• Цей Додаток для бізнес-партнерів HIPAA ("BAA") укладається між Google і клієнтом, який погоджується з наведеними нижче умовами ("Клієнт"). Додаток доповнює й змінює Угоду про надання послуг (визначену нижче) і включається в неї виключно у зв’язку із Сервісами, на які поширюється дія угоди (визначеними нижче). Значення терміна "Google" наведено на сторінці https://cloud.google.com/terms/google-entity. Угода BAA починає діяти в день, коли Клієнт приймає її, натискаючи відповідну кнопку (далі – "Дата набуття чинності").

• Щоб угода BAA була дійсною і чинною, клієнт повинен мати чинну Угоду про надання послуг. Разом з Угодою про надання послуг угода BAA регулюватиме відповідні зобов’язання кожної сторони щодо Захищеної медичної інформації (визначеної нижче).

• Ви заявляєте й гарантуєте, що: (i) маєте законні повноваження укласти BAA від імені Клієнта, (ii) ви прочитали й зрозуміли BAA; (iii) приймаєте її від імені Клієнта. Якщо ви не маєте законних повноважень зобов’язувати Клієнта або не погоджуєтеся із цими умовами, не натискайте кнопку, щоб прийняти умови BAA.

  • 1. Визначення.

    • Бізнес-партнер – цей термін має значення, указане в HIPAA.

    • Порушення – цей термін має значення, указане в HIPAA.

    • Організація, на яку поширюється дія угоди – цей термін має значення, указане в HIPAA.

    • Сервіси, на які поширюється дія угоди – продукти та/або сервіси Google, конкретно перелічені за URL-адресами в Додатку 1, які Google може періодично оновлювати, попередньо повідомивши Клієнта. Google може вилучити Сервіс, на який поширюється дія угоди, із цих URL-адрес, лише попередньо сповістивши про це не менше ніж за 12 місяців.

    • Визначений набір записів – цей термін має значення, указане в HIPAA.

    • HIPAA означає Закон "Про звітність і безпеку медичного страхування" (HIPAA) 1996 року й правила і положення, що випливають із нього, з поправками.

    • Посібник з упровадження стандартів HIPAA означає інформаційний посібник, який Google надає за URL-адресою, указаною в Додатку 2, або URL-адресою, що її замінить, у якому описано, як Клієнт може налаштувати Сервіси, на які поширюється дія угоди, у зв’язку із заходами Клієнта щодо дотримання вимог HIPAA.

    • Закон HITECH означає Закон про медичні інформаційні технології для економічного й клінічного здоров’я, прийнятий Конгресом Сполучених Штатів, який є розділом XIII Закону про відновлення й реінвестиції США, і відповідні нормативні акти з поправками.

    • Захищена медична інформація або "PHI" – цей термін має значення, указане в HIPAA. Для цілей ціє угоди BAA дані PHI обмежуються Даними клієнтів, до яких Google має доступ через Сервіси, на які поширюється дія угоди, у зв’язку з дозволеним використанням таких сервісів Клієнтом.

    • Вимагається законом – цей термін має значення, указане в HIPAA.

    • Інцидент безпеки – цей термін має значення, указане в HIPAA.

    • Угоди про надання послуг означають письмові угоди, укладені між Google і Клієнтом щодо надання Сервісів, на які поширюється дія угоди; такі угоди можуть бути у вигляді онлайн-версії Умов використання.

  • 2. Застосовність.

    • Ця угода BAA застосовується в тій мірі, у якій Клієнт діє як Організація або Діловий партнер, на якого поширюється дія угоди, з метою створення, отримання, зберігання або передачі PHI через Сервіс, на який поширюється дія угоди, і в тій мірі, у якій Google, як наслідок, вважається Бізнес-партнером або Субпідрядником Клієнта згідно з HIPAA. Клієнт визнає, що ця угода не поширюється на: a) будь-які інші продукти, сервіси або функції Google, що не є Сервісами, на які поширюється дія угоди; b) будь-які дані PHI, які Клієнт створює, отримує, зберігає або передає поза межами Сервісів, на які поширюється дія угоди (включно з використанням Клієнтом своїх локальних або офлайн-засобів зберігання даних або сторонніх додатків).

  • 3. Дозволене використання й розкриття PHI.

    • a. Якщо інше не зазначено в цій угоді BAA, Google може використовувати й розкривати PHI лише: (i) у випадках, дозволених або передбачених Угодами про надання послуг і/або цією угодою BAA; (ii) у випадках, передбачених законодавством.

    • b. Google може використовувати й розкривати PHI для належного керування та адміністрування, а також для виконання своїх юридичних обов’язків, за умови, що будь-яке розкриття PHI для таких цілей може відбуватися лише: (i) якщо це вимагається законом; (ii) якщо Google отримує письмові обґрунтовані запевнення від особи, якій будуть розкриті дані PHI, що вони зберігатимуться в таємниці й використовуватимуться виключно для цілей, для яких вони були розкриті, і що Google буде повідомлено про будь-яке Порушення або Інцидент безпеки.

  • 4. Зобов’язання клієнта.

    • a. Клієнт не вимагатиме від Google або Сервісів, на які поширюється дія угоди, використовувати або розкривати PHI будь-яким чином, який не був би дозволений згідно з HIPAA, якби це робив Клієнт (якщо Клієнт є Організацією, на яку поширюється дія угоди) або Організація, на яку поширюється дія угоди, для якої Клієнт є Бізнес-партнером (якщо це прямо не дозволяється в межах HIPAA для Бізнес-партнера).

    • b. Для Кінцевих користувачів, які використовують Сервіси, на які поширюється дія угоди, у зв’язку з PHI, Клієнт використовуватиме засоби контролю, доступні в межах Сервісів, включно з тими, що детально описані в Посібнику з упровадження стандартів HIPAA, щоб дані PHI використовуватися лише в межах таких Сервісів. Клієнт визнає і погоджується, що Google надає Посібник з упровадження стандартів HIPAA виключно як інформаційний посібник щодо опцій конфігурації Клієнта й що Клієнт несе виключну відповідальність за те, що використання ним і його Кінцевими клієнтами Сервісів, на які поширюється дія угоди, відповідатиме умовам HIPAA й HITECH.

  • 5. Відповідні заходи безпеки.

    • Google і Клієнт використовуватимуть відповідні заходи безпеки, призначені для запобігання несанкціонованому використанню або розкриттю PHI, а також інші заходи, передбачені HIPAA, щодо Сервісів, на які поширюється дія угоди.

  • 6. Звітність і пов’язані зобов’язання.

    • a. Google негайно сповістить Клієнта про (i) будь-який Інцидент безпеки, про який Google стало відомо, відповідно до Розділу 6(c); (ii) будь-яке Порушення, яке Google виявить, за умови, що Google сповістить про Порушення негайно й без необґрунтованої затримки та в жодному разі не пізніше ніж через 60 календарних днів після виявлення. У таких сповіщеннях буде описано, наскільки це можливо, деталі Порушення, включно із заходами, вжитими для зменшення потенційних ризиків, і заходами, які Google рекомендує вжити Клієнту для усунення Порушення.

    • b. Google надсилатиме відповідні сповіщення на відповідну електронну адресу, указану Клієнтом у Угоді, або шляхом прямого зв’язку з Клієнтом.

    • c. Незважаючи на положення Розділу 6(a), цей Розділ 6(c) вважатиметься сповіщенням Клієнту про те, що Google періодично отримує повідомлення про невдалі спроби несанкціонованого доступу, використання, розкриття, модифікації або знищення інформації або втручання в загальну роботу систем Google і Сервісів, на які поширюється дія угоди. Клієнт визнає і погоджується, що навіть якщо такі події становлять Інцидент безпеки, компанія Google не буде зобов’язана надсилати будь-які сповіщення відповідно до цієї угоди BAA щодо таких невдалих спроб, крім зазначених у розділі 6(c).

  • 7. Субпідрядники.

    • Google вживатиме належних заходів, щоб будь-які Субпідрядники, яких Google залучає для виконання своїх зобов’язань за умовами Угод про надання послуг і які потребують доступу до PHI від імені Google, були зобов’язані на письмовій основі забезпечувати такий самий рівень захисту PHI, як і ця угода BAA. У разі залучення Субпідрядників для виконання своїх зобов’язань за цією Угодою Google нестиме відповідальність за їх виконання так само, як за самостійне їх виконання.

  • 8. Доступ і зміни.

    • Клієнт визнає і погоджується, що він несе виключну відповідальність за форму й зміст даних PHI у межах Сервісів, на які поширюється дія угоди, включно з тим, чи зберігає Клієнт такі дані PHI у Визначеному наборі записів у межах таких Сервісів. Google надасть Клієнту доступ до його даних PHI через Сервіси, на які поширюється дія угоди, щоб Клієнт міг виконати свої зобов’язання згідно з умовами HIPAA щодо прав Осіб на доступ до даних PHI і їх змінення, але не матиме інших зобов’язань перед Клієнтом або будь-якою Особою щодо прав, наданих Особам згідно з угодою HIPAA щодо Визначених наборів записів, включно з правами на доступ до даних PHI або їх змінення. Клієнт несе відповідальність за керування використанням Сервісів, на які поширюється дія угоди, щоб належно реагувати на такі індивідуальні запити.

  • 9. Облік розкриття інформації.

    • Google документуватиме випадки розкриття PHI компанією Google і надаватиме Клієнту звіти про такі випадки в обсязі, який вимагається від Бізнес-партнера відповідно до HIPAA й відповідно до вимог, що застосовуються до Бізнес-партнера відповідно до HIPAA.

  • 10. Доступ до записів.

    • У межах, передбачених законом, і з урахуванням усіх чинних юридичних повноважень Google надасть свої внутрішні практики, книги й записи, що стосуються використання та розкриття даних PHI, отриманих від Клієнта або створених чи отриманих Google від імені Клієнта, Секретарю Міністерства охорони здоров’я і соціальних служб США (далі – "Секретар"), щоб Секретар міг визначити рівень відповідності цій угоді BAA.

  • 11. Розірвання й завершення строку дії цієї Угоди.

    • a. Ця угода BAA припинить дію в разі: (i) дозволеного припинення дії відповідно до розділу 11(b); (ii) закінчення строку дії або припинення дії всіх Угод про надання послуг, за якими Клієнт має доступ до Сервісів, на які поширюється дія угоди (залежно від того, що станеться раніше).

    • b. Якщо будь-яка зі сторін істотно порушує цю угоду BAA, сторона, яка не порушила Угоду, може розірвати BAA, надіславши порушнику письмове сповіщення за 30 днів, якщо порушення не буде усунуто протягом цього періоду. Якщо усунення порушення відповідно до цього розділу 11(b) є обґрунтовано неможливим, сторона, яка не порушила Угоду, може негайно розірвати BAA, або якщо припинення дії чи усунення порушення є обґрунтовано неможливими відповідно до цього розділу 11(b), сторона, яка не порушила Угоду, може повідомити про порушення Секретаря, з урахуванням усіх застосовних юридичних повноважень.

    • c. Якщо дія BAA припиняється раніше, ніж Угоди про надання послуг, Клієнт може продовжувати користуватися Сервісами відповідно до Угод про надання послуг, але повинен видалити будь-які дані PHI, які він зберігає в межах Сервісів, на які поширюється дія угоди, і припинити надалі створювати, отримувати, зберігати або передавати такі дані PHI в Google.

  • 12. Повернення/знищення інформації.

    • Після припинення дії Угод про надання послуг Google поверне або знищить усі дані PHI, отримані від Клієнта або створені чи отримані Google від імені Клієнта; однак якщо таке повернення або знищення є неможливим, Google поширить захист цієї угоди BAA на дані PHI, які не було повернуто або знищено, і обмежить подальше використання й розкриття інформації тими цілями, які унеможливлюють повернення або знищення PHI.

  • 13. Різне.

    • a. Положення, що зберігають чинність. Розділи 12 (Повернення/знищення інформації) і 13 (Різне) залишаються чинними після розірвання або завершення строку дії цієї угоди BAA.

    • b. Примірники документів. Сторони можуть підписати цю угоду BAA, обмінявшись примірниками документів, такими як факсимільні копії, файли PDF або інші електронні копії, які разом формують один документ.

    • c. Наслідки Додатка. У разі суперечності між BAA й іншими положеннями Угод про надання послуг переважну силу матиме BAA. BAA підпадає під дію розділу "Застосовне право" в Угоді (Угодах) про надання послуг. Якщо це прямо не зазначено в цій угоді BAA, умови Угоди про надання послуг і надалі мають повну юридичну силу та дію.

  • Google Workspace HIPAA BAA (Google LLC) 09032020

Додаток 1. Перелік Сервісів, на які поширюється дія угоди

• Будь-який продукт або сервіс Google Workspace, конкретно перелічені за адресою https://workspace.google.com/terms/2015/1/hipaa_functionality.html як такі, на які поширюється дія Google BAA (разом – "Сервіси Google Workspace, на які поширюється дія угоди").

Додаток 2. Посібник з упровадження стандартів HIPAA

• Для Сервісів Google Workspace, на які поширюється дія угоди:

• З посібником з упровадження стандартів HIPAA можна ознайомитися за такою URL-адресою: https://services.google.com/fh/files/misc/gsuite_cloud_identity_hipaa_implementation_guide.pdf