Purpose and Scope

The Data Retention and Disposal Policy - HIPAA Addendum identifies the requirements for data retention and sanitization pertaining to protected health information (PHI) and the implications for systems, infrastructure, and security mechanisms supporting and protecting PHI.

This addendum applies to all Seatrobot assets, which store, process, or transmit PHI, utilized by personnel acting on behalf of Seatrobot or accessing its applications, infrastructure, systems, or PHI data. All personnel are required to read, accept, and follow all Seatrobot policies and plans.

HIPAA Data Retention Requirements

All Seatrobot documents required by HIPAA to be retained including security policies, plans, and audit-related evidence must be retained for a minimum of six years from the longer of when the document was created, or from when it was last in effect. The full list of required documents to be maintained is as follows:

• The Company’s HIPAA Security Policies and Procedures Manual;
• The Company’s HIPAA Privacy Security Policies and Procedures Manual;
• Records of HIPAA training;
• Sanctions applied to workforce members who violate the Seatrobot’s HIPAA policies and procedures;
• Business Associate Agreements and lists of Covered Entities and Subcontractors; 
• Complaints and resolutions;
• Records regarding workforce member access to PHI;
• Records and incident/breach documentation regarding breaches of unsecured PHI;
• Security risk analyses;
• Regulatory compliance correspondence and assessment reports;
• Physical security maintenance records;
• Information systems activity reviews, decisions made, and investigations conducted;
• Contingency plans in effect during the retention period;
• Contingency plan tests; and
• Records of the movements of hardware and electronic media used to store ePHI, including the receipt of any new hardware or electronic media storing ePHI. This record should contain, at a minimum, the name of the person responsible for the item, the location of the item, and any movement of the item

The following Seatrobot technical data and audit-related evidence should be retained for a minimum of six years as strongly encouraged by HIPAA, permitting exceptions due to costs and logistical challenges:

• Security Incidents
• Backups records of ePHI

HIPAA Data Sanitization Requirements

will ensure the following data sanitation practices are adhered to:

• will ensure proper sanitation of all Electronic Media containing PHI before it is transferred from the custody of its current custodian. The proper sanitization method depends on the type of media and the intended disposition of the media
• will not use ‘clearing data’ as a method for sanitizing media containing PHI. Clearing data (such as formatting or deleting information) removes information from storage media so that the information is unreadable. However, special utility software or techniques can be used to recover the cleared data
• will use the following method for sanitizing Electronic Media containing PHI: Overwriting disk drives, Low-Level formatting and “Zeroing out the drive.” CDs are shredded and destroyed
• will require vendors repairing or recovering data from any hard drive containing PHI to sign Business Associate Agreements. Once PHI is recovered or the hard drive is repaired, the original hard drive must be returned to the owner so that the owner can properly dispose of the hard drive 

Exceptions

Seatrobot business needs, local situations, laws and regulations may occasionally call for an exception to this policy or any other Seatrobot policy. If an exception is needed, Seatrobot management will determine an acceptable alternative approach. 

Enforcement

Any violation of this policy or any other Seatrobot policy or procedure may result in disciplinary action, up to and including termination of employment. Seatrobot reserves the right to notify the appropriate law enforcement authorities of any unlawful activity and to cooperate in any investigation of such activity. Seatrobot does not consider conduct in violation of this policy to be within an employee’s or contractor’s course and scope of work.

Any employee or contractor who is requested to undertake an activity that he or she believes is in violation of this policy must provide a written or verbal complaint to his or her manager or any other manager of Seatrobot as soon as possible. 

The disciplinary process should also be used as a deterrent to prevent employees and contractors from violating organizational security policies and procedures, and any other security breaches.

Responsibility, Review, and Audit

This plan will be reviewed and tested on an annual basis. Ensuring that the plan reflects ongoing changes to resources is crucial. This task includes updating the plan and revising this document to reflect updates; testing the updates; and training personnel. Test results will be documented and signed off by Seatrobot management. The results are shared with appropriate parties internally and findings are tracked to resolution. Any changes are communicated across the organization.

This document is tested, maintained and enforced by Matt Hackett.

This document was last updated on May 6, 2026.