Escopo. Esta página resume SG Systems GlobalA postura de segurança e confiança da empresa para rastreabilidade V5 e serviços relacionados, incluindo Serviços hospedados e Instalações no local conforme selecionado em um Formulário de Pedido/Proposta Assinada aplicável.

Hierarquia de documentos (ordem de precedência). Em caso de conflito, os documentos que prevalecem são:

• (1) Formulário de Pedido / Proposta Assinada (âmbito, eleição de implantação, seleção de níveis, datas de vigência);
• (2) Adendo de Qualidade do Fornecedor (SQA) (construções operacionais regulamentadas/GxP), somente se incorporadas por referência para o engajamento; e
• (3) Contrato de Prestação de Serviços (MSA) (Quadro jurídico/comercial, SLA, obrigações de segurança, termos de dados do cliente).

Alinhamento contratual. Esta página é meramente informativa e não modifica os termos contratuais. Quaisquer métricas de nível de serviço, prazos de notificação e obrigações vinculativas estão definidos no MSA/SLA e no Formulário de Pedido aplicável (e no SQA, quando incorporado).

Operações com foco no trabalho remoto. SG Systems Global Opera como uma organização que prioriza o trabalho remoto. Os controles enfatizam a identidade, o gerenciamento de acesso, o uso seguro de endpoints e a administração controlada de sistemas.

Contato de segurança: support@sgsystemsglobal.com

SG Systems Global Mantém um programa de segurança da informação baseado em riscos, destinado a proteger a confidencialidade, a integridade e a disponibilidade dos dados e serviços dos clientes, bem como a dar suporte às operações em ambientes de fabricação regulamentados.

Os elementos do programa incluem:

• Responsabilidade e supervisão: Responsabilidades definidas em relação à segurança para garantir a eficácia dos controles, escalonamentos e ações corretivas.
• Gerenciamento de riscos: Identificação e avaliação de riscos, seleção de controles e acompanhamento das atividades de remediação.
• Controle de políticas e procedimentos: Práticas documentadas para atividades relevantes à segurança (acesso, controle de mudanças, tratamento de incidentes, continuidade).
• Revisão periódica: As práticas de segurança são revistas e atualizadas à medida que os sistemas, as ameaças e as expectativas dos clientes evoluem.

As responsabilidades dependem da implementação selecionada no seu Formulário de Pedido/Proposta Assinada. O V5 Traceability pode ser fornecido como Serviços Hospedados ou como uma Instalação Local.

Referências: Contrato Integral para Venda de Ativos, controle de qualidade, Requerimentos do sistema.

O controle de acesso foi projetado para promover o princípio do menor privilégio, a responsabilização e a administração controlada. Em ambientes regulamentados, o controle de acesso é uma combinação de diversas estratégias. técnico e processual disciplina.

• Acesso baseado em função: As permissões são atribuídas por função para alinhar as atividades às responsabilidades do cargo.
• Responsabilidade única: Os usuários devem ser identificados de forma única; o uso de credenciais compartilhadas deve ser proibido.
• Governança de acesso: Os clientes controlam o provisionamento/desprovisionamento, a definição de funções e as revisões periódicas de acesso em seus Procedimentos Operacionais Padrão (POPs).
• Acesso privilegiado: O acesso administrativo é restrito a pessoal autorizado para fins operacionais.

O V5 Traceability oferece suporte à manutenção de registros orientada à rastreabilidade e foi projetado para suportar comportamentos de controle normalmente esperados para registros eletrônicos regulamentados, incluindo ações atribuíveis, comportamento de trilha de auditoria, controles de integridade de registros e comportamento de assinatura eletrônica, quando aplicável e configurado.

Avaliação independente (contexto da Parte 11 do Título 21 do CFR). O V5 Traceability possui um artefato de avaliação independente destinado a apoiar a qualificação de fornecedores e as discussões sobre CSV (Verificação de Valor Agregado). Consulte: Avaliação independente de acordo com a Parte 11 do Título 21 do CFR.

SG Systems Global Protege as informações do cliente utilizando controles administrativos, técnicos e contratuais alinhados aos objetivos de confidencialidade, integridade e disponibilidade. A confidencialidade contratual, os direitos de dados do cliente e os termos de processamento de privacidade (quando aplicáveis) são regidos pelo MSA e documentos relacionados.

• Confidencialidade: Controles destinados a impedir a divulgação não autorizada de informações do cliente.
• Integridade: Controles destinados a preservar a integridade dos registros e a dar suporte à rastreabilidade para fins de auditoria.
• Disponibilidade: Controles operacionais adequados ao tipo de implantação escolhido; os objetivos do Serviço Hospedado (se aplicável) estão definidos no MSA/SLA.

Para termos vinculativos de confidencialidade e dados do cliente, consulte o Contrato Integral para Venda de Ativos.

A rastreabilidade V5 é desenvolvida e mantida utilizando práticas controladas destinadas a garantir uma postura de liberação confiável e auditável para clientes regulamentados.

Os resumos de controle do SDLC incluem:

• Introdução à mudança controlada: As alterações são planejadas, implementadas e revisadas antes do lançamento.
• Revisão da disciplina: Alterações no código e na configuração estão sujeitas a revisão antes da implementação.
• Separação ambiental: As atividades de desenvolvimento/teste e produção são controladas para reduzir o risco de alterações não autorizadas.
• Documentação de lançamento: As notas de lançamento descrevem as alterações substanciais e, quando relevante, as considerações de validação.

SG Systems Global Adota uma abordagem de gestão de mudanças controlada para dar suporte à prestação de serviços previsível e às expectativas de uso regulamentado.

Os resumos dos controles de gerenciamento de mudanças incluem:

• Avaliação da mudança: As alterações são avaliadas quanto ao potencial impacto no cliente, incluindo considerações sobre o impacto regulatório, quando aplicável.
• Disciplina de aprovação: As alterações de produção estão sujeitas a autorização documentada antes do lançamento.
• Controle de implantação: A implantação de serviços hospedados é controlada pelo provedor; as implantações locais são controladas pelo cliente.
• Alterações de emergência: Alterações de segurança de emergência podem ser realizadas quando necessário para lidar com ameaças ativas; tais alterações são documentadas e comunicadas de acordo com os termos contratuais.

Os termos de controle de alterações vinculantes são definidos em Contrato Integral para Venda de Ativos e, onde incorporado, controle de qualidade.

SG Systems Global Gerencia vulnerabilidades por meio de identificação, triagem, remediação e verificação, com priorização baseada na gravidade e na explorabilidade.

Os resumos dos controles de gerenciamento de vulnerabilidades incluem:

• Triagem e priorização: Avaliar o alcance, a gravidade, a possibilidade de exploração e o potencial impacto no cliente.
• Correção: Aplicar correções/patches e documentar as alterações relevantes na documentação da versão, quando apropriado.
• Comunicação: As comunicações com o cliente seguem as estruturas contratuais e operacionais do MSA/SQA.

Para reportar uma possível vulnerabilidade ou problema de segurança, envie um e-mail para support@sgsystemsglobal.com com o assunto: Security Concern.

SG Systems Global Mantém um processo de gerenciamento de incidentes e resposta a incidentes de segurança destinado a dar suporte à triagem, contenção, investigação e comunicação com o cliente de forma rápida, incluindo considerações sobre uso regulamentado, onde a integridade dos registros pode ser afetada.

Os resumos de controle de gerenciamento de incidentes incluem:

• Classificação: Os eventos são avaliados e classificados com base na gravidade e no impacto potencial sobre a confidencialidade, a integridade e a disponibilidade.
• Escalação: Os mecanismos de escalonamento são aplicados a eventos de maior gravidade e a questões de impacto regulamentado.
• Investigação: As investigações são documentadas e os eventos relevantes são submetidos a revisão pós-incidente.
• Ações corretivas: As ações corretivas são monitoradas para reduzir o risco de recorrência.

Canal de denúncias: support@sgsystemsglobal.comPara suspeitas de problemas de integridade de registros/dados regulamentados, inclua: Potential GxP / data integrity impact.

As expectativas de continuidade e recuperação dependem do tipo de implantação. Para Serviços Hospedados, os objetivos de disponibilidade e recuperação aplicáveis ​​(se houver) são definidos no MSA/SLA e no Formulário de Pedido. Para Instalações Locais, o Cliente é responsável por backups, recuperação de desastres e testes de recuperação, a menos que seja acordado de outra forma por escrito.

Os resumos de controle de continuidade incluem:

• Abordagem de recuperação documentada: Procedimentos de recuperação documentados e alinhados ao modelo de implantação escolhido.
• Intenção de fazer backup da integridade: Controles destinados a apoiar a capacidade de recuperação e reduzir o risco de perda de dados dentro do limite definido.
• Objetivo do teste de recuperação: Atividades periódicas de preparação para recuperação, adequadas ao limite de hospedagem e ao projeto do serviço.

Os Serviços Hospedados podem ser fornecidos por meio de provedores terceirizados, conforme especificado no Formulário de Pedido/Proposta Assinada. O uso de subcontratados pelo provedor e os termos de processamento de privacidade (quando aplicável) são regidos pelo MSA e por qualquer Adendo de Processamento de Dados (DPA) aplicável.

• Subprocessadores: firmados sob contratos escritos destinados a proteger os dados do cliente e a cumprir as obrigações de confidencialidade.
• Processamento de dados: Quando exigido por lei, os termos de privacidade são abordados por meio de um DPA incorporado por referência e disponibilizado mediante solicitação.
• Limite do sistema: As responsabilidades variam conforme a implantação (hospedada ou local) e são definidas em contrato.

SG Systems Global Apoia a diligência prévia do cliente e a qualificação de fornecedores usando documentação e respostas estruturadas alinhadas ao limite do sistema e ao tipo de implantação. Para projetos regulamentados/GxP, o SQA (quando incorporado) define a estrutura operacional de qualidade, incluindo mecanismos de suporte à auditoria e responsabilidades de uso regulamentado.

• Apoio à qualificação: São fornecidas respostas e artefatos para dar suporte aos fluxos de trabalho de qualificação de fornecedores do cliente.
• Cooperação em auditoria: desde que as informações sejam mantidas sob sigilo e com agendamento razoável, conforme definido no MSA/SQA.
• Avaliação independente: O artefato elaborado pelo avaliador apoia as discussões da Parte 11 e a avaliação de controle.

Referências: controle de qualidade | Contrato Integral para Venda de Ativos | Avaliação Independente

Documentação adicional de segurança e conformidade poderá ser fornecida a clientes e potenciais clientes qualificados para apoiar a due diligence e a qualificação de fornecedores, sujeita a obrigações de confidencialidade (MSA) e, quando aplicável, termos de NDA.

Exemplos de documentação disponíveis mediante solicitação (quando aplicável):

• Resumos da documentação de gerenciamento de mudanças e lançamentos
• Resumo da resposta a incidentes alinhado às obrigações contratuais
• Resumo da continuidade de backup/DR alinhado ao limite de implantação
• Documentação de avaliação independente (21 CFR Parte 11)
• Lista de subprocessadores e modelo DPA (quando aplicável)
• Respostas a questionários estruturados (estilo SIG/CAIQ) quando solicitadas.

Esta página é fornecida apenas para fins informativos e não modifica os termos contratuais.

Version 2.16 — Effective April 20th 2026.

• Added the document version and effective date at the top of the page in the same style used for the MSA and SQA.
• Adjusted typography weights to better align with the lighter presentation style used across the updated legal and trust pages.
• Retained Document Control as a collapsed accordion and kept the existing content structure intact.

This update is intended as a presentation and document-control revision unless otherwise stated in a separately approved contractual document.