Tradução automática do inglês.

Aditivo de Parceiro Comercial

Última atualização: 16 de março de 2026

Este Aditivo de Parceiro Comercial ("Aditivo") é celebrado entre o Cliente ("Entidade Coberta") e a RepeatMD, Inc. ("Parceiro Comercial"), e entra em vigor na data de vigência do Contrato Mestre de Assinatura (o "MSA") celebrado entre a Entidade Coberta e o Parceiro Comercial. A Entidade Coberta e o Parceiro Comercial podem ser referidos, em conjunto, como as "Partes" ou, individualmente, como uma "Parte".

CONSIDERANDO QUE, nos termos do MSA, o Parceiro Comercial pode prestar Serviços à Entidade Coberta ou em seu nome que exijam que o Parceiro Comercial acesse, crie, transmita e/ou utilize informações de saúde protegidas (PHI), conforme esse termo é definido na HIPAA (definida abaixo);

CONSIDERANDO QUE, nos termos das disposições de Simplificação Administrativa da Lei de Portabilidade e Responsabilidade de Seguros de Saúde de 1996 ("HIPAA"), o Departamento de Saúde e Serviços Humanos dos EUA (HHS) promulgou os Padrões de Privacidade de Informações de Saúde Individualmente Identificáveis (os "Padrões de Privacidade"), em 45 C.F.R. Partes 160 e 164, que exigem que determinadas pessoas e entidades sujeitas aos Padrões de Privacidade protejam a privacidade de certas informações de saúde individualmente identificáveis, e emitiu os Padrões de Segurança (os "Padrões de Segurança"), em 45 C.F.R. Partes 160, 162 e 164, para a proteção de informações de saúde protegidas em formato eletrônico ("EPHI"), conforme alterados pelas disposições aplicáveis da Lei de Tecnologia da Informação em Saúde para Saúde Econômica e Clínica (Título XIII, Subtítulo D) e seus regulamentos de aplicação (a "Lei HITECH") (em conjunto, os "Regulamentos da HIPAA");

CONSIDERANDO QUE, a fim de proteger a privacidade e a segurança das PHI, incluindo as EPHI, a HIPAA, a Lei HITECH e os Regulamentos da HIPAA exigem que entidades cobertas e parceiros comerciais celebrem um "contrato de parceiro comercial" com determinadas pessoas e entidades que prestem serviços para a entidade coberta ou o parceiro comercial, ou em seu nome, caso tais serviços exijam o uso ou a divulgação de PHI ou EPHI; e

CONSIDERANDO QUE o Parceiro Comercial e a Entidade Coberta desejam celebrar este Aditivo e concordam em se vincular aos termos e condições a seguir.

PORTANTO, em contrapartida às promessas mútuas estabelecidas neste Aditivo e no MSA, e a outra contraprestação boa e valiosa, cuja suficiência e recebimento são neste ato reconhecidos separadamente, as Partes acordam o seguinte:

1. Termos definidos

1.1 Todos os termos em maiúscula utilizados, mas não definidos de outra forma neste Aditivo, terão os significados estabelecidos na HIPAA, na Lei HITECH e nos Regulamentos da HIPAA, conforme aplicável, e conforme alterados periodicamente. Não obstante o exposto, qualquer referência a PHI limita-se, quando aqui utilizada, às PHI acessadas, criadas, recebidas, mantidas ou transmitidas pelo Parceiro Comercial a partir da Entidade Coberta ou em seu nome. Uma referência neste Aditivo a uma seção da HIPAA, da Lei HITECH ou dos Regulamentos da HIPAA significa a seção em vigor ou conforme alterada. Todos os termos em maiúscula não definidos de outra forma neste Aditivo, na HIPAA, na Lei HITECH ou nos Regulamentos da HIPAA terão os significados estabelecidos no MSA.

2. Obrigações do Parceiro Comercial

2.1 Uso e divulgação. O Parceiro Comercial não usará nem divulgará posteriormente PHI de outra forma que não a permitida ou exigida por este Aditivo, pelo MSA ou conforme Exigido por Lei. O Parceiro Comercial cumprirá as disposições deste Aditivo relativas à privacidade e à segurança das PHI e todas as disposições presentes e futuras da HIPAA relativas à privacidade e à segurança das PHI que sejam aplicáveis à Entidade Coberta e/ou ao Parceiro Comercial.

2.2 Salvaguardas apropriadas. O Parceiro Comercial utilizará salvaguardas apropriadas e cumprirá, quando aplicável, os Padrões de Segurança em relação às EPHI, a fim de impedir o uso ou a divulgação de PHI que não sejam expressamente permitidos por este Aditivo ou Exigidos por Lei. O Parceiro Comercial irá:

2.2.1 Implementar salvaguardas administrativas, físicas e técnicas que protejam de forma razoável e apropriada a confidencialidade, a integridade e a disponibilidade das EPHI que criar, receber, mantiver ou transmitir em nome da Entidade Coberta, conforme exigido pela Regra de Segurança da HIPAA;

2.2.2 Não usar nem divulgar PHI de maneira que violasse os requisitos da HIPAA, da Lei HITECH ou dos Regulamentos da HIPAA caso as PHI fossem usadas ou divulgadas pela Entidade Coberta da mesma maneira, salvo conforme aqui estabelecido;

2.2.3 Na medida em que o Parceiro Comercial deva cumprir obrigações da Entidade Coberta nos termos dos Padrões de Privacidade, cumprir os requisitos da Regra de Privacidade aplicáveis à Entidade Coberta no desempenho de tais obrigações; e

2.2.4 Assegurar que quaisquer subcontratados do Parceiro Comercial que criem, recebam, mantenham ou transmitam PHI em nome do Parceiro Comercial concordem por escrito com as mesmas restrições e condições (ou mais restritivas) aplicáveis ao Parceiro Comercial em relação a tais PHI nos termos deste Aditivo, em conformidade com 45 C.F.R. §§164.502(e)(1)(ii) e 164.308(b)(2).

2.3 Comunicação. O Parceiro Comercial concorda com os seguintes procedimentos de comunicação para Incidentes de Segurança que resultem em acesso, uso, divulgação, modificação ou destruição não autorizados de PHI ou em interferência nas operações do sistema ("Incidentes de Segurança Bem-Sucedidos"); e para Incidentes de Segurança que não resultem em acesso, uso, divulgação, modificação ou destruição não autorizados de PHI nem em interferência nas operações do sistema, incluindo pings e outros ataques de difusão contra o firewall do Parceiro Comercial, varreduras de portas, tentativas de login malsucedidas, negações de serviço e qualquer combinação do acima ("Incidentes de Segurança Malsucedidos").

2.3.1 O Parceiro Comercial comunicará prontamente à Entidade Coberta, sem demora injustificada e, no máximo, em dez (10) dias úteis, qualquer Incidente de Segurança Bem-Sucedido de que tome conhecimento. Em relação aos Incidentes de Segurança Malsucedidos, as Partes reconhecem e concordam que esta seção constitui notificação do Parceiro Comercial à Entidade Coberta sobre a existência e a ocorrência contínuas de Incidentes de Segurança Malsucedidos e que, portanto, nenhuma comunicação adicional sobre tais incidentes é exigida.

2.3.2 O Parceiro Comercial comunicará à Entidade Coberta qualquer Violação de PHI Não Protegidas de que tome conhecimento, conforme exigido por 45 C.F.R. § 164.410, sem demora injustificada e, em nenhuma hipótese, após dez (10) dias úteis contados de quando o Parceiro Comercial, ou qualquer de seus empregados ou agentes, descobriu a Violação. Essa comunicação incluirá, na medida do possível, a identificação de cada Indivíduo que tenha sido ou que se acredite razoavelmente ter sido afetado pela Violação, juntamente com quaisquer outras informações disponíveis ao Parceiro Comercial sobre a Violação que devam constar da notificação de Violação fornecida ao Indivíduo, em conformidade com 45 C.F.R. 164.404(c).

2.4 Mitigação. O Parceiro Comercial concorda em mitigar, na medida do possível e salvo solicitação em contrário da Entidade Coberta por escrito, qualquer efeito prejudicial de seu conhecimento que resulte de uso ou divulgação de PHI pelo Parceiro Comercial ou por seus empregados, diretores, subcontratados ou agentes em violação deste Aditivo (incluindo, sem limitação, qualquer Incidente de Segurança ou Violação de PHI Não Protegidas), da HIPAA, da Lei HITECH ou dos Regulamentos da HIPAA.

2.5 Relatórios e notificações. O Parceiro Comercial também cooperará e se coordenará razoavelmente com a Entidade Coberta na preparação de quaisquer relatórios ou notificações ao Indivíduo, a um órgão regulador ou a qualquer terceiro que devam ser emitidos nos termos da HIPAA, da Lei HITECH, dos Regulamentos da HIPAA ou de quaisquer outras leis, regras ou regulamentos federais ou estaduais aplicáveis, ficando entendido que tais relatórios ou notificações estarão sujeitos à aprovação prévia por escrito da Entidade Coberta.

3. Usos e divulgações permitidos pelo Parceiro Comercial

3.1 Contrato Mestre de Assinatura. Exceto conforme de outra forma permitido neste instrumento ou Exigido por Lei, o Parceiro Comercial usará PHI somente para a finalidade de prestar Serviços à Entidade Coberta, conforme tais Serviços são descritos no MSA, desde que tal uso não violasse a HIPAA, a Lei HITECH ou os Regulamentos da HIPAA se realizado pela Entidade Coberta.

3.2 Uso para a administração do Parceiro Comercial. Exceto conforme de outra forma limitado por este Aditivo, o Parceiro Comercial poderá usar PHI conforme necessário para a gestão e administração adequadas do Parceiro Comercial ou para cumprir suas responsabilidades legais, desde que tais usos sejam permitidos pelos Regulamentos da HIPAA.

3.3 Divulgação para a administração do Parceiro Comercial. Sujeito a quaisquer limitações deste Aditivo, o Parceiro Comercial poderá divulgar PHI a qualquer terceiro, pessoa ou entidade, conforme necessário para cumprir suas obrigações nos termos do MSA e conforme permitido ou exigido pela legislação federal ou estadual aplicável. Além disso, o Parceiro Comercial poderá divulgar PHI para a gestão e administração adequadas do Parceiro Comercial, desde que (i) tais divulgações sejam Exigidas por Lei, ou (ii) o Parceiro Comercial (a) obtenha garantias razoáveis de qualquer terceiro a quem as informações forem divulgadas de que estas serão mantidas em sigilo e usadas ou divulgadas posteriormente somente conforme exigido por lei ou para a finalidade para a qual foram divulgadas ao terceiro; e (b) exija que o terceiro concorde em notificar o Parceiro Comercial de quaisquer casos de que tenha conhecimento em que a confidencialidade das PHI tenha sido violada.

3.4 Agregação de dados e dados desidentificados. Exceto conforme de outra forma limitado neste Aditivo, o Parceiro Comercial poderá usar PHI para prestar serviços de Agregação de Dados à Entidade Coberta conforme permitido por 45 C.F.R. § 164.504(e)(2)(i)(B), exclusivamente para fins das operações de assistência à saúde da Entidade Coberta e em conformidade com as leis aplicáveis. O Parceiro Comercial poderá desidentificar todas e quaisquer PHI, desde que a desidentificação esteja em conformidade com os requisitos dos Padrões de Privacidade. Tais informações desidentificadas não constituem PHI e não estão sujeitas aos termos deste Aditivo uma vez desidentificadas.

4. Acesso e alterações a Conjuntos de Registros Designados. O Parceiro Comercial não possuirá nem manterá PHI em um Conjunto de Registros Designado em nome da Entidade Coberta.

5. Registro de divulgações. O Parceiro Comercial concorda em documentar as divulgações de PHI e as informações relacionadas a tais divulgações na medida necessária para que a Entidade Coberta responda a uma solicitação de um Indivíduo por um registro de divulgações, em conformidade com 45 C.F.R. § 164.528. O Parceiro Comercial disponibilizará tais informações à Entidade Coberta no prazo de vinte (20) dias úteis a contar de uma solicitação da Entidade Coberta, para permitir que esta cumpra suas obrigações nos termos da HIPAA, da Lei HITECH e dos Regulamentos da HIPAA. Se um Indivíduo apresentar uma solicitação de registro de divulgações diretamente ao Parceiro Comercial, este notificará a Entidade Coberta no prazo de três (3) dias úteis do recebimento de tal solicitação e cooperará com a Entidade Coberta na resposta. O Parceiro Comercial não responderá diretamente a nenhuma solicitação dessa natureza, salvo se expressamente autorizado por escrito pela Entidade Coberta.

6. Registros e auditoria. O Parceiro Comercial disponibilizará ao Departamento de Saúde e Serviços Humanos ("HHS") ou a seus agentes suas práticas internas, livros e registros relativos ao uso e à divulgação de PHI recebidas da Entidade Coberta, ou criadas ou recebidas pelo Parceiro Comercial em seu nome, para fins de determinação da conformidade da Entidade Coberta com a HIPAA, a Lei HITECH e os Regulamentos da HIPAA, no momento e da forma designados pelo Secretário do HHS.

7. Mínimo necessário. O Parceiro Comercial concorda em limitar suas solicitações, usos e divulgações das PHI da Entidade Coberta ao mínimo necessário e em cumprir quaisquer políticas e procedimentos de mínimo necessário que a Entidade Coberta forneça ao Parceiro Comercial.

8. Obrigações da Entidade Coberta

8.1 A Entidade Coberta não solicitará ao Parceiro Comercial que use ou divulgue PHI de qualquer maneira que violasse este Aditivo, a HIPAA, a Lei HITECH ou os Regulamentos da HIPAA.

8.2 A Entidade Coberta notificará o Parceiro Comercial de quaisquer limitações em seu Aviso de Práticas de Privacidade, em conformidade com 45 C.F.R. § 164.520, na medida em que tais limitações possam afetar o uso ou a divulgação de PHI pelo Parceiro Comercial.

8.3 A Entidade Coberta concorda em notificar prontamente o Parceiro Comercial, por escrito e em tempo hábil, sobre quaisquer arranjos permitidos ou exigidos da Entidade Coberta nos termos dos Padrões de Privacidade que possam afetar de qualquer forma o uso ou a divulgação de PHI pelo Parceiro Comercial nos termos deste Aditivo ou do MSA, incluindo, sem limitação, restrições ao uso ou à divulgação de PHI acordadas pela Entidade Coberta, conforme previsto em 45 C.F.R. § 164.522, alterado pela Lei HITECH.

9. Vigência e rescisão

9.1 Vigência. Este Aditivo terá início na Data de Vigência do Aditivo e permanecerá em vigor até ser rescindido nos termos desta Seção 9; ficando estabelecido, contudo, que nenhuma rescisão afetará as respectivas obrigações ou direitos das Partes surgidos sob este Aditivo antes da data efetiva da rescisão, os quais continuarão todos conforme seus termos.

9.2 Rescisão por justa causa. Se qualquer das partes (a "Parte Não Infratora") determinar que a outra parte (a "Parte Infratora") violou um termo essencial deste Aditivo, a Parte Não Infratora deverá: (i) notificar por escrito a Parte Infratora e conceder-lhe oportunidade razoável de sanar a violação ou cessar a infração dentro do prazo especificado na notificação, e rescindir este Aditivo e/ou o MSA caso a Parte Infratora não sane a violação ou não cesse a infração dentro de tal prazo; ou (ii) rescindir imediatamente este Aditivo e/ou o MSA caso a correção não seja possível.

9.3 Rescisão do MSA. Mediante a rescisão do MSA, qualquer das Partes poderá rescindir este Aditivo mediante notificação por escrito à outra Parte.

9.4 Efeito da rescisão. Mediante a rescisão deste Aditivo por qualquer motivo, o Parceiro Comercial concorda em devolver à Entidade Coberta, ou destruir, todas as PHI recebidas da Entidade Coberta ou criadas ou recebidas pelo Parceiro Comercial em nome da Entidade Coberta que estejam em posse ou sob controle do Parceiro Comercial, de seus subcontratados ou agentes. No caso de PHI que o Parceiro Comercial determine não ser viável "devolver ou destruir", o Parceiro Comercial estenderá as proteções deste Aditivo a tais PHI e limitará os usos e divulgações posteriores de tais PHI às finalidades que tornam inviável sua devolução ou destruição, enquanto o Parceiro Comercial mantiver tais PHI. As obrigações desta Seção 9.4 subsistirão à rescisão deste Aditivo e continuarão enquanto o Parceiro Comercial mantiver tais PHI.

10. Disposições gerais

10.1 Notificações. Salvo se de outra forma expressamente permitido neste instrumento, todas as notificações exigidas ou permitidas nos termos deste Aditivo deverão ser feitas por escrito e serão consideradas eficazes quando entregues pessoalmente; quando recebidas por meios telegráficos ou outros meios eletrônicos (incluindo fac-símile); quando entregues por serviço de entrega expressa; ou três (3) dias após serem depositadas no correio dos Estados Unidos, com porte pago, por carta certificada ou registrada, com aviso de recebimento, no endereço indicado no Formulário de Pedido de Serviços da Parte pertinente, ou em outro endereço, e aos cuidados de outra pessoa ou diretor, que qualquer Parte venha a designar, a qualquer momento, por escrito, em conformidade com estas disposições de notificação.

10.2 Renúncia. Nenhuma disposição deste Aditivo nem qualquer violação deste será considerada objeto de renúncia, salvo se tal renúncia for feita por escrito e assinada pela Parte a quem se atribui a renúncia a tal disposição ou violação. Nenhuma renúncia a uma violação constituirá renúncia a, ou escusa de, qualquer violação distinta ou posterior.

10.3 Limitação de responsabilidade. As exclusões e as disposições de limitação de responsabilidade do MSA aplicam-se a este Aditivo.

10.4 Cessão. Nenhuma das Partes poderá ceder (seja por força de lei ou de outra forma) quaisquer de seus direitos, nem delegar ou subcontratar quaisquer de suas obrigações nos termos deste Aditivo sem o consentimento prévio por escrito da outra Parte. Não obstante o exposto, qualquer cessão permitida nos termos do MSA será admissível neste instrumento.

10.5 Independência das disposições. Qualquer disposição deste Aditivo que seja considerada inválida ou inexequível será ineficaz na medida de tal decisão, sem invalidar as demais disposições deste Aditivo nem afetar a validade ou exequibilidade de tais disposições remanescentes.

10.6 Acordo integral. Este Aditivo constitui o acordo completo entre o Parceiro Comercial e a Entidade Coberta em relação às matérias nele especificadas, e substitui todas as declarações ou acordos anteriores, orais ou escritos, quanto a tais matérias. Em caso de conflito entre os termos deste Aditivo e os termos do MSA ou de qualquer acordo posterior, prevalecerão os termos deste Aditivo, salvo se os termos do MSA forem mais rigorosos quanto às PHI e estiverem em conformidade com a HIPAA, a Lei HITECH e os Regulamentos da HIPAA, ou se as Partes acordarem especificamente de outra forma por escrito. Nenhuma modificação ou renúncia oral de quaisquer disposições deste Aditivo será vinculante para qualquer das Partes. Este Aditivo é celebrado em benefício das Partes, de suas afiliadas e de seus respectivos sucessores e cessionários autorizados, e os vincula. Nenhum terceiro será considerado beneficiário terceiro nos termos deste Aditivo, nem terá quaisquer direitos em decorrência deste Aditivo.

10.7 Lei aplicável. Este Aditivo será regido pelas disposições de lei aplicável e foro estabelecidas no MSA.

10.8 Natureza do Aditivo. Nenhuma das disposições deste Aditivo tem por objetivo criar, nem será considerada ou interpretada como criando, qualquer relação entre as Partes que não a de Contratantes Independentes. Nem o Parceiro Comercial nem qualquer de seus empregados, subcontratados ou outros agentes será considerado "agente", "empregado", "preposto" ou "empregado conjunto" da Entidade Coberta.

10.9 Modificações para cumprimento de normas. Caso sejam promulgados regulamentos adicionais nos termos da HIPAA, ou sejam alterados quaisquer Regulamentos da HIPAA existentes, e uma Parte determine de boa-fé que tal regulamento adotado ou alterado após a Data de Vigência torne quaisquer termos deste Aditivo inválidos, nulos ou de qualquer forma ilícitos, ou sujeite qualquer das Partes a penalidade, então as Partes concordam em negociar de boa-fé a modificação deste Aditivo de maneira que elimine tal risco.