HIPAA e il Business Associate Agreement

Questa pagina riassume, senza sostituirli, il Business Associate Agreement, le Condizioni di servizio e l'informativa sulla privacy pubblicati per gli studi negli Stati Uniti. Per gli studi nell'UE vale invece il GDPR; vedi GDPR.

Chi è responsabile di cosa

Lo studio è la covered entity, o un business associate di una covered entity, e Salisan, Inc. è il suo business associate (BAA sezione 2.1). Il BAA riguarda le informazioni sanitarie protette (PHI) che Salisan crea, riceve, conserva o trasmette per lo studio. I dati di account, di accesso e di fatturazione non sono PHI; per questi vale l'informativa sulla privacy statunitense (sezione 2.3).

Salisan usa e comunica le PHI solo per fornire, proteggere e supportare il servizio, per la propria gestione e amministrazione e quando la legge lo richiede. Non le vende e non le usa per il marketing (sezioni 3.1, 3.2 e 3.7).

Il Business Associate Agreement

Un proprietario accetta il BAA insieme alle Condizioni nell'app, prima che lo studio inserisca dati dei pazienti. L'accettazione nell'app è la firma elettronica dello studio. Per una copia firmata da entrambe le parti, invii il modulo di firma alla fine del BAA a legal@salisan.com. Se l'accettazione di un documento richiesto è scaduta, lo studio può ancora leggere ed esportare i propri dati, ma il nuovo lavoro sui pazienti si ferma finché un proprietario non accetta.

Il BAA è alla versione 2026-11-06. È regolato dalla legge del Delaware, salvo dove si applicano le norme HIPAA (sezione 16.6). Vedi come funzionano le versioni.

Dove sono conservati i dati

Salisan conserva le PHI negli Stati Uniti (sezione 4.3), in AWS us-east-1, Northern Virginia, in un account AWS usato solo per il servizio statunitense. I backup scadono entro 35 giorni. Vedi Posizione dei dati.

Subappaltatori e IA

L'elenco dei subappaltatori indica i due subappaltatori che ricevono PHI, ciascuno con un business associate agreement:

• Amazon Web Services, Inc.: hosting in us-east-1, compresi database, archiviazione dei file, email, traduzione, trascrizione con Amazon Transcribe, ricerca web che riceve solo domande anonimizzate, registrazione dei log e backup.
• Fireworks.ai, Inc.: i modelli di IA. Le richieste sono elaborate senza conservazione dei dati e non vengono memorizzate.

I fornitori di IA di Salisan non usano le PHI per addestrare o migliorare i propri modelli (sezione 6.1). I proprietari ricevono un preavviso di almeno 15 giorni prima che un nuovo subappaltatore riceva PHI, e lo studio può recedere prima che ciò avvenga (sezione 6.2). Come funziona l'IA indica cosa invia ogni funzione.

Notifica delle violazioni

Salisan notifica via email ai proprietari dello studio una violazione di PHI non protette senza ritardi irragionevoli ed entro 30 giorni di calendario dalla scoperta, con le informazioni richieste da 45 CFR 164.410(c) per quanto note (sezione 5.2). Lo studio decide se e come informare i pazienti, il Dipartimento della Salute statunitense e i media; Salisan aiuta a contenere e indagare (sezione 5.5).

Diritti dei pazienti

I pazienti chiedono al proprio studio l'accesso, la rettifica o un rendiconto delle comunicazioni. Se un paziente scrive a Salisan, Salisan inoltra la richiesta allo studio entro 10 giorni lavorativi (sezione 7.3).

• Accesso e rettifica. Esporti la cartella del paziente, e corregga o integri le voci mantenendo visibile la loro cronologia. Vedi Diritti dei pazienti. Ciò che non può fare nell'app, Salisan lo fa su sua richiesta scritta entro 15 giorni lavorativi (sezione 7.1).
• Rendiconto delle comunicazioni. Esporti la cartella con il registro degli accessi. Per uno studio statunitense l'esportazione contiene anche un rendiconto delle comunicazioni degli ultimi sei anni. Esclude trattamento, pagamento, attività operative dello studio e comunicazioni al paziente, come consente 45 CFR 164.528. Salisan le fornisce le proprie comunicazioni da rendicontare entro 15 giorni lavorativi da una richiesta scritta (sezione 7.2).

I suoi obblighi

Il BAA lascia allo studio quanto segue (sezione 8):

• Informi Salisan dei limiti nella sua Notice of Privacy Practices e delle restrizioni concordate, quando riguardano l'uso delle informazioni da parte di Salisan.
• Ottenga ogni autorizzazione, consenso o informativa richiesti dalla legge, anche dalle leggi statali che tutelano i documenti su salute mentale, HIV, salute riproduttiva e disturbi da uso di sostanze.
• Usi ruoli, team di cura ed esclusione dall'IA per proteggere le informazioni che richiedono più tutela, e informi Salisan per iscritto prima di aggiungere documenti soggetti a 42 CFR Part 2.

Contatti

Invii le domande sul BAA a legal@salisan.com e le richieste sulla privacy del suo account a privacy@salisan.com. Salisan risponde a queste entro 45 giorni.