医疗器械软件升级运维质量责任协议

医疗器械软件升级运维质量责任协议甲方：[医疗器械注册人/备案人全称]，统一社会信用代码：[XXX]，法定代表人：[XXX]，注册地址：[XXX]，医疗器械注册证/备案凭证编号：[XXX]（对应产品名称：[XXX医疗器械软件]），YY/T0285质量管理体系认证编号：[XXX]，项目对接人：[XXX]，联系方式：[XXX]乙方：[医疗器械软件运维服务提供商全称]，统一社会信用代码：[XXX]，法定代表人：[XXX]，经营地址：[XXX]，医疗器械经营许可证/备案凭证编号：[XXX]，ISO13485医疗器械质量管理体系认证编号：[XXX]，ISO27001信息安全管理体系认证编号：[XXX]，网络安全等级保护服务资质等级：[三级及以上]，项目对接人：[XXX]，联系方式：[XXX]依据《中华人民共和国民法典》《医疗器械监督管理条例》（国务院令第739号）《医疗器械注册与备案管理办法》（国家市场监督管理总局令第47号）《医疗器械软件注册审查指导原则（2022年修订版）》（国家药监局通告2022年第36号）《医疗器械网络安全注册审查指导原则（2022年修订版）》（国家药监局通告2022年第37号）《医疗器械不良事件监测和再评价管理办法》（国家市场监督管理总局令第1号）《医疗器械召回管理办法》（国家市场监督管理总局令第58号）《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗卫生机构网络安全管理办法》（国卫规划发〔2022〕28号）等法律法规、规章及规范性文件要求，甲乙双方本着平等自愿、权责法定、质量第一、风险共担的原则，就甲方持有的上述医疗器械软件的升级开发、运行维护、质量管控及相关责任划分事宜达成如下协议，双方共同严格遵照执行。1定义与适用范围1.1术语定义1.1.1软件升级：指为优化软件功能、修复缺陷、提升安全性、适配应用环境等，对软件代码、配置、文档进行的修改或版本迭代，按照监管要求分为三类：（1）注册变更类升级（重大升级）：指涉及软件核心算法、临床功能、适用范围、数据处理规则、核心网络安全能力、临床预期用途变更，按照《医疗器械注册与备案管理办法》需办理注册变更/备案变更的版本升级，对应主版本号变更。（2）备案类升级（中等升级）：指涉及非核心功能优化、用户界面调整、非临床相关功能新增、不影响临床安全性与有效性的缺陷修复，无需办理注册/备案变更，但需纳入甲方质量管理体系备案并按要求向监管部门汇总告知的版本升级，对应次版本号变更。（3）应急补丁类升级（轻微升级）：指针对突发网络安全高危漏洞、极轻微显示类缺陷、不影响临床决策的小功能优化，无需提前备案即可紧急实施的补丁修复，对应修订版本号变更。1.1.2软件运维：指为保障软件持续安全稳定运行、符合临床使用要求开展的全生命周期技术服务，包括三类：纠正性运维（故障排查与修复）、预防性运维（日常巡检、漏洞扫描、性能优化）、适应性运维（适配新硬件、操作系统、数据库及对接系统）。1.1.3质量事故：指因软件升级或运维过程中的人为失误、技术缺陷、管理疏漏，导致软件无法正常运行、患者数据泄露/丢失、临床诊疗受损、违反监管要求等不良后果的事件，按严重程度分为三级：（1）一般质量事故：软件部分非核心功能失效，未影响临床诊疗或仅造成诊疗延误30分钟以内，无患者伤害，数据可完整恢复，未触发监管处罚；（2）较大质量事故：软件核心功能失效4小时以内，或造成1-2例患者轻微伤害，或10人以下患者数据泄露/丢失且无法恢复，或被监管部门责令整改；（3）重大质量事故：软件核心功能失效超过4小时，或造成患者重伤、死亡，或100人以上患者数据泄露/丢失，或被监管部门责令召回、停产停业、吊销资质。1.1.4严重不良事件：指医疗器械导致或者可能导致严重伤害或者死亡的不良事件，符合《医疗器械不良事件监测和再评价管理办法》规定的判定标准。1.1.5网络安全事件：指由于人为原因、软硬件缺陷或故障、自然灾害等，对医疗器械软件及相关数据的保密性、完整性、可用性造成危害，或者导致患者隐私泄露、诊疗秩序混乱的事件，符合《国家网络安全事件应急预案》的分级标准。1.2适用范围1.2.1本协议覆盖上述医疗器械软件从协议生效之日起至产品退市后10年止的全生命周期升级、运维活动，包括但不限于版本迭代开发、缺陷修复、网络安全防护、数据备份与恢复、应急处置、不良事件监测、召回实施、技术培训等。1.2.2本协议适用于甲乙双方所有参与该软件升级运维的人员，包括但不限于项目管理人员、软件开发工程师、运维工程师、测试工程师、质量管理人员、临床对接人员。1.2.3乙方如需将部分非核心运维工作分包给第三方机构，必须提前30个工作日向甲方提交书面申请，附第三方的资质证明、人员能力证明、服务方案，经甲方书面审核同意后方可分包；乙方对分包方的服务质量承担全部连带责任，且核心升级开发、一级故障响应、数据安全管理工作不得分包。2资质与人员管理责任2.1甲方资质与人员要求2.1.1甲方持有合法有效的医疗器械注册证/备案凭证，具备与所持有软件相适应的全生命周期质量管理能力，建立符合YY/T0287（ISO13485）要求的质量管理体系，且体系覆盖软件上市后监测、升级管控、不良事件处置等环节。2.1.2甲方设立专门的上市后监测与软件质量管控部门，配备至少3名专职人员：其中至少1名具备软件工程相关专业中级以上职称、熟悉医疗器械监管法规，至少1名具备临床医学相关专业背景、能够评估软件临床适用性；所有人员均经过医疗器械质量管理、不良事件监测、数据安全保护培训并考核合格。2.1.3甲方指定的项目对接人负责统筹协调软件升级运维相关的需求审核、方案确认、质量验证、信息上报等工作，有权对乙方的服务质量进行监督、考核，提出整改要求。2.2乙方资质与人员要求2.2.1乙方持有合法有效的医疗器械经营许可证/备案凭证，经营范围覆盖对应类别的医疗器械软件，具备与所提供服务相适应的经营场所、设备设施、技术能力，建立符合YY/T0287（ISO13485）要求的医疗器械服务质量管理体系。2.2.2乙方具备网络安全等级保护三级以上服务资质，拥有独立的软件测试环境、安全攻防实验室，能够独立完成软件全性能测试、漏洞扫描、渗透测试等工作；测试环境需与临床使用环境硬件配置、系统版本、对接接口完全一致，确保测试结果真实有效。2.2.3乙方为甲方项目组建专属服务团队，配备至少5名专职人员：其中项目负责人1名，具备5年以上医疗器械软件项目管理经验，持有医疗器械质量管理体系内审员证书；软件开发工程师至少2名，具备3年以上医疗软件开发经验，熟悉医疗器械软件注册要求；运维工程师至少2名，具备3年以上医疗软件运维经验，持有网络安全工程师证书（如CISP、HCIP-Security等）。所有团队成员均需经过医疗器械法规、临床安全、患者隐私保护、应急处置培训并考核合格，培训记录存档备查；人员变动需提前15个工作日告知甲方，新替换人员需经甲方审核确认能力符合要求后方可上岗。2.2.4乙方每季度组织项目团队开展至少1次法规与技能培训，每年开展至少2次应急演练（含软件故障应急、数据恢复应急、网络安全事件应急各1次），培训与演练记录需在完成后5个工作日内提交甲方存档。3软件升级质量责任划分3.1升级需求管理3.1.1升级需求可由甲方（含临床使用单位反馈）提出临床优化需求，或由乙方提出技术优化、安全加固需求，所有需求均需以书面形式（含电子签批）提交《软件升级需求申请表》，明确需求内容、预期效果、优先级、时限要求。3.1.2甲方负责对所有升级需求进行合规性审核与临床价值评估，判定需求对应的升级类型（注册变更类/备案类/应急补丁类），在5个工作日内出具审核意见；对不符合法规要求、临床价值不明确或存在安全隐患的需求予以驳回并说明理由。3.2升级开发与测试3.2.1乙方根据甲方审核通过的需求制定《软件升级实施方案》，明确升级内容、版本号、开发周期、测试方案、风险评估报告、回滚方案、人员安排、上线计划，提交甲方审核；甲方需在7个工作日内完成方案审核，出具审核意见。3.2.2乙方负责升级代码的开发工作，严格遵循《医疗器械软件软件生存周期过程》（YY/T0664）要求，建立完整的需求追溯矩阵，确保每一项需求对应可追溯的设计、开发、测试记录；开发过程严格执行变更控制流程，所有代码修改均需记录修改原因、修改人、修改时间、审核人。3.2.3乙方在开发完成后开展内部测试，测试用例覆盖率要求：注册变更类升级核心临床功能测试用例覆盖率100%、全功能覆盖率不低于98%；备案类升级核心功能测试覆盖率100%、涉及功能点覆盖率100%；应急补丁类升级修复点测试覆盖率100%。所有测试用例的通过率需达到100%，测试报告需包含测试环境、测试数据、用例执行情况、缺陷修复记录、风险评估结论；测试数据需包含至少50例脱敏后的真实临床样本数据，覆盖不同年龄、性别、病情类型的典型病例。3.2.4乙方完成内部测试后，将升级包、测试报告、风险评估报告、版本更新说明、回滚方案提交甲方验证；甲方组织临床医学、软件工程、质量管理、信息安全人员开展验证工作：注册变更类升级需开展临床模拟验证，样本量不少于30例真实临床数据，验证内容包括功能符合性、临床准确性、安全性、兼容性，验证周期不超过20个工作日；备案类升级验证周期不超过10个工作日；应急补丁类升级验证周期不超过3个工作日。验证通过后甲方出具《升级验证确认书》，未通过的乙方需整改后重新提交验证。3.3升级实施管理3.3.1升级实施前，甲方负责向所有临床使用单位发出升级通知，明确升级时间、升级内容、注意事项、应急联系人；乙方配合提供升级操作指引、培训材料，提前对使用单位操作人员开展线上培训，培训考核合格率需达到95%以上。3.3.2升级实施需安排在非诊疗高峰时段（如夜间22:00至次日6:00、法定节假日），乙方提前72小时再次确认所有使用单位的升级准备情况；升级前1小时完成全量数据备份，备份数据采用国家密码管理局认可的SM2/SM4算法加密，分别存储在本地加密服务器与异地灾备中心，备份数据保存期限不少于产品使用期限届满后5年，且不少于10年。3.3.3升级过程实行双人复核制，乙方运维工程师操作、质量管理人员复核，每一步操作均生成电子操作日志，记录操作人、操作时间、操作内容、操作结果，日志采用区块链存证技术确保不可篡改，永久保存。升级过程中如出现异常，立即暂停升级，启动回滚方案，确保在30分钟内恢复至升级前状态，避免影响临床诊疗。3.3.4升级完成后，乙方与甲方、使用单位共同开展上线验证，包括核心功能验证、数据完整性验证、对接系统（HIS/LIS/PACS等）兼容性验证、网络安全验证；验证合格后三方签署《升级上线确认单》，软件方可正式投入临床使用。3.3.5升级上线后，乙方安排72小时驻场保障，安排专人24小时监控软件运行状态，及时处置突发问题；注册变更类升级上线后30日内，乙方每日向甲方提交运行监测报告；备案类升级上线后15日内提交运行监测报告；应急补丁类升级上线后7日内提交运行监测报告。3.4升级版本与文档管理3.4.1乙方建立统一的版本编号规则，采用语义化版本格式：主版本号.次版本号.修订号（如V1.0.0），主版本号变更对应注册变更类升级，次版本号变更对应备案类升级，修订号变更对应应急补丁类升级；禁止随意变更版本号，禁止跳过版本号发布，禁止同一版本号对应不同软件内容。3.4.2乙方负责建立完整的升级档案，每一个版本的升级需求、设计文档、源代码、测试报告、验证记录、上线记录、运行监测报告均需归档，电子档与纸质档同步保存，保存期限不少于产品退市后10年；甲方有权随时查阅、复制所有档案资料。3.4.3所有升级版本的源代码所有权归甲方所有，乙方需在版本发布后10个工作日内将完整源代码、编译环境、部署文档、第三方组件清单提交甲方存档；乙方不得擅自使用、复制、泄露源代码，不得将源代码用于本协议以外的任何用途。4软件运维质量责任划分4.1日常运维响应要求4.1.1乙方提供7*24小时技术支持服务，设立专属服务热线与在线服务通道，故障响应实行分级管理：（1）一级故障（紧急故障）：软件完全瘫痪或核心临床功能失效，直接影响诊疗秩序或可能导致患者伤害，或发生患者数据泄露、丢失等网络安全事件。乙方接报后30分钟内启动应急响应，2小时内到达现场（本地服务）/24小时内到达现场（异地服务），4小时内完成修复或提供临时替代方案（如启用备用系统、单机版软件），确保临床业务不中断。（2）二级故障（重要故障）：软件非核心功能失效，或性能下降但仍可支持基本诊疗，不直接影响患者安全。乙方接报后1小时内响应，8小时内完成修复，修复期间不得影响核心诊疗功能运行。（3）三级故障（一般故障）：软件出现轻微显示异常、操作不便等问题，不影响临床诊疗功能。乙方接报后2小时内响应，3个工作日内完成修复，修复方案需提前告知甲方并获得同意。4.1.2乙方建立故障处理台账，每一起故障均需记录故障时间、故障现象、原因分析、处理过程、修复结果、预防措施、责任人员；处理完成后24小时内提交《故障处理报告》给甲方，一级故障需在72小时内提交根因分析报告与整改方案。4.2预防性运维管理4.2.1乙方每月开展1次远程巡检，每季度开展1次现场巡检，巡检内容包括：软件运行状态、核心功能可用性、服务器CPU/内存/磁盘使用率（预警阈值为70%）、数据库性能、日志异常情况、网络安全漏洞扫描、数据备份有效性检查、对接系统兼容性检查。巡检完成后3个工作日内提交《巡检报告》给甲方，报告需明确存在的问题、风险等级、整改建议、整改时限。4.2.2乙方每半年开展1次全面的软件性能优化与安全加固，包括系统漏洞修复、数据库索引优化、历史日志清理、访问权限梳理、网络安全策略优化；优化前提交方案经甲方审核通过后实施，优化后出具《优化评估报告》，确保软件响应速度提升不低于10%、高危漏洞修复率100%、中低危漏洞修复率不低于95%。4.2.3乙方每季度开展1次数据备份恢复测试，包括增量备份恢复测试与全量备份恢复测试，恢复成功率需达到100%；测试报告提交甲方存档，确保备份数据可用、可恢复。4.3数据安全与网络安全责任4.3.1乙方严格遵守数据安全、个人信息保护相关法律法规，所有运维人员均签署《保密承诺书》，不得泄露、出售、非法向他人提供患者个人信息、健康医疗数据、临床诊疗数据。运维过程中如需访问真实患者数据，必须经过甲方与使用单位的双重授权，且仅可访问脱敏后的数据；操作过程全程留痕、可追溯，操作日志保存期限不少于10年。4.3.2乙方按照《医疗器械网络安全注册审查指导原则》要求，建立覆盖软件全生命周期的网络安全防护体系，包括边界防护、访问控制、入侵检测、病毒防范、数据加密、日志审计等措施，确保软件符合网络安全等级保护三级及以上要求。4.3.3乙方持续监测国家信息安全漏洞共享平台、CVE等国内外网络安全漏洞信息，发现与所运维软件相关的高危漏洞后，24小时内启动应急响应，48小时内提交漏洞评估报告与修复方案，经甲方审核后立即实施修复；修复完成后提交漏洞修复验证报告，确保漏洞完全修复且不影响软件正常功能。4.3.4发生网络安全事件时，乙方立即启动应急预案，采取技术措施防止事态扩大，第一时间通知甲方；配合甲方开展事件调查、处置、上报工作，按照法规要求协助甲方在事件发生后24小时内向药品监管部门、卫生健康部门、网信部门报告；提供所有技术资料与操作记录，不得隐瞒、篡改、销毁相关证据。4.4运维档案管理4.4.1乙方建立完整的运维档案，包括故障处理记录、巡检记录、优化记录、漏洞修复记录、数据备份记录、培训记录、应急演练记录等；所有记录真实、准确、完整，可追溯，保存期限不少于产品退市后10年。4.4.2甲方每季度对乙方的运维档案进行抽查，每年度开展一次全面审计；乙方需配合提供所有档案资料，对审计发现的问题，乙方需在15个工作日内完成整改并提交整改报告。5质量事故与不良事件处置责任5.1不良事件监测与上报5.1.1甲方是医疗器械不良事件监测与上报的责任主体，负责建立不良事件监测体系，配备专职人员开展不良事件收集、调查、评价、上报工作。5.1.2乙方在运维过程中发现任何可能与软件相关的不良事件，无论严重程度，均需在12小时内报告甲方，提供事件相关的运维记录、日志数据、故障分析，配合甲方开展调查评价。5.1.3甲方按照《医疗器械不良事件监测和再评价管理办法》要求的时限上报不良事件：严重不良事件7日内报告，一般不良事件20日内报告；乙方需配合甲方完成上报资料的准备，确保上报信息真实、准确、完整。5.2质量事故处置5.2.1发生质量事故后，乙方立即启动应急预案，采取有效措施防止事故扩大，第一时间通知甲方；甲方负责统筹事故处置、信息发布、对外沟通工作，乙方不得擅自对外发布事故相关信息。5.2.2甲方组织事故调查，乙方需全力配合，提供所有相关的升级记录、运维记录、测试报告、操作日志、人员资质证明等资料；不得隐瞒、谎报、迟报事故信息，不得篡改、销毁相关证据。5.2.3事故责任划分按照“谁过错谁负责”的原则：（1）因乙方升级代码存在缺陷、未按规范开展测试、运维操作失误、未履行安全防护责任、违反法规要求导致的质量事故，由乙方承担全部责任，赔偿甲方因此遭受的所有直接与间接损失，包括但不限于患者赔偿金、监管部门罚款、产品召回费用、使用单位损失、声誉损失、律师费、诉讼费等。（2）因甲方提供的需求违反法规要求、未按规定开展验证、擅自修改软件配置或数据、未及时反馈临床风险导致的质量事故，由甲方承担全部责任。（3）因双方共同过错导致的质量事故，根据过错比例承担相应责任；责任比例由双方协商确定，协商不成的可委托国家认可的医疗器械检验机构鉴定，鉴定费用由责任方承担。5.3产品召回责任5.3.1因软件质量问题需要启动产品召回的，甲方负责按照《医疗器械召回管理办法》的规定组织召回工作，制定召回计划，向药品监管部门报告，通知相关使用单位，公布召回信息。5.3.2乙方负责配合甲方完成召回的技术支持工作，包括提供问题版本清单、缺陷分析报告、修复方案、升级补丁，协助开展使用单位的软件修复、升级工作，提供召回所需的所有技术资料。5.3.3召回产生的所有费用，包括但不限于通知费用、升级费用、差旅费用、赔偿费用、检测费用，由责任方承担。6质量考核与违约责任6.1质量考核指标甲方每季度对乙方的服务质量进行考核，考核结果与当季度运维费用直接挂钩，考核指标与评分标准如下：（1）升级按时交付率：要求≥98%，每低1个百分点，扣减当季度运维费用的2%；（2）升级测试通过率：核心功能100%、全功能≥98%，每出现1项核心功能测试不通过，扣减当季度运维费用的5%，每出现1项非核心功能测试不通过，扣减当季度运维费用的1%；（3）故障响应及时率：要求100%，每出现1次未按时响应，扣减当季度运维费用的1%；一级故障未按时修复的，每次扣减当季度运维费用的10%；二级故障未按时修复的，每次扣减当季度运维费用的3%；（4）巡检完成率：要求100%，每少1次远程巡检扣减当季度运维费用的2%，每少1次现场巡检扣减当季度运维费用的5%；（5）数据备份成功率：要求100%，每出现1次备份失败未及时整改，扣减当季度运维费用的5%；（6）不良事件/质量事故报告及时率：要求100%，每出现1次迟报扣减当季度运维费用的5%，每出现1次漏报、瞒报扣减当季度运维费用的20%，情节严重的甲方有权解除协议。6.2违约责任6.2.1乙方未按法律法规及本协议约定提供升级运维服务，导致甲方被药品监管、卫生健康、网信等部门处罚的，所有罚款、没收违法所得、整改费用等损失均由乙方承担；甲方有权从应付运维费用中直接扣除，不足部分有权向乙方追偿。6.2.2因乙方原因导致重大质量事故的，乙方需向甲方支付相当于12个月运维费用的违约金，同时赔偿甲方所有直接与间接损失；甲方有权立即解除本协议，并将乙方纳入供应商黑名单。6.2.3乙方违反保密义务，泄露患者隐私、甲方商业秘密、软件源代码、技术资料的，需向甲方支付相当于18个月运维费用的违约金，造成损失的另行赔偿；甲方有权立即解除本协议，并追究乙方的法律责任。6.2.4乙方擅自将核心服务内容分包给第三方的，需向甲方支付相当于6个月运维费用的违约金；甲方有权立即解除本协议。6.2.5甲方未按协议约定支付运维费用的，每逾期1日，按照应付未付金额的0.05%向乙方支付违约金；逾期超过30日的，乙方有权暂停服务，但需提前7日书面通知甲方，且不得影响临床诊疗安全；逾期超过60日的，乙方有权解除协议，并要求甲方支付全部应付费用及违约金。6.2.6任何一方因不可抗力导致无法履行协议的，需及时通知对方，提供不可抗力证明；根据影响程度部分或全部免除责任，但不可抗力发生在迟延履行之后的除外。7保密与知识产权7.1保密责任7.1.1甲乙双方对在合作过程中知悉的对方商业秘密、技术秘密、临床数据、患者信息、内部管理信息等均承担保密义务，未经对方书面同意，不得向任何第三方泄露、传播、使用。7.1.2保密义务不受本协议期限限制，协议终止后双方仍需继续履行保密义务，直至相关信息已合法公开为止。7.1.3乙方需制定严格的内部保密制度，对接触甲方涉密信息的人员进行最小权限管控；所有涉密操作均需审批、留痕，防止信息泄露。7.2知识产权7.2.1甲方持有原医疗器械软件的全部知识产权，乙方基于甲方需求开发的升级版本软件、定制化功能、配套工具的所有知识产权均归甲方所有；乙方不得擅自使用、复制、传播、销售。7.2.2乙方在服务过程中使用的通用工具、通用技术方案的知识产权归乙方所有，但乙方授予甲方免费的、永久的、非排他的使用权，仅限用于本协议项下的软件运维工作。7.2.3乙方不得在为其他客户提供服务时使用甲方的临床数据、技术方案、核心算法，不得侵犯甲方的知识产权。8协议期限与终止8.1协议期限