Processo de declaração de conformidade de software PEM - PDF
Download "Processo de declaração de conformidade de software PEM"
Brenda Garrau Peres
1 Processo de declaração de conformidade de software PEM Dezembro, 2012 Versão 1,0 Os direitos de autor deste trabalho pertencem à SPMS e a informação nele contida é confidencial. Este trabalho não pode ser reproduzido ou divulgado, na íntegra ou em parte, a terceiros nem utilizado para outros fins que não aqueles para que foi fornecido sem a autorização escrita prévia ou, se alguma parte do mesmo for fornecida por virtude de um contrato com terceiros, segundo autorização expressa de acordo com esse contrato. Todos os outros direitos e marcas são reconhecidos. As cópias impressas não assinadas representam versões não controladas.
2 Índice Enquadramento e Âmbito 3 Processo de declaração de conformidade 4 Fase I Adaptação do Produto de Software 5 Fase II Apresentação da declaração de conformidade 5 Fase III Monitorização 7 A. Gestão de não-conformidades 7 B. Procedimentos a cumprir pelo fornecedor de Software 8 Retirada da aplicação da lista oficial de softwares PEM autorizados 10 Controlo do Documento 11 Histórico de Alterações 11 Lista de Distribuição 11 Documentos Relacionados 11 Outros Documentos Relevantes: 11 Anexo I 12 2 de 13
3 Enquadramento e Âmbito A Portaria n.º 137-A/2012, de 11 de maio, estabelece o regime jurídico a que obedecem as regras de prescrição de medicamentos, os modelos de receita médica, as condições de dispensa de medicamentos e as obrigações de informação a prestar aos utentes. A referida portaria determina, igualmente, que a utilização de sistemas informáticos para a prescrição eletrónica está dependente da apresentação de declaração de conformidade do respetivo fornecedor de software junto da SPMS, EPE. A declaração de conformidade traduz o compromisso do declarante em como o software que disponibiliza aos seus clientes se encontra em conformidade com as normas de prescrição aplicáveis, nomeadamente garantindo o cumprimento cumulativo dos requisitos técnicos e legais aplicáveis aos sistemas de prescrição. Compromete igualmente ao cumprimento das obrigações referidas no presente documento. 3 de 13
4 Processo de declaração de conformidade O processo de declaração de conformidade decorre em três fases: Fase I Adaptação do produto de SW (testes): esta primeira fase tem por objetivos: o A adaptação do software aos requisitos de prescrição; o A integração do software com os serviços centrais de prescrição e com o Registo Nacional de Utentes. Fase II Apresentação da declaração de conformidade: esta fase pressupõe que todos os requisitos técnicos, processuais, organizacionais e legais estão cumpridos, sendo materializada pela assinatura da declaração de conformidade pelo produtor de software. Fase III Monitorização: esta fase inclui os procedimentos de monitorização, os quais obrigam ao cumprimento de um conjunto de atividades pelo fornecedor, que estão descritas no presente documento. 4 de 13
5 Fase I Adaptação do Produto de Software Nesta fase o fornecedor deverá preencher o formulário disponível no portal da SPMS, EPE ( para solicitar o início dos testes com a seguinte informação: Identificação comercial e fiscal da empresa (nome, morada, NIPC, representantes); Identificação do software (nome, versão); Contactos da empresa (nome, telefone, ). Na sequência desse pedido será enviada ao fornecedor de software a informação necessária para acesso ao ambiente de testes da Plataforma de Interoperabilidade da SPMS, EPE. Esta plataforma disponibiliza os serviços de prescrição e de consulta do utente a utilizar nos produtos de software PEM para efeitos de integração com os sistemas centrais. Na informação enviada, além dos URL s dos serviços, credenciais de acesso e de informação fornecida para efeitos de testes, a SPMS, EPE disponibilizará um contacto de suporte para o qual poderão ser encaminhadas as questões técnicas que possam surgir. Fase II Apresentação da declaração de conformidade O fornecedor deverá preencher a declaração de conformidade, disponível no site da SPMS, EPE em e que se encontra anexa ao presente documento. Neste formulário constam os termos e condições que o fornecedor de software se compromete a cumprir de forma a operar no mercado, no âmbito da PEM, nomeadamente: O cumprimento de todas as medidas técnicas e organizativas adequadas à segurança e proteção dos dados, que devem ser precedidas de Parecer da Comissão Nacional de Proteção de Dados; 5 de 13
6 O cumprimento das normas aplicáveis à prescrição e que estão incluídas nos documentos publicados para o efeito, de acordo com o nº 1 do artigo 16º da Portaria nº137-a/2012 e de acordo com o Despacho n.º 15700/2011 que aprova os modelos de receita médica. Em anexo à Declaração de deverão ser juntos dois exemplares da receita de medicamentos normal e da receita de medicamentos renovável e respetivas guias de tratamento. A declaração e anexos devem ser impressos e assinados pelo representante legal da empresa (sendo aceites assinaturas digitais do representante ver modelo de declaração em anexo). Os endereços para envio da declaração e respetivos anexos são os seguintes: Endereço eletrónico Assunto: PEM assinatura da declaração de conformidade Endereço Correio Centro de Suporte dos SPMS, EPE Prescrição Eletrónica de Medicamentos Declaração de Avenida João Crisóstomo, nº 9, 3º Lisboa O software só poderá entrar em produção após apresentação da declaração de conformidade, e respetivos anexos devidamente assinados. Após apresentação da Declaração de e respetivos anexos, será enviada ao fornecedor a informação necessária para que este possa aceder ao ambiente de produção da Plataforma de Interoperabilidade da SPMS, EPE. A aplicação PEM declarada será incluída na lista oficial de softwares de PEM autoconformes para operar no mercado, que se encontrará publicada em 6 de 13
7 Fase III Monitorização A monitorização tem como objetivo garantir o cumprimento do estabelecido na declaração de conformidade. A. Gestão de não-conformidades De acordo com o nº 5 do artigo 17º da Portaria nº 137-A/2012, a SPMS, EPE disponibiliza no seu portal um formulário de registo de não conformidades dos sistemas de prescrição de PEM. O processo de registo de não conformidades implica a identificação do declarante, o fornecimento dos respetivos contactos e a identificação do produto de software. No caso de dúvidas sobre a identificação do software poderá ser solicitado o apoio do Centro de Suporte da SPMS, EPE. O registo de não conformidades será avaliado pela SPMS, EPE, e poderá resultar no seguinte: Confirmação da existência da não-conformidade que inicia um processo de gestão de nãoconformidade, de acordo com o nº 5 do artigo 17º da Portaria nº 137-A/2012; Inexistência da não conformidade e consequente arquivamento do registo. Nos casos de não-conformidade, será feita a respetiva avaliação e classificação atendendo à sua gravidade. Esta avaliação é da exclusiva responsabilidade da SPMS, EPE e tem em consideração o impacto dessa não-conformidade para com o utente e para com o Serviço Nacional de Saúde. A SPMS, EPE comunica ao fornecedor a não conformidade, bem como o prazo concedido para a sua resolução: Muito Grave: prazo máximo de 2 dias; Grave: prazo máximo de 1 semana; Normal: prazo máximo de 3 semanas. A SPMS, EPE reserva-se o direito de publicar as desconformidades, sempre que aplicável e de acordo com o expresso no nº 5 do artigo 17º da Portaria nº 137-A/2012. A entidade fornecedora de SW deverá comunicar à SPMS, EPE a resolução da situação reportada, competindo à SPMS, EPE a atualização da lista em função da confirmação da resolução. 7 de 13
8 A persistência da desconformidade terá como consequência a retirada do produto de software da lista oficial de softwares de PEM autorizados para operar no mercado, bem como a comunicação às entidades utilizadoras. B. Procedimentos a cumprir pelo fornecedor de Software O software deve assegurar a integração online com os serviços centrais de prescrição para validação e registo da receita, garantindo o seu registo central antes da sua emissão em papel, tal como o descrito nas Normas técnicas relativas aos softwares de prescrição de medicamentos e produtos de saúde, INFARMED e ACSS. Os procedimentos abaixo identificados visam garantir que as receitas existentes na base de dados nacional de prescrições (emitidas por um determinado software), são efetivamente as receitas prescritas por esse mesmo software, bem como garantir que todas as receitas emitidas em papel têm existência eletrónica na base de dados nacional de prescrições. É também objetivo monitorizar as prescrições realizadas em modo offline, que deverão ocorrer somente quando se verificarem problemas técnicos que impossibilitem a validação e o registo da receita de medicamentos no sistema central. Os fornecedores de software ficam obrigados ao cumprimento das seguintes ações: Envio de informação de todas as receitas prescritas pelo processo offline para a base de dados nacional de prescrições nas 24 horas seguintes à indisponibilidade ocorrida; Comunicação, nas 24 horas seguintes à indisponibilidade, de todas as situações que obrigaram à utilização do modo offline, devendo incluir a seguinte informação: Código do local de prescrição Data da ocorrência Período de indisponibilidade Total de receitas emitidas offline Motivo da indisponibilidade Envio de informação correspondente ao total de receitas emitidas pelo software de prescrição, identificando o total pelo processo online e pelo processo offline, mensalmente, até ao segundo dia útil de cada mês; 8 de 13
9 Fornecer toda a informação sobre as receitas emitidas, sempre que solicitada pela SPMS, EPE. O envio da referida informação pressupõe o cumprimento do Modelo de Comunicação da PEM, disponível em Será retirado o produto de software da lista oficial de softwares da PEM autorizados, e comunicada a situação às entidades utilizadoras caso: Não seja enviada a informação referida, nos prazos definidos; Exista um erro deliberado na informação enviada. 9 de 13
10 Retirada da aplicação da lista oficial de softwares PEM autorizados A SPMS, EPE reserva-se o direito de retirar o produto de software da lista oficial de softwares PEM autorizados, sempre que for comprovado o não cumprimento do disposto na declaração de conformidade. Nesta situação a SPMS, EPE comunicará a todas as entidades utilizadoras desse software a retirada da aplicação da lista, bem como o respetivo motivo. Em paralelo serão desativadas as credenciais de acesso à Plataforma de Interoperabilidade da SPMS, EPE, ficando o software impossibilitado de emitir receitas eletrónicas (existência eletrónica na Base de Dados Nacional de Prescrições). 10 de 13
11 Controlo do Documento Histórico de Alterações Versão Data Autores Revisores Alterações Aprovação 01 20/08/2012 SPMS CA SPMS CA SPMS Lista de Distribuição Fornecedores SW PEM Nome Organização Cargo/Responsabilidade Documentos Relacionados Relatório Precedente Inicio Fim Outros Documentos Relevantes: Título Normas técnicas relativas à prescrição de medicamentos e produtos de saúde, INFARMED e ACSS 2012 Normas técnicas relativas aos softwares de prescrição de medicamentos e produtos de saúde, INFARMED e ACSS, 2012 Especificação dos Serviços para integração com a Sistema Nacional de Prescrições, SPMS, 2012 Especificação dos Serviços para integração com o Registo Nacional de Utentes, SPMS, 2012 Manual de utilização da base de dados de medicamentos (Infomed), INFARMED Fim de Documento 11 de 13
12 Anexo I DECLARAÇÃO DE CONFORMIDADE DO FABRICANTE , [nome, número de documento de identificação e morada], na qualidade de representante legal de (1) [firma, número de identificação fiscal e sede], tendo inteiro conhecimento das normas de prescrição da ACSS, INFARMED e SPMS, EPE a que obrigatoriamente devem obedecer as aplicações informáticas para a prescrição eletrónica de medicamentos, declara, sob compromisso de honra, que a aplicação fornecida pela sua representada identificada no ponto 2, garante o cumprimento do estabelecido na Portaria nº 137-A/2011, de 11 de maio e nas normas es requisitos definidos nas especificações técnicas, conforme a seguir indicado: 2 - Identificação do Produto e Versão da aplicação: 3 - Declara ainda que a aplicação cumpre os requisitos em vigor à data da assinatura desta declaração, constantes dos seguintes documentos: Normas relativas à prescrição de medicamentos e produtos de saúde Normas aplicáveis aos softwares de prescrição Especificação dos serviços para integração com o Registo Nacional de Utentes Especificação dos serviços para integração com a Sistema Nacional de Prescrições Manual de utilização da base de dados de medicamentos (Infomed) 4 - Declara ainda que foram adotadas as medidas técnicas e organizativas adequadas à segurança e proteção de dados, nomeadamente o cumprimento do seguinte: Que não é utilizada uma solução de cloud computing no que respeita ao armazenamento de dados de prescrição e que os dados se encontram fisicamente localizados em território nacional; Que os procedimentos para operação e manutenção do sistema é efetuado no respeito pela privacidade dos dados e informações neles contidas e que o acesso aos dados sensíveis, nomeadamente das prescrições, é executado por pessoas devidamente autorizadas; Que os sistemas estão protegidos por mecanismos de segurança físicos e lógicos adequados, sendo que no primeiro identificam-se as barreiras físicas que limitam o acesso à informação ou infra-estrutura onde os mesmos residam, e no segundo os mecanismos de segurança relativos à informação, nomeadamente mecanismos de garantia da integridade da informação, gestão do controlo de acessos, uso de protocolos seguros, mecanismos de criptografia, etc; Que estão implementados níveis de segurança nos recursos físicos e lógicos do sistema que minimizam a probabilidade da ocorrência de ameaças físicas que possam danificar os dados e que salvaguardem os sistemas contra erros, intencionais ou não, onde se inclui a prevenção de ameaças como vírus, acessos remotos não autorizados, política de backup adequada, política de acesso aos sistemas; Na situação de contratos de hosting ou de operação por parte de entidades terceiras contratadas para o efeito, a salvaguarda da segurança e privacidades de dados no repetivo contrato, bem como a garantia da implementação dos níveis de segurança adequados; A utilização de protocolos seguros na comunicação de informação relativa à prescrição; (1) Aplicável apenas a declarantes que sejam pessoas coletivas. 12 de 13
13 No caso de acesso remoto aos computadores dos prescritores, a garantia de que esse acesso é autorizado previamente pelo mesmo, o qual deverá conhecer e autorizar expressamente todos os procedimentos executados e a executar; A obrigatoriedade de, findo o contrato com o cliente, fornecer toda e qualquer informação relativa às prescrições por ele efetuadas no sistema informático, não podendo, por questões contratuais, ser negada essa informação; A obrigatoriedade de comunicar regularmente, e sempre que for solicitado pelo cliente, toda e qualquer informação relativa às receitas prescritas. 5 - Declara ainda que se compromete a operar em modo online com os serviços centrais de prescrição para validação e registo da receita e com o serviço de consulta de utentes do RNU. 6 - Declara também que se compromete a enviar as receitas prescritas, que por motivos alheios ao software, não puderem ser realizadas no modo online, no prazo de 24 horas após a ocorrência da indisponibilidade 7 - Mais declara sob compromisso de honra que os exemplares de prescrição entregues junto à presente declaração estão conformes com os requisitos. 8 - O declarante tem pleno conhecimento que, na situação de serem identificadas desconformidades do software, a SPMS, EPE reserva-se o direito de publicar as mesmas, sempre que aplicável, e de acordo com o expresso no nº 5 do artigo 17º da Portaria nº 137-A/2012. Caso o fornecedor não proceda às alterações indicadas, nos prazos estabelecidos, a aplicação será retirada da lista dos fornecedores de aplicações publicada pela SPMS, EPE. Os fornecedores de software poderão, se assim o entenderem, desencadear novo processo de declaração de conformidade, reservando-se a SPMS, EPE o direito de só aceitar até duas declarações de conformidade por ano. 9 - O declarante tem pleno conhecimento das obrigações de reporte que terá de cumprir e que estão publicadas no processo de declaração de conformidade, no site da SPMS, EPE. Caso não cumpra as obrigações, no prazo estabelecido, a aplicação será retirada da lista dos fornecedores de aplicações publicada pela SPMS, EPE. A SPMS, EPE reserva-se o direito de avaliar e decidir a exclusão definitiva do produto da lista oficial de softwares de PEM autorizados para operar no mercado O declarante tem conhecimento que, mediante a publicação de novos requisitos de prescrição, lhe pode ser exigida nova declaração de conformidade e o cumprimento dos mesmos, de acordo com os prazos estabelecidos. A prestação de falsas declarações implicará a participação às entidades competentes para efeitos de procedimento criminal. Assinatura (Pessoa habilitada que vincula a Empresa) (AAAA/MM/DD) 13 de 13