HIPAA en de Business Associate Agreement

Deze pagina vat de gepubliceerde Business Associate Agreement, voorwaarden en privacyverklaring voor praktijken in de Verenigde Staten samen, maar vervangt ze niet. Voor praktijken in de EU geldt in plaats daarvan de AVG; zie AVG.

Wie waarvoor verantwoordelijk is

De praktijk is de covered entity, of een business associate van een covered entity, en Salisan, Inc. is haar business associate (BAA artikel 2.1). De BAA geldt voor beschermde gezondheidsinformatie (PHI) die Salisan voor de praktijk maakt, ontvangt, bewaart of verstuurt. Account-, inlog- en factuurgegevens zijn geen PHI; daarvoor geldt de Amerikaanse privacyverklaring (artikel 2.3).

Salisan gebruikt en verstrekt PHI alleen om de dienst te leveren, te beveiligen en te ondersteunen, voor het eigen beheer en voor zover de wet dat eist. Salisan verkoopt PHI niet en gebruikt het niet voor marketing (artikelen 3.1, 3.2 en 3.7).

De Business Associate Agreement

Een eigenaar accepteert de BAA samen met de voorwaarden in de app, voordat de praktijk patiëntgegevens invoert. Accepteren in de app is de elektronische handtekening van de praktijk. Wilt u een exemplaar dat beide partijen hebben ondertekend, stuur dan het ondertekeningsformulier aan het einde van de BAA naar legal@salisan.com. Is het accepteren van een vereist document te laat, dan kan de praktijk haar gegevens nog lezen en exporteren, maar nieuw patiëntwerk pauzeert tot een eigenaar accepteert.

De BAA heeft versie 2026-11-06. Het recht van Delaware is van toepassing, behalve waar de HIPAA-regels gelden (artikel 16.6). Zie hoe versies werken.

Waar gegevens staan

Salisan bewaart PHI in de Verenigde Staten (artikel 4.3), in AWS us-east-1, Northern Virginia, in een AWS-account dat alleen voor de Amerikaanse dienst wordt gebruikt. Back-ups verlopen binnen 35 dagen. Zie Gegevenslocatie.

Subcontractors en AI

De lijst met subcontractors noemt de twee subcontractors die PHI ontvangen, elk met een business associate agreement:

• Amazon Web Services, Inc.: hosting in us-east-1, waaronder de database, bestandsopslag, e-mail, vertaling, spraakherkenning met Amazon Transcribe, webonderzoek dat alleen geanonimiseerde vragen ontvangt, logging en back-ups.
• Fireworks.ai, Inc.: de AI-modellen. Verzoeken worden verwerkt zonder dat gegevens worden bewaard.

De AI-aanbieders van Salisan gebruiken PHI niet om hun modellen te trainen of te verbeteren (artikel 6.1). Eigenaren krijgen minstens 15 dagen vooraf bericht voordat een nieuwe subcontractor PHI ontvangt, en de praktijk kan daarvoor opzeggen (artikel 6.2). Hoe de AI werkt laat zien wat elke functie verstuurt.

Melding van datalekken

Salisan meldt de eigenaren van de praktijk per e-mail een inbreuk op onbeveiligde PHI zonder onredelijke vertraging en binnen 30 kalenderdagen na ontdekking, met de gegevens die 45 CFR 164.410(c) vraagt voor zover bekend (artikel 5.2). De praktijk beslist of en hoe zij patiënten, het Amerikaanse ministerie van Volksgezondheid en de media informeert; Salisan helpt bij het beperken en onderzoeken (artikel 5.5).

Patiëntrechten

Patiënten vragen hun praktijk om inzage, correctie of een overzicht van verstrekkingen. Schrijft een patiënt aan Salisan, dan stuurt Salisan het verzoek binnen 10 werkdagen door naar de praktijk (artikel 7.3).

• Inzage en correctie. Exporteer het patiëntdossier, en corrigeer of vul vermeldingen aan terwijl hun geschiedenis zichtbaar blijft. Zie Patiëntrechten. Wat u niet in de app kunt doen, doet Salisan op uw schriftelijke verzoek binnen 15 werkdagen (artikel 7.1).
• Overzicht van verstrekkingen. Exporteer het dossier met het toegangslogboek. Voor een Amerikaanse praktijk bevat de export ook een overzicht van verstrekkingen over de laatste zes jaar. Het laat behandeling, betaling, praktijkvoering en verstrekkingen aan de patiënt weg, zoals 45 CFR 164.528 toestaat. Zijn eigen verstrekkingen die in het overzicht horen, geeft Salisan u binnen 15 werkdagen na een schriftelijk verzoek (artikel 7.2).

Uw verplichtingen

De BAA laat dit aan de praktijk over (artikel 8):

• Laat Salisan weten welke beperkingen in uw Notice of Privacy Practices staan en welke beperkingen u hebt afgesproken, voor zover ze het gebruik van de informatie door Salisan raken.
• Zorg voor elke toestemming, machtiging of kennisgeving die de wet vraagt, ook volgens wetten van staten die dossiers over geestelijke gezondheid, hiv, reproductieve gezondheid en middelengebruik beschermen.
• Gebruik rollen, zorgteams en AI-uitsluiting om informatie te beschermen die meer bescherming nodig heeft, en laat het Salisan schriftelijk weten voordat u dossiers toevoegt waarop 42 CFR Part 2 van toepassing is.

Contact

Stuur vragen over de BAA naar legal@salisan.com, en privacyverzoeken over uw eigen account naar privacy@salisan.com. Salisan antwoordt daarop binnen 45 dagen.