subjacente, o Associado Comercial deverá:
● Retornar toda PHI à Entidade Coberta em formato eletrônico utilizável dentro de 30 dias, ou
● Destruir com segurança toda PHI se o retorno não for viável (com certificação escrita de destruição)
● Garantir que todos os subcontratados retornem ou destruam PHI no mesmo prazo
● Manter registros de auditoria por um mínimo de 7 anos para verificação de conformidade
4. RESCISÃO
4.1 Rescisão por Justa Causa
A Entidade Coberta pode rescindir este Acordo imediatamente mediante aviso por escrito se:
● O Associado Comercial violar materialmente qualquer disposição deste Acordo
● O Associado Comercial não corrigir pontualmente uma violação dentro de 30 dias após o aviso por escrito
● O Associado Comercial for considerado em violação das regulamentações do HIPAA
● O Associado Comercial apresentar um Incidente de Segurança ou Violação material
● As certificações de segurança do Associado Comercial (ISO 27001 em andamento, SOC 2 em andamento) forem revogadas ou significativamente rebaixadas
4.2 Rescisão Sem Justa Causa
A Entidade Coberta pode rescindir este Acordo a qualquer momento sem justa causa mediante aviso por escrito de 30 dias ao Associado Comercial.
4.3 Obrigações Após a Rescisão
Após a rescisão, o Associado Comercial deverá:
● Cessar todos os usos e divulgações de PHI
● Retornar toda PHI à Entidade Coberta em formato eletrônico utilizável dentro de 30 dias
● Destruir todas as cópias de PHI não retornadas (com certificação por escrito)
● Fornecer um relatório final de todas as divulgações
● Garantir que todos os subcontratados cumpram essas obrigações de rescisão
Se o retorno ou a destruição não forem viáveis, o Associado Comercial deverá estender todas as proteções à PHI retida e limitar seu uso a propósitos que evitem seu retorno.
5. DISPOSIÇÕES ADMINISTRATIVAS
5.1 Data de Vigência e Duração
Este Acordo é efetivo a partir de 23 de fevereiro de 2026 e continuará até ser rescindido por qualquer uma das partes de acordo com a Seção 4.
5.2 Alteração
A Entidade Coberta pode alterar este Acordo para cumprir com as mudanças nas regulamentações do HIPAA mediante aviso escrito de 30 dias. O Associado de Negócios deverá cumprir com as alterações para manter a conformidade com o HIPAA. Se o Associado de Negócios não puder cumprir com as alterações, a Entidade Coberta poderá rescindir sem penalidade.
5.3 Avisos
Todos os avisos sob este Acordo devem ser feitos por escrito e entregues por:
● Entrega pessoal
● Mensageiro noturno (FedEx, UPS)
● Correio registrado, com aviso de recebimento solicitado
● E-mail com confirmação de leitura (para avisos não legais)
5.4 Legislação Aplicável
Este Acordo será regido e interpretado de acordo com as leis dos Estados Unidos e as leis estaduais aplicáveis onde a Entidade Coberta está localizada, sem considerar princípios de conflito de leis.
5.5 Acordo Completo
Este Acordo, juntamente com o acordo de serviço subjacente e todos os cronogramas e anexos, constitui o acordo completo entre as partes sobre o uso e divulgação de PHI e suprimi todas as negociações, representações e acordos anteriores.
5.6 Divisibilidade
Se qualquer disposição deste Acordo for considerada inválida ou inaplicável, as disposições restantes continuarão em pleno vigor e efeito.
5.7 Renúncia
Nenhuma renúncia de qualquer disposição deste Acordo será eficaz a menos que esteja por escrito e assinada pela parte que renuncia. Uma renúncia de qualquer violação não constituirá uma renúncia de qualquer violação subsequente.
5.8 Contratantes Independentes
O Associado de Negócios é um contratante independente. Nada neste Acordo cria uma parceria, joint venture, agência ou relação de emprego entre as partes.
ANEXO A - SUBPROCESSADORES COM ACESSO A PHI
Data de Vigência: 23 de fevereiro de 2026
Os seguintes subprocessadores foram autorizados a processar PHI em nome da Syntari AI. Todos os subprocessadores assinaram Acordos de Associados de Negócios consistentes com os requisitos do HIPAA.
Nome do Subprocessador Descrição do Serviço Localização do Processamento de Dados Salvaguardas de Segurança Restrições Especiais
Anthropic, Inc. (Claude API) Análises com inteligência artificial, análise de conteúdo e geração de texto Estados Unidos (multi-região) SOC 2 em andamento, certificado tipo 2, criptografia AES-256, TLS 1.2+ Apenas nível de API compatível com HIPAA. Sem treinamento ou ajuste em PHI.
OpenAI, LLC Análises com inteligência artificial e geração de conteúdo Estados Unidos SOC 2 em andamento, certificado tipo 2, criptografia AES-256, TLS 1.2+ Exige Aditivo de Saúde assinado. Sem treinamento de modelo em PHI.
Google LLC (Gemini API) Análises com inteligência artificial e análise de conteúdo Estados Unidos (multi-região) ISO 27001 em andamento, SOC 2 em andamento, certificado tipo 2, criptografia AES-256 Restrições aplicáveis ao uso clínico. Retenção de dados: máximo de 30 dias.
Amazon Web Services (AWS) Infraestrutura em nuvem, armazenamento de dados e computação Estados Unidos (regiões configuráveis) SOC 2 em andamento, ISO 27001 em andamento, BAA do HIPAA assinado Apenas serviços elegíveis para HIPAA. Criptografia obrigatória.
Notas sobre Seleção de Subprocessadores
● Todos os subprocessadores mantêm Acordos de Associados de Negócios separados com a Syntari AI
● Subprocessadores passam por auditorias de segurança anuais e avaliações de risco
● Aditivos de Saúde são mantidos em arquivo e disponíveis mediante solicitação
● Qualquer nova adição de subprocessador requer aviso por escrito de 30 dias à Entidade Coberta
● A Entidade Coberta pode solicitar a remoção de um subprocessador com aviso de 30 dias
● Todos os subprocessadores devem cumprir os princípios de Mínimo Necessário
ANEXO B - ADITIVO DE PROCESSAMENTO DE DADOS
Este Aditivo de Processamento de Dados (DPA) se aplica ao processamento de Dados Pessoais (incluindo PHI) sob este Acordo de Associados de Negócios.
Detalhes do Processamento de Dados
● Controlador de Dados: Entidade Coberta
● Processador de Dados: Syntari International, Inc.
● Propósito do Processamento: operações de saúde, análises e prestação de serviços
● Categorias de Dados: Demografia de pacientes, histórico médico, notas clínicas, diagnósticos, medicamentos, resultados de laboratório
● Categorias de Titulares de Dados: Pacientes da Entidade Coberta
● Duração: Prazo do acordo de serviço subjacente
Medidas de Segurança
O Associado de Negócios implementa as seguintes medidas técnicas e organizacionais:
● Criptografia: AES-256 em repouso, TLS 1.2+ em trânsito
● Controle de Acesso: controle de acesso baseado em funções (RBAC), autenticação multifator
● Monitoramento: monitoramento do centro de operações de segurança 24/7
● Resposta a Incidentes: equipe de resposta a incidentes de segurança disponível 24 horas
● Backup: backups diários criptografados com recuperação testada
● Auditoria: avaliações de vulnerabilidade trimestrais, testes de penetração anuais
● Pessoal: verificações de antecedentes, treinamento em HIPAA, acordos de confidencialidade
Direitos dos Titulares de Dados
O Associado de Negócios deverá:
● Prestar assistência à Entidade Coberta no cumprimento de solicitações de acesso de titulares de dados
● Fornecer correções, exclusões e portabilidade de dados mediante solicitação
● Documentar todas as solicitações de titulares de dados e respostas da Entidade Coberta
● Fornecer contabilidade de divulgações conforme exigido pela HIPAA
Gestão de Subprocessadores
O Associado de Negócios deverá:
● Manter lista atualizada de todos os subprocessadores (Anexo A)
● Obter autorização por escrito antecipada antes de envolver novos subprocessadores
● Impor obrigações equivalentes de proteção de dados aos subprocessadores
● Permanecer responsável pela conformidade dos subprocessadores
Exclusão e Retorno de Dados
Após a rescisão ou solicitação da Entidade Coberta, o Associado de Negócios deverá:
● Devolver PHI à Entidade Coberta dentro de 30 dias em formato eletrônico utilizável
● Excluir de forma segura todas as cópias de PHI (com certificação por escrito)
● Fornecer atestado de exclusão de todos os subprocessadores
● Reter apenas logs de auditoria necessários para verificação de conformidade
Conformidade e Auditoria
O Associado de Negócios deverá:
● Manter SOC 2 em andamento Tipo 2, ISO 27001 em andamento, e certificações de conformidade HIPAA
● Fornecer relatórios de auditoria à Entidade Coberta sob solicitação
● Submeter-se a auditorias e inspeções da Entidade Coberta
● Relatar incidentes de segurança dentro de 48 horas após a descoberta
● Manter logs de auditoria por um mínimo de 7 anos
