Business Associate Agreement

Effective 23 September 2026 · English controls. Portuguese is a convenience translation.

This Business Associate Agreement (“BAA”) is between the US-licensed health professional who accepts it at sign-up (the “Covered Entity”) and the operator of the Ausculta service at ausculta.online (the “Business Associate”). It supplements the Terms of Use and the Privacy Policy. Acceptance in the app is an electronic signature under 45 C.F.R. § 164.504(e).

1. Purpose

Covered Entity uses Ausculta to record visits, transcribe, draft notes, and suggest classification codes. In that work, Protected Health Information (“PHI”), as defined in 45 C.F.R. § 160.103, may pass through Business Associate’s systems. This BAA sets the terms required by HIPAA for that relationship.

2. Permitted uses and disclosures

Business Associate may use and disclose PHI only:

to provide the Service the Covered Entity requests (transcription, note generation, code suggestions, scheduling and Meet rooms the Covered Entity asks for, account and quota operation);
as required by law; or
for Business Associate’s proper management and administration, or to carry out legal responsibilities, if any further disclosure is required by law or the recipient agrees to keep the information confidential and report any breach of that agreement.

Business Associate will not use PHI to advertise, will not sell PHI, and will not train its own models on visit recordings. It will not use or disclose PHI in a way that would violate HIPAA if done by Covered Entity, except as this BAA expressly allows.

3. Safeguards

Business Associate will use appropriate administrative, physical, and technical safeguards to prevent use or disclosure of PHI other than as provided in this BAA, including the Security Rule (45 C.F.R. Part 164, Subpart C) for electronic PHI.

In the current Service that includes, without limiting the duty above:

TLS for traffic in transit;
encryption at rest of notes, transcripts, and other sensitive visit fields;
API keys for AI providers kept on the server, not in the mobile app;
audio sent in short chunks for transcription — the Service does not offer the visit as a permanent downloadable sound file;
account name, email, phone, and patient registration identifiers are not attached to the AI request. Spoken content in the visit may still be PHI.

4. Subcontractors

Business Associate may use subprocessors needed to run the Service (today: DigitalOcean for hosting and database; Groq for audio-to-text; OpenAI for notes and code suggestions; Google for optional sign-in and Calendar/Meet; Apple and Google for in-app purchases). Business Associate will ensure that any subcontractor that creates, receives, maintains, or transmits PHI on its behalf agrees to restrictions and conditions at least as protective as this BAA, as required by 45 C.F.R. § 164.502(e)(1)(ii) and § 164.308(b).

5. Individual rights

If Covered Entity asks in writing, Business Associate will, to the extent PHI in its Designated Record Set makes it feasible:

make PHI available so Covered Entity can meet an access request under 45 C.F.R. § 164.524;
amend PHI, or append a statement, so Covered Entity can meet 45 C.F.R. § 164.526;
make available the information Covered Entity needs for an accounting of disclosures under 45 C.F.R. § 164.528.

If an Individual asks Business Associate directly, Business Associate will forward the request to Covered Entity unless the law requires a direct response.

6. Breach and security incident

Business Associate will report to Covered Entity any use or disclosure of PHI not permitted by this BAA, any Security Incident, and any Breach of Unsecured PHI, without unreasonable delay and no later than sixty (60) calendar days after discovery, as 45 C.F.R. § 164.410 requires. The notice will include, to the extent known, what happened, the kinds of PHI involved, what Business Associate has done or proposes to do, and contact details. Covered Entity remains responsible for notices to Individuals, HHS, and the media when the Breach Notification Rule assigns that duty to the Covered Entity.

7. HHS access

Business Associate will make its internal practices, books, and records relating to the use and disclosure of PHI available to the Secretary of Health and Human Services for determining Covered Entity’s compliance with HIPAA, as 45 C.F.R. § 164.504(e)(2)(ii)(I) requires.

8. Minimum necessary

Business Associate will make reasonable efforts to use, disclose, and request only the minimum PHI necessary for the purpose, consistent with 45 C.F.R. § 164.502(b).

9. Covered Entity duties

Covered Entity is responsible for obtaining any consent required to record a visit, for deciding what PHI is entered into the Service, for reviewing AI output before relying on it, and for using Ausculta only for professional care. Covered Entity will not ask Business Associate to use or disclose PHI in a way that would violate HIPAA. Notices under this BAA go to the email on the Ausculta account and to contact form.

10. Term and termination

This BAA starts when Covered Entity accepts it in the app and lasts until the account ends or either party terminates it. Covered Entity may request termination at any time by writing to contact form and stopping use of the Service for patient sessions. Either party may terminate if the other materially breaches this BAA and does not cure within thirty (30) days of written notice, where a cure is possible.

On termination, Business Associate will, if feasible, return or destroy PHI received from or created for Covered Entity that it still maintains. If return or destruction is not feasible (including legal record-retention duties or backup copies), Business Associate will extend the protections of this BAA to that PHI and limit further uses and disclosures to those that make the retention necessary. The Service archives patients and encounters rather than permanently wiping them in the app, because clinical records often have long retention duties; Covered Entity should not treat in-app archive as HIPAA destruction.

11. No agency; survival

The parties are independent contractors. This BAA does not create a partnership or make Business Associate a medical provider. Sections 3, 6, 7, and 10 survive termination as to PHI that remains. If a court strikes a clause, the rest stays in force. This BAA is the entire HIPAA associate agreement between the parties and may be updated by posting a new version at ausculta.online/baa and, when the change is material, asking for a new acceptance in the app.

12. Contact

Ausculta · contact form · ausculta.online

Este Business Associate Agreement (“BAA”) vale entre o profissional de saúde licenciado nos Estados Unidos que o aceita no cadastro (a “Covered Entity”) e o operador do Ausculta em ausculta.online (o “Business Associate”). Complementa os Termos de uso e a Política de Privacidade. O aceite no app vale como assinatura eletrônica (45 C.F.R. § 164.504(e)). Em caso de conflito, o texto em inglês prevalece.

1. Finalidade

A Covered Entity usa o Ausculta para gravar consultas, transcrever, redigir notas e sugerir códigos. Nisso, Protected Health Information (“PHI”), no sentido de 45 C.F.R. § 160.103, pode passar pelos sistemas do Business Associate. Este BAA fixa o que a HIPAA exige nessa relação.

2. Usos e divulgações permitidos

O Business Associate só pode usar e divulgar PHI:

para prestar o Serviço que a Covered Entity pede (transcrição, nota, sugestão de códigos, agenda e salas do Meet que ela solicitar, operação da conta e da cota);
quando a lei exigir; ou
para gestão e administração próprias, ou deveres legais, se a divulgação ulterior for exigida por lei ou o destinatário se comprometer a manter a confidencialidade e a comunicar qualquer quebra desse compromisso.

O Business Associate não usa PHI para anunciar, não vende PHI e não treina modelos próprios com as gravações. Não usa nem divulga PHI de um modo que violaria a HIPAA se a Covered Entity o fizesse, salvo o que este BAA autoriza de forma expressa.

3. Salvaguardas

O Business Associate adotará salvaguardas administrativas, físicas e técnicas adequadas para impedir uso ou divulgação de PHI fora deste BAA, inclusive as da Security Rule (45 C.F.R. Part 164, Subpart C) para PHI eletrônico.

No Serviço atual isso inclui, sem limitar o dever acima:

TLS no trânsito;
criptografia em repouso de notas, transcrições e outros campos sensíveis da consulta;
chaves de API de IA só no servidor, não no celular;
áudio enviado em pedaços curtos para transcrever — o Serviço não oferece a consulta como arquivo de som permanente para download;
nome da conta, e-mail, telefone e identificadores cadastrais do paciente não vão junto no pedido à IA. O que foi dito na consulta ainda pode ser PHI.

4. Subcontratados

O Business Associate pode usar subprocessadores necessários para o Serviço (hoje: DigitalOcean para hospedagem e banco; Groq para áudio em texto; OpenAI para nota e códigos; Google para login e Calendar/Meet opcionais; Apple e Google para compra no app). Qualquer subcontratado que crie, receba, mantenha ou transmita PHI em seu nome terá restrições pelo menos tão protetivas quanto este BAA (45 C.F.R. § 164.502(e)(1)(ii) e § 164.308(b)).

5. Direitos do indivíduo

Se a Covered Entity pedir por escrito, o Business Associate, na medida em que o PHI no Designated Record Set permitir:

disponibilizará o PHI para a Covered Entity cumprir um pedido de acesso (45 C.F.R. § 164.524);
emendará o PHI, ou anexará uma declaração, para a Covered Entity cumprir o § 164.526;
fornecerá o que a Covered Entity precisar para uma accounting of disclosures (§ 164.528).

Se o indivíduo pedir direto ao Business Associate, o pedido será encaminhado à Covered Entity, salvo se a lei exigir resposta direta.

6. Incidente e violação

O Business Associate comunicará à Covered Entity qualquer uso ou divulgação de PHI não permitidos por este BAA, qualquer Security Incident e qualquer Breach of Unsecured PHI, sem atraso injustificado e no máximo em sessenta (60) dias corridos após a descoberta (45 C.F.R. § 164.410). O aviso dirá, no que for conhecido, o que ocorreu, os tipos de PHI envolvidos, o que foi ou será feito e o contato. A Covered Entity continua responsável pelos avisos a indivíduos, HHS e imprensa quando a Breach Notification Rule atribuir esse dever a ela.

7. Acesso do HHS

O Business Associate colocará à disposição do Secretário de Health and Human Services suas práticas, livros e registros relativos ao uso e à divulgação de PHI, para apurar o cumprimento da HIPAA pela Covered Entity (45 C.F.R. § 164.504(e)(2)(ii)(I)).

8. Mínimo necessário

O Business Associate fará esforços razoáveis para usar, divulgar e pedir só o PHI mínimo necessário à finalidade (45 C.F.R. § 164.502(b)).

9. Deveres da Covered Entity

Cabe à Covered Entity obter o consentimento para gravar, decidir qual PHI entra no Serviço, revisar o resultado da IA e usar o Ausculta só para o atendimento profissional. Ela não pedirá ao Business Associate uso ou divulgação que viole a HIPAA. Avisos deste BAA vão ao e-mail da conta e ao formulário de contato.

10. Prazo e rescisão

Este BAA começa no aceite no app e dura até o fim da conta ou a rescisão por qualquer das partes. A Covered Entity pode pedir o término a qualquer momento pelo formulário de contato e deixar de usar o Serviço em sessões com pacientes. Qualquer parte pode rescindir se a outra descumprir de forma relevante e não sanar em trinta (30) dias após aviso escrito, quando a sanção for possível.

Na rescisão, o Business Associate devolverá ou destruirá, se for viável, o PHI recebido ou criado para a Covered Entity que ainda mantiver. Se não for viável (inclusive retenção legal ou cópias de backup), estenderá as proteções deste BAA a esse PHI e limitará usos ulteriores ao que justifica a guarda. O Serviço arquiva pacientes e atendimentos; o arquivo no app não equivale a destruição HIPAA.

11. Sem agência; sobrevida

As partes são contratantes independentes. Este BAA não cria sociedade nem torna o Business Associate um prestador de cuidado. As seções 3, 6, 7 e 10 sobrevivem quanto ao PHI que permanecer. Se um tribunal anular uma cláusula, o restante segue. Este é o acordo HIPAA de associado entre as partes e pode ser atualizado com nova versão em ausculta.online/baa e, se a mudança for relevante, novo aceite no app.

12. Contato

Ausculta · formulário de contato · ausculta.online