Celiveo 365 HIPAA 合规性

根据 HIPAA 的要求，在 Celiveo（作为业务伙伴）和任何订阅 Celiveo 365 的医疗保健实体（作为受保护实体）之间，将签署以下突出显示的业务伙伴协议 (BAA)，然后再使用或披露受保护的健康信息 (PHI)，以确保 Celiveo 仅在协议和适用法律允许的范围内处理 PHI（包括通过其 Azure 原生 SaaS 平台处理的打印/扫描作业中的电子 PHI (ePHI)）。

Celiveo 365 的 ISO 27001：2022 Intertek 的认证是信息安全管理体系 (ISMS) 的最新国际标准，它通过系统化的基于风险的方法全面涵盖了 PHI 保护，该方法与……相一致。 HIPAA 安全规则保障措施。

ISO 27001：2022 强制控制措施：

  • ACCESS 管理 (Entra ID 单点登录 (SSO) Zero-Trust-Access 通过 ECC-P256 证书林，使用细粒度权限 Entra ID 组）
  • 加密 （使用动态密钥和 Azure Key Vault 进行静态和传输中的 AES-256-GCM 加密）
  • 事件响应和违规报告程序
  • AI-DLP 在实时数据丢失预防中检测/阻止PHI/PII
  • 审计 记录 （Azure 全天候服务） Cloud Defender 会根据 HIPAA、HITRUST 和 13+ 标准进行扫描）
  • 安全 打印/扫描工作流程，支持使用徽章、移动设备、NFC 和 PIN 码进行打印释放。
  • 每日对整个 SaaS 基础设施进行合规性验证——包括不存储 PII（用户数据以 SHA-256 哈希值形式存储）以及 PaaS 原生的操作系统漏洞免疫能力——

为医疗保健用户提供经审计的保证，确保强大的企业级安全措施，同时将PHI（受保护的健康信息）保留在客户的Azure中。 tenant 边界。

本篇 ISO 27001：2022 认证涵盖 Celiveo 的所有运营活动， CloudCeliveo 365 提供 SaaS、研发、支持和 PII/GDPR 处理服务，使其成为受监管环境下安全文档管理的合规解决方案，其产品文档和独立分析中明确体现了 HIPAA 的一致性。

HIPAA 业务伙伴协议模板

版本：2026年1月2日

  • 商业伙伴协议

    本商业伙伴协议（“协议”或“BAA”）自签订之日起生效 2026 年 1 月 2 日 [生效日期]（“生效日期”），由[您的实体名称]（“受保实体”）与 Celiveo（“业务伙伴”）签订。

    献技

    鉴于，受保实体是1996年《健康保险流通与责任法案》（公法104-191）（“HIPAA”）及其修订条例（统称“HIPAA规则”）所定义的“受保实体”；

    鉴于，业务伙伴提供安全保障 Cloud 向受保实体提供打印服务、打印数据防丢失措施，其中涉及使用和/或披露受保护的健康信息（“PHI”）；

    鉴于 HIPAA 规则要求受保实体从业务伙伴处获得关于保护 PHI 的令人满意的保证；

    因此，双方达成如下协议：

    1. 定义

    本协议中使用的但未另行定义的术语应与 HIPAA 规则（45​​ CFR 第 160、162 和 164 部分）中的术语具有相同的含义。

    2. 业务伙伴的义务和活动

    业务伙伴同意：

    （a）仅在本业务伙伴协议允许的范围内、法律要求的范围内，或在履行基础协议中所述的有限服务所必需的范围内使用或披露PHI。

    （b）使用适当的安全措施，并遵守 HIPAA 安全规则，以保护电子 PHI（ePHI）。

    （c）向受保护实体报告任何未经许可的使用/披露、未加密PHI的泄露（根据§ 164.410）或安全事件。

    （d）确保分包商以书面形式同意相同的限制（根据第 164.502(e)(1)(ii) 条和第 164.308(b)(2) 条）。

    （e）如果业务伙伴在指定记录集中维护 PHI，则根据 § 164.524 将其提供给受保护实体或个人。

    （f）如果业务伙伴在指定记录集中维护 PHI，则根据 § 164.526 进行修改。

    （g）如果业务伙伴进行需要会计处理的披露，则根据第 164.528 条提供会计信息。

    （h）如果履行受保护实体的隐私规则义务，则应遵守。

    （i）向美国卫生与公众服务部提供内部做法/账簿/记录，以便确定是否符合规定。

    （j）双方承认并同意，业务伙伴不维护指定记录集，也没有能力更改或修改PHI。

     

    3. 商业伙伴的许可使用和披露

    仅限于提供以下服务，即安全服务 Cloud Pull Print 扫描，并可选择进行PHI/PII识别以进行数据丢失防护（AI-DLP）。业务伙伴可将PHI用于其妥善管理/行政用途，或根据法律要求使用，但须遵守最低必要标准。

     

    4. 受监管实体的义务

    受监管实体应：

    （a）将《隐私惯例通知》中任何影响业务伙伴使用或披露PHI的限制通知业务伙伴。

    （b）将受保护实体同意的任何关于搜索、使用或披露PHI的限制通知业务伙伴。

    5. 期限和终止

    （a）期限：本协议自生效日起生效，并在受保实体向业务伙伴提供的所有PHI被销毁或归还（如可行）时终止，或在基础服务协议终止时终止。

    （b）因故终止：如果发生重大违约，且违约行为在 60 天内未得到纠正，则守约方可以终止本协议。

    （c）PHI 的返还或销毁：终止时，业务伙伴应销毁所有 PHI。

    6。 杂项

    （a）修改：双方同意根据 HIPAA 规则或其他适用法律的变更，对本协议进行必要的修改。

    （b）解释：任何歧义都应予以解决，以允许遵守 HIPAA 规则。

    （c）适用法律： 本协议的有效性、构成、解释和效力均应受特拉华州法律管辖并按其解释，但不考虑其冲突法条款。.

    为此，双方于生效日使用电子签名签署了本协议。


    受监管实体：

    _________________________________________

    签名
    名称：
    主题：
    日期：


    业务伙伴：     Celiveo Pte Ltd

    _________________________________________

    签名
    名称：
    主题：
    日期：