Business Associate Agreement (BAA)

    Acuerdo de Asociado Comercial conforme a HIPAA (45 CFR 搂 164.504(e)).

    脷ltima actualizaci贸n: 8 de noviembre de 2025

    ADVERTENCIA IMPORTANTE

    HIPAA no est谩 habilitado por defecto en CRMHUB. Una vez activado mediante la firma de este BAA y el pago correspondiente, la configuraci贸n de HIPAA es permanente y no puede ser desactivada en su cuenta.

    1. Introducci贸n y Prop贸sito

    Este Business Associate Agreement (BAA) complementa los T茅rminos y Condiciones y la Pol铆tica de Privacidad de CRMHUB. Establece la relaci贸n formal entre CRMHUB (actuando como Business Associate) y el Cliente (actuando como Covered Entity o Business Associate) conforme a las exigencias de la Ley de Portabilidad y Responsabilidad del Seguro M茅dico (HIPAA).

    La fecha de efectividad de este BAA es el momento en que el Cliente solicita expl铆citamente la activaci贸n del cumplimiento HIPAA en su cuenta y acepta estos t茅rminos.

    2. Definiciones

    • Informaci贸n de Salud Protegida (PHI): Informaci贸n de salud individualmente identificable transmitida o mantenida en cualquier forma o medio (electr贸nico, oral o en papel).
    • Covered Entity: Un plan de salud, un centro de compensaci贸n de atenci贸n m茅dica, o un proveedor de atenci贸n m茅dica que transmite cualquier informaci贸n de salud en forma electr贸nica.
    • Business Associate: Una persona o entidad que realiza ciertas funciones o actividades que involucran el uso o divulgaci贸n de PHI en nombre de, o proporciona servicios a, una Covered Entity.
    • Violaci贸n de Seguridad / Brecha: La adquisici贸n, acceso, uso o divulgaci贸n no autorizada de PHI no asegurada que compromete la seguridad o privacidad de dicha informaci贸n.
    • Incidente de Seguridad: El intento o 茅xito de acceso, uso, divulgaci贸n, modificaci贸n o destrucci贸n no autorizada de informaci贸n o interferencia con las operaciones del sistema.
    • Salvaguardas Administrativas / F铆sicas / T茅cnicas: Medidas de seguridad requeridas por la Security Rule de HIPAA.
    • Security Rule: Los est谩ndares de seguridad para la protecci贸n de PHI electr贸nica (45 CFR Part 160 y Part 164, Subparts A y C).
    • Breach Notification Rule: Regulaciones que exigen notificar sobre brechas de PHI no asegurada.
    • OCR: Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos (HHS) de EE.UU.

    3. Alcance y Aplicabilidad

    Aplicabilidad: Este BAA se aplica exclusivamente cuando:

    • El Cliente es una Covered Entity o un Business Associate bajo HIPAA.
    • El Cliente procesa Informaci贸n de Salud Protegida (PHI) utilizando CRMHUB.
    • El Cliente ha solicitado expl铆citamente la habilitaci贸n de HIPAA en su cuenta de CRMHUB.

    No Aplicabilidad: Este BAA NO se aplica si HIPAA no est谩 habilitado, si el Cliente no clasifica como entidad cubierta/asociado comercial, o si no se procesa PHI.

    Permanencia: Una vez que HIPAA es habilitado en una cuenta de CRMHUB, la configuraci贸n es permanente y no puede ser revertida ni desactivada.

    Responsabilidad del Cliente: El Cliente es el 煤nico responsable de determinar su elegibilidad para HIPAA, solicitar su habilitaci贸n, firmar este BAA antes de comenzar a procesar PHI y abonar la tarifa correspondiente al complemento HIPAA.

    4. Obligaciones de CRMHUB (Business Associate)

    • Uso y Divulgaci贸n de PHI: CRMHUB utilizar谩 el PHI solo conforme a las instrucciones documentadas del Cliente. No divulgar谩 PHI a terceros sin autorizaci贸n, no lo usar谩 para prop贸sitos propios y mantendr谩 un registro de todas las divulgaciones.
    • Salvaguardas Administrativas: CRMHUB mantendr谩 una Pol铆tica de Seguridad documentada, designar谩 un Oficial de Seguridad, capacitar谩 a su personal, y contar谩 con procedimientos de gesti贸n de acceso, incidentes, cambios y planes de continuidad de negocio, adem谩s de realizar evaluaciones de riesgo anuales.
    • Salvaguardas T茅cnicas: CRMHUB implementa controles de acceso (2FA, autenticaci贸n, autorizaci贸n basada en roles), cifrado en tr谩nsito (TLS 1.2+) y en reposo (AES-256), mecanismos de integridad de datos y garantiza la disponibilidad a trav茅s de redundancia y backups.
    • Salvaguardas F铆sicas: Controles estrictos de acceso a instalaciones de centros de datos, vigilancia 24/7, protecci贸n de estaciones de trabajo y gesti贸n segura de dispositivos m贸viles y medios de almacenamiento.
    • Subcontratistas: CRMHUB mantendr谩 una lista de subcontratistas con acceso a PHI, obtendr谩 acuerdos de confidencialidad (BAA con subcontratistas), les impondr谩 obligaciones equivalentes de protecci贸n y notificar谩 al Cliente sobre cambios.
    • Notificaci贸n de Brechas: CRMHUB notificar谩 al Cliente sin demora indebida (m谩ximo 48 horas) tras descubrir cualquier acceso, modificaci贸n o destrucci贸n no autorizada de PHI.
    • Asistencia al Cliente: CRMHUB asistir谩 en el cumplimiento de la Privacy Rule, Security Rule, Breach Notification Rule, y cooperar谩 en auditor铆as e investigaciones de la OCR.
    • Auditor铆a y Certificaci贸n: CRMHUB permite auditor铆as por parte del Cliente y la OCR, proporcionando acceso a registros y certificaciones de seguridad (como SOC 2 Type II, ISO 27001).
    • Devoluci贸n o Eliminaci贸n: Al finalizar el contrato, CRMHUB devolver谩 o eliminar谩 de forma segura el PHI, proporcionando un certificado correspondiente, salvo que la ley exija su retenci贸n.

    5. Obligaciones del Cliente (Covered Entity / Business Associate)

    • Instrucciones: El Cliente debe proporcionar instrucciones claras sobre el uso y divulgaci贸n del PHI y garantizar que dichas instrucciones cumplen con HIPAA.
    • PHI Correcto: El Cliente es responsable de la exactitud del PHI, la legalidad de sus fuentes y de obtener los consentimientos y autorizaciones necesarios de los pacientes.
    • Notificaci贸n a Pacientes y OCR: El Cliente es responsable de notificar a los pacientes sobre c贸mo se trata su PHI y sus derechos. En caso de brecha, el Cliente es el 煤nico responsable de notificar a los pacientes y a la OCR en los plazos establecidos por HIPAA.
    • Respuesta a Solicitudes: El Cliente debe recibir, validar y responder a las solicitudes de acceso o enmienda de los pacientes, coordinando con CRMHUB para obtener el PHI necesario.
    • Cumplimiento General: El Cliente debe implementar sus propias pol铆ticas de privacidad y seguridad, capacitar a su personal, realizar evaluaciones de riesgo y mantener registros adecuados de PHI.

    6. Uso y Divulgaci贸n de PHI

    • Usos Permitidos: Conforme a las instrucciones del Cliente, para prop贸sitos operativos de CRMHUB (soporte, facturaci贸n, auditor铆a) y para cumplimiento legal.
    • Divulgaciones Permitidas: Al Cliente, a subcontratistas (bajo BAA) y a autoridades o la OCR si es requerido por ley.
    • Divulgaciones Prohibidas: A terceros sin autorizaci贸n, para prop贸sitos de marketing, venta de PHI o prop贸sitos propios de CRMHUB no relacionados con el servicio.
    • Registro: CRMHUB mantiene un registro de qui茅n accedi贸 al PHI, cu谩ndo, por qu茅 y qu茅 informaci贸n espec铆fica fue accedida.

    7. Salvaguardas T茅cnicas

    • Acceso: Autenticaci贸n multifactor (2FA), Single Sign-On (SSO), autorizaci贸n basada en roles ("necesidad de conocer") y logging exhaustivo de todos los accesos.
    • Cifrado: Todo el PHI se cifra en tr谩nsito utilizando TLS 1.2 o superior, y en reposo mediante el est谩ndar AES-256. Las claves se gestionan con rotaci贸n peri贸dica.
    • Integridad: Mecanismos para detectar alteraciones, como checksums y firmas digitales, con alertas ante cambios no autorizados.
    • Disponibilidad: Redundancia de componentes cr铆ticos, backups diarios autom谩ticos, y un plan de recuperaci贸n ante desastres (DRP) con un RTO m谩ximo de 4 horas y RPO de 1 hora.
    • Monitoreo: Monitoreo 24/7, an谩lisis de logs, alertas de anomal铆as y pruebas de penetraci贸n anuales.

    8. Salvaguardas Administrativas

    • Pol铆tica de Seguridad: Documentada, actualizada, comunicada a todo el personal y revisada anualmente.
    • Oficial de Seguridad: Designado espec铆ficamente para supervisar el cumplimiento de HIPAA, con autoridad para implementar pol铆ticas.
    • Capacitaci贸n: Formaci贸n inicial y anual obligatoria en protecci贸n de PHI para todo el personal.
    • Gesti贸n de Accesos y Cambios: Procedimientos estrictos para otorgar, modificar y revocar accesos, as铆 como para el control de cambios en los sistemas (testing, revisi贸n de pares, rollback).
    • Gesti贸n de Incidentes y Riesgos: Evaluaciones anuales de riesgos, identificaci贸n de vulnerabilidades y planes formales de respuesta a incidentes y continuidad de negocio (probados trimestralmente).

    9. Salvaguardas F铆sicas

    • Control de Instalaciones: Acceso estrictamente restringido a los centros de datos mediante biometr铆a y tarjetas de acceso, con registro detallado.
    • Vigilancia: C谩maras de seguridad 24/7, sistemas de alarma y monitoreo perimetral.
    • Protecci贸n de Estaciones: Bloqueo autom谩tico de pantallas, cifrado de discos duros, protecci贸n antimalware y actualizaciones obligatorias.
    • Gesti贸n de Dispositivos: Pol铆ticas estrictas para dispositivos m贸viles, cifrado obligatorio y procedimientos para la destrucci贸n segura de medios de almacenamiento.

    10. Notificaci贸n de Brechas

    • Definici贸n: Cualquier acceso, adquisici贸n, uso o divulgaci贸n no autorizada de PHI que comprometa su seguridad o privacidad.
    • Procedimiento de CRMHUB: Mediante monitoreo y reportes, CRMHUB investigar谩 (causa ra铆z, alcance, timeline) y notificar谩 al Cliente sin demora indebida (m谩ximo 48 horas) tras descubrir una brecha.
    • Notificaci贸n a Pacientes y OCR: Es responsabilidad exclusiva del Cliente notificar a los pacientes afectados y a la OCR (HHS) dentro de los 60 d铆as posteriores al descubrimiento. Si la brecha afecta a m谩s de 500 residentes de un mismo estado, el Cliente tambi茅n deber谩 notificar a los medios de comunicaci贸n.

    11. Transferencia de PHI

    • Ubicaci贸n: El PHI se procesa exclusivamente en centros de datos ubicados en Estados Unidos (ej. Google Cloud Platform, AWS) que cuentan con las certificaciones de seguridad requeridas.
    • Transferencias Internacionales: El PHI no se transfiere fuera de Estados Unidos sin la autorizaci贸n expl铆cita del Cliente.
    • M茅todo: Todas las transferencias se realizan mediante conexiones seguras (TLS) y cifrado de extremo a extremo, con auditor铆a de las mismas.

    12. Auditor铆a y Certificaci贸n

    • Por el Cliente u OCR: El Cliente o la OCR pueden solicitar auditor铆as. CRMHUB cooperar谩 plenamente, proporcionando la documentaci贸n y el acceso necesario (con notificaci贸n previa razonable por parte del Cliente).
    • Certificaciones: CRMHUB mantiene y proporciona copias de certificaciones de la industria como SOC 2 Type II e ISO 27001 (anuales).
    • Registros: El Cliente tiene derecho a acceder a los registros de auditor铆a del PHI, los cuales se retienen conforme a los requisitos de HIPAA.

    13. Devoluci贸n y Eliminaci贸n de PHI

    • Al T茅rmino del Contrato: El Cliente puede optar por la devoluci贸n del PHI en un formato acordado o su eliminaci贸n segura.
    • Proceso: La devoluci贸n o eliminaci贸n se completar谩 dentro de los 30 d铆as posteriores a la solicitud, y CRMHUB emitir谩 un certificado confirmando la acci贸n.
    • Backups: Las copias de seguridad que contengan PHI se eliminar谩n conforme a la pol铆tica de retenci贸n de 30 d铆as. El PHI no podr谩 ser recuperado posteriormente.

    14. Duraci贸n y Terminaci贸n

    • Duraci贸n: Este BAA permanece vigente mientras exista una relaci贸n contractual y se procese PHI.
    • Terminaci贸n: Finaliza cuando termina el contrato principal, el Cliente lo solicita o CRMHUB suspende los servicios.
    • Efectos: Las obligaciones de confidencialidad sobre el PHI sobreviven a la terminaci贸n del acuerdo.

    15. Limitaciones y Exclusiones

    • Permanencia: Como se advirti贸, la activaci贸n de HIPAA en una cuenta es permanente.
    • Responsabilidades Compartidas: El Cliente es el 煤nico responsable de determinar su elegibilidad, cumplir con la Privacy Rule, notificar a pacientes/OCR y asegurar sus propios procesos internos.
    • Sin Asesor铆a Legal ni Garant铆a Absoluta: CRMHUB proporciona las herramientas y salvaguardas t茅cnicas, pero no brinda asesor铆a legal sobre HIPAA ni garantiza que el uso de la plataforma por parte del Cliente cumpla autom谩ticamente con todas las regulaciones de HIPAA.
    • Responsabilidad Limitada: La responsabilidad de CRMHUB bajo este BAA se limita al monto total pagado por el Cliente en los 煤ltimos 12 meses, conforme a lo establecido en los T茅rminos y Condiciones principales.

    16. Contactos

    Para asuntos relacionados con HIPAA, utilice los siguientes canales de comunicaci贸n:

    Para obtener una copia firmada de este Business Associate Agreement aplicable a su cuenta, por favor contacte a compliance@crmhubplatform.com.