Tudo o que as equipas de compras, segurança e conformidade precisam para avaliar a Vitruvian Shield, num só lugar.
Estado face aos enquadramentos relevantes para software de investigação clínica nos nossos mercados-alvo, indicado como concebida segundo, concebida para, em curso ou prevista.
A plataforma é concebida segundo os princípios de integridade de dados ALCOA++; cada registo é atribuível, legível, contemporâneo, original, exato, completo, consistente, duradouro e disponível, e exposto através do trilho de auditoria. ALCOA++ é um conjunto de princípios, não uma certificação.
Concebida segundo os requisitos do RGPD, com uma Avaliação de Impacto sobre a Proteção de Dados por estudo, um acordo de subcontratação nos termos do Artigo 28.º e alojamento na UE por defeito.
A arquitetura da plataforma é concebida para alinhamento com as salvaguardas administrativas, físicas e técnicas da HIPAA, incluindo acesso mínimo necessário, vias de desidentificação de informação de saúde protegida e registo de auditoria abrangente.
Está em curso um programa de sistema de gestão de segurança da informação ao nível da aplicação; a data de certificação será publicada quando fixada.
Está em curso um programa de sistema de gestão da qualidade para software de dispositivo médico com um parceiro de certificação externo; nenhum certificado foi emitido até à data.
A arquitetura é concebida para a ICH E6(R3), incluindo o Anexo 2 sobre elementos descentralizados, que entra em vigor na União Europeia em 15 de janeiro de 2027. O dossier de validação está planeado.
Registos eletrónicos e trilhos de auditoria concebidos para a 21 CFR Part 11; a validação formal está planeada.
A plataforma está posicionada como software enquanto dispositivo médico, Classe IIb ao abrigo do Regulamento (UE) 2017/745, Anexo VIII, Regra 11, com marcação CE prevista para 2028 através de um organismo notificado. Nenhum certificado foi emitido até à data.
Descarregue o que já está publicado, ou solicite o restante através do formulário em linha. Os pedidos são analisados em dois dias úteis.
Modelo conforme com o Artigo 28.º do RGPD para uso entre a Vitruvian Shield e os responsáveis pelo tratamento dos clientes.
Modelo de Avaliação de Impacto sobre a Proteção de Dados pré-preenchido com os fluxos de dados específicos da plataforma e a categorização de risco.
Sumário de validação do sistema informático que cobre registos eletrónicos, trilhos de auditoria, assinaturas eletrónicas e os controlos de sistema aberto aplicáveis a uma plataforma SaaS.
Especificação detalhada do trilho de auditoria imutável, taxonomia de eventos, política de retenção e endpoints de exportação para o cliente.
Questionário de segurança de fornecedores pré-preenchido que cobre segurança organizacional, controlo de acessos, criptografia, resposta a incidentes, continuidade do negócio e gestão de subprocessadores.
Terceiros que tratam dados em nome da Vitruvian Shield, com a respetiva finalidade, localização do tratamento e certificações de segurança.
| Subprocessador | Finalidade | Locais de tratamento | Certificações |
|---|---|---|---|
| Vercel Inc. | Alojamento de aplicação web (site institucional) e entrega na edge | USEU | SOC 2 Type II, ISO 27001 |
| Resend (Drift Net Inc.) | Entrega de email transacional para formulários do site | US | SOC 2 Type II |
| Google Analytics (Google LLC) | Estatísticas anonimizadas de tráfego do site. Sem dados da plataforma clínica. | USEU | ISO 27001, ISO 27017, ISO 27018 |
As alterações de subprocessadores são notificadas aos clientes com antecedência. Os dados da plataforma clínica são alojados na UE por defeito; consulte-nos sobre opções regionais de residência no momento da contratação.
Como a Vitruvian Shield protege os dados clínicos e o acesso à plataforma.
O acesso aos dados da plataforma segue o princípio do menor privilégio. Todas as ações no lado do cliente são autenticadas, autorizadas contra um perfil e âmbito de projeto, e registadas num trilho de auditoria imutável. O acesso administrativo aos sistemas de produção está restrito a uma equipa de operações nomeada, protegido por autenticação multifator e registado de forma independente.
Os dados clínicos são cifrados em repouso com AES-256 e em trânsito com TLS 1.2 ou superior, com HSTS ativo. As chaves de cifragem são geridas pelo serviço de gestão de chaves do fornecedor de nuvem e rodadas no respetivo calendário, com políticas de acesso aplicadas na camada de chaves e não na camada aplicacional.
As dependências aplicacionais são acompanhadas num Software Bill of Materials continuamente atualizado. Os avisos de segurança contra dependências diretas e transitivas são triados em um dia útil para vulnerabilidades críticas, com correções aplicadas através do pipeline de lançamento padrão. O SBOM está disponível para clientes mediante pedido na Biblioteca de Documentos.
A resposta a incidentes segue um runbook documentado que cobre deteção, triagem, contenção, erradicação, recuperação e revisão pós-incidente. Os clientes afetados por um incidente são notificados dentro dos prazos exigidos pela regulamentação aplicável (72 horas em muitos casos do RGPD).
Testes de segurança independentes e um caminho publicado para os investigadores reportarem problemas de forma responsável.
Aguarda Publicação
Superfície externa de aplicação web e API, com metodologia grey-box contra o ambiente de staging.
Os investigadores de segurança que considerem ter encontrado uma vulnerabilidade na Vitruvian Shield são convidados a reportá-la através do contacto abaixo. Os reportes são confirmados em 72 horas e triados em cinco dias úteis. Não tomamos ações legais contra investigadores que sigam a nossa política de divulgação.
Sequência prevista e estado atual das certificações em preparação. As datas-alvo são publicadas aqui assim que estiverem formalmente comprometidas com o auditor ou organismo notificado.
ISO 27001
Data-alvo a confirmar
ISO 13485
Data-alvo a confirmar
ICH E6(R3) GCP
Data-alvo a confirmar
FDA 21 CFR Part 11
Data-alvo a confirmar
EU MDR
Data-alvo a confirmar
Para questões específicas sobre normas, pedidos de due-diligence sobre subprocessadores, ou qualquer assunto não coberto acima.
