Управление поставщиками и облачными сервисами

СТАНДАРТНАЯ ОПЕРАЦИОННАЯ ПРОЦЕДУРА

Управление поставщиками и облачными сервисами

Номер СОП: СОП-КС-15

Версия: 1.0

Дата эффективности: 01.11.2026

Планируемая дата пересмотра СОП: 01.11.2028

           ФИО   Должность                                 Подпись   Дата

Утвердил Генеральный директор
Разработал Специалист по клиническим исследованиям

История изменений документа

Версия Дата эффективности Изменения Необходимость тренинга

СОП-КС-15, версия 1.0 01.11.2026 Первоначальный документ. Да

  1. НАЗНАЧЕНИЕ ПРОЦЕДУРЫ

Настоящая Стандартная операционная процедура (СОП) устанавливает порядок оценки, выбора, заключения договоров и периодического мониторинга сторонних поставщиков (вендоров) и облачных сервисов, используемых для функционирования компьютерной системы «n-tst.ru» (далее --- Система). Процедура обеспечивает уверенность в том, что поставщики соответствуют требованиям GCP, 21 CFR Part 11 и законодательства РФ о защите персональных данных.

  1. ОБЛАСТЬ ПРИМЕНЕНИЯ

Процедура распространяется на всех поставщиков, оказывающих критически важные услуги:

  1. Хостинг и инфраструктура:  (Production), (Staging).

  2. Облачные вычисления и AI: Yandex Cloud (YandexGPT).

  3. Сервисы рассылки: Sendersy.

  4. Провайдеры связи и доменов: Reg.ru

<!-- -->
3. НОРМАТИВНО-ПРАВОВАЯ БАЗА

-- ICH E6 (R2) Good Clinical Practice: Section 5.5.3 (Agreements).\ -- 21 CFR Part 11: Electronic Records; Electronic Signatures (США).\ -- Федеральный закон № 152-ФЗ «О персональных данных».\ -- ISPE GAMP 5: A Risk-Based Approach to Compliant GxP Computerized Systems.

  1. ОПРЕДЕЛЕНИЯ И СОКРАЩЕНИЯ

Термин Определение

Вендор (Поставщик) Юридическое лицо, предоставляющее услуги (хостинг, ПО, доступ к API). SLA (Service Level Agreement) Соглашение об уровне обслуживания (гарантии доступности, времени восстановления). DPA (Data Processing Agreement) Соглашение об обработке персональных данных (ПДн) (для 152-ФЗ). Due Diligence Комплексная проверка поставщика перед началом работы.

  1. ОБЯЗАННОСТИ

  2. Руководитель проекта --- принимает решение о выборе поставщика, подписывает договоры.

  3. Администратор / IT --- проводит техническую оценку, обеспечивает взаимодействие с поставщиком.

  4. QA --- оценивает риски для GCP (критичность данных, передаваемых поставщику), проводит периодический аудит вендоров.

  5. ОПИСАНИЕ ПРОЦЕДУРЫ

6.1. Классификация вендоров по уровню риска

  1. Высокий риск (Критический): Поставщики, имеющие доступ к ПДн пациентов, медицинским данным или влияющие на выдачу электронных подписей. (Пример: AdminVPS --- хранит базу данных; Yandex Cloud --- обрабатывает тексты терапии).

  2. Средний риск: Поставщики, влияющие на доступность, но не хранящие ПДн напрямую. (Пример: Sendersy --- отправляет уведомления).

  3. Низкий риск: Поставщики доменов, лицензий на ПО.

    1. Первичная оценка (Due Diligence)

Перед началом работы с вендором высокого и среднего риска QA и Администратор проводят оценку:

  1. Требования 152-ФЗ: Хранение данных на серверах в РФ (для Yandex Cloud и AdminVPS это выполнено).

  2. Требования GCP: Наличие у вендора политик ИБ, сертификатов (например, ISO 27001) или официальных заверений.

  3. Техническая надежность: Оценка SLA (гарантия аптайма, резервное копирование).

  4. Результаты оценки заносятся в Реестр поставщиков (Приложение 1).

6.3. Заключение договоров (Agreements)

  1. С каждым вендором заключается договор оказания услуг.

  2. Если вендор обрабатывает ПДн, с ним заключается DPA (Соглашение об обработке персональных данных). Для Yandex Cloud это стандартная оферта, которая принимается при подключении.

  3. Важно для GCP: Спонсор исследования имеет право запросить информацию о том, что данные исследования обрабатываются в надлежащих условиях. Поставщики облачных услуг несут ответственность за физическую сохранность серверов, но логическая ответственность за целостность данных в EDC остается на Компании-Разработчике.

6.4. Мониторинг и переоценка

  1. QA проводит периодическую переоценку вендоров высокого риска (раз в год) или при изменении условий работы.

  2. Администратор следит за новостями поставщиков (например, уведомления об утечках или сбоях в Yandex Cloud) и при необходимости инициирует инцидент (СОП-КС-РП-10).

6.5. Прекращение сотрудничества (Exit Strategy)

  1. При расторжении договора Администратор обеспечивает миграцию данных на собственные или другие серверы до отключения услуг.

  2. QA проверяет, что вендор удалил ПДн со своих серверов (согласно DPA).

<!-- -->
7. ПЕРЕЧЕНЬ ПРИЛОЖЕНИЙ

  • Приложение 1. Реестр поставщиков и облачных сервисов.

Приложение 1. Реестр поставщиков.

№ Наименование поставщика Услуга Уровень риска Наличие DPA (152-ФЗ) Дата последней оценки Комментарий / Ссылка на договор

1 AdminVPS Хостинг Production (БД) Высокий Да *12.11.2026* Сервер 94.154.11.5 2 Yandex Cloud AI (YandexGPT) Высокий Да (оферта) *12.11.2026* Обработка текстов терапии 3 Timeweb Хостинг Staging + Git Средний Да *12.11.2026* Сервер 104.171.130.170 4 Sendersy Email-рассылки Средний Да *12.11.2026* Уведомления 5 Reg.ru Домены и DNS Низкий Нет (не передаем ПДн) *12.11.2026* n-tst.ru

Подписи:\ Разработал (QA): ______________________ / _______________________ / «___» _____ 20__ г.\ Утвердил (Руководитель): ______________________ / _______________________ / «___» _____ 20__ г.