Acuerdo de socio comercial HIPAA

** Última actualización: 2 de julio de 2026*

El Contrato de socio comercial HIPAA (“HIPAA BAA”) se celebra entre usted (“usted” o “su”) y Block, Inc. y sus afiliados (“Square”, “nosotros”, “nuestro” o “nos”) y se incorpora a las condiciones que rigen el uso que usted hace de los servicios de Square (el “Contrato”). Junto con el Contrato, el presente HIPAA BAA rige el uso y la protección de la Información médica protegida (PHI) creada, recibida, mantenida o transmitida por Square en su calidad de socio comercial en virtud de la Ley de Transferibilidad y Responsabilidad de los Seguros de Salud de 1996 (HIPAA).

1. Definiciones

• Los términos en mayúscula no definidos en este HIPAA BAA tienen el significado establecido en la Ley de Responsabilidad y Portabilidad del Seguro de Salud (HIPAA).

• “Información de salud protegida” o “PHI” se refiere a la “información médica protegida” según se define en el Título 45, Sección 160.103 del Código de Regulaciones Federales (C.F.R.), limitada a la información que Square crea, recibe, conserva o transmite en su nombre en relación con los Servicios. La PHI no incluye ninguna información exenta de la HIPAA en virtud de la Sección 1179 de la Ley del Seguro Social, Título 42, Sección 1320d-8 del Código de los Estados Unidos (U.S.C.) o que no esté regulada de otro modo por la HIPAA.

• “Individuo” tendrá el mismo significado que el término “individuo” en la HIPAA, Título 45, Sección 160.103 del C.F.R., e incluirá a toda persona que reúna los requisitos para ser representante personal de conformidad con la “Regla de privacidad” de la HIPAA, tal como se describe en el Título 45, Sección 164.502(g) del C.F.R.

• “Servicios” se refiere únicamente a los productos, las funciones o las configuraciones de Square que usted utiliza en relación con la prestación de sus servicios de atención médica.

• “Servicios para compradores de Square” se refiere a los Servicios de Square que Square ofrece directamente a las personas, incluidos, entre otros, Square Go, Square Profile, Square Pay y Ofertas Square Local.

2. Ámbito

(a) El presente HIPAA BAA se aplica únicamente a los servicios y configuraciones en los que Square actúa como su socio comercial, lo que incluye cuando utiliza Citas Square, Facturas Square u otras funciones que Square haya identificado explícitamente como compatibles con la HIPAA. El cumplimiento de la HIPAA por parte de un servicio depende de cómo se configure y utilice. Square puede, pero no está obligado, a identificar determinados productos o configuraciones como compatibles con la HIPAA. No todos los servicios son compatibles con la HIPAA, y usted es responsable de evaluar si un servicio o configuración en particular es apropiado para su uso con la PHI.

(b) Usted reconoce y acepta que los Servicios al comprador de Square están diseñados para los consumidores y que Square no los opera en nombre de Vendedores que sean Entidades Cubiertas. En consecuencia, cualquier dato que Square recopile o procese de las personas a través de los Servicios al comprador de Square, ya sea en relación con las reservas de citas, la información de pago, el historial de transacciones o las preferencias de los usuarios, es procesado por Square en calidad de responsable del tratamiento independiente, y no como socio comercial. Dichos datos se rigen por el Aviso de privacidad de Square para las Funciones del comprador y Square Pay y quedan fuera del alcance del presente HIPAA BAA. El uso de los Servicios al comprador de Square por parte de sus clientes no establece una relación de socio comercial entre usted y Square, y cualquier información compartida a través de dichos servicios no está sujeta al presente HIPAA BAA.

Salvo que el presente HIPAA BAA establezca limitaciones en otro sentido, podemos:

• Usar o divulgar la PHI que tengamos en nuestro poder para prestar los Servicios, siempre y cuando dicho uso o divulgación no infrinja la HIPAA si lo hiciera usted;

• Utilizar la PHI para nuestra correcta gestión y administración, así como para cumplir con cualquiera de nuestras responsabilidades legales;

• Utilizar la PHI para crear Información de salud anonimizada de conformidad con la “Regla de privacidad” de la HIPAA, tal como se describe en el Título 45, Sección 164.514(b) del C.F.R.

• Utilizar la PHI para servicios de agregación de datos relacionados con sus operaciones de atención médica; y

• Divulgar la PHI que tengamos en nuestro poder a un tercero para nuestra correcta gestión y administración, o para cumplir con cualquiera de nuestras responsabilidades legales, siempre y cuando: (i) la divulgación sea exigida por la ley; o (ii) hayamos recibido garantías razonables por escrito de la persona a la que se divulgará la PHI de que: (a) la información se mantendrá confidencial y se utilizará o divulgará nuevamente solo según lo exija la ley o para el fin para el que se divulgó; y (b) se nos notificará de cualquier caso en el que dicha persona tenga conocimiento de que se ha vulnerado la confidencialidad de la información.

3. Responsabilidades de Square

a. Cumplimiento y medidas de seguridad

Nos comprometemos a: (i) no usar ni divulgar la PHI más allá de lo permitido o exigido por el HIPAA BAA o por la ley; (ii) implementar medidas de seguridad administrativas, físicas y técnicas de conformidad con la Normativa de seguridad de la HIPAA; (iii) cumplir con los requisitos aplicables de la Normativa de seguridad con respecto a la PHI electrónica; (iv) informarle a usted sobre cualquier Violación de la PHI no protegida o Incidente de seguridad relacionado con la PHI de conformidad con el Título 45, Sección 164.410 del C.F.R.; y (v) exigir a los subcontratistas que creen, reciban, mantengan o transmitan PHI en nombre de Square que acepten las mismas restricciones y condiciones que se aplican a Square con respecto a dicha PHI. En la medida en que Square deba cumplir obligaciones en su nombre en virtud de la HIPAA, Square cumplirá con los requisitos de la HIPAA que se le apliquen a usted en el desempeño de dichas obligaciones.

b. Acceso a los registros

Nos comprometemos a poner a disposición del Secretario del Departamento de Salud y Servicios Sociales (el “Secretario”) nuestras prácticas internas, nuestros libros y nuestros registros relacionados con el uso y la divulgación de la PHI regidos por el presente HIPAA BAA, con el fin de determinar su cumplimiento de la HIPAA. Esta obligación no se aplica a los datos recopilados o procesados a través de los Servicios para Compradores que usan Square ni a ningún otro servicio que no esté sujeto al presente HIPAA BAA. Nada de lo dispuesto en esta Sección se interpretará como una renuncia a cualquier privilegio legal o a cualquier protección de los secretos comerciales o de la información comercial confidencial.

c. Derechos de privacidad individual

Por solicitud previa de su parte, pondremos a su disposición la PHI incluida en un Conjunto de registros designado, regido por el presente HIPAA BAA, en la medida en que sea necesario para que pueda cumplir con sus obligaciones de facilitar a las personas el acceso, la modificación y el registro de las divulgaciones de su información médica, tal y como exige la norma 45 C.F.R. § 164.524. Por solicitud previa de su parte, pondremos a su disposición la PHI incluida en un Conjunto de registros designado e incorporaremos cualquier modificación a dicha información que usted indique, según sea necesario, a fin de que pueda cumplir con sus obligaciones de modificación, tal y como lo exige la norma 45 C.F.R. § 164.526. Conservaremos y, mediante solicitud previa de su parte, le proporcionaremos la información necesaria para que pueda facilitar a una persona un registro de las Divulgaciones, tal como lo exige la norma 45 C.F.R. § 164.528. Lo anterior no se aplica a los datos de los Compradores que usan Square ni a la información recopilada a través de los Servicios para Compradores que usan Square.

4. Sus responsabilidades

a. Medidas de seguridad y cifrado

Deberá aplicar las medidas de seguridad adecuadas para evitar el uso o la divulgación no autorizados de la PHI, de conformidad con el presente HIPAA BAA y según lo exija la Regla de seguridad. En la medida en que decida utilizar los Servicios para transmitir PHI sin cifrado, usted es responsable de documentar, de conformidad con la Regla de seguridad, que el cifrado no resulta razonable ni adecuado para dichas comunicaciones, así como de aplicar cualquier medida alternativa equivalente, siempre que sea razonable y adecuada.

b. Uso de los Servicios con la PHI

Usted es el único responsable de determinar si utiliza los Servicios de Square en relación con la PHI y de qué manera lo hace, incluidas las funciones que recopilan Datos de Compradores que usan Square y cualquier servicio que permita la comunicación con sus clientes.

c. Cambios en los permisos individuales

Deberá comunicarnos cualquier modificación o revocación del consentimiento otorgado por una Persona para el Uso o la divulgación de PHI, en caso de que dichas modificaciones afecten a los Usos o divulgaciones de la PHI que nos estén permitidos o que estemos obligados a realizar en virtud del presente HIPAA BAA. No aceptará ninguna solicitud de restricción que limite los usos o divulgaciones de la PHI permitidos u obligatorios en virtud de este HIPAA BAA, salvo que así lo exija la ley, y nos notificará sin demora si se impone dicha restricción. No nos solicitará ni nos obligará a usar o divulgar PHI de ninguna forma que no estuviera permitida en virtud de la HIPAA si fuera usted quien lo hiciera.

d. Aviso sobre prácticas de privacidad

Usted no incluirá en su aviso de prácticas de privacidad en virtud de la HIPAA ninguna limitación que restrinja nuestros usos o divulgaciones de PHI permitidos u obligatorios en virtud de este HIPAA BAA, salvo que dicha limitación sea exigida por ley; además, nos lo notificará sin demora en caso de que se imponga dicha limitación.

5. Facultad para rescindir el acuerdo por incumplimiento

Si usted determina que hemos incumplido una condición esencial del presente HIPAA BAA, podrá rescindir tanto el presente HIPAA BAA como el Acuerdo, conforme a las disposiciones establecidas en el Acuerdo.

6. Efecto de la rescisión

Salvo lo dispuesto en esta Sección 6, en caso de rescisión del presente HIPAA BAA por cualquier motivo, devolveremos o destruiremos toda la PHI en la medida de lo posible. No conservaremos copias de la PHI. Si determinamos que la devolución o la destrucción de la PHI no es viable, ampliaremos las protecciones del presente HIPAA BAA a dicha PHI y limitaremos los Usos y divulgaciones posteriores de la misma a aquellos fines que impidan su devolución o destrucción, mientras conservemos dicha PHI.

7. Interpretación

Es intención de las partes que cualquier ambigüedad en el presente HIPAA BAA se interprete de forma coherente con la intención de cumplir con las leyes aplicables.

8. Sin terceros beneficiarios

Ninguna cláusula del presente HIPAA BAA otorgará a ninguna persona que no sean las partes y sus respectivos sucesores o cesionarios, derecho, recurso, obligación o responsabilidad de ningún tipo.

9. Sin relación de representación

Ninguna cláusula del presente HIPAA BAA tiene por objeto crear una relación de agencia o representación entre las partes.

10. Acuerdo completo

El presente HIPAA BAA reemplaza cualquier acuerdo preexistente entre las partes en relación con la HIPPA que abarque los Servicios. En caso de conflicto o incoherencia entre las condiciones del presente HIPAA BAA y el resto del Acuerdo, prevalecerán las condiciones del presente HIPAA BAA. Salvo que se modifiquen o enmienden expresamente en virtud del presente HIPAA BAA, las condiciones del Acuerdo permanecerán en pleno vigor y efecto.