Перейти к основному содержимому

Соответствие требованиям

X7 Insight — регулируемая EDC-платформа: сбор клинических данных проводится в соответствии с GxP, электронные подписи и журнал аудита выстроены под требования 21 CFR Part 11, обработка персональных данных — под GDPR и 152-ФЗ. На этой странице — конкретное соответствие, реализованные механизмы, и список того, что не входит в продукт.

GxP​

Платформа спроектирована под Good Clinical Practice (GCP) — стандарт проведения клинических исследований на людях.

  • Валидированная архитектура. Релизы проходят регрессионное тестирование, и поведение системы воспроизводимо между средами. Версии релизов фиксируются в Changelog.
  • Журнал аудита (audit trail). Все значимые действия фиксируются с указанием пользователя, времени, объекта, прежнего и нового значения. Журнал нельзя редактировать или удалять — см. Аудит и журнал действий.
  • Контроль изменений. Изменение уже введённого значения фиксируется с обязательной причиной изменения (Reason for Change) — см. Ввод данных.
  • Контроль доступа. Разделение обязанностей через семь канонических ролей; capability и область действия описаны в Роли и права и в Матрице capability.
  • Двойной ввод (DDE). Поддерживается как операционный контроль качества — выполняется другим пользователем; см. Двойной ввод.
  • Верификация исходных данных (SDV). Монитор проверяет данные против исходников; см. SDV.
  • Закрытие исследования. Последовательность подпись → блокировка → финальный экспорт описана в Закрытие исследования.

21 CFR Part 11​

Платформа реализует требования FDA 21 CFR Part 11 к электронным записям и электронным подписям.

  • Электронные подписи.
    • Каждая подпись требует повторного ввода пароля подписывающего пользователя.
    • Подпись связана с конкретным объектом (формой, визитом, субъектом) и точным состоянием данных.
    • Любое изменение подписанных данных автоматически снимает подпись и требует повторного наложения.
    • Запись о подписи включает имя подписавшего, дату и время, причину подписания.
  • Неизменяемый журнал аудита. Записи журнала нельзя редактировать, скрыть или удалить.
  • Контроль доступа. Уникальная учётная запись на пользователя; запрет повторного использования логина; принудительные политики пароля; ограничение количества попыток входа.
  • Активация и деактивация учётной записи. Системный администратор управляет учётными записями через /admin/users; деактивация сохраняет историю действий пользователя.
  • Идентификация пользователя. Поддерживается двухфакторная аутентификация и учёт доверенных устройств — см. Первый вход.
  • Защита от несанкционированного изменения. Все API-вызовы аутентифицированы и авторизованы; чувствительные операции требуют capability с флагом sensitive.

Обработка персональных данных​

X7 Insight рассматривает идентифицирующие данные субъектов как чувствительные (PHI / PII).

GDPR​

В контексте GDPR (применимо при включении субъектов из ЕС или работе для европейских спонсоров):

  • Минимизация данных. Идентифицирующие поля (CollectDob, GenderRequired и другие) включаются только если этого требует протокол; см. Настройки исследования.
  • Право доступа субъекта. По запросу субъекта оператор центра выгружает кейсбук и аудит изменений по нему через Отчёты и экспорт.
  • Право на ограничение и исправление. Реализуется через стандартные операционные процедуры центра; технически поддерживается через возврат форм в редактируемое состояние.
  • Право на стирание. Полное удаление субъекта из исследования с уже подписанными или заблокированными данными невозможно по регуляторным причинам — стирание выполняется в формате псевдонимизации в рамках операционной процедуры спонсора.
  • Запись обработки. Все обращения к идентифицирующим данным фиксируются в аудите с указанием пользователя, времени и контекста.

152-ФЗ​

При обработке данных российских субъектов:

  • Локализация хранения — обеспечивается на стороне развёртывания (on-prem или приватное облако в РФ).
  • Идентифицирующие данные хранятся отдельно от деперсонализированных идентификаторов исследования.
  • Согласие субъекта на обработку данных и его отзыв оформляются операционно — приложение предоставляет журнал аудита и выгрузки для подтверждения.

Флаг PHI в выгрузках​

При экспорте данных через /studies/[studyId]/reports указывается, включать ли идентифицирующие данные. Выгрузки с PHI выделяются в списке заданий отдельным флагом — см. Отчёты и экспорт. Системный администратор видит флаг для всех заданий в /admin/exports — см. Администрирование платформы.

Что НЕ входит в область соответствия​

В текущей версии X7 Insight не входят следующие функции — для их выполнения используются внешние специализированные системы:

  • Рандомизация / IxRS. Распределение субъектов в группы лечения — операционное, через настройку групп субъектов. Криптографически защищённой автоматической рандомизации в системе нет.
  • Лабораторная информационная система (LIMS). Приём результатов из лабораторий — через ручной ввод или импорт; нативной интеграции LIMS не предусмотрено.
  • Электронная отчётность об исходах субъекта (ePRO). Опросники, заполняемые субъектом самостоятельно — не входят в систему. Допускается передача данных через API.
  • Электронное информированное согласие (eConsent). Сбор информированного согласия — внешними средствами; X7 Insight фиксирует только статус наличия согласия как поле CRF.
  • Управление лекарственными запасами (Drug Supply). Учёт и распределение исследовательского препарата — отдельная система.

Все эти функции при необходимости интегрируются с X7 Insight через документированный API.

См. также​