Standard, requisito, stato
Definizioni di stato: self-attested significa controlli documentati senza audit di terze parti completato. In corso significa che i controlli sono parzialmente o completamente implementati e la validazione non è stata completata. Nulla qui è ancora validato da terze parti, e modificheremo queste righe il giorno in cui ciò cambierà.
| Standard | Cosa richiede | Il nostro stato |
|---|---|---|
| 21 CFR Part 11 | Registrazioni elettroniche e firme elettroniche | Self-attested |
| GDPR | Trattamento lecito, minimizzazione, diritto alla cancellazione | Self-attested |
| ISO 13485 | Gestione della qualità per dispositivi medici | Controlli in atto, convalida in corso |
| ISO 9001 | Quadro generale per la gestione della qualità | Controlli in atto, convalida in corso |
| EU GMP | Good Manufacturing Practice per prodotti medicinali | Controlli in atto, convalida in corso |
| Etica e catena di fornitura | Impegni anti-corruzione, contro la schiavitù moderna e condotta dei fornitori | Politica pubblicata, auto-certificata |
| Politica sui cookie | Consenso per cookie non essenziali e inventario cookie pubblicato | Politica pubblicata, auto-certificata |
- Auto-certificata significa che conformiamo ai requisiti dello standard con controlli documentati. Nessuna verifica da parte di terzi è stata completata. Pubbliciamo questo piuttosto che assegnare un badge, perché siete voi a dover difendere la scelta.
- Niente in questo sito dichiara una certificazione. Un fornitore che afferma che il suo software è "ISO 13485 certified" descrive la propria azienda, non la vostra conformità.
- I dati del tenant sono ospitati nel Regno Unito/UE. La crittografia è AES-256 a riposo e TLS 1.2 o superiore in transito. La conservazione predefinita dei record è di 10 anni dopo la dismissione.
- L'elenco completo dei sub-processori, il routing del flusso dati e i link al DPA sono pubblicati nel Trust Centre e aggiornati prima dell'onboarding di ogni nuovo sub-processore.
Controlli, come specifiche
| Controllo | Specifiche | Stato |
|---|---|---|
| Crittografia a riposo | AES-256 tramite KMS gestito | Implementato |
| Crittografia in transito | TLS 1.2 o superiore su ogni endpoint pubblico | Implementato |
| Residenza dei dati | Dati del tenant ospitati nel Regno Unito/UE | Implementato |
| Audit trail | Append-only, isolato per tenant, conforme a 21 CFR Part 11 §11.10(e) | Implementato |
| Integrità della firma | Soft-invalidation con motivazione; mai eliminato definitivamente | Implementato |
| Conservazione | 10 anni dopo la dismissione, configurabile verso l’alto | Implementato |
| Esportazione dati | Esportazione completa in formati aperti su richiesta e all’uscita | Implementato |
| Scansione delle dipendenze | Audit gate su ogni pull request; CVE critici bloccano il merge | Implementato |
| Audit di terze parti | Attestazione indipendente di quanto sopra | Non ancora |
| Pagina di stato pubblica | Storico degli incidenti e uptime | Pianificato |
Dove una riga indica non ancora o pianificato, questo è lo stato onesto. Preferiamo che lo troviate qui piuttosto che scoprirlo durante la qualificazione.
Cosa consegniamo al tuo processo di qualificazione
Secondo ISO 13485 §7.4 e EU GMP Capitolo 7 devi qualificarci come fornitore di un servizio critico GxP. Questo lavoro è reale, ed è solitamente il punto in cui un acquisto software si blocca. Noi lo manteniamo confezionato piuttosto che improvvisato.
Pacchetto di validazione
IQ/OQ/PQ per la piattaforma, un riepilogo di validazione e documentazione 21 CFR Part 11 / EU Annex 11, inclusi in ogni piano a pagamento.
Pacchetto di qualificazione del fornitore
Questionario precompilato, manuale della qualità, descrizione SDLC, documentazione di sicurezza e continuità aziendale, certificati assicurativi.
Audit fornitori
Accettati su accordo.
Restituzione dati
Una finestra definita di conservazione e restituzione concordata nell'Accordo di Qualità.
- Questa pagina è un riepilogo. La versione autorevole, inclusa la tabella completa dei sub-processori con flussi di dati e link DPA, è pubblicata nel Trust Centre e aggiornata prima che un nuovo sub-processore venga integrato.
- Le richieste degli interessati e le domande GDPR vanno a dpo@innoqualis.com. Le domande generali di compliance vanno a compliance@innoqualis.com.
- Nessun incidente pubblico fino ad oggi. Gli incidenti che coinvolgono dati clienti, disponibilità o postura di compliance saranno pubblicati entro 72 ore dalla risoluzione.