Traduction automatique de l'anglais.
Avenant de partenaire commercial
Dernière mise à jour : 16 mars 2026
Le présent Avenant de partenaire commercial (« Avenant ») est conclu entre le Client (« Entité visée ») et RepeatMD, Inc. (« Partenaire commercial »), et prend effet à la date d'entrée en vigueur de la Convention-cadre d'abonnement (la « MSA ») conclue entre l'Entité visée et le Partenaire commercial. L'Entité visée et le Partenaire commercial peuvent être désignés collectivement les « Parties » ou individuellement une « Partie ».
ATTENDU QUE, aux termes de la MSA, le Partenaire commercial peut fournir des Services à l'Entité visée ou pour son compte qui exigent que le Partenaire commercial consulte, crée, transmette ou utilise des renseignements médicaux protégés (PHI), au sens donné à ce terme par la HIPAA (définie ci-après);
ATTENDU QUE, conformément aux dispositions de simplification administrative de la Health Insurance Portability and Accountability Act of 1996 (« HIPAA »), le département de la Santé et des Services sociaux des États-Unis (HHS) a promulgué les Standards for Privacy of Individually Identifiable Health Information (les « Normes de confidentialité »), à 45 C.F.R. parties 160 et 164, qui exigent que certaines personnes et entités assujetties aux Normes de confidentialité protègent la confidentialité de certains renseignements médicaux permettant d'identifier une personne, et a édicté les Security Standards (les « Normes de sécurité »), à 45 C.F.R. parties 160, 162 et 164, pour la protection des renseignements médicaux protégés sous forme électronique (« EPHI »), tels que modifiés par les dispositions applicables de la Health Information Technology for Economic and Clinical Health Act (titre XIII, sous-titre D) et de ses règlements d'application (la « Loi HITECH ») (collectivement, les « Règlements HIPAA »);
ATTENDU QUE, afin de protéger la confidentialité et la sécurité des PHI, y compris les EPHI, la HIPAA, la Loi HITECH et les Règlements HIPAA exigent que les entités visées et les partenaires commerciaux concluent une « entente de partenaire commercial » avec certaines personnes et entités fournissant des services à l'entité visée ou au partenaire commercial, ou pour leur compte, si ces services exigent l'utilisation ou la communication de PHI ou d'EPHI; et
ATTENDU QUE le Partenaire commercial et l'Entité visée souhaitent conclure le présent Avenant et acceptent d'être liés par les modalités suivantes.
EN CONSÉQUENCE, en contrepartie des promesses mutuelles énoncées dans le présent Avenant et dans la MSA, ainsi que d'une autre contrepartie valable dont le caractère suffisant et la réception sont par les présentes reconnus séparément, les Parties conviennent de ce qui suit :
1. Termes définis
1.1 Tous les termes en majuscules employés mais non autrement définis dans le présent Avenant ont le sens qui leur est donné dans la HIPAA, la Loi HITECH et les Règlements HIPAA, selon le cas, et tels que modifiés de temps à autre. Malgré ce qui précède, toute mention des PHI est limitée, lorsqu'elle est employée aux présentes, aux PHI consultés, créés, reçus, conservés ou transmis par le Partenaire commercial de la part de l'Entité visée ou pour son compte. Une mention dans le présent Avenant d'un article de la HIPAA, de la Loi HITECH ou des Règlements HIPAA s'entend de l'article en vigueur ou tel que modifié. Tous les termes en majuscules non autrement définis dans le présent Avenant, dans la HIPAA, la Loi HITECH ou les Règlements HIPAA ont le sens qui leur est donné dans la MSA.
2. Obligations du Partenaire commercial
2.1 Utilisation et communication. Le Partenaire commercial ne doit pas utiliser ni communiquer davantage les PHI autrement que de la manière permise ou exigée par le présent Avenant, par la MSA ou selon ce qu'exige la Loi. Le Partenaire commercial se conforme aux dispositions du présent Avenant relatives à la confidentialité et à la sécurité des PHI ainsi qu'à toutes les dispositions présentes et futures de la HIPAA portant sur la confidentialité et la sécurité des PHI et applicables à l'Entité visée ou au Partenaire commercial.
2.2 Mesures de protection appropriées. Le Partenaire commercial applique des mesures de protection appropriées et se conforme, le cas échéant, aux Normes de sécurité à l'égard des EPHI, afin d'empêcher toute utilisation ou communication de PHI autre que celles expressément permises par le présent Avenant ou exigées par la Loi. Le Partenaire commercial :
2.2.1 Met en œuvre des mesures de protection administratives, physiques et techniques qui protègent de façon raisonnable et appropriée la confidentialité, l'intégrité et la disponibilité des EPHI qu'il crée, reçoit, conserve ou transmet pour le compte de l'Entité visée, comme l'exige la règle de sécurité de la HIPAA;
2.2.2 N'utilise ni ne communique les PHI d'une manière qui contreviendrait aux exigences de la HIPAA, de la Loi HITECH ou des Règlements HIPAA si les PHI étaient utilisés ou communiqués de la même manière par l'Entité visée, sauf disposition contraire des présentes;
2.2.3 Dans la mesure où le Partenaire commercial doit s'acquitter d'obligations de l'Entité visée au titre des Normes de confidentialité, se conforme aux exigences de la règle de confidentialité applicables à l'Entité visée dans l'exécution de ces obligations; et
2.2.4 Veille à ce que tout sous-traitant du Partenaire commercial qui crée, reçoit, conserve ou transmet des PHI pour le compte du Partenaire commercial accepte par écrit les mêmes restrictions et conditions (ou des restrictions plus strictes) que celles qui s'appliquent au Partenaire commercial à l'égard de ces PHI aux termes du présent Avenant, conformément à 45 C.F.R. §§164.502(e)(1)(ii) et 164.308(b)(2).
2.3 Signalement. Le Partenaire commercial accepte les procédures de signalement suivantes pour les Incidents de sécurité entraînant un accès, une utilisation, une communication, une modification ou une destruction non autorisés de PHI ou une perturbation des opérations du système (« Incidents de sécurité réussis »); et pour les Incidents de sécurité n'entraînant pas d'accès, d'utilisation, de communication, de modification ou de destruction non autorisés de PHI ni de perturbation des opérations du système, y compris les pings et autres attaques par diffusion contre le pare-feu du Partenaire commercial, les balayages de ports, les tentatives de connexion infructueuses, les dénis de service et toute combinaison de ce qui précède (« Incidents de sécurité infructueux »).
2.3.1 Le Partenaire commercial signale rapidement à l'Entité visée, sans retard injustifié et au plus tard dans les dix (10) jours ouvrables, tout Incident de sécurité réussi dont il prend connaissance. À l'égard des Incidents de sécurité infructueux, les Parties reconnaissent et conviennent que la présente section constitue un avis du Partenaire commercial à l'Entité visée quant à l'existence et à la survenance continues d'Incidents de sécurité infructueux et que, par conséquent, aucun autre signalement de tels incidents n'est requis.
2.3.2 Le Partenaire commercial signale à l'Entité visée toute Atteinte à des PHI non sécurisés dont il prend connaissance, comme l'exige 45 C.F.R. § 164.410, sans retard injustifié et en aucun cas plus de dix (10) jours ouvrables après que le Partenaire commercial, ou l'un de ses employés ou mandataires, a découvert l'Atteinte. Ce signalement comprend, dans la mesure du possible, l'identification de chaque Personne qui a été touchée, ou dont on peut raisonnablement croire qu'elle a été touchée, par l'Atteinte, ainsi que tout autre renseignement dont dispose le Partenaire commercial au sujet de l'Atteinte et qui doit figurer dans l'avis d'Atteinte fourni à la Personne, conformément à 45 C.F.R. 164.404(c).
2.4 Atténuation. Le Partenaire commercial accepte d'atténuer, dans la mesure du possible et sauf demande écrite contraire de l'Entité visée, tout effet préjudiciable connu de lui et résultant d'une utilisation ou d'une communication de PHI par le Partenaire commercial ou par ses employés, dirigeants, sous-traitants ou mandataires en violation du présent Avenant (y compris, sans s'y limiter, tout Incident de sécurité ou toute Atteinte à des PHI non sécurisés), de la HIPAA, de la Loi HITECH ou des Règlements HIPAA.
2.5 Rapports et avis. Le Partenaire commercial collabore et se coordonne également de façon raisonnable avec l'Entité visée pour la préparation de tout rapport ou avis destiné à la Personne, à un organisme de réglementation ou à tout tiers et devant être produit en vertu de la HIPAA, de la Loi HITECH, des Règlements HIPAA ou de toute autre loi, règle ou réglementation fédérale ou étatique applicable, étant entendu que ces rapports ou avis sont assujettis à l'approbation écrite préalable de l'Entité visée.
3. Utilisations et communications permises par le Partenaire commercial
3.1 Convention-cadre d'abonnement. Sauf disposition contraire des présentes ou exigence de la Loi, le Partenaire commercial utilise les PHI uniquement aux fins de l'exécution des Services pour l'Entité visée, tels que ces Services sont décrits dans la MSA, pourvu qu'une telle utilisation ne contrevienne pas à la HIPAA, à la Loi HITECH ou aux Règlements HIPAA si elle était le fait de l'Entité visée.
3.2 Utilisation pour l'administration du Partenaire commercial. Sauf limitation contraire prévue au présent Avenant, le Partenaire commercial peut utiliser les PHI dans la mesure nécessaire à la gestion et à l'administration adéquates du Partenaire commercial ou à l'exécution de ses responsabilités légales, pourvu que ces utilisations soient permises par les Règlements HIPAA.
3.3 Communication pour l'administration du Partenaire commercial. Sous réserve des limitations prévues au présent Avenant, le Partenaire commercial peut communiquer des PHI à tout tiers, personne ou entité, dans la mesure nécessaire à l'exécution de ses obligations aux termes de la MSA et selon ce que permet ou exige la loi fédérale ou étatique applicable. De plus, le Partenaire commercial peut communiquer des PHI aux fins de la gestion et de l'administration adéquates du Partenaire commercial, pourvu que (i) ces communications soient exigées par la Loi, ou (ii) le Partenaire commercial (a) obtienne du tiers à qui les renseignements sont communiqués des assurances raisonnables que ceux-ci demeureront confidentiels et ne seront utilisés ou communiqués davantage que selon ce qu'exige la loi ou aux fins pour lesquelles ils lui ont été communiqués; et (b) exige du tiers qu'il accepte d'aviser le Partenaire commercial de tout cas dont il a connaissance où la confidentialité des PHI a été compromise.
3.4 Agrégation de données et données dépersonnalisées. Sauf limitation contraire prévue au présent Avenant, le Partenaire commercial peut utiliser les PHI pour fournir des services d'Agrégation de données à l'Entité visée, comme le permet 45 C.F.R. § 164.504(e)(2)(i)(B), uniquement aux fins des opérations de soins de santé de l'Entité visée et dans le respect des lois applicables. Le Partenaire commercial peut dépersonnaliser tout PHI, pourvu que la dépersonnalisation soit conforme aux exigences des Normes de confidentialité. Ces renseignements dépersonnalisés ne constituent pas des PHI et ne sont pas assujettis aux modalités du présent Avenant une fois dépersonnalisés.
4. Accès aux Ensembles de dossiers désignés et modifications. Le Partenaire commercial ne détient ni ne conserve de PHI dans un Ensemble de dossiers désigné pour le compte de l'Entité visée.
5. Registre des communications. Le Partenaire commercial accepte de consigner les communications de PHI et les renseignements y afférents dans la mesure nécessaire pour que l'Entité visée puisse répondre à la demande d'une Personne visant un registre des communications, conformément à 45 C.F.R. § 164.528. Le Partenaire commercial met ces renseignements à la disposition de l'Entité visée dans les vingt (20) jours ouvrables suivant une demande de celle-ci, afin de lui permettre de respecter ses obligations aux termes de la HIPAA, de la Loi HITECH et des Règlements HIPAA. Si une Personne adresse une demande de registre des communications directement au Partenaire commercial, celui-ci en avise l'Entité visée dans les trois (3) jours ouvrables suivant la réception de la demande et collabore avec l'Entité visée pour y répondre. Le Partenaire commercial ne répond pas directement à une telle demande à moins d'y être expressément autorisé par écrit par l'Entité visée.
6. Dossiers et vérification. Le Partenaire commercial met à la disposition du département de la Santé et des Services sociaux (« HHS ») ou de ses mandataires ses pratiques internes, livres et dossiers relatifs à l'utilisation et à la communication des PHI reçus de l'Entité visée, ou créés ou reçus par le Partenaire commercial pour son compte, aux fins de déterminer la conformité de l'Entité visée à la HIPAA, à la Loi HITECH et aux Règlements HIPAA, au moment et de la manière désignés par le secrétaire du HHS.
7. Minimum nécessaire. Le Partenaire commercial accepte de limiter ses demandes, utilisations et communications des PHI de l'Entité visée au minimum nécessaire et de se conformer aux politiques et procédures relatives au minimum nécessaire que l'Entité visée lui fournit.
8. Obligations de l'Entité visée
8.1 L'Entité visée ne demande pas au Partenaire commercial d'utiliser ou de communiquer des PHI d'une manière qui contreviendrait au présent Avenant, à la HIPAA, à la Loi HITECH ou aux Règlements HIPAA.
8.2 L'Entité visée avise le Partenaire commercial de toute limitation figurant dans son Avis de pratiques de confidentialité conformément à 45 C.F.R. § 164.520, dans la mesure où ces limitations peuvent avoir une incidence sur l'utilisation ou la communication des PHI par le Partenaire commercial.
8.3 L'Entité visée convient par les présentes d'aviser rapidement le Partenaire commercial, par écrit et en temps opportun, de toute entente permise ou exigée de l'Entité visée au titre des Normes de confidentialité qui pourrait avoir une incidence quelconque sur l'utilisation ou la communication des PHI par le Partenaire commercial aux termes du présent Avenant ou de la MSA, y compris, sans s'y limiter, les restrictions à l'utilisation ou à la communication des PHI acceptées par l'Entité visée, comme le prévoit 45 C.F.R. § 164.522 tel que modifié par la Loi HITECH.
9. Durée et résiliation
9.1 Durée. Le présent Avenant entre en vigueur à la Date d'entrée en vigueur de l'Avenant et demeure en vigueur jusqu'à sa résiliation conformément aux modalités de la présente section 9; il est toutefois entendu qu'aucune résiliation ne porte atteinte aux obligations ou aux droits respectifs des Parties nés du présent Avenant avant la date effective de résiliation, lesquels subsistent tous selon leurs modalités.
9.2 Résiliation pour motif valable. Si l'une des parties (la « Partie non défaillante ») détermine que l'autre partie (la « Partie défaillante ») a contrevenu à une modalité essentielle du présent Avenant, la Partie non défaillante doit soit : (i) donner un avis écrit à la Partie défaillante et une possibilité raisonnable de remédier au manquement ou de mettre fin à la contravention dans le délai précisé dans cet avis, et résilier le présent Avenant ou la MSA si la Partie défaillante n'y remédie pas ou n'y met pas fin dans ce délai; soit (ii) résilier immédiatement le présent Avenant ou la MSA si une correction est impossible.
9.3 Résiliation de la MSA. À la résiliation de la MSA, l'une ou l'autre des Parties peut résilier le présent Avenant en donnant un avis écrit à l'autre Partie.
9.4 Effet de la résiliation. À la résiliation du présent Avenant pour quelque motif que ce soit, le Partenaire commercial accepte soit de retourner à l'Entité visée, soit de détruire, tous les PHI reçus de l'Entité visée ou créés ou reçus par le Partenaire commercial pour le compte de l'Entité visée, qui se trouvent en la possession ou sous le contrôle du Partenaire commercial, de ses sous-traitants ou de ses mandataires. Dans le cas des PHI dont le Partenaire commercial détermine qu'il n'est pas possible de les « retourner ou détruire », le Partenaire commercial étend les protections du présent Avenant à ces PHI et limite les utilisations et communications ultérieures de ces PHI aux fins qui rendent leur retour ou leur destruction impossible, tant que le Partenaire commercial conserve ces PHI. Les obligations prévues à la présente section 9.4 survivent à la résiliation du présent Avenant et se poursuivent tant que le Partenaire commercial conserve ces PHI.
10. Dispositions diverses
10.1 Avis. Sauf disposition expresse contraire des présentes, tous les avis requis ou permis aux termes des présentes doivent être donnés par écrit et sont réputés produire leurs effets au moment de la remise en mains propres; à la réception par moyen télégraphique ou autre moyen électronique (y compris la télécopie); à la livraison par messagerie de nuit; ou trois (3) jours après le dépôt auprès du service postal des États-Unis, port payé, par courrier certifié ou recommandé avec accusé de réception, à l'adresse indiquée dans le Formulaire de commande de services pour la Partie concernée, ou à toute autre adresse, et à l'attention de toute autre personne ou de tout autre dirigeant, qu'une Partie peut désigner, à tout moment, par écrit conformément aux présentes dispositions relatives aux avis.
10.2 Renonciation. Aucune disposition du présent Avenant ni aucun manquement à celle-ci n'est réputé faire l'objet d'une renonciation à moins que cette renonciation ne soit consignée par écrit et signée par la Partie dont on allègue qu'elle a renoncé à cette disposition ou à ce manquement. La renonciation à un manquement ne constitue pas une renonciation à un manquement différent ou ultérieur ni une excuse de celui-ci.
10.3 Limitation de responsabilité. Les exclusions et les dispositions de limitation de responsabilité de la MSA s'appliquent au présent Avenant.
10.4 Cession. Aucune Partie ne peut céder (que ce soit par effet de la loi ou autrement) l'un quelconque de ses droits, ni déléguer ou sous-traiter l'une quelconque de ses obligations aux termes du présent Avenant sans le consentement écrit préalable de l'autre Partie. Malgré ce qui précède, toute cession permise aux termes de la MSA est admissible aux présentes.
10.5 Divisibilité. Toute disposition du présent Avenant jugée invalide ou inexécutoire est sans effet dans la mesure de cette conclusion, sans invalider les autres dispositions du présent Avenant ni porter atteinte à leur validité ou à leur force exécutoire.
10.6 Intégralité de l'entente. Le présent Avenant constitue l'entente complète entre le Partenaire commercial et l'Entité visée concernant les matières qui y sont précisées, et remplace toutes les déclarations ou ententes antérieures, orales ou écrites, relatives à ces matières. En cas de conflit entre les modalités du présent Avenant et celles de la MSA ou de toute entente ultérieure, les modalités du présent Avenant prévalent, sauf si les modalités de la MSA sont plus strictes à l'égard des PHI et conformes à la HIPAA, à la Loi HITECH et aux Règlements HIPAA, ou si les Parties en conviennent expressément autrement par écrit. Aucune modification ou renonciation orale visant les dispositions du présent Avenant ne lie l'une ou l'autre des Parties. Le présent Avenant bénéficie aux Parties, à leurs sociétés affiliées et à leurs successeurs et ayants droit autorisés respectifs, et les lie. Aucun tiers n'est considéré comme un tiers bénéficiaire aux termes du présent Avenant, et aucun tiers ne détient de droits du fait du présent Avenant.
10.7 Droit applicable. Le présent Avenant est régi par les dispositions relatives au droit applicable et au tribunal compétent énoncées dans la MSA.
10.8 Nature de l'Avenant. Aucune disposition du présent Avenant ne vise à créer, et aucune ne sera réputée ou interprétée comme créant, entre les Parties une relation autre que celle d'Entrepreneurs indépendants. Ni le Partenaire commercial ni aucun de ses employés, sous-traitants ou autres mandataires n'est réputé être un « mandataire », un « employé », un « préposé » ou un « employé conjoint » de l'Entité visée.
10.9 Modifications visant la conformité aux normes. Si des règlements additionnels sont promulgués en vertu de la HIPAA, ou si des Règlements HIPAA existants sont modifiés, et qu'une Partie détermine de bonne foi qu'un tel règlement adopté ou modifié après la Date d'entrée en vigueur rend l'une des modalités du présent Avenant invalide, nulle ou de quelque manière illicite, ou expose l'une ou l'autre des Parties à une sanction, les Parties conviennent alors de négocier de bonne foi la modification du présent Avenant de manière à éliminer ce risque.