Contrat de partenariat commercial

Si le Client a conclu un contrat de prestation de services avec une entité OpenText (ci-après dénommé« Contrat de services ») et que le Client est une Entité concernée (telle que définie ci-dessous) et utilise les services prévus dans le Contrat de services pour transmettre, stocker ou traiter de toute autre manière des Informations de santé protégées (« PHI »), de sorte que ladite entité Open Text agit en tant que Partenaire commercial (tel que défini ci-dessous) à cet égard, les dispositions du présent Contrat de partenariat commercial (le présent «Contrat ») seront réputées intégrées au Contrat de services dès sa signature. En cas de conflit entre une disposition du présent Contrat et une disposition du Contrat de services, le présent Contrat prévaudra. 

I. L’entité concernée et le partenaire commercial s’engagent à protéger la confidentialité et la sécurité des informations médicales protégées (PHI), conformément aux exigences applicables de la loi de 1996 sur la portabilité et la responsabilité en matière d’informations de santé (« HIPAA ») et de la loi HITECH de 2009 (« HITECH »).

II. La règle relative à la protection de la vie privée impose à l'entité concernée et au partenaire commercial de conclure un contrat écrit contenant des garanties suffisantes quant à la protection adéquate de ces informations médicales protégées (PHI) par le partenaire commercial.

III. La loi HITECH impose au partenaire commercial de mettre en place certaines procédures de signalement.

PAR CONSÉQUENT, compte tenu des engagements réciproques énoncés dans les présentes, ainsi que d’autres contreparties valables et légitimes, dont la réception et l’adéquation sont par les présentes reconnues, les Parties conviennent de ce qui suit :

Les termes utilisés dans le présent accord et non définis par ailleurs ont la même signification que celle qui leur est donnée dans la règle relative à la protection de la vie privée et dans la loi HITECH actuellement en vigueur ou telles qu'elles sont modifiées de temps à autre. Exemples de définitions spécifiques :

1.1. "Le terme« partenaire commercial» (" ) a la même signification que celle attribuée au terme « partenaire commercial » dans l'article 45 CFR § 160.103.
1.2. "Leterme«entité concernée » (" ) a la même signification que le terme « entité concernée » tel que défini à l'article 45 CFR § 160.103.
1.3. "Le terme «ensemble de documents désignés» (" ) a la même signification que le terme « ensemble de documents désignés » figurant à l'article 45 CFR § 164.501.
1.4. "Le terme«" s de nature individuelle » a la même signification que le terme « personne physique » tel que défini à l'article 45 CFR § 164.501 et désigne notamment toute personne pouvant être considérée comme un représentant personnel conformément à l'article 45 CFR § 164.502(g).
1.5. "Par «règle de confidentialité»", on entend les normes relatives à la confidentialité des informations de santé identifiables individuellement, telles que définies aux parties 160 et 164 du titre 45 du Code de régulation fédéral (CFR), sous-parties A et E.
1.6. "Informations médicales protégées" ou "Les termes «PHI » (") ont la même signification que le terme « informations médicales protégées » tel que défini à l'article 45 CFR § 164.501, limitées aux informations créées ou reçues par le partenaire commercial de la part de l'entité concernée ou pour le compte de celle-ci.
1.7. "Exigé par la loi: l'expression «" » a la même signification que l'expression « requis par la loi » figurant à l'article 45 CFR § 164.501.
1.8. "Par «secrétaire»", on entend le secrétaire du ministère de la Santé et des Services sociaux ou la personne qu'il aura désignée.

2.1. Dans la mesure où le Partenaire commercial conserve des informations médicales protégées (PHI) dans un ensemble de dossiers désignés, le Partenaire commercial s'engage à :

2.1.1. ne pas utiliser ni divulguer les informations médicales protégées (PHI) autrement que dans les cas autorisés ou requis par le présent accord ou conformément à la loi ;
2.1.2. mettre en place les mesures de protection appropriées afin d'empêcher toute utilisation ou divulgation des informations médicales protégées (PHI) autre que celle prévue par le présent accord ;
2.1.3. nommer et habiliter un responsable de la protection de la vie privée chargé de veiller au respect, par le partenaire commercial, du présent accord ainsi que des dispositions des lois HIPAA et HITECH ;
2.1.4. coopérer avec l’Entité concernée afin d’atténuer, dans la mesure du possible, tout effet préjudiciable dont le Partenaire commercial a connaissance et qui résulterait d’une utilisation ou d’une divulgation des Informations médicales protégées (PHI) par le Partenaire commercial en violation des exigences du présent accord ;
2.1.5. signaler à l’Entité concernée, dans un délai de 60 jours à compter de la découverte, toute utilisation ou divulgation des Informations médicales protégées non prévue par le présent accord dont il aurait connaissance, en fournissant tous les détails disponibles concernant la nature de cette utilisation ou divulgation non autorisée, ainsi que les mesures correctives prises par le Partenaire commercial pour empêcher toute nouvelle divulgation ou récidive ;
2.1.6. veiller à ce que tout mandataire, y compris un sous-traitant, auquel elle communique des informations médicales protégées (PHI) reçues de la part du partenaire commercial, ou créées ou reçues par celui-ci pour le compte de l’entité concernée, accepte les mêmes restrictions et conditions que celles qui s’appliquent, en vertu du présent accord, au partenaire commercial en ce qui concerne ces informations ;
2.1.7. mettre à la disposition de l’entité concernée ou du secrétaire les pratiques internes, les documents et les registres, y compris les politiques et procédures ainsi que les informations médicales protégées (PHI), dans les délais et selon les modalités spécifiés par l’entité concernée ou désignés par le secrétaire, afin que ce dernier puisse déterminer si l’entité concernée se conforme à la règle de confidentialité ;
2.1.8. consigner ces divulgations d'informations médicales protégées (PHI) ainsi que les informations relatives à ces divulgations, telles qu'elles seraient requises pour permettre à l'entité concernée de répondre à une demande émanant d'une personne physique visant à obtenir un relevé des divulgations de PHI, conformément à l'article 45 CFR § 164.528 ; et
2.1.9. fournir à l'entité concernée ou à une personne physique, dans les délais et selon les modalités raisonnablement fixés par l'entité concernée, les informations collectées conformément à la section 2.1.7. prévues ci-dessus dans le présent accord, afin de permettre à l'entité concernée de répondre à une demande émanant d'une personne physique visant à obtenir un relevé des divulgations de données médicales protégées (PHI), conformément à l'article 45 CFR § 164.528.

2.2. Dans le cadre de la prestation de ses services, de ses activités et/ou de l'exercice de ses fonctions au profit ou pour le compte de l'Entité concernée, le Partenaire commercial peut communiquer des informations, y compris des données médicales protégées (PHI), à d'autres partenaires commerciaux de l'Entité concernée qui ont été désignés par écrit par cette dernière. De même, le partenaire commercial peut utiliser et divulguer les informations, y compris les informations médicales protégées (PHI), reçues d'autres partenaires commerciaux de l'entité concernée, comme si ces informations provenaient de l'entité concernée ou avaient été générées par celle-ci.

3.1. Dispositions générales relatives à l'utilisation et à la divulgation : pratiques et restrictions. Sous réserve des restrictions prévues dans le présent accord, le partenaire commercial peut utiliser ou divulguer des informations médicales protégées (PHI) afin d’exercer des fonctions, des activités ou de fournir des services pour le compte de l’entité concernée, comme spécifié dans le contrat de services, à condition que cette utilisation ou cette divulgation ne constitue pas une violation de la règle de confidentialité si elle était effectuée par l’entité concernée, ni des politiques et procédures minimales requises de cette dernière.

3.2 Dispositions spécifiques relatives à l'utilisation et à la communication des informations. 

3.2.1. Sous réserve des restrictions prévues dans le présent contrat :

A. Le partenaire commercial peut utiliser les informations médicales protégées (PHI) aux fins de la bonne gestion et de l’administration de son activité ou pour s’acquitter de ses obligations légales ;
B. Le partenaire commercial peut divulguer des informations médicales protégées (PHI) aux fins de la bonne gestion et de l’administration de son activité, à condition que ces divulgations soient requises par la loi, ou que le partenaire commercial obtienne de la part de la personne à qui les informations sont divulguées l’assurance raisonnable que celles-ci resteront confidentielles et ne seront utilisées ou divulguées ultérieurement que dans la mesure requise par la loi ou aux fins pour lesquelles elles lui ont été communiquées, et que cette personne informe le partenaire commercial de tout cas dont elle a connaissance et dans lequel la confidentialité des informations a été violée ; et
C. Le Partenaire commercial peut utiliser les PHI pour fournir des services d’agrégation de données à l’Entité couverte, conformément aux dispositions du 45 CFR § 164.504(e)(2)(i)(B).

3.2.2. Le partenaire commercial peut utiliser les informations médicales protégées (PHI) pour signaler des infractions à la loi aux autorités fédérales et régionales compétentes, conformément à l'article 45 CFR § 164.502(j)(1).

4.1. Dispositions relatives à l'obligation pour l'entité concernée d'informer son partenaire commercial de ses pratiques en matière de protection de la vie privée et des restrictions applicables. Dans la mesure où les limitations, modifications ou restrictions suivantes sont susceptibles d'affecter l'utilisation ou la divulgation des informations médicales protégées (PHI) par le partenaire commercial, l'entité concernée doit informer ce dernier de tout :

4.1.1. les restrictions figurant dans sa déclaration de confidentialité, conformément à l'article 45 CFR § 164.520 ;
4.1.2. les modifications ou la révocation de l'autorisation donnée par la personne concernée d'utiliser ou de divulguer des informations médicales protégées ; et
4.1.3. restriction relative à l'utilisation ou à la communication des informations médicales protégées (PHI) à laquelle l'entité concernée a consenti conformément à l'article 45 CFR § 164.522.

4.2. Demandes autorisées par l'entité concernée. Sous réserve des dispositions prévues à l'article 3.2 du présent accord, l'entité concernée ne demandera pas au partenaire commercial d'utiliser ou de divulguer des informations médicales protégées (PHI) d'une manière qui ne serait pas autorisée en vertu de la règle de confidentialité si cette action était effectuée par l'entité concernée.

4.3. Gestion des informations médicales protégées. L'entité concernée est tenue de conserver toutes les informations médicales protégées (PHI) pendant les durées prévues par la législation applicable, y compris, sans s'y limiter, la règle relative à la confidentialité.

5.1. Terme. Le présent accord prend effet dès sa signature et prend fin lorsque toutes les informations médicales protégées (PHI) fournies par l’entité concernée au partenaire commercial, ou créées ou reçues par ce dernier pour le compte de l’entité concernée, auront été détruites ou restituées à l’entité concernée ; ou, s’il s’avère impossible de restituer ou de détruire ces informations, que des mesures de protection soient appliquées à ces informations, conformément aux dispositions relatives à la résiliation prévues à l’article 5 du présent accord.

5.2. Licenciement pour motif valable. Dès que l’entité concernée a connaissance d’une violation substantielle commise par le partenaire commercial, elle doit soit :

5.2.1. donner au Partenaire commercial la possibilité de remédier au manquement ou de mettre fin à l’infraction, et résilier le présent Contrat ainsi que le Contrat de services si le Partenaire commercial ne remédie pas au manquement ou ne met pas fin à l’infraction dans le délai fixé par l’Entité concernée ;
5.2.2. résilier immédiatement le présent Contrat et le Contrat de services si le Partenaire commercial a enfreint une clause essentielle du présent Contrat et qu’il n’est pas possible d’y remédier ; ou
5.2.3. Si ni la résiliation ni la mise en conformité ne sont possibles, l'entité concernée doit signaler l'infraction au secrétaire.

5.3. Effets de la résiliation.

5.3.1. Sous réserve des dispositions de la section 5.3.2 du présent contrat, en cas de résiliation du présent contrat, pour quelque raison que ce soit, le partenaire commercial devra restituer ou détruire toutes les informations médicales protégées (PHI) reçues de l'entité concernée, ou créées ou reçues par le partenaire commercial pour le compte de l'entité concernée. La présente disposition s'applique aux informations médicales protégées (PHI) détenues par les sous-traitants ou les mandataires du partenaire commercial. Le partenaire commercial ne doit conserver aucune copie des informations médicales protégées.
5.3.2. Si le partenaire commercial estime qu’il n’est pas possible de restituer ou de détruire les informations médicales protégées (PHI), il devra notifier à l’entité concernée les raisons pour lesquelles cette restitution ou cette destruction n’est pas possible. Si les Parties conviennent d’un commun accord que la restitution ou la destruction des données de santé protégées (PHI) n’est pas réalisable, le Partenaire commercial étendra les mesures de protection prévues par le présent accord à ces données et limitera toute utilisation ou divulgation ultérieure de celles-ci aux seules fins rendant leur restitution ou leur destruction impossible, et ce tant que le Partenaire commercial conservera ces données.