Cet accord d'associé commercial ("BAA") est effectif à partir de la Date d'Entrée en Vigueur (telle que définie ci-dessous) entre une entité nommée dans le bloc de signature ci-dessous ("Entité Couverte") et airSlate, Inc. ("Associé Commercial") (chacun désigné comme une "Partie", et collectivement, les "Parties").

Les Parties désirent conclure cet accord d'associé commercial afin de se conformer à la Loi sur la Portabilité et la Responsabilité de l'Assurance Maladie de 1996 (Loi Publique 104-191), la Loi sur la Technologie de l'Information de Santé pour l'Économie et la Santé Clinique, Loi Publique §111-5 et les règlements promulgués par le Département américain de la Santé et des Services Sociaux, y compris les Règles de Confidentialité, de Sécurité, de Notification de Violation et d'Application aux Parties 160 et 164 du 45 C.F.R., chacune amendée par la règle finale connue sous le nom de Règle Omnibus (collectivement, "HIPAA");

Les Parties ont conclu un accord de service ("l'Accord Sous-Jacent") en vertu duquel l'Associé Commercial peut utiliser et/ou divulguer des informations de santé protégées ("PHI") dans le cadre de l'exécution des services en vertu de l'Accord Sous-Jacent (les "Services"); et

Cet accord d'associé commercial établit les modalités et conditions en vertu desquelles les PHI doivent être traitées entre l'Entité Couverte et l'Associé Commercial, et avec des tiers, pendant la durée de l'Accord Sous-Jacent et après sa résiliation. 

En considération des promesses mutuelles énoncées dans cet accord d'associé commercial et des Arrangements Commerciaux, et d'autres considérations bonnes et précieuses, dont la suffisance et la réception sont par la présente expressément reconnues, les Parties conviennent comme suit.

Tous les termes en majuscules utilisés mais non définis dans cette BAA doivent avoir la même signification que ces termes dans la HIPAA.

• "Violation" lorsqu'il est en majuscule, doit avoir la signification énoncée dans 45 C.F.R. § 164.402 (y compris toutes ses subdivisions); en ce qui concerne toutes les autres utilisations du mot "violation" dans cette BAA, le mot doit avoir sa signification contractuelle ordinaire. 
• "Ensemble d'informations désignées" doit avoir la signification énoncée dans 45 C.F.R. § 164.501 et doit inclure, sans s'y limiter, les dossiers médicaux et les dossiers de facturation concernant les individus.
• "Informations de santé protégées électroniques" ou "ISPE" doit avoir la même signification que le terme "informations de santé protégées électroniques" dans 45 C.F.R. § 160.103, limité aux informations qui (i) sont reçues par le partenaire commercial de l'entité couverte, ou (ii) sont consultées, créées, reçues, transmises ou conservées par le partenaire commercial pour le compte de l'entité couverte.
• "Date d'entrée en vigueur" signifie la date à laquelle le partenaire commercial a été engagé pour la première fois pour fournir des services à l'entité couverte en vertu de l'accord sous-jacent.
• "Individu" doit avoir la même signification que le terme "individu" dans 45 C.F.R. § 160.103 et doit inclure une personne qui remplit les conditions pour être un représentant personnel conformément à 45 C.F.R. § 164.502(g).
• "Informations de santé protégées" ou "ISP" doit avoir la même signification que le terme "informations de santé protégées" dans 45 C.F.R. § 160.103, limité aux informations qui (i) sont reçues par le partenaire commercial de l'entité couverte, ou (ii) sont consultées, créées, reçues, transmises ou conservées par le partenaire commercial pour le compte de l'entité couverte. Les ISP incluent les ISPE.
• "Exigé par la loi" doit avoir la même signification que le terme "exigé par la loi" dans 45 C.F.R. § 164.103.
• "Secrétaire" doit signifier le Secrétaire du Département de la Santé et des Services sociaux ou son mandataire. 
• "Incident de sécurité" signifie l'accès, l'utilisation, la divulgation, la modification ou la destruction non autorisés tentés ou réussis des informations de l'entité couverte dans un système d'information contrôlé par le partenaire commercial. Nonobstant ce qui précède, les Parties reconnaissent et conviennent que le partenaire commercial n'a pas besoin de signaler tous les incidents de sécurité tentés mais infructueux à l'entité couverte, et que cette BAA constitue un avis à l'entité couverte que de tels incidents de sécurité infructueux se produisent périodiquement. Les incidents de sécurité infructueux incluent, sans s'y limiter, les pings et autres attaques de diffusion sur le pare-feu du partenaire commercial, les analyses de ports, les tentatives de connexion infructueuses, les refus de service, et toute combinaison de ce qui précède, tant que de tels incidents ne se traduisent pas par un accès, une utilisation ou une divulgation non autorisés réels des ISP. 
• "ISP non sécurisées" doit avoir la même signification que le terme "ISP non sécurisées" dans 45 C.F.R. § 164.402.

2.1. Utilisation et Divulgation. Le Partenaire Commercial s'engage à ne pas utiliser ou divulguer les PHI autrement que ce qui est permis ou requis par le présent AAB, ou tel que requis par la Loi. Dans la mesure où le Partenaire Commercial doit exécuter une ou plusieurs des obligations de l'Entité Couverte en vertu de la sous-partie E de la Règle sur la Confidentialité, le Partenaire Commercial doit se conformer aux exigences applicables de la sous-partie E qui s'appliquent à l'Entité Couverte dans l'exécution de ces obligations. 

2.2. Sauvegardes. Le Partenaire Commercial doit, le cas échéant, se conformer à la Règle de Sécurité HIPAA concernant les EPHI et accepte de mettre en œuvre des sauvegardes administratives, physiques et techniques qui protègent raisonnablement et adéquatement la confidentialité, l'intégrité et la disponibilité des EPHI et qui empêchent l'utilisation ou la divulgation de telles PHI autrement que ce qui est prévu par le présent AAB.

2.3. Minimum Nécessaire. Le Partenaire Commercial s'engage à faire des efforts raisonnables pour limiter l'utilisation et/ou la divulgation des PHI au minimum d'informations nécessaire pour accomplir le but permis de l'utilisation ou de la divulgation.

2.4. Atténuation. Le Partenaire Commercial s'engage à atténuer, dans la mesure du possible, tout effet nocif connu du Partenaire Commercial d'une utilisation ou d'une divulgation des PHI par le Partenaire Commercial en violation du présent AAB.

2.5. Sous-Traitants. Le Partenaire Commercial s'engage à garantir que tout Sous-Traitant qui crée, reçoit, conserve ou transmet des PHI pour le compte du Partenaire Commercial accepte des restrictions et des conditions matériellement identiques ou supérieures à celles qui s'appliquent au Partenaire Commercial par le biais de cet AAB concernant ces informations.

2.6. Restrictions Supplémentaires. Si l'Entité Couverte informe le Partenaire Commercial que l'Entité Couverte a accepté d'être liée par des restrictions supplémentaires sur les utilisations ou divulgations des PHI, le Partenaire Commercial doit être lié par ces restrictions supplémentaires et ne doit pas divulguer les PHI en violation de ces restrictions supplémentaires conformément à 45 C.F.R. § 164.522.

2.7. Accès aux PHI. Dans la mesure où le Partenaire Commercial conserve des PHI dans un Ensemble de Données Désignées pour l'Entité Couverte dans un format déchiffré, le Partenaire Commercial, à la demande de l'Entité Couverte, doit rendre l'accès à ces PHI disponible à l'Entité Couverte conformément à 45 C.F.R. § 164.524.

2.8. Modification des PHI. Dans la mesure où le Partenaire Commercial a accès aux PHI dans un format déchiffré, et aux frais raisonnables de l'Entité Couverte, le Partenaire Commercial accepte d'apporter des modifications aux PHI dans un Ensemble de Données Désignées telles que dirigées par l'Entité Couverte aussi raisonnablement nécessaire pour satisfaire aux obligations du Partenaire Commercial conformément à 45 CFR § 164.526. Nonobstant ce qui précède, l'Associé Commercial n'a pas besoin d'apporter des modifications aux PHI dans un Ensemble de Données Désignées à moins que l'Entité Couverte ne soit incapable d'apporter de telles modifications à ces PHI par elle-même.

2.9. Comptabilité des Divulgations. Dans la mesure où le Partenaire Commercial a accès aux PHI de l'Entité Couverte dans un format déchiffré, le Partenaire Commercial accepte de documenter et de fournir à l'Entité Couverte, dans les trente (30) jours calendaires suivant la réception d'une demande écrite de l'Entité Couverte, une comptabilité des divulgations des PHI et des informations liées à ces divulgations comme requis pour que l'Entité Couverte puisse répondre à une demande d'un Individu pour une comptabilité des divulgations des PHI conformément à 45 C.F.R. § 164.528. 

2.10. Transmission des Demandes d'un Individu. Dans le cas où un Individu demande directement l'accès, la modification ou la comptabilité des PHI au Partenaire Commercial, le Partenaire Commercial doit transmettre cette demande à l'Entité Couverte conformément à la loi applicable.

2.11. Livres et Registres. Le Partenaire Commercial accepte de mettre à disposition du Secrétaire, à des fins de détermination de la conformité de l'Entité Couverte avec la HIPAA, les pratiques internes, les livres et registres, y compris les politiques et procédures et les PHI, concernant l'utilisation et la divulgation des PHI reçues de, ou reçues par le Partenaire Commercial pour le compte de, l'Entité Couverte, conformément à la loi applicable.

2.12. Signalement. Le Partenaire Commercial accepte de signaler à l'Entité Couverte tout Incident de Sécurité ou toute autre utilisation ou divulgation des PHI non autorisée par le présent AAB dont il a connaissance, conformément à la HIPAA, et dans les 30 jours calendaires. Si le Partenaire Commercial découvre qu'une Violation des PHI non sécurisées s'est produite, le Partenaire Commercial doit en informer l'Entité Couverte conformément aux exigences de 45 C.F.R. §164.410. Nonobstant ce qui précède, cet avis doit inclure l'identification de chaque Individu dont les PHI non sécurisées ont été ou sont raisonnablement estimées par le Partenaire Commercial avoir été consultées, acquises ou divulguées en relation avec cette Violation, dans la mesure où le Partenaire Commercial a accès à ces informations sans déchiffrement des données. De plus, le Partenaire Commercial doit fournir toute information supplémentaire raisonnablement demandée par l'Entité Couverte aux fins d'enquêter sur la Violation et toute autre information disponible que l'Entité Couverte est tenue d'inclure à l'Individu en vertu de 45 C.F.R. §164.404(c) au moment de la notification ou promptement après que l'information devienne disponible.

3.1. Utilisations et Divulgations. Sauf indication contraire expresse dans le présent BAA, le Partenaire Commercial peut utiliser et divulguer des PHI pour effectuer les Services, à condition que cette utilisation ou divulgation ne violerait pas la HIPAA si elle était effectuée par l'Entité Couverte.

3.2. Gestion et Administration. Sauf indication contraire expresse dans ce BAA, le Partenaire Commercial peut utiliser et divulguer des PHI comme nécessaire pour la gestion et l'administration appropriées du Partenaire Commercial ou pour remplir les responsabilités légales du Partenaire Commercial, à condition, cependant, que toute Divulgation autorisée de PHI à un tiers doit être soit Requise Par la Loi, soit soumise à ce que le Partenaire Commercial obtienne des assurances raisonnables de la part de la personne à qui les informations sont divulguées selon lesquelles elles resteront confidentielles et seront utilisées ou divulguées uniquement comme Requises Par la Loi ou dans le but pour lequel elles ont été divulguées à la personne, et que la personne informe le Partenaire Commercial de tout cas dont elle a connaissance où la confidentialité des informations a été violée.

3.3. Divulgations Requises Par la Loi. Le Partenaire Commercial peut utiliser ou divulguer des PHI comme Requis Par la Loi. 

3.4. Agrégation des Données. Sauf indication contraire expresse dans ce BAA, le Partenaire Commercial peut utiliser et divulguer des PHI pour fournir des Services d'Agrégation de Données à l'Entité Couverte comme permis par 45 C.F.R. § 164.504(e)(2)(i)(B).

3.5. Dé-Identification. Le Partenaire Commercial peut utiliser des PHI pour dé-identifier des PHI et créer des informations dé-identifiées à partir de PHI tel que décrit dans 45 C.F.R. § 164.514, sous réserve de toute restriction dans la HIPAA. L'Entité Couverte et le Partenaire Commercial comprennent et reconnaissent que les informations correctement dé-identifiées ne sont pas des "Informations de Santé Protégées" aux termes de ce BAA, et que le Partenaire Commercial peut ensuite utiliser et divulguer de telles données dé-identifiées sauf interdiction contraire par la loi applicable.

3.6. Données Dérivées. Sauf interdiction expresse dans ce BAA, les Parties conviennent que le Partenaire Commercial peut accéder, utiliser et divulguer les Données de l'Entité Couverte dans la mesure permise par la loi, y compris les informations dé-identifiées, et conviennent que tout résultat ou produit dérivé de l'accès et de l'utilisation autorisés en vertu de la loi applicable, y compris tout dérivé d'informations, doit être la propriété du Partenaire Commercial et tous les droits liés à ces produits. Dans le cas où une licence est nécessaire, les Parties conviennent que le Partenaire Commercial se voit accorder une licence non exclusive, cessible, transférable, entièrement payée et exempte de redevance pour les informations dérivées, le résultat et les œuvres des informations, et une telle licence doit survivre à la résiliation de ce BAA. "Données de l'Entité Couverte" signifie toutes les données tangibles ou intangibles qui sont fournies par ou pour le compte de l'Entité Couverte au Partenaire Commercial pour effectuer les services en vertu de l'Accord Sous-Jacent.

Les Parties conviennent et reconnaissent que les obligations d'indemnisation contenues dans l'Accord Sous-jacent doivent régir la performance de chaque Partie en vertu de ce BAA.

5.1. Avis des pratiques de confidentialité. L'Entité couverte doit informer l'Associé commercial de toute limitation dans tout avis de pratiques de confidentialité applicable conformément à 45 C.F.R. § 164.520, dans la mesure où cette limitation pourrait affecter l'utilisation ou la divulgation de PHI par l'Associé commercial. L'Entité couverte doit fournir cet avis au plus tard quinze (15) jours avant la date d'entrée en vigueur de la limitation.

5.2. Notification des changements concernant l'autorisation individuelle. L'Entité couverte doit informer l'Associé commercial de tout changement ou révocation de l'autorisation par un individu d'utiliser ou de divulguer des PHI, dans la mesure où ces changements pourraient affecter l'utilisation ou la divulgation de PHI par l'Associé commercial. L'Entité couverte doit fournir cet avis au plus tard quinze (15) jours avant la date d'entrée en vigueur du changement. L'Entité couverte doit obtenir tout consentement ou autorisation qui pourrait être requis par la Règle de confidentialité de HIPAA, ou la loi de l'État applicable, avant de fournir à un Associé commercial des PHI.

5.3. Notification des restrictions à l'utilisation ou à la divulgation de PHI. L'Entité couverte doit informer l'Associé commercial de toute restriction à l'utilisation ou à la divulgation de PHI à laquelle l'Entité couverte a accepté de se conformer conformément à 45 C.F.R. § 164.522, dans la mesure où cette restriction pourrait affecter l'utilisation ou la divulgation de PHI par l'Associé commercial. L'Entité couverte doit fournir cet avis au plus tard quinze (15) jours avant la date d'entrée en vigueur de la restriction. L'Entité couverte doit obtenir tout consentement ou autorisation qui pourrait être requis par la Règle de confidentialité de HIPAA, ou la loi de l'État applicable, avant de fournir à un Associé commercial des PHI.

5.4. Demandes admissibles. L'Entité couverte ne doit pas demander à l'Associé commercial d'utiliser ou de divulguer des PHI d'une manière qui ne serait pas permise en vertu de la Règle de confidentialité, de la Règle de sécurité, ou de HIPAA si elle était effectuée par l'Entité couverte, sauf autorisation conformément aux dispositions de la Section 3 de ce BAA.

6.1. Terme. Ce BAA doit être effectif à partir de la Date d'Entrée en Vigueur et doit se poursuivre jusqu'à sa résiliation conformément à la Section 6 ci-dessous, ou jusqu'à ce que l'Accord Sous-jacent prenne fin, selon la première éventualité.

6.2. Résiliation. Dès que l'une des Parties (la "Partie Non-Défaillante") a connaissance d'une violation substantielle de l'autre Partie (la "Partie Défaillante"), la Partie Non-Défaillante doit accorder trente (30) jours à la Partie Défaillante pour remédier à la violation substantielle, et si la Partie Défaillante ne remédie pas à la violation substantielle dans ce délai, la Partie Non-Défaillante peut résilier ce BAA et l'Accord Sous-jacent, le cas échéant. Si la Partie Défaillante a enfreint une disposition substantielle de ce BAA, et que la remédiation n'est pas possible, la Partie Non-Défaillante peut résilier immédiatement ce BAA.

6.3. Effet de la Résiliation. À la résiliation de ce BAA ou de l'Accord Sous-jacent, pour quelque raison que ce soit, le Partenaire Commercial doit détruire toutes les PHI reçues de l'Entité Couverte ou reçues par le Partenaire Commercial pour le compte de l'Entité Couverte, sauf dans la mesure où une telle PHI est nécessaire pour que le Partenaire Commercial puisse continuer à assurer sa gestion et son administration correctes ou pour remplir ses obligations légales. Nonobstant ce qui précède, dans le cas où le Partenaire Commercial détermine que la destruction de la PHI n'est pas réalisable, le Partenaire Commercial doit informer l'Entité Couverte des conditions qui rendent la destruction irréalisable, et le Partenaire Commercial doit étendre les protections de cet Accord à ladite PHI et limiter les utilisations et divulgations ultérieures de ladite PHI à des fins qui rendent la destruction irréalisable, tant que le Partenaire Commercial conserve ladite PHI.

7.1. Références réglementaires. Une référence dans le présent AAE à une section de la HIPAA signifie la section telle qu'elle est en vigueur ou telle qu'elle est modifiée de temps à autre, et pour laquelle la conformité est requise.

7.2. Primauté. Dans la mesure où certaines dispositions du présent AAE entrent en conflit avec les dispositions de l'Accord sous-jacent ou de tout autre accord ou entente entre les Parties, le présent AAE doit prévaloir en ce qui concerne l'objet du présent AAE.

7.3. Modification ; Renonciation. Le présent AAE ne peut être modifié, ni aucune disposition être renoncée ou modifiée, sauf par écrit dûment signé par les Parties. Une renonciation à l'égard d'un événement ne doit pas être interprétée comme étant continue, ou comme un obstacle à, ou renonciation à tout droit ou recours à l'égard d'événements ultérieurs.

7.4. Ambiguïtés. Toute ambiguïté dans le présent AAE doit être résolue pour permettre la conformité avec la HIPAA. Dans la mesure où une disposition du présent AAE entre en conflit avec une disposition de tout autre accord ou entente entre les Parties, le présent AAE doit prévaloir en ce qui concerne l'objet du présent AAE.

7.5. Droit applicable et juridiction. Le présent AAE est régi et interprété conformément aux mêmes lois internes que celles énoncées dans l'Accord sous-jacent applicable.

7.6. Pas de bénéficiaires tiers. Rien de ce qui est expressément ou implicitement contenu dans le présent AAE n'est destiné ou ne doit être réputé conférer à toute personne autre que l'Entité couverte, l'Associé commercial, et leurs successeurs et ayants droit respectifs, des droits, obligations, recours ou responsabilités.

7.7. Contreparties ; Télécopies. Le présent AAE peut être exécuté en autant d'exemplaires que nécessaire, chacun étant réputé original. Les copies par télécopie de ce document doivent être réputées être des originaux.

7.8. Entrepreneurs indépendants. Aucune disposition du présent AAE n'est destinée à créer, ni ne doit être réputée ou interprétée comme créant une relation d'emploi, d'agence ou de coentreprise entre l'Entité couverte et l'Associé commercial autre que celle d'entités indépendantes contractant entre elles uniquement dans le but de mettre en œuvre les dispositions du présent AAE. Aucune des Parties ou aucun de leurs représentants respectifs ne doit être interprété comme étant l'agent, l'employeur ou le représentant de l'autre. Les Parties ont examiné les facteurs pour déterminer si une relation d'agence existe en vertu du droit commun fédéral de l'agence, et il n'est pas dans l'intention de l'Entité couverte ou de l'Associé commercial que l'Associé commercial constitue un "agent" en vertu de ce droit commun.

7.9. Avis. Tout avis à donner en vertu du présent AAE à une Partie doit être envoyé par courrier postal ou par coursier express à l'adresse de ladite Partie indiquée ci-dessous, et/ou par télécopie aux numéros de télécopie indiqués ci-dessous. Chaque Partie peut modifier son adresse et celle de son représentant pour avis en donnant un avis à cet effet de la manière prévue ci-dessus dans cette Section.

Pour l'Associé commercial à : 17 Station Street, Ste. 203, Brookline, Massachusetts, 02445, Email: legal@airslate.com, Attention : Conseiller général.

Pour l'Entité couverte à : (à remplir par l'Entité couverte).

En foi de quoi, les Parties ont signé le présent AAE à la Date d'entrée en vigueur.