分包商的义务. 分包商同意：
4.1. 不使用或进一步披露PHI，除非根据供应商协议履行对戴尔的义务要求必须开展此行为、本HIPAA协议明确许可或要求，或法律要求必须开展此行为。对PHI的使用、披露或请求行为应利用有限的数据集（如果可能）或能够实现使用、披露或请求预期目的的最低要求PHI；
4.2. 使用合理和适当的保护措施，除了本HIPAA协议许可的方式之外，防止以任何其他方式使用或披露PHI，还应遵守HIPAA规则中的适用原则和义务；
4.3. 对于以本HIPAA协议未规定的方式使用或披露PHI的任何行为，在发现该使用或披露行为后24小时内，以书面形式向戴尔报告。此外，分包商应在发现任何获取、访问、使用或披露未受保护健康信息后24小时之内，向戴尔书面报告，除非此事件不包括在45 C.F.R. § 164.402(1)中“违约”的定义范围以内。所有此类报告均应包括已经（或业务伙伴有理由认为已经）遭到访问、获取或披露的未受保护健康信息所有者的身份证明（如果已知）、45 C.F.R. § 164.410(c)中规定的所有其他信息，以及戴尔或适当客户合理要求的其他信息。收到此类报告后，戴尔将执行或指示分包商执行风险评估，并根据45 C.F.R. § 164.402(2)定义中规定的要素，确定获取、访问、使用或披露行为是否有损相关未受保护健康信息的安全或隐私。根据此风险评估，如果分包商认为任何获取、访问、使用或披露行为对未受保护健康信息造成损害的概率较低，则应向戴尔提供支持此结论的所有信息；
4.4. 根据164.502(e)(1)(ii)和164.504(e)(2)(ii)(D)，确保任何创建、接收、维护或传输PHI的代理或分包商提供合理保证 （以书面合同为证），保证该代理或分包商将就此信息基本遵守适用于分包商的相同的限制和条件；
4.5. 如果分包商维护指定记录集（如果有），则将其在指定记录集中维护的PHI提供给戴尔，以便戴尔的客户履行其义务，授予个人根据45 C.F.R. § 164.524的规定检查和获得PHI副本的访问权限。如果戴尔或适当客户有特别要求，分包商将：
(a) 电子副本。以电子方式将PHI的副本直接传输给个人指定的人员。
(b) 纸质副本。以纸质形式呈现PHI副本，并将此副本直接提供给个人指定的人员。
4.6. 如果分包商维护指定记录集（如果有），则将其在指定记录集中维护的PHI提供给戴尔，以便戴尔的客户履行其义务，根据45 CFR 164.526的规定更改PHI；
4.7. 向戴尔提供有关分包商披露PHI的信息，根据45 C.F.R.第164.528节提供会计服务，以便戴尔的客户可满足相关要求，根据45 CFR 164.528的规定向个人就披露提供会计服务；
4.8. 向部长提供与其履行本HIPAA协议规定的义务以及分包商使用和披露PHI相关的内部惯例、书籍和记录，以确定戴尔或戴尔的客户遵守HIPAA规则，并根据请求向戴尔或戴尔的客户提供所有相关材料；
4.9. 根据45 C.F.R. § 164.502(a)(4)(i)，在部长要求时披露PHI，如HIPAA第160部分子部分C所述；
4.10. 如果可行，在本HIPAA协议因任何原因终止时返回分包商仍以任何形式维护的所有PHI，或应戴尔的决定进行销毁，并且不保留相关信息的副本，如果无法返回或销毁，分包商应
(i) 向戴尔提供无法返回或销毁的通知，
(ii) 将本 HIPAA协议的保护范围延伸至PHI，以及
(iii) 针对导致PHI无法返回或销毁的目的限制继续使用和进一步披露。如果戴尔决定销毁此类PHI，向戴尔书面证明已进行销毁；
4.11. 关于电子PHI，则：
(a) 实施管理性、物理性和技术性保护措施，根据安全规则的要求，合理适当地保护电子PHI的机密性、完整性和可用性，包括45 C.F.R. §§ 164.308、164.310、164.312、164.314和45 C.F.R. § 164.316中所述的针对电子PHI适用的管理性、物理性和技术性保护措施，以防止违反本HIPAA协议使用或披露电子PHI的行为；但是，分包商应根据 DPA第3(f)部分的规定对传输中和静止的电子PHI进行加密，除非
(A) 根据由分包商执行和记录的风险评估，按照适用的HIPAA条款，分包商(1)认为该加密不合理、不适当，(B)向戴尔提供了相关材料的副本；以及(C)戴尔向分包商提供了任何无需进行该加密的书面许可。
(b) 根据45 C.F.R. §§ 164.504(e)(2)(ii)(D)、164.308(b)(2)和(3)以及164.314(a)(2)(iii)的规定，确保创建、接收、维护或传输电子PHI的所有代理（包括分包商）同意，并以书面合同为证，实施合理适当的保护措施，按照第3(j)部分条款(i)的规定保护电子PHI；并
(c) 在发现任何影响电子PHI的安全事故时向戴尔报告；
4.12. 不销售PHI；
4.13. 尽可能减轻分包商已知的因违反本HIPAA协议使用或披露PHI所造成的所有不利影响；
4.14. 不执行数据聚合活动，或对PHI进行去标识化，除非戴尔以书面形式进行明确要求；
4.15. 针对为补救和/或缓解未受保护健康信息违规或分包商无法履行本HIPAA协议、DPA、NDA或供应商协议规定的义务或分包商违反本HIPAA协议使用或披露PHI导致的安全事故造成的损失而产生的成本（包括提供通知和信用监控服务），以及戴尔跟进个人或与上文相关的监管机构的投诉所付出的成本向戴尔提供补偿；以及
4.16. 遵守与使用或披露PHI相关的任何同意、授权或许可的所有
(i) 修改、限制条件、缺陷或撤销或其他失效；以及
(ii) 戴尔或适用客户制定的协议或适用客户隐私惯例中的限制，此类惯例(A)限制PHI的使用或披露，如45 C.F.R. § 164.522(a)或45 C.F.R. § 164.520所述，或
分包商的义务. 7.1 对于分包商的使用，应适用主合同。使用分包商不影响承包商对委托人就提供订购的交付或服务的责任，特别是授予工作成果的使用权。
7.2 承包商必须认真选择并监督分包商满足本文所述要求，并将其纳入其 FOSS 的信息和工作流程中。这必须通过提交适当的文件来证明，例如合同摘录。委托人可以直接与分包商澄清有关FOSS 的问题。承包商将被告知该等情况，承包商不应被免除其在主合同和本条款和条件下的义务。
7.3 如果委托人对分包商的可靠性和是否愿意对使用 FOSS 的委托人的要求进行配合有合理怀疑，应委托人要求，承包商不得再就 FOSS 使用分包商。由此产生的任何费用应由承包商承担。