İş Ortağı Sözleşmesi (BAA)

İş ortağı sözleşmesi (BAA), HIPAA'nın kapsanan kuruluş — bir sağlık hizmeti sağlayıcısı, sağlık planı ya da takas kurumu — ile onun adına korumalı sağlık verisi oluşturan, alan, saklayan veya ileten her satıcı arasında zorunlu kıldığı sözleşmedir. Satıcıyı bu veriyi korumakla yükümlü kılar, nasıl kullanılıp açıklanabileceğini sınırlar, tanımlı süreler içinde ihlal bildirimi ister, aynı yükümlülükleri satıcının kendi alt yüklenicilerine kadar uzatır ve ilişki bittiğinde verinin iadesi ya da imhasını düzenler. ABD sağlık sektöründeki bir alıcı için BAA, satın almanın ardından gelen bir evrak işi değil, satın almanın koşuludur. İmzalanmış bir BAA olmadan korumalı sağlık verisini bir araca koymak, aracın gerçekte ne kadar güvenli olduğundan bağımsız olarak bir uyum ihlalidir ve risk, satıcı kadar kapsanan kuruluşun da üzerindedir. Üç pratik nokta. Birçok SaaS satıcısı BAA'yı yalnızca belirli paket katmanlarında imzalar; yani aynı ürün, ne satın aldığınıza bağlı olarak kullanılabilir ya da kullanılamaz olur — varsaymadan önce kontrol edin. BAA imzalamak bir satıcıyı "HIPAA sertifikalı" yapmaz; böyle bir sertifikasyon yoktur ve bunu reklam eden bir satıcı, dış bir tasdiki değil kendi kontrollerini anlatıyordur. Ve BAA her katmana ulaşmalıdır: satıcı verinin geçtiği yolda yapay zeka model sağlayıcıları, bulut barındırma ya da transkripsiyon hizmetleri kullanıyorsa bu alt yüklenicilerin de eşdeğer sözleşmeleri olmalıdır; bunu varsaymak yerine açıkça doğrulamak gerekir. Hangi ürün alanlarının kapsamda olduğunu, denetim kaydı ve erişim kontrollerinin dayandığınız teknik güvenceleri karşılayıp karşılamadığını ve destek süreçlerinde verinin nasıl ele alındığını sorun; bir kayda destek ekibinin erişimi en yaygın sessiz boşluklardan biridir.