Zuletzt aktualisiert: 18. Juni 2024
Geschäftspartnervereinbarung
Diese Geschäftspartnervereinbarung („BAA“) wird zwischen Weights and Biases, Inc., einem Unternehmen aus Delaware mit Hauptgeschäftssitz in 400 Alabama Street, Suite 202, San Francisco, CA 94110 („W&B“ und/oder „Geschäftspartner“) und der abgedeckten Einheit (nachstehend definiert) geschlossen und regelt, wie mit PHI (nachstehend definiert) zwischen der abgedeckten Einheit und dem Geschäftspartner umzugehen ist. „Abgedeckte Einheit“ bezeichnet eine Einheit, die die Bedingungen dieser BAA zum früheren Datum („Startdatum“) akzeptiert und ihnen zustimmt, wenn eine solche Person für diese Einheit entweder ein Kästchen anklickt, das die Akzeptanz dieser BAA anzeigt, oder PHI an den Geschäftspartner überträgt. W&B behält sich das Recht vor, diese BAA nach eigenem Ermessen zu ändern oder zu aktualisieren. Das Datum des Inkrafttretens solcher Aktualisierungen und/oder Änderungen ist das frühere der folgenden Ereignisse: (i) 30 Tage ab dem Datum einer solchen Aktualisierung oder Änderung; oder (ii) die fortgesetzte Nutzung eines W&B-Vermögenswerts und/oder die Übertragung von PHI an W&B durch die abgedeckte Einheit. WENN SIE DIESE BAA NICHT AKZEPTIEREN, DÜRFEN SIE NICHT AUF DIE W&B-VERMÖGENSWERTE ZUGREIFEN ODER DIESE VERWENDEN ODER PHI AN W&B ÜBERTRAGEN. DIE W&B-VERMÖGENSWERTE SIND NUR FÜR DIE ABGEDECKTE ENTITÄT UND IHRE AUTORISIERTEN BENUTZER BESTIMMT UND NICHT FÜR DIE VERWENDUNG DURCH KINDER UNTER 13 JAHREN BESTIMMT. WENN EINE EINZELNE PERSON DIESE BAA IM NAMEN EINER ABGEDECKTEN ENTITÄT ABSCHLIESST, ERKLÄRT UND GARANTIERT DIESE PERSON, DASS SIE DIE RECHTLICHE BEFUGNIS HAT, DIESE ABGEDECKTE ENTITÄT AN DIESE BAA ZU BINDEN, UND DASS DIESE BAA FÜR DIESE ENTITÄT GILT, DIE ALS ABGEDECKTE ENTITÄT ANGESEHEN WIRD. IN ANBETRACHT dessen, dass die Parteien eine Dienstleistungsvereinbarung („Vereinbarung“) abgeschlossen haben, unter der der Geschäftspartner PHI (wie unten definiert) bei der Bereitstellung der in der Vereinbarung beschriebenen Software und/oder Dienste erhalten kann. Alle verwendeten, aber in dieser BAA nicht definierten Begriffe haben die in der Vereinbarung oder unter HIPAA festgelegte Bedeutung; IN ANBETRACHT dessen, dass die abgedeckte Einheit den
Anforderungen des Untertitels zur Verwaltungsvereinfachung des Health Insurance Portability and Accountability Act von 1996, geändert durch Untertitel D des Health Information Technology for Economic and Clinical Health (HITECH) Act von 2009, und deren Durchführungsbestimmungen („HIPAA“). Wie hier verwendet, bezieht sich „PHI“ auf „geschützte Gesundheitsinformationen“ gemäß der Definition unter HIPAA, die vom Geschäftspartner im Namen der abgedeckten Einheit verwaltet, übermittelt, erstellt oder empfangen werden. Beide Parteien verpflichten sich, HIPAA einzuhalten. DAHER vereinbaren die Parteien unter Berücksichtigung der hierin dargelegten Bedingungen, Zusagen, Vereinbarungen und Verpflichtungen Folgendes:
1. Dienste und Anwendbarkeit.
Gemäß der Vereinbarung stellt der Geschäftspartner der abgedeckten Einheit die Software und/oder den Dienst zur Verfügung, was die Verwendung und Offenlegung von PHI beinhalten kann. Der Geschäftspartner verpflichtet sich, PHI nur gemäß dieser BAA zu verwenden und offenzulegen. Diese BAA gilt nur für die dedizierte Cloud-BYOB-Bereitstellung des Geschäftspartners und unterliegt allen in der Dokumentation dargelegten anwendbaren Sicherheitskonfigurationen.
2. Datenschutz und geschützte Gesundheitsinformationen
a. Zulässige Verwendung und Offenlegung von PHI durch Geschäftspartner.
Der Geschäftspartner darf PHI verwenden oder offenlegen: (i) zum Zweck der Bereitstellung der Software und/oder des Dienstes für die abgedeckte Einheit im Rahmen der Vereinbarung; (ii) für ordnungsgemäßes Management und Verwaltung und zur Erfüllung seiner gesetzlichen Pflichten; oder (iii) wie gesetzlich vorgeschrieben. b. Verantwortlichkeiten des Geschäftspartners. In Bezug auf die Verwendung oder Offenlegung von PHI erklärt sich der Geschäftspartner damit einverstanden:
i. PHI in einer Weise zu verwenden oder offenzulegen, die nicht gegen HIPAA verstoßen würde, wenn dies von der abgedeckten Einheit getan würde. Die abgedeckte Einheit wird den Geschäftspartner nicht auffordern oder veranlassen, PHI in einer Weise zu verwenden oder offenzulegen, die nicht mit HIPAA oder dieser BAA vereinbar ist;
ii. Verwenden Sie angemessene und geeignete Sicherheitsvorkehrungen, um die Verwendung oder Offenlegung von PHI anders als in dieser BAA vorgesehen zu verhindern, und zwar in Übereinstimmung mit den Anforderungen von Unterabschnitt C von 45 C.F.R. Teil 164 (in Bezug auf elektronische PHI), wie vom Geschäftspartner festgelegt und in der Vereinbarung dargelegt;
iii. Benachrichtigen Sie die abgedeckte Einheit umgehend über (i) Sicherheitsvorfälle, von denen der Geschäftspartner Kenntnis erlangt und bei denen es zu einem erfolgreichen unbefugten Zugriff, einer unbefugten Verwendung oder Offenlegung in einer Weise kommt, die die Vertraulichkeit, Integrität oder Verfügbarkeit von PHI gefährdet, und (ii) Verstöße gegen ungesicherte PHI der abgedeckten Einheit, die der Geschäftspartner in dem von 45 C.F.R. § 164.410 geforderten Umfang entdecken kann, und der Geschäftspartner wird eine solche Benachrichtigung ohne unangemessene Verzögerung und in keinem Fall später als 30 Kalendertage nach der Entdeckung vornehmen;
iv. Gewähren Sie der abgedeckten Entität über die Software und/oder den Dienst Zugriff auf die PHI der abgedeckten Entität, damit die abgedeckte Entität ihren Verpflichtungen gemäß HIPAA in Bezug auf die Zugriffs- und Änderungsrechte von Einzelpersonen nachkommen kann, hat jedoch keine weiteren Verpflichtungen gegenüber der abgedeckten Entität oder einer Einzelperson in Bezug auf die Rechte, die Einzelpersonen durch HIPAA in Bezug auf bestimmte Datensätze gewährt werden, einschließlich der Zugriffs- oder Änderungsrechte für PHI. Die abgedeckte Entität ist dafür verantwortlich, ihre Nutzung der Software und/oder des Dienstes zu verwalten, um auf solche individuellen Anfragen angemessen zu reagieren. Die abgedeckte Entität erkennt an und stimmt zu, dass die abgedeckte Entität allein für die Form und den Inhalt der von der abgedeckten Entität innerhalb der Software und/oder des Dienstes verwalteten PHI verantwortlich ist, einschließlich der Frage, ob die abgedeckte Entität solche PHI in einem bestimmten Datensatz innerhalb der Software und/oder des Dienstes verwaltet;
v. Dokumentieren Sie die Offenlegung von PHI durch Geschäftspartner und stellen Sie der abgedeckten Einheit eine Abrechnung dieser Offenlegungen in dem Umfang zur Verfügung, der von einem Geschäftspartner gemäß HIPAA verlangt wird und in Übereinstimmung mit den für Geschäftspartner gemäß HIPAA geltenden Anforderungen;
vi. Stellen Sie sicher, dass die Subunternehmer des Geschäftspartners, die PHI verwalten, übermitteln, erstellen oder empfangen, zustimmen: (a) angemessene und geeignete Sicherheitsvorkehrungen zum Schutz von PHI zu treffen und umzusetzen; und (b) Beschränkungen und Bedingungen zu unterwerfen, die nicht weniger Schutz bieten als diejenigen, die für Geschäftspartner in Bezug auf PHI gelten; und
vii. Soweit gesetzlich vorgeschrieben, stellen Sie dem Minister des US-Gesundheitsministeriums (dem „Minister“) Ihre internen Vorgehensweisen, Bücher und Aufzeichnungen in Bezug auf die Verwendung und Offenlegung von PHI, die Sie von der abgedeckten Einheit erhalten haben oder die von einem Geschäftspartner im Namen der abgedeckten Einheit erstellt oder erhalten haben, zur Verfügung, damit der Minister die Einhaltung dieser BAA feststellen kann.
3. Kündigung.
a. Kündigungsrecht der abgedeckten Einheit. Die abgedeckte Einheit ist berechtigt, diese BAA und die Vereinbarung sofort zu kündigen, wenn die abgedeckte Einheit feststellt, dass der Geschäftspartner gegen eine wesentliche Bedingung dieser Vereinbarung in Bezug auf PHI verstoßen hat und den Verstoß nicht innerhalb von 30 Tagen behoben oder beendet hat. b. Wirkung der Kündigung. Die Kündigung dieser BAA und der Vereinbarung berührt nicht Ansprüche oder Rechte, die aufgrund von Handlungen oder Unterlassungen der Parteien vor dem Datum des Inkrafttretens der Kündigung entstehen. c. Automatische Kündigung. Diese Vereinbarung endet automatisch ohne weitere Maßnahmen der Parteien mit der Kündigung oder dem Ablauf der Vereinbarung. d. Pflichten des Geschäftspartners bei Kündigung. Bei Kündigung dieser BAA und der Vereinbarung müssen die PHI, die der Geschäftspartner von der abgedeckten Einheit erhalten hat, vernichtet oder an die abgedeckte Einheit zurückgegeben werden; vorausgesetzt jedoch, dass, wenn die abgedeckte Einheit feststellt, dass die Rückgabe oder Vernichtung von PHI nicht durchführbar ist, der Geschäftspartner den Schutz dieser BAA auf die Informationen ausdehnen und weitere Verwendungen und Offenlegungen auf jene Zwecke beschränken muss, die die Rückgabe oder Vernichtung der Informationen undurchführbar machen.
4. Schadensersatz.
Die in der Vereinbarung festgelegten Haftungsbeschränkungen gelten für diese BAA.5. Verschiedenes
Die Abschnitte 13 (Verschiedenes), 14 (Geltendes Recht und Gerichte) und 15 (Hinweise) der Vereinbarung gelten für diese BAA.
