---

សំគាល់៖ ការបកប្រែនេះគ្រាន់តែជាការងាយស្រួលប៉ុណ្ណោះ ហើយវត្ថុបំណងផ្លូវច្បាប់ជាផ្លូវការគឺជាកំណែភាសាអង់គ្លេស។

ធ្វើបច្ចុប្បន្នភាពចុងក្រោយ៖ ថ្ងៃទី១៦ ខែកក្កដា ឆ្នាំ២០២៥

កិច្ចព្រមព្រៀងសហការអាជីវកម្មនេះ ("BAA") ត្រូវបានបង្កើតនិងចុះហត្ថលេខានៅថ្ងៃដែលអង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់ ("ថ្ងៃចូលជាធរមាន") រវាង Bloo Inc. ដែលជាសាជីវកម្មរបស់រដ្ឋ Delaware ដែលមានទីតាំងស្នងការនៅ [COMPANY ADDRESS] ("សហការអាជីវកម្ម") និងអង្គភាពឬអង្គការដែលទទួលយកកិច្ចព្រមព្រៀងនេះ ("អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់")។ នៅក្នុង BAA នេះ អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់ និងសហការអាជីវកម្មគឺជា "គណបក្ស" នីមួយៗ ហើយរួមគ្នាគឺជា "គណបក្សទាំងសង"។

ប្រវត្តិសង្ខេប

១. អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់គឺជា "អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់" ឬ "សហការអាជីវកម្ម" នៃអង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់ ដូចដែលនីមួយៗត្រូវបានកំណត់នៅក្រោមច្បាប់ការរ៉ាប់រងការប្រណីតនិងការទទួលខុសត្រូវការបរិក្ខាសុខភាពឆ្នាំ១៩៩៦ ច្បាប់សាធារណៈលេខ១០ោ-១៩១ ដូចដែលត្រូវបានកែប្រែដោយច្បាប់ HITECH និងបទប្បញ្ញត្តិពាក់ព័ន្ធដែលបានប្រកាសដោយ HHS (រួមគ្នាថា "HIPAA") ហើយដូច្នេះត្រូវតែអនុវត្តតាមបទប្បញ្ញត្តិរបស់ HIPAA ទាក់ទងនឹងការសម្ងាត់និងភាពឯកជនរបស់ព័ត៌មានសុខភាពការពារ។

២. គណបក្សទាំងសងបានចុះកិច្ចព្រមព្រៀងឬនឹងចុះកិច្ចព្រមព្រៀងមួយឬច្រើនដែលក្រោមនោះសហការអាជីវកម្មផ្តល់សេវាកម្មជាក់លាក់ដល់អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់តាមរយៈប្រព័ន្ធ Blue (រួមគ្នាថា "កិច្ចព្រមព្រៀង")។

៣. ក្នុងការផ្តល់សេវាកម្មតាមកិច្ចព្រមព្រៀង សហការអាជីវកម្មនឹងមានការចូលដំណើរការដល់ព័ត៌មានសុខភាពការពារ។

ោ. តាមរយៈការផ្តល់សេវាកម្មតាមកិច្ចព្រមព្រៀង សហការអាជីវកម្មនឹងក្លាយជា "សហការអាជីវកម្ម" របស់អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់ ដូចដែលពាក្យនេះត្រូវបានកំណត់នៅក្រោម HIPAA។

៥. គណបក្សទាំងសងប្តេជ្ញាចិត្តអនុវត្តតាមច្បាប់សហព័ន្ធនិងរដ្ឋទាំងអស់ដែលគ្រប់គ្រងភាពសម្ងាត់និងឯកជនរបស់ព័ត៌មានសុខភាព រួមទាំងប៉ុន្តែមិនកំណត់ចំណាំលើស្តង់ដារសម្រាប់ភាពឯកជននៃព័ត៌មានសុខភាពកំណត់អត្តសញ្ញាណបុគ្គលដែលមាននៅ ៤៥ CFR ផ្នែក ១៦០ និងផ្នែក ១៦ោ ផ្នែករងអា និងអ៊ី (រួមគ្នាថា "បទប្បញ្ញត្តិឯកជន")។

៦. គណបក្សទាំងសងមានបំណងការពារភាពឯកជននិងផ្តល់សុវត្ថិភាពរបស់ព័ត៌មានសុខភាពការពារដែលបញ្ចេញដល់សហការអាជីវកម្មតាមលក្ខខណ្ឌនៃកិច្ចព្រមព្រៀងនេះ HIPAA និងច្បាប់ពាក់ព័ន្ធផ្សេងទៀត។

កិច្ចព្រមព្រៀង

ដូច្នេះ ដោយសារតែការចាក់កំណុំនិងលក្ខខណ្ឌសហការដែលមាននៅក្នុងនេះនិងការផ្តល់ PHI បន្តដោយអង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់ដល់សហការអាជីវកម្មនៅក្រោមកិច្ចព្រមព្រៀងដោយពឹងផ្អែកលើ BAA នេះ គណបក្សទាំងសងព្រមព្រៀងដូចខាងក្រោម៖

១. និយមន័យ

សម្រាប់គោលបំណងនៃ BAA នេះ គណបក្សទាំងសងផ្តល់អត្ថន័យខាងក្រោមដល់ពាក្យនីមួយៗខាងក្រោម។ ពាក្យណាមួយដែលមានអក្សរធំប្រើក្នុង BAA នេះ ប៉ុន្តែមិនត្រូវបានកំណត់ផ្សេងទៀតនោះទេ មានអត្ថន័យដែលបានផ្តល់ដល់ពាក្យនោះនៅក្នុងបទប្បញ្ញត្តិឯកជនឬច្បាប់ពាក់ព័ន្ធ។

១.១ ពាក្យ HIPAA ដូចដែលបានកំណត់នៅ ៤៥ CFR § ១៦០.១០៣៖

• "ព័ត៌មានសុខភាពការពារ" ឬ "PHI" មានន័យថាព័ត៌មានសុខភាពកំណត់អត្តសញ្ញាណបុគ្គលដែលបង្កើត ទទួល រក្សា ឬផ្ញើដោយសហការអាជីវកម្មដើម្បីអង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់។
• "អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់" មានអត្ថន័យដែលបានផ្តល់ដល់ពាក្យនោះនៅ ៤៥ CFR §១៦០.១០៣។
• "សហការអាជីវកម្ម" មានអត្ថន័យដែលបានផ្តល់ដល់ពាក្យនោះនៅ ៤៥ CFR §១៦០.១០៣។
• "ការលើស" មានន័យថាការទទួលបាន ការចូលដំណើរការ ការប្រើប្រាស់ ឬការបញ្ចេញ PHI តាមរបៀបដែលមិនត្រូវបានអនុញ្ញាតនៅក្រោមបទប្បញ្ញត្តិឯកជនដែលធ្វើអោយខូចសុវត្ថិភាពឬភាពឯកជនរបស់ PHI ដូចដែលបានកំណត់នៅ ៤៥ CFR §១៦ោ.៤០២។
• "សំណុំកំណត់ត្រាកំណត់" មានអត្ថន័យដែលបានផ្តល់ដល់ពាក្យដូច្នេះនៅក្រោមបទប្បញ្ញត្តិឯកជន រួមទាំង ៤៥ CFR §១៦ោ.៥០១។

១.២ និយមន័យបន្ថែម៖

• "សេវាកម្ម Blue" មានន័យថាសេវាកម្មគ្រប់គ្រងគម្រោងនិងរក្សាទុកទិន្នន័យដែលផ្តល់តាមរយៈ https://www.blue.cc
• "PHI អេឡិចត្រូនិច" ឬ "ePHI" មានន័យថា PHI ណាមួយដែលរក្សាក្នុងឬផ្ញើដោយមាធ្យមអេឡិចត្រូនិចដូចដែលបានកំណត់នៅ ៤៥ CFR §១៦០.១០៣។
• "HHS" មានន័យថាក្រសួងសុខាភិបាលនិងសេវាកម្មសហគមន៍អាមេរិក។
• "ច្បាប់ HITECH" មានន័យថាច្បាប់បច្ចេកវិទ្យាព័ត៌មានសុខភាពសម្រាប់សេដ្ឋកិច្ចនិងសុខភាពគ្លីនិក ដែលបានអនុម័តជាផ្នែកនៃច្បាប់ការងើបឡើងវិញនិងការវិនិយោគឡើងវិញរបស់អាមេរិកឆ្នាំ២០០៩ ច្បាប់សាធារណៈលេខ១១១-០០៥។
• "បុគ្គល" មានអត្ថន័យដូចគ្នាដែលបានផ្តល់ដល់ពាក្យនោះនៅ ៤៥ CFR §§១៦ោ.៥០១ និង១៦០.១៣០ ហើយរួមបញ្ចូលទាំងបុគ្គលដែលមានសិទ្ធិជាតំណាងផ្ទាល់ខ្លួនស្របតាម ៤៥ CFR §១៦ោ.៥០២(ខ)។
• "ព្រឹត្តិការណ៍សុវត្ថិភាព" មានន័យថាការព្យាយាមឬជោគជ័យក្នុងការចូលដំណើរការ ការប្រើប្រាស់ ការបញ្ចេញ ការកែប្រែ ឬការបំផ្លាញព័ត៌មានដោយមិនបានការអនុញ្ញាត ឬការរំខានដល់ប្រតិបត្តិការប្រព័ន្ធក្នុងប្រព័ន្ធព័ត៌មាន។
• "បទប្បញ្ញត្តិសុវត្ថិភាព" មានន័យថាស្តង់ដារសុវត្ថិភាពសម្រាប់ការការពារព័ត៌មានសុខភាពអេឡិចត្រូនិចដែលបានផ្តល់នៅ ៤៥ CFR ផ្នែក ១៦០ និងផ្នែក ១៦ោ ផ្នែករងអា និងគ។
• "ព័ត៌មានសុខភាពការពារមិនមានសុវត្ថិភាព" ឬ "PHI មិនមានសុវត្ថិភាព" មានន័យថា PHI ណាមួយដែលមិនត្រូវបានធ្វើអោយមិនអាចប្រើបាន មិនអាចអានបាន ឬមិនអាចយល់បានដល់បុគ្គលដែលមិនមានការអនុញ្ញាតតាមរយៈការប្រើប្រាស់បច្ចេកវិទ្យាឬវិធីសាស្ត្រដែលបានបញ្ជាក់ដោយរដ្ឋមន្ត្រី HHS។

២. កាតព្វកិច្ចរបស់សហការអាជីវកម្ម

២.១ ការប្រើប្រាស់ដែលបានអនុញ្ញាត៖
សហការអាជីវកម្មអាចប្រើឬបញ្ចេញ PHI ដូចខាងក្រោមប៉ុណ្ណោះ៖

• ដំណើរការ PHI សម្រាប់៖ (ក) ការរក្សាទុកទិន្នន័យអ្នកជំងឺ (ខ) ការវិភាគសម្រាប់ការព្យាបាល/ប្រតិបត្តិការ (គ) សេវាកម្មផ្សេងទៀតដែលបានបញ្ជាក់នៅក្នុងលក្ខខណ្ឌសេវាកម្ម
• តាមការចាំបាច់ដើម្បីផ្តល់សេវាកម្មដែលបានពិពណ៌នានៅក្នុងកិច្ចព្រមព្រៀងដល់អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់
• សម្រាប់ការគ្រប់គ្រងនិងការរដ្ឋបាលត្រឹមត្រូវនៃអាជីវកម្មរបស់សហការអាជីវកម្ម
• ដើម្បីអនុវត្តការទទួលខុសត្រូវតាមច្បាប់របស់សហការអាជីវកម្ម
• តាមតម្រូវការច្បាប់

២.២ ការប្រើប្រាស់និងការបញ្ចេញដែលហាមឃាត់៖
សហការអាជីវកម្មនឹងមិនប្រើឬបញ្ចេញ PHI តាមរបៀបណាមួយក្រៅពីដូចដែលបានផ្តល់នៅក្នុង BAA នេះ ដូចដែលបានអនុញ្ញាតនៅក្រោមបទប្បញ្ញត្តិឯកជន ឬដូចដែលតម្រូវដោយច្បាប់។ សហការអាជីវកម្មនឹងប្រើឬបញ្ចេញ PHI តាមកម្រិតដែលអាចអនុវត្តបាន ជាសំណុំទិន្នន័យមានកំណត់ ឬកំណត់ចំនួន PHI អប្បបរមាដែលចាំបាច់ដើម្បីអនុវត្តគោលបំណងដែលបានបំណងនៃការប្រើប្រាស់ ឬការបញ្ចេញ ស្របតាមផ្នែក ១៣៤០៥(ខ) នៃច្បាប់ HITECH។

២.៣ វិធានការការពារ៖
សហការអាជីវកម្មនឹងអនុវត្តវិធានការការពាររដ្ឋបាល រូបវន្ត និងបច្ចេកទេសដែលសមរម្យនិងសមរម្យការពារភាពសម្ងាត់ ភាពត្រឹមត្រូវ នឹងភាពអាចប្រើបានរបស់ PHI រួមទាំង៖

• ការអ៊ិនគ្រីប AES-256 នៅកន្លែងនិងក្នុងការឆ្លងកាត់
• ការគ្រប់គ្រងការចូលដំណើរការដោយផ្អែកលើតួនាទី (RBAC) ជាមួយការអនុញ្ញាតក្នុងគម្រោង
• ការគ្រប់គ្រងសវនកម្មដែលតាមដានការចូលដំណើរការ/កែប្រែ PHI
• ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវដែលមានសុវត្ថិភាពប្រើតំណភ្ជាប់វេទមន្តតាមរយៈអ៊ីម៉ែល (គ្មានពាក្យសម្ងាត់)
• ឯកសារនីតិវិធីការចូលដំណើរការបន្ទាន់
• វិធានការការពារផ្សេងទៀតដែលចាំបាច់ដើម្បីការពារការប្រើប្រាស់ឬការបញ្ចេញ PHI ក្រៅពីដូចដែលបានអនុញ្ញាតដោយ BAA នេះ

៣. អ្នកទទួលប្រព័ន្ធកន្លងមក

៣.១ អ្នកទទួលប្រព័ន្ធកន្លងមកដែលបានការអនុញ្ញាត៖
សហការអាជីវកម្មអាចប្រើអ្នកទទួលប្រព័ន្ធកន្លងមកខាងក្រោមទាក់ទងនឹងសេវាកម្មដែលផ្តល់ដល់អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់៖

• Cloudflare (ការអ៊ិនគ្រីបឆ្លងកាត់)
• Amazon AWS (ការអ៊ិនគ្រីបរក្សាទុក)

៣.២ តម្រូវការ៖

• សហការអាជីវកម្មនឹងធានាថាអ្នកតំណាងឬអ្នកទទួលប្រព័ន្ធកន្លងមករបស់ខ្លួនណាមួយដែលមានការចូលដំណើរការ ឬដែលសហការអាជីវកម្មផ្តល់ PHI ព្រមព្រៀងជាលាយលក្ខណ៍អក្សរចំពោះការរឹតត្បិតនិងលក្ខខណ្ឌទាក់ទងការប្រើប្រាស់និងការបញ្ចេញ PHI ដែលមាននៅក្នុង BAA នេះ
• សហការអាជីវកម្មរក្សា BAA ជាមួយអ្នកទទួលប្រព័ន្ធកន្លងមកទាំងអស់ដែលគ្រប់គ្រង PHI
• សហការអាជីវកម្មនឹងផ្តល់ការជូនដំណឹង ៣០ ថ្ងៃសម្រាប់អ្នកទទួលប្រព័ន្ធកន្លងមកថ្មីតាមរយៈការជូនដំណឹងអ៊ីម៉ែល
• សហការអាជីវកម្មត្រូវធានាថាកិច្ចសន្យារងនិងកិច្ចព្រមព្រៀងទាំងអស់ផ្តល់កម្រិតភាពឯកជននិងសុវត្ថិភាពដូចគ្នានឹង BAA នេះ

ោ. តម្រូវការរាយការណ៍

ោ.១ ការជូនដំណឹងការលើស៖

• សហការអាជីវកម្មនឹងរាយការណ៍ដល់អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់ជាលាយលក្ខណ៍អក្សរអំពីការប្រើប្រាស់ឬការបញ្ចេញ PHI ណាមួយដែលមិនត្រូវបានផ្នល់រដោយ BAA នេះដែលខ្លួនដឹងក្នុងរយៈពេល ៥ ថ្ងៃធ្វើការ
• សហការអាជីវកម្មនឹងរាយការណ៍ការលើស PHI មិនមានសុវត្ថិភាពក្នុងរយៈពេល ៦០ ថ្ងៃប្រតិទិននៃការរកឃើញ
• សហការអាជីវកម្មនឹងផ្តល់ការជូនដំណឹងដំបូងភ្លាមៗប្រសិនបើបុគ្គលច្រើនជាង ៥០០ នាក់ត្រូវបានប៉ះពាល់
• របាយការណ៍នឹងកំណត់អត្តសញ្ញាណបុគ្គលដែលប៉ះពាល់ ពិពណ៌នាលក្ខណៈនៃការលើស រៀបរាប់ជំហានបន្ថយទុក្ខដែលបានអនុវត្ត និងផ្តល់នីតិវិធីទំនាក់ទំនងសម្រាប់គណបក្សដែលប៉ះពាល់

ោ.២ ព្រឹត្តិការណ៍សុវត្ថិភាព៖
សហការអាជីវកម្មព្រមព្រៀងរាយការណ៍ដល់អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់អំពីព្រឹត្តិការណ៍សុវត្ថិភាពណាមួយដែលប៉ះពាល់ដល់ PHI អេឡិចត្រូនិចរបស់អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់ដែលខ្លួនដឹងក្នុងរយៈពេល ៥ ថ្ងៃធ្វើការ។

៥. ការគ្រប់គ្រងទិន្នន័យ

៥.១ អប្បបរមាចាំបាច់៖

• សហការអាជីវកម្មនឹងអនុវត្តនយោបាយដើម្បីកំណត់ការចូលដំណើរការ PHI ដល់បរិមាណតិចបំផុតដែលចាំបាច់ដើម្បីកិច្ចការ
• សហការអាជីវកម្មនឹងធ្វើការពិនិត្យការចូលដំណើរការរាល់ត្រីមាសដោយក្រុមសុវត្ថិភាពរបស់ខ្លួន

៥.២ សិទ្ធិបុគ្គល៖

• តាមការស្នើសុំ សហការأាជីវកម្មនឹងផ្តល់ឯកសារចម្លងរបស់ PHI ដែលរក្សាដោយសហការអាជីវកម្មក្នុងសំណុំកំណត់ត្រាកំណត់ដល់អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់ដើម្បីអនុញ្ញាតអង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់ឆ្លើយតបចំពោះការស្នើសុំការចូលដំណើរការរបស់បុគ្គលនៅក្រោម ៤៥ CFR §១៦ោ.៥២ោ
• តាមការស្នើសុំនិងការណែនាំពីអង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់ សហការអាជីវកម្មនឹងកែប្រែ PHI ក្នុងសំណុំកំណត់ត្រាកំណត់ដូចដែលបានណែនាំដោយអង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់ស្របតាម ៤៥ CFR §១៦ោ.៥២៦
• សហការអាជីវកម្មនឹងចុះឯកសារការបញ្ចេញ PHI ដូចដែលតម្រូវសម្រាប់អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់ដើម្បីឆ្លើយតបចំពោះការស្នើសុំកំណត់ត្រាការបញ្ចេញនៅក្រោម ៤៥ CFR §១៦ោ.៥២៨

៥.៣ ការបោះចោល៖

• សហការអាជីវកម្មនឹងអនុវត្តការលុបដែលមានសុវត្ថិភាពប្រើស្តង់ដារ NIST ៨០០-៨៨
• វិញ្ញាបនបត្របំផ្លាញ PHI នឹងត្រូវបានបង្ហាញតាមការស្នើសុំ

៦. រយៈពេលនិងការបញ្ចប់

៦.១ រយៈពេល៖
BAA នេះនឹងចូលជាធរមាននៅថ្ងៃចូលជាធរមាន ហើយនឹងបន្តមានប្រសិទ្ធភាពរហូតដល់កាតព្វកិច្ចទាំងអស់របស់គណបក្សទាំងសងត្រូវបានបំពេញនៅក្រោមកិច្ចព្រមព្រៀងនិងនៅក្រោម BAA នេះ។

៦.២ ការបញ្ចប់ដោយសារតែ៖

• អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់អាចបញ្ចប់ភ្លាមៗ BAA នេះនិងកិច្ចព្រមព្រៀងប្រសិនបើអង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់កំណត់ថាសហការអាជីវកម្មបានបំពានលក្ខខណ្ឌសំខាន់នៃ BAA នេះនិងសហការអាជីវកម្មបានបរាជ័យក្នុងការពង្រឹងការបំពានសំខាន់នោះក្នុងរយៈពេល ៣០ ថ្ងៃបន្ទាប់ពីការជូនដំណឹងជាលាយលក្ខណ៍អក្សរ
• សហការអាជីវកម្មអាចបញ្ចប់ BAA នេះនិងកិច្ចព្រមព្រៀងប្រសិនបើកំណត់ថាអង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់បានបំពានលក្ខខណ្ឌសំខាន់នៃ BAA នេះនិងបរាជ័យក្នុងការពង្រឹងក្នុងរយៈពេល ៣០ ថ្ងៃបន្ទាប់ពីការជូនដំណឹង

៦.៣ កាតព្វកិច្ចក្រោយការបញ្ចប់៖

• ក្រោយការបញ្ចប់កិច្ចព្រមព្រៀងឬ BAA នេះដោយហេតុផលណាមួយ PHI ទាំងអស់ដែលរក្សាដោយសហការអាជីវកម្មនឹងត្រូវបានត្រឡប់ទៅអង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់ឬបំផ្លាញ
• សហការអាជីវកម្មនឹងមិនរក្សាឯកសារចម្លងណាមួយនៃ PHI លុះត្រាតែការត្រឡប់ឬការបំផ្លាញមិនអាចធ្វើទៅបាន
• កាតព្វកិច្ចទាក់ទងនឹង PHI ដែលបានរក្សាដោយសារតែមិនអាចធ្វើទៅបាននឹងបន្តរស់រានមានជីវិតក្រោយការបញ្ចប់
• វិញ្ញាបនបត្របំផ្លាញពេញលេញនឹងត្រូវបានផ្តល់ក្នុងរយៈពេល ១៨០ ថ្ងៃនៃការបញ្ចប់នៅពេលដែលអាចធ្វើទៅបាន

៦.ោ ការរស់រានមានជីវិត៖
កាតព្វកិច្ចរបស់សហការអាជីវកម្មនៅក្រោមផ្នែកនេះនឹងរស់រានមានជីវិតក្រោយការបញ្ចប់ BAA នេះ។

៧. បទប្បញ្ញត្តិទូទៅ

៧.១ សិទ្ធិសាវនកម្ម៖

• អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់មានសិទ្ធិស្នើសុំសវនកម្ម HIPAA បុគ្គលទីបីប្រចាំឆ្នាំ
• សហការអាជីវកម្មនឹងធ្វើអោយមានការអនុវត្តខាងក្នុង សៀវភៅ កិច្ចព្រមព្រៀង កំណត់ត្រា និងគោលនយោបាយនិងនីតិវិធីទាក់ទងការប្រើប្រាស់និងការបញ្ចេញ PHI តាមការស្នើសុំដល់ HHS សម្រាប់គោលបំណងកំណត់ការអនុគមន៍
• សហការអាជីវកម្មនឹងសហការជាមួយតម្រូវការសវនកម្ម HHS

៧.២ ទំនាស់៖

• តម្រូវការ HIPAA នឹងមានបរាជ័យលើលក្ខខណ្ឌទំនាស់ក្នុង BAA នេះឬកិច្ចព្រមព្រៀង
• ក្នុងករណីទំនាស់ណាមួយរវាងលក្ខខណ្ឌនៃ BAA នេះនិងលក្ខខណ្ឌនៃកិច្ចព្រមព្រៀង លក្ខខណ្ឌនៃ BAA នេះនឹងគ្រប់គ្រង

៧.៣ ការកែប្រែ៖

• BAA នេះនឹងមិនត្រូវបានកែប្រែ ហើយក៏មិនមានបទប្បញ្ញត្តិណាមួយនឹងត្រូវបានលើកលែងឬកែប្រែ លុះត្រាតែជាលាយលក្ខណ៍អក្សរដែលបានចុះហត្ថលេខាដោយតំណាងដែលបានអនុញ្ញាតរបស់គណបក្សទាំងសង
• ការកែប្រែអាចត្រូវការសម្រាប់ការផ្លាស់ប្តូរក្នុងច្បាប់ HIPAA ឬបទប្បញ្ញត្តិ

៧.ោ ការអនុវត្តច្បាប់ HITECH៖
គណបក្សទាំងសងទទួលស្គាល់ថាច្បាប់ HITECH រួមបញ្ចូលការផ្លាស់ប្តូរសំខាន់ៗចំពោះតម្រូវការ HIPAA។ គណបក្សនីមួយៗព្រមព្រៀងអនុវត្តតាមបទប្បញ្ញត្តិពាក់ព័ន្ធនៃច្បាប់ HITECH និងបទប្បញ្ញត្តិ HHS ណាមួយដែលបានចេញទាក់ទងនឹងច្បាប់ HITECH។

៧.៥ កម្មសិទ្ធិទិន្នន័យ៖
ការគ្រប់គ្រងទិន្នន័យរបស់សហការអាជីវកម្មមិនផ្តល់សិទ្ធិកម្មសិទ្ធិទិន្នន័យលើសហការអាជីវកម្មទាក់ទងនឹងទិន្នន័យណាមួយដែលបានចែករំលែកជាមួយវានៅក្រោមកិច្ចព្រមព្រៀង រួមទាំងទម្រង់ទាំងអស់នៃ PHI។

៧.៦ គ្មានអ្នកទទួលផលប្រយោជន៍បុគ្គលទីបី៖
លុះត្រាតែបានបញ្ជាក់យ៉ាងច្បាស់នៅក្នុង BAA នេះឬដូចដែលបានផ្នល់រដោយច្បាប់ BAA នេះនឹងមិនបង្កើតសិទ្ធិណាមួយដើម្បីជំនួយបុគ្គលទីបីណាមួយ។

៧.៧ ការជូនដំណឹង៖
ការជូនដំណឹង ការស្នើសុំ និងការទាមទារ ឬការទំនាក់ទំនងផ្សេងទៀតដែលត្រូវផ្តល់នៅក្រោម BAA នេះដល់គណបក្សនឹងត្រូវធ្វើតាមរយៈសំបុត្រថ្នាក់មួយ ចុះបញ្ជីឬបញ្ជាក់ ឬអ្នកនាំផ្ទាល់ ឬអ៊ីម៉ែលអេឡិចត្រូនិចទៅអាសយដ្ឋានរបស់គណបក្សដែលបានផ្តល់ក្នុងអំឡុងពេលចុះបញ្ជីគណនីឬដែលបានធ្វើបច្ចុប្បន្នភាពជាលាយលក្ខណ៍អក្សរ។

ក្នុងការធ្វើបន្ទាល់ក្នុងខាងមកអង្គភាពទាំងសងទទួលស្គាល់កិច្ចព្រមព្រៀងរបស់ពួកគេចំពោះលក្ខខណ្ឌខាងលើតាមរយៈការទទួលយកលក្ខខណ្ឌទាំងនេះរបស់អង្គភាពអ្នកស្រកបយកចិត្តទុកដាក់ក្នុងអំឡុងពេលបង្កើតគណនីឬតាមរយៈការប្រើប្រាស់បន្តសេវាកម្ម Blue បន្ទាប់ពីការជូនដំណឹងលក្ខខណ្ឌទាំងនេះ។