下請け業者の義務. 下請け業者は以下に合意します。
4.1. プロバイダ契約に基づきデルに対してその義務を遂行するように求められており、本HIPAA契約で明示的に許可さ れているまたは求められている、あるいは法律によって求められている場合を除き、PHIを使用しない、またはそれ 以上は開示しないこと。PHIのかかる使用、開示、または要求は、実行可能である場合は限定されたデータセットを、それ以外の場合はその使用、開示、または要求の本来の目的を達成するために必要最小限のPHIを利用するものとし ます。
4.2. 合理的かつ適切な保障措置を使用して本HIPAA契約で許可されており、HIPAA規則に示されている適用可能な原則および義務に一致している場合を除き、いかなる方法によってもPHIを使用または開示しないこと。
4.3. 本HIPAA契約に規定されていないPHIの使用または開示は、かかる使用または開示が認識されてから24時間以内に書 面にてデルに報告すること。さらに、下請け業者は、セキュリティで保護されていない保護すべき健康情報の取得、 アクセス、使用、または開示が45 C.F.R.§164.402（1）の違反の定義から除外されていない限り、かかる事象を発 見後24時間以内に書面にてデルに報告します。そのようなすべての報告には、セキュリティで保護されていない保 護すべき健康情報がアクセス、取得、または開示された、あるいは事業提携者によってそのように合理的に確信され ている各個人の身元（わかっている場合）、および45 C.F.R.§164.410（c）で求められているその他すべての情報、ならびにデルまたは該当する顧客が合理的に求めるその他のいかなる情報も含めるものとします。かかる報告を受領 した時点で、デルはリスク評価を実施するか、またはデルの指示の下に下請け業者に実施させ、かかる取得、アクセ ス、使用、または開示がかかるセキュリティで保護されていない保護すべき健康情報のセキュリティまたはプライバ シーが侵害されているかどうかを45 C.F.R.§164.402（2）の違反の定義に定められている要素に基づいて判断しま す。下請け業者が、かかるリスク評価に基づいて、かかる取得、アクセス、使用、または開示によってセキュリティ で保護されていない保護すべき健康情報が侵害された可能性が低いと確信している場合、下請け業者はかかる結論を 裏付けるすべての情報をデルに提供するものとします。
4.4. 164.502（e）（1）（ii）および164.504（e）（2）（ii）（D）に準拠して、PHIを作成、受領、保守、または送信する代理人または下請け業者は、かかる代理人または下請け業者がかかる情報に関して下請け業者に適用されるものと実質的に同じ制限と条件を順守することを書面による契約で証明した合理的な言質を提供することに合意することを保証すること。
4.5. 下請け業者が指定されたレコードセットを維持している範囲において（ある場合）、指定されたレコードセットにおいて下請け業者によって保守されているPHIを、45 C.F.R.§164.524に記載されたPHIのコピーを検査および取得するためにアクセスする権利を個人に与えるための義務を順守するためのデルの顧客の必要に応じてデルに利用できるようにすること。デルまたは該当する顧客によって明確に求められた場合、下請け業者は以下を行います。
