Norme, exigence, statut
Définitions des statuts : auto-déclaré signifie contrôles documentés sans audit tiers réalisé. En cours signifie que les contrôles sont partiellement ou totalement en place et que la validation n’est pas terminée. Rien ici n’est encore validé par un tiers, et nous modifierons ces lignes dès que cela changera.
| Norme | Ce qu'elle exige | Notre statut |
|---|---|---|
| 21 CFR Part 11 | Registres électroniques et signatures électroniques | Auto-déclaré |
| RGPD | Traitement licite, minimisation, droit à l’effacement | Auto-déclaré |
| ISO 13485 | Gestion de la qualité pour dispositifs médicaux | Contrôles en place, validation en cours |
| ISO 9001 | Cadre général de gestion de la qualité | Contrôles en place, validation en cours |
| EU GMP | Bonnes pratiques de fabrication pour les produits médicinaux | Contrôles en place, validation en cours |
| Éthique et chaîne d'approvisionnement | Engagements anti-corruption, contre l'esclavage moderne et sur la conduite des fournisseurs | Politique publiée, auto-déclarée |
| Politique relative aux cookies | Consentement pour les cookies non essentiels et inventaire des cookies publié | Politique publiée, auto-déclarée |
- Auto-déclaré signifie que nous respectons les exigences de la norme avec des contrôles documentés. Aucun audit tiers n'a été réalisé. Nous publions cela plutôt que de le labelliser, car c'est vous qui devez défendre ce choix.
- Rien sur ce site ne prétend à une certification. Un fournisseur qui vous dit que son logiciel est "ISO 13485 certified" décrit sa propre entreprise, pas votre conformité.
- Les données des locataires sont hébergées au Royaume-Uni/UE. Le chiffrement est AES-256 au repos et TLS 1.2 ou supérieur en transit. La conservation par défaut des enregistrements est de 10 ans après la mise hors service.
- La liste complète des sous-traitants, le routage des flux de données et les liens vers le DPA sont publiés dans le Centre de Confiance et mis à jour avant l'intégration de tout nouveau sous-traitant.
Contrôles, selon les spécifications
| Contrôle | Spécification | Statut |
|---|---|---|
| Chiffrement au repos | AES-256 via KMS géré | En place |
| Chiffrement en transit | TLS 1.2 ou supérieur sur chaque point d'accès public | En place |
| Résidence des données | Données du locataire hébergées au Royaume-Uni/UE | En place |
| Piste d'audit | Append-only, isolée par locataire, conforme à 21 CFR Part 11 §11.10(e) | En place |
| Intégrité de la signature | Invalidation douce avec motif ; jamais supprimée définitivement | En place |
| Rétention | 10 ans après mise hors service, configurable à la hausse | En place |
| Exportation des données | Export complet dans des formats ouverts sur demande et à la sortie | En place |
| Analyse des dépendances | Contrôles d'audit à chaque pull request ; les CVE critiques bloquent la fusion | En place |
| Audit tiers | Attestation indépendante des éléments ci-dessus | Pas encore |
| Page d'état publique | Historique des incidents et disponibilité | Planifié |
Lorsqu'une ligne indique « pas encore » ou « prévu », c'est l'état honnête. Nous préférons que vous le trouviez ici plutôt que de le découvrir lors de la qualification.
Ce que nous fournissons pour votre processus de qualification
Selon ISO 13485 §7.4 et EU GMP Chapitre 7, vous devez nous qualifier en tant que fournisseur d'un service critique GxP. Ce travail est réel, et c'est généralement là que l'achat d'un logiciel bloque. Nous le maintenons emballé plutôt qu'improvisé.
Pack de validation
IQ/OQ/PQ pour la plateforme, un résumé de validation, et documentation 21 CFR Part 11 / EU Annex 11, inclus dans toutes les offres payantes.
Pack de qualification fournisseur
Questionnaire pré-rempli, manuel qualité, description SDLC, documentation sécurité et continuité d'activité, certificats d'assurance.
Audits fournisseurs
Acceptés sur arrangement.
Retour des données
Une fenêtre définie de conservation et de retour convenue dans l'Accord Qualité.
- Cette page est un résumé. La version faisant foi, incluant la table complète des sous-traitants avec flux de données et liens DPA, est publiée dans le Trust Centre et mise à jour avant l'intégration de tout nouveau sous-traitant.
- Les demandes des personnes concernées et les questions RGPD sont à adresser à dpo@innoqualis.com. Les questions générales de conformité sont à envoyer à compliance@innoqualis.com.
- Aucun incident public à ce jour. Les incidents affectant les données clients, la disponibilité ou la posture de conformité seront publiés dans les 72 heures suivant leur résolution.