Norma, requisito, estado
Definições de estado: autoatestado significa controlos documentados sem auditoria de terceiros concluída. Em progresso significa que os controlos estão parcial ou totalmente implementados e a validação não foi concluída. Nada aqui foi ainda validado por terceiros, e alteraremos estas linhas no dia em que isso mudar.
| Norma | O que exige | O nosso estado |
|---|---|---|
| 21 CFR Part 11 | Registos eletrónicos e assinaturas eletrónicas | Autoatestado |
| RGPD | Processamento lícito, minimização, direito ao apagamento | Autoatestado |
| ISO 13485 | Gestão da qualidade para dispositivos médicos | Controlos implementados, validação em curso |
| ISO 9001 | Estrutura geral de gestão da qualidade | Controlos implementados, validação em curso |
| EU GMP | Boas Práticas de Fabrico para produtos medicinais | Controlos implementados, validação em curso |
| Ética e cadeia de fornecimento | Compromissos contra suborno, escravidão moderna e conduta dos fornecedores | Política publicada, autoatestado |
| Política de Cookies | Consentimento para cookies não essenciais e inventário de cookies publicado | Política publicada, autoatestado |
- Autoatestado significa que cumprimos os requisitos da norma com controlos documentados. Nenhuma auditoria de terceiros foi concluída. Publicamos isto em vez de atribuir um selo, porque é você quem tem de defender a escolha.
- Nada neste site afirma certificação. Um fornecedor que lhe diga que o seu software é "ISO 13485 certified" está a descrever a sua própria empresa, não a sua conformidade.
- Os dados do inquilino são alojados no Reino Unido/UE. A encriptação é AES-256 em repouso e TLS 1.2 ou superior em trânsito. A retenção padrão dos registos é de 10 anos após a desativação.
- A lista completa de sub-processadores, o encaminhamento do fluxo de dados e os links do DPA são publicados no Centro de Confiança e atualizados antes de qualquer novo sub-processador ser integrado.
Controlos, como especificações
| Controlo | Especificação | Estado |
|---|---|---|
| Encriptação em repouso | AES-256 via KMS gerido | Implementado |
| Encriptação em trânsito | TLS 1.2 ou superior em cada endpoint público | Implementado |
| Residência dos dados | Dados do inquilino alojados no Reino Unido/UE | Implementado |
| Rastreio de auditoria | Apenas anexação, isolado por inquilino, conforme 21 CFR Part 11 §11.10(e) | Implementado |
| Integridade da assinatura | Invalidação suave com motivo; nunca eliminado definitivamente | Implementado |
| Retenção | 10 anos após desativação, configurável para mais | Implementado |
| Exportação de dados | Exportação completa em formatos abertos mediante pedido e na saída | Implementado |
| Análise de dependências | Portões de auditoria em cada pull request; CVEs críticos bloqueiam a fusão | Implementado |
| Auditoria por terceiros | Atestação independente do acima referido | Ainda não |
| Página pública de estado | Histórico de incidentes e tempo de atividade | Planeado |
Quando uma linha indica ainda não ou planeado, esse é o estado honesto. Preferimos que o encontre aqui do que o descubra durante a qualificação.
O que entregamos ao seu processo de qualificação
De acordo com a ISO 13485 §7.4 e o Capítulo 7 do EU GMP, tem de nos qualificar como fornecedor de um serviço crítico GxP. Esse trabalho é real e é geralmente onde a compra de software fica bloqueada. Mantemos tudo embalado em vez de improvisado.
Pacote de validação
IQ/OQ/PQ para a plataforma, um resumo de validação e documentação 21 CFR Part 11 / EU Anexo 11, incluídos em todos os planos pagos.
Pacote de qualificação do fornecedor
Questionário pré-preenchido, manual de qualidade, descrição do SDLC, documentação de segurança e continuidade de negócio, certificados de seguro.
Auditorias ao fornecedor
Aceites mediante acordo.
Devolução de dados
Um período definido de retenção e devolução acordado no Acordo de Qualidade.
- Esta página é um resumo. A versão oficial, incluindo a tabela completa de sub-processadores com fluxos de dados e ligações DPA, é publicada no Centro de Confiança e atualizada antes de qualquer novo sub-processador ser integrado.
- Pedidos de titulares de dados e questões RGPD devem ser enviados para dpo@innoqualis.com. Questões gerais de compliance devem ser enviadas para compliance@innoqualis.com.
- Nenhum incidente público até à data. Incidentes que afetem dados de clientes, disponibilidade ou postura de compliance serão publicados no prazo de 72 horas após resolução.