HIPAA业务合作协议

以下信息仅供参考。如果您希望使用Smartsheet进入BAA，请点击与我们的销售团队联系在这里．

---

本HIPAA商业伙伴协议("英国机场管理局)被纳入Smartsheet Inc.(")之间的协议并构成其协议的一部分。内容)及以下签署的客户("客户(")对用户访问和使用订阅服务("协议”)。本BAA自以下最后签字之日起生效(“BAA生效日期”)。

1.适用性．根据本协议的条款，本BAA规定了各方在HIPAA项下关于订阅服务的各自义务。用户承担所有责任，确保其对订阅服务的使用符合其在HIPAA、本协议和本BAA项下的义务。《订阅服务》中“用户”为履行其HIPAA义务所必需的功能和功能仅在《订阅服务》的企业计划(但不包括传统企业)下提供。因此，客户只能在企业计划下上传或提交客户PHI值。如果用户从企业计划中降级，则用户将删除在降级之前上传或提交给订阅服务的任何PHI值。更多细节可以在Smartsheet的HIPAA帮助文章中找到。

2.定义．本协议中未定义的大写术语具有本协议中所赋予的含义。下列术语应具有HIPAA中定义的含义:违反”、“生意伙伴”、“涉及实体”、“指定记录集”、“个人”、“受保护的健康信息(PHI)”、“法律规定”、“安全事故”、“分包商”、“无担保φ”和“劳动力．”

”客户的内容"指由"客户"或"用户"上传或提交给"在线服务"并由"智能表"代表"客户"处理的任何数据、文件附件、文本、图像、报告、个人信息或其他内容。

”客户φ"指客户内容中包含的PHI值。

”HIPAA“指的是1996年的健康保险携带和责任法案以及其中的规则和条例，包括HITECH法案。

”HIPAA帮助文章指由Smartsheet于help.smartsheet.com/articles/2476526提供与用户可用功能相关的信息，供用户按照HIPAA项下的义务配置和使用订阅服务。

”HIPAA法规“”指《CFR》第45部分160和第164部分的隐私、安全、违约通知和执行规则。

”高科技的行为“指美国国会颁布的经济和临床健康卫生信息技术法案，即《2009年美国复苏与再投资法案》A部第XIII章和B部第IV章，以及其中的法规。”

”方”或“聚会，派对“指客户和/或智能表格(视情况而定)。

”秘书指的是美国卫生与公众服务部部长。

”安全规则“”指的是CFR第160部分45以及第164部分的子部件A和C。

”订阅服务指由Smartsheet提供或控制的基于订阅的在线服务和应用程序。就本BAA而言，免费服务、第三方提供的服务和应用程序(包括合作伙伴应用程序)不属于订阅服务的一部分，用户有责任确定并实施适当的措施，以使用符合HIPAA规定的用户义务的服务和应用程序。

”用户"指“客户”或其他用户允许或邀请访问和使用“客户”根据订单和本《协议》条款提供的“订阅服务”的任何个人。

3.各方的作用。

3.1双方同意，关于本BAA:

• 3.1.1当用户符合覆盖实体的资格，并使用Smartsheet代表用户执行某些功能或活动，其中涉及通过订阅服务接收、维护或传输客户PHI时，Smartsheet即为业务伙伴;而且
• 3.1.2当客户被委托代表具有担保实体或业务伙伴资格的第三方执行某些功能或活动时，客户即为业务伙伴，智能表即为分包商(每个“客户”均为“HIPAA第三方")涉及Smartsheet通过订阅服务作为客户PHI接收、维护或传输HIPAA第三方PHI值的。

4.内容。

4.1智能表不得在本BAA许可或要求或法律要求以外的情况下使用或披露客户PHI。

4.2 Smartsheet将使用适当的保障措施来遵守安全规则，并防止客户PHI的使用或泄露，但本BAA的规定除外。

4.3 Smartsheet将向客户提供违约或安全事件的书面通知(统称为“可报告的事件)，它会毫不迟延地意识到。通知将按照本协议中的通知要求发送给客户。

• 4.3.1本智库将根据本智库的报告事件政策和程序调查报告事件，并在必要时减轻或补救报告事件(“违反管理”)。
• 4.3.2 Smartsheet将通过其违约管理向客户提供Smartsheet可获得的信息，包括事件的性质、披露的具体信息(如已知)，以及任何缓解措施或补救措施("违反信息”)，允许“用户”因“可报告事件”而遵守其在《HIPAA》项下的义务。

4.4 Smartsheet应确保其参与履行其在本BAA项下涉及客户PHI的义务的分包商和员工受法定义务或书面协议的约束，该协议包括接收、维护、传输或以其他方式处理客户PHI的适当规定，并在实质上与本BAA一样保护客户PHI。Smartsheet对其分包商和员工在本BAA项下的义务的作为和不作为负责。

4.5 Smartsheet将通过订阅服务向客户提供指定记录集中的客户PHI，以便客户履行其对个人的义务，包括访问、修改和对客户PHI的披露进行会计处理。对于Smartsheet直接从与客户PHI有关的个人处收到的任何确认请求，Smartsheet将以书面形式通知客户，不得无故延误。客户将全权负责识别相关的指定记录集和PHI值，并遵守个人提出的任何要求。

4.6在法律要求的范围内，并受适用的律师-客户特权和合同义务的约束，Smartsheet将使其内部惯例、账簿和记录可以提供给秘书，以便秘书确定是否符合HIPAA规则。


5.客户。

5.1用户代表其自身及其用户声明并保证，其拥有以下所需的一切权利、许可和同意:(a)将所有用户PHI提交给订阅服务;以及(b)授予Smartsheet在本协议中规定的加工客户PHI的有限权利。

5.2用户声明并保证，用户及其用户将遵守适用于用户PHI(包括HIPAA)在订阅服务方面的使用或披露的联邦和州法律。

5.3用户不得使用订阅服务向第三方传送PHI值或从第三方传送PHI值，除非用户已与该第三方签订单独的HIPAA业务关联协议。如果PHI是在订阅服务之外创建、接收、维护或传输的，则Smartsheet没有义务根据本《BAA》保护PHI。

5.4关于“用户”对“订阅服务”及其用户的使用、管理和管理，“用户”(不包括Smartsheet)负责:(a)定期审查《HIPAA帮助条款》，该条款可能因适用法律的变化而不时更新，反映流程改进或更新的做法;(b)独立评估、实施和实施其认为在订阅服务中必要的可用安全配置设置，以支持其对HIPAA的遵守;(c)管理用户被授权创建、接收、维护或传输(包括通过共享或分发)客户PHI的信息。

5.5客户应将其同意的对客户PHI的使用或披露的任何限制通知Smartsheet，包括(如适用)客户必须同意的限制，这些限制可能会影响Smartsheet履行其在本BAA项下的义务。

6.允许使用和披露。

6.1智能表可根据法律要求使用和披露客户PHI: (a)(b)用户书面要求或用户通过订阅服务的访问控制允许的;或(c)防止或处理服务的技术问题，或违反本BAA或本协议。

6.2用户同意按照《联邦法规》第45条§164.502(b)项的该等要求限制其上传或提交订阅服务的用户PHI的数量。Smartsheet同意将其对客户PHI的使用或披露限制在本BAA所允许的最低数量。

6.3尽管有上述允许的使用和披露，但如果用户这样做，Smartsheet将不会以违反《CFR》第164部分45子部分E的方式使用或披露用户PHI，用户也不会要求Smartsheet进行任何此类违反使用或披露。

7.术语和终止。

7.1本BAA将在以下时间较早时终止:(a)本协议规定的许可终止;(b)协议期满或终止;或(c)签署取代本《BAA》的新的《业务关联协议》。

7.2在授权访问和使用《订阅服务》的期限届满或终止后，Smartsheet将根据本协议的条款和条件返回、允许只读访问或使客户PHI(如有)不可恢复;但Smartsheet可根据其法律和财务合规义务或安全和灾难恢复政策和程序将客户PHI保存在存档的计算机系统备份中。任何该等保留客户PHI将继续受本BAA条款和适用协议的约束。

7.3任一方对本BAA的重大违约均构成对本协议的重大违约。如果客户根据第5.5条发出的通知限制了本协议中规定的Smartsheet处理客户PHI的能力，或客户同意或必须遵守对该能力的限制或任何其他限制，则允许Smartsheet提前五(5)个工作日书面通知客户，终止本协议而不受处罚。此外，如果Smartsheet获悉"用户"未按照第5条规定的"用户"义务(包括未使用《HIPAA帮助条款》中讨论的可用功能)充分保护"用户PHI "，则"智能表"可暂停或终止"用户"对"订阅服务"的使用。

8.将军。

8.1修正案;豁免．除非本协议另有明确规定，本BAA仅可通过各方授权代表签署的书面协议进行修改。对任何违反本BAA行为的豁免仅在书面形式下有效，且该等豁免不构成或被解释为对任何后续违约行为的豁免。

8.2.遣散费．如本《BAA》的任何条款被认定为不可执行，则对该条款进行解释时，应将其修改至使其可执行(如法律允许)所需的最低限度，或忽略该条款(如法律不允许)，且本《BAA》的其余内容将按书面形式继续有效。尽管有前文规定，如果修改或忽视不可执行的条款将导致本BAA的基本目的无法实现，则整个BAA将被视为无效。

8.3.优先顺序．关于本BAA的主题事项，若本BAA与双方之间的任何其他书面协议(包括本协议)发生冲突，则本BAA将管辖和控制本BAA。双方之间可能已经存在的任何商业合作协议将被本BAA全部取代和取代。

8.4通知．除非本BAA另有规定，双方将按照本协议在本BAA项下提供通知，但所有该等通知均可通过电子邮件发送。

8.5适用法律及管辖权．除HIPAA抢先规定的范围外，本BAA受本协议中规定的法律管辖，本BAA双方在此就本BAA项下产生的任何争议，提交本协议中规定的管辖和审判地选择(如有)。

8.6.执行．除非法律另有要求:(a)只有“客户”有权针对Smartsheet执行本BAA的任何条款;以及(b) Smartsheet在本BAA项下的义务，包括任何适用的通知，仅针对客户。

8.7.责任．就本BAA各方而言，各方在本BAA项下的责任和救济均受本协议中规定的总责任限制和损害赔偿除外条款的约束。

8.8.变化,HIPAA．如果因HIPAA的变更而要求对本BAA作出任何变更，则任一方均可就该法律变更向另一方发出书面通知。随后，双方将善意地讨论并协商本协议的任何必要变更，以解决该等变更，以期在切实可行的情况下尽快同意并实施该等变更或其他变更，前提是该等变更就订阅服务的功能和性能以及Smartsheet的业务运营而言是合理的。

8.9保留的权利．尽管本BAA有任何相反规定:(a)对于可能对Smartsheet或其客户构成安全风险或被适用法律或合同义务禁止披露的信息，Smartsheet保留拒绝披露的权利;以及(b) Smartsheet在本BAA项下发出的通知、回应或提供的信息或合作并不表示Smartsheet承认任何过错或责任。

最后更新日期:2021年11月18日