Acuerdo de socio comercial de Malama
Última actualización: 19 de mayo de 2026
Fecha de entrada en vigor: La fecha de aceptación electrónica o la fecha en que Malama cree, reciba, mantenga o transmita por primera vez información de salud protegida en nombre de la Entidad Cubierta, lo que ocurra primero.
Este Acuerdo de Socio Comercial (“BAA”, por sus siglas en inglés) se celebra por y entre Malama Health, Inc. (“Socio Comercial” o “Malama”) y el consultorio médico, centro, organización, equipo de atención, pagador u otra entidad identificada durante el registro o que de otro modo utilice los servicios de Malama (“Entidad Cubierta” o “Cliente”), en la medida en que el Cliente sea una entidad cubierta o socio comercial bajo HIPAA y Malama cree, reciba, mantenga o transmita información de salud protegida en nombre del Cliente.
Este BAA se incorpora a los Términos de Servicio del Portal de Proveedores de Malama, al Acuerdo de Compromiso del Portal de Proveedores de Malama u otro acuerdo aplicable entre las partes que rija el uso de los servicios de Malama por parte del Cliente (el “Acuerdo de Servicios”).
Al hacer clic en “Acepto”, “Acepto y firmo” o un botón similar, o al acceder o utilizar los servicios de Malama que involucren información de salud protegida, la persona que completa el registro manifiesta que tiene autoridad para obligar al Cliente y acepta este BAA en nombre del Cliente.
1. Definiciones
Los términos con mayúscula inicial utilizados pero no definidos en este BAA tienen el significado que se les asigna bajo HIPAA.
“HIPAA” significa la Ley de Portabilidad y Responsabilidad de Seguros de Salud de 1996 y sus reglamentos de implementación, incluyendo la Regla de Privacidad, la Regla de Seguridad, la Regla de Notificación de Brechas y la Ley de Tecnología de la Información de Salud para la Salud Económica y Clínica, según se modifiquen periódicamente.
“Información de Salud Protegida” o “PHI” tiene el significado otorgado bajo HIPAA y se limita a la PHI que el Socio Comercial crea, recibe, mantiene o transmite en nombre del Cliente.
“Servicios” significa los servicios proporcionados por Malama bajo el Acuerdo de Servicios aplicable.
2. Aplicabilidad
Este BAA se aplica únicamente en la medida en que Malama cree, reciba, mantenga o transmita PHI en nombre del Cliente en una calidad que convierta a Malama en un socio comercial o subcontratista de socio comercial bajo HIPAA.
Si el Cliente no es una entidad cubierta o un socio comercial bajo HIPAA, este BAA no convierte al Cliente en una entidad cubierta o socio comercial y no impone de forma independiente obligaciones de HIPAA donde HIPAA no sea aplicable.
Si existe un conflicto entre este BAA y el Acuerdo de Servicios con respecto a la PHI, este BAA prevalecerá.
3. Usos y divulgaciones permitidos por el Socio Comercial
El Socio Comercial puede usar o divulgar la PHI solo según lo permitido o requerido por este BAA, el Acuerdo de Servicios o la ley aplicable.
El Socio Comercial puede usar y divulgar la PHI para realizar los Servicios.
El Socio Comercial puede usar la PHI para la gestión y administración adecuadas del Socio Comercial y para llevar a cabo las responsabilidades legales del Socio Comercial.
El Socio Comercial puede divulgar la PHI para la gestión y administración adecuadas del Socio Comercial o para llevar a cabo las responsabilidades legales del Socio Comercial si:
la divulgación es requerida por ley; o
el Socio Comercial obtiene garantías razonables del destinatario de que la PHI se mantendrá confidencial, se usará o se divulgará más a fondo solo según lo requiera la ley o para el propósito para el cual fue divulgada, y el destinatario notificará al Socio Comercial sobre cualquier violación de la confidencialidad de la que tenga conocimiento.
El Socio Comercial puede usar la PHI para proporcionar servicios de agregación de datos relacionados con las operaciones de atención médica del Cliente, según lo permita HIPAA.
El Socio Comercial puede usar la PHI para desidentificar información de acuerdo con HIPAA. Una vez que la información se desidentifica de acuerdo con HIPAA, ya no es PHI y el Socio Comercial puede usarla y divulgarla para fines lícitos, incluidos análisis, evaluaciones comparativas, investigación, mejora de productos, publicación, negocios y otros fines, a menos que lo prohíba el Acuerdo de Servicios.
El Socio Comercial puede usar y divulgar la PHI según lo requiera la ley.
El Socio Comercial no puede usar ni divulgar la PHI de una manera que violaría la HIPAA si lo hiciera el Cliente, excepto según lo permitido para la gestión y administración, las responsabilidades legales o la agregación de datos del Socio Comercial.
4. Obligaciones del Socio Comercial
El Socio Comercial deberá:
no usar ni divulgar la PHI de otra manera que no sea la permitida o requerida por este BAA o según lo requiera la ley;
utilizar las salvaguardas adecuadas y cumplir con los requisitos aplicables de la Regla de Seguridad de HIPAA con respecto a la PHI electrónica para evitar el uso o la divulgación de la PHI de una manera diferente a la prevista en este BAA;
notificar al Cliente sobre cualquier uso o divulgación de la PHI no previsto en este BAA del cual el Socio Comercial tenga conocimiento, incluidas las brechas de PHI no asegurada, sin demora injustificada y, en ningún caso, más tarde de los sesenta (60) días posteriores al descubrimiento;
notificar al Cliente cualquier Incidente de Seguridad que involucre PHI electrónica del cual el Socio Comercial tenga conocimiento, siempre que las partes reconozcan y acepten que este BAA constituye una notificación de Incidentes de Seguridad rutinarios no exitosos, incluidos pings, escaneos de puertos, intentos fallidos de inicio de sesión, intentos de denegación de servicio, sondeos de malware y eventos similares que no den como resultado el acceso, uso, divulgación, modificación o destrucción no autorizados de la PHI o la interferencia con las operaciones del sistema;
garantizar que cualquier subcontratista que cree, reciba, mantenga o transmita PHI en nombre del Socio Comercial acepte por escrito restricciones, condiciones y requisitos que sean al menos tan protectores como los que se aplican al Socio Comercial con respecto a la PHI;
poner la PHI en un Conjunto de Registros Designado a disposición del Cliente según sea necesario para que el Cliente cumpla con sus obligaciones bajo 45 C.F.R. § 164.524;
poner la PHI en un Conjunto de Registros Designado a disposición para su enmienda e incorporar enmiendas según las indicaciones del Cliente, según sea necesario para que el Cliente cumpla con sus obligaciones bajo 45 C.F.R. § 164.526;
mantener y poner a disposición la información requerida para proporcionar un informe de divulgaciones según sea necesario para que el Cliente cumpla con sus obligaciones bajo 45 C.F.R. § 164.528;
en la medida en que el Socio Comercial deba llevar a cabo una o más de las obligaciones del Cliente bajo la Regla de Privacidad de HIPAA, cumplir con los requisitos de la Regla de Privacidad que se aplican al Cliente en el desempeño de esas obligaciones;
poner sus prácticas internas, libros y registros relacionados con el uso y divulgación de la PHI recibida de, creada por, o recibida por el Socio Comercial en nombre del Cliente a disposición del Secretario del Departamento de Salud y Servicios Humanos de los EE. UU. para fines de determinar el cumplimiento del Cliente con HIPAA.
5. Obligaciones del Cliente
El Cliente deberá:
notificar al Socio Comercial sobre cualquier limitación en el aviso de prácticas de privacidad del Cliente en la medida en que dicha limitación pueda afectar el uso o la divulgación de PHI por parte del Socio Comercial;
notificar al Socio Comercial sobre cualquier cambio en, o revocación de, el permiso de una persona para usar o divulgar PHI en la medida en que dichos cambios puedan afectar el uso o la divulgación de PHI por parte del Socio Comercial;
notificar al Socio Comercial sobre cualquier restricción en el uso o divulgación de PHI que el Cliente haya acordado o deba cumplir, en la medida en que dicha restricción pueda afectar el uso o la divulgación de PHI por parte del Socio Comercial;
no solicitar al Socio Comercial que use o divulgue PHI de una manera que violaría la HIPAA si lo hiciera el Cliente, excepto en la medida permitida por la HIPAA para la gestión y administración, las responsabilidades legales o la agregación de datos del Socio Comercial;
obtener todos los derechos, permisos, consentimientos, autorizaciones y avisos necesarios para que el Cliente divulgue la PHI al Socio Comercial y para que el Socio Comercial realice los Servicios;
ser responsable de determinar si la HIPAA se aplica al Cliente y si se requiere este BAA.
6. Notificación de brechas de seguridad
El Socio Comercial notificará al Cliente tras el descubrimiento de una brecha de PHI no asegurada sin demora injustificada y, en ningún caso, más tarde de los sesenta (60) días posteriores al descubrimiento.
En la medida en que esté disponible, la notificación deberá incluir:
una breve descripción de la brecha;
la fecha de la brecha y la fecha del descubrimiento, si se conocen;
los tipos de PHI involucrados;
las medidas que el Socio Comercial ha tomado o planea tomar para investigar, mitigar los daños y proteger contra futuras brechas;
cualquier otra información razonablemente requerida para que el Cliente cumpla con sus obligaciones de notificación de brechas bajo HIPAA.
El Socio Comercial puede complementar la notificación a medida que haya información adicional disponible.
7. Subcontratistas
El Socio Comercial puede utilizar subcontratistas para realizar los Servicios.
El Socio Comercial se asegurará de que cualquier subcontratista que cree, reciba, mantenga o transmita PHI en nombre del Socio Comercial acepte por escrito restricciones, condiciones y requisitos al menos tan protectores como los que se aplican al Socio Comercial bajo este BAA.
El Socio Comercial sigue siendo responsable del cumplimiento de esas obligaciones escritas por parte de sus subcontratistas.
8. Acceso, enmienda e informe de divulgaciones
El Socio Comercial ayudará razonablemente al Cliente a responder a las solicitudes individuales de acceso, enmienda e informe de divulgaciones según lo requiera la HIPAA.
Si el Socio Comercial recibe una solicitud directamente de una persona en relación con la PHI mantenida en nombre del Cliente, el Socio Comercial puede dirigir a la persona al Cliente, a menos que la ley lo exija de otro modo o se acuerde por escrito.
El Cliente es responsable de responder a las solicitudes individuales a menos que se acuerde lo contrario por escrito.
9. Desidentificación
El Socio Comercial puede desidentificar la PHI de acuerdo con HIPAA.
La información desidentificada no es PHI y el Socio Comercial puede usarla y divulgarla para fines lícitos, incluidos análisis, evaluaciones comparativas, investigación, mejora de productos, publicación, negocios y otros fines, a menos que lo prohíba el Acuerdo de Servicios.
El Socio Comercial no intentará volver a identificar la información desidentificada, excepto según lo permita la HIPAA o la ley aplicable.
10. Vigencia y rescisión
Este BAA comienza en la Fecha de Entrada en Vigor y permanece en vigor hasta que toda la PHI proporcionada por el Cliente al Socio Comercial, o creada, recibida, mantenida o transmitida por el Socio Comercial en nombre del Cliente, sea devuelta, destruida o protegida de acuerdo con este BAA.
Cualquiera de las partes puede rescindir este BAA y el Acuerdo de Servicios relacionado si la otra parte incumple materialmente este BAA y no subsana el incumplimiento dentro de los treinta (30) días posteriores a la notificación por escrito, si la subsanación es posible.
Si la subsanación no es posible, la parte que no haya incumplido puede rescindir este BAA y el Acuerdo de Servicios relacionado de inmediato.
11. Efecto de la rescisión
Al rescindir este BAA, el Socio Comercial deberá, si es factible, devolver o destruir toda la PHI recibida del Cliente, o creada, recibida, mantenida o transmitida por el Socio Comercial en nombre del Cliente, que el Socio Comercial aún conserve en cualquier formato.
Si la devolución o destrucción no es factible, el Socio Comercial extenderá las protecciones de este BAA a dicha PHI y limitará los usos y divulgaciones posteriores a aquellos fines que hagan inviable la devolución o destrucción.
Esta sección se aplica a la PHI mantenida por subcontratistas en la medida requerida por HIPAA.
12. Supervivencia
Las obligaciones del Socio Comercial con respecto a la PHI sobrevivirán a la rescisión de este BAA durante todo el tiempo que el Socio Comercial mantenga la PHI.
13. Aceptación electrónica
El Cliente acepta que la aceptación electrónica de este BAA tiene el mismo efecto legal que una firma manuscrita.
El Socio Comercial puede mantener registros de la aceptación electrónica, incluyendo el nombre del firmante, el correo electrónico del firmante, el rol/cargo del firmante, el nombre del Cliente, la marca de tiempo, la dirección IP, el agente de usuario, la versión del documento y una instantánea del acuerdo.
14. Enmienda
Las partes acuerdan enmendar este BAA según sea necesario para cumplir con HIPAA u otra ley aplicable.
El Socio Comercial puede actualizar este BAA de vez en cuando publicando una versión actualizada o poniéndola a disposición a través del Portal de Proveedores u otro servicio de Malama.
En caso de cambios materiales, el Socio Comercial puede requerir que el Cliente o sus usuarios acepten el BAA actualizado antes de continuar usando los servicios que involucran PHI.
15. Ausencia de terceros beneficiarios
Ninguna disposición de este BAA tiene la intención de conferir derechos, recursos, obligaciones o responsabilidades a ninguna persona que no sea el Socio Comercial, el Cliente y sus respectivos sucesores y cesionarios permitidos.
16. Interpretación
Cualquier ambigüedad en este BAA se interpretará para permitir que las partes cumplan con HIPAA.
17. Notificaciones
Las notificaciones a Malama se enviarán a:
Malama Health, Inc.
2261 Market St. #4875
San Francisco, CA 94114
Correo electrónico: hello@heymalama.com
Las notificaciones al Cliente pueden enviarse a la información de contacto proporcionada durante el registro o mantenida de otro modo en la cuenta del Cliente.
