Vertrauen & Compliance
Was Pharma-QA von einem Software-Anbieter erwarten kann, präzise, regulatorisch-aware, ohne Marketing-Sprech.
Was mit Ihren Molekülstrukturen passiert
Das ist die Frage, die im Pharma-Einkauf zuerst kommt, und sie verdient eine Antwort ohne Zögern. Hochgeladene Strukturen sind Wirkstoffkandidaten, also das Wertvollste, was ein Kunde hat.
Keine Nutzung zu Trainingszwecken
Ihre Eingaben werden ausschließlich zur Bearbeitung der jeweiligen Anfrage verarbeitet und niemals zum Training eigener oder fremder Modelle verwendet. Diese Zusage steht im Auftragsverarbeitungsvertrag, nicht nur auf dieser Seite. Auch die eingesetzten Modellanbieter sind vertraglich davon ausgeschlossen.
Mandantentrennung
Jeder Datensatz ist einem Account zugeordnet, und die Datenbank erzwingt die Trennung auf Zeilenebene, nicht nur die Anwendung. Ein Zugriff über einen fremden Account liefert keine Zeilen, nicht eine gefilterte Ansicht.
EU-Hosting
Betrieb in Deutschland bei der Hetzner Online GmbH, Datenhaltung im EU-Raum, keine Spiegelung außerhalb der EU. Für Enterprise auf Wunsch als Container auf Ihrer eigenen Infrastruktur.
Löschung auf Verlangen
Auf Verlangen gelöscht innerhalb von 30 Tagen, einschließlich der Sicherungskopien in ihrem Rotationszyklus. Nach Vertragsende binnen 90 Tagen. Die Rechte an Eingaben und Ergebnissen bleiben vollständig bei Ihnen.
Unabhängiger Benchmark (ICLR 2026)
Auf dem peer-reviewed MolecularIQ-Benchmark (Bartmann et al., Klambauer Lab JKU Linz, ICLR 2026) erreichen Frontier-LLMs 14 bis 41 Prozent bei chemischer Strukturanalyse. Mit CovaSyn-MCP-Anbindung steigen die gleichen Modelle auf 76 bis 92 Prozent. Vier Modelle, 3.540 verifizierte Aufgaben, 12.540 Antworten. Symbolische Verifikation gegen Ground Truth, ohne LLM-Richter.
| Modell | Baseline | + CovaSyn MCP | Δ |
|---|---|---|---|
| Claude Haiku 4.5 | 21,18 % | 85,38 % | +64,2 pp · 4,03× |
| Claude Opus 4.7 | 40,75 % | 91,51 % | +50,8 pp · 2,25× |
| OpenAI GPT-5.5 | 22,29 % | 89,92 % | +67,6 pp · 4,03× |
| Gemini 3.5 Flash | 13,68 % | 75,66 % | +61,98 pp · 5,53× |
Quelle: Bartmann C., Schimunek J., Ielanskyi M., Seidl P., Klambauer G., Luukkonen S. (2026). MolecularIQ: Characterizing Chemical Reasoning Capabilities Through Symbolic Verification on Molecular Graphs. ICLR 2026 (Poster). arXiv:2601.15279. Snapshot: 2026-05-17.
Compliance-Posture
| Framework | Status | Notiz |
|---|---|---|
| EU Annex 11 (Computerised Systems) | Aligned | Audit-Trail, Determinismus, Access Control built-in |
| 21 CFR Part 11 (Electronic Records) | Aligned | Tamper-Evidence via Output-Hashing, signierte Audit-Logs |
| GAMP 5 (Software Category 4) | Configured Product | Konfiguration, kein Custom-Code beim Kunden |
| ICH M7 (R2) Mutagenic Impurity | Dedicated Tools | Mutagenitäts-Assessment plus Expert-Review-Workflow |
| ICH Q1A/E Stability | Dedicated Tools | Arrhenius-Fit und Shelf-Life-Schätzung mit 95%-CI |
| ICH Q12 Lifecycle Management | Readiness | Versionierung und Change-Control-Pfade dokumentiert |
Was 'Aligned' bei uns konkret bedeutet
Drei messbare Eigenschaften, nicht ein Marketing-Label:
Determinismus
Tool-Versionen sind gepinnt. Identischer Input → identischer Output, reproduzierbar Wochen später. Kein RNG-Seed-Drift, keine LLM-Probabilistik im numerischen Pfad.
Audit-Trail
Jeder Tool-Call wird mit Eingabe, Output, Tool-Version, Timestamp und API-Key-ID protokolliert. Logs sind exportierbar als CSV oder JSON.
Tamper-Evidence
Output enthält einen SHA-256-Hash. Wenn ein Eintrag im Audit-Log nachträglich geändert wird, fällt das beim Re-Hash auf.
Was Validation bei CovaSyn bedeutet
- Pro/Max: Software liefert audit-fähige Outputs. Validation des Use-Cases beim Kunden.
- Enterprise: Validation-Pack mit URS-, FS-, IQ-, OQ-, PQ-Vorlagen. Argumentation für GAMP 5 Cat 4 inklusive.
- Validation IST das, was beim Kunden auf Customer-Site läuft. Das ist die regulatorische Realität, keine Software ist 'fertig validiert' beim Kauf.
Was wir NICHT claimen
- 'GxP-validated' als Out-of-the-Box-Property. Validation ist Customer-Process, nicht Vendor-Property.
- 'Replaces QA review'. CovaSyn ergänzt QA-Workflows, ersetzt sie nicht.
- 'FDA-approved'. Software wird nicht FDA-approved, nur Geräte und Compounds.
- 'SOC 2 Type II zertifiziert'. In Vorbereitung, noch nicht zertifiziert.
Sicherheitsfragebögen, vorausgefüllt
SIG Lite und CAIQ v4 sind vollständig beantwortet und hier abrufbar. Beide entstehen aus einer einzigen gepflegten Antwortbibliothek, eine Änderung wirkt in beiden gleichzeitig. Zusammen decken sie den größten Teil dessen ab, was ein firmeneigener Fragebogen fragt. Wenn Ihr Einkauf auf dem eigenen Formular besteht, ist es damit in ein bis zwei Stunden statt in zwei Wochen ausgefüllt.
Auftragsverarbeitungsvertrag mit TOM-Anlage nach Art. 32 DSGVO, Löschkonzept, Zugriffskonzept und Notfallplan stellen wir auf Anfrage bereit.
Unterauftragsverarbeiter
Vollständige Liste, jeweils mit Zweck und Verarbeitungsort. Eine Änderung kündigen wir mit Widerspruchsmöglichkeit an.
| Dienstleister | Zweck | Ort |
|---|---|---|
| Hetzner Online GmbH | Hosting der Plattform und der Datenbank | EUDeutschland |
| Supabase (Datenbank und Authentifizierung) | Datenhaltung, Konten und Anmeldung | EUEU-Region |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung und Rechnungsstellung | EUIrland |
| Microsoft 365 (Exchange Online) | Geschäftliche E-Mail-Kommunikation | EUEU-Region |
| Anthropic PBC | Sprachmodell fuer den Chat-Assistenten im Struktureditor und fuer die Auswertungsfunktion der Kampagnenanalyse; uebermittelt werden dabei die bearbeitete Struktur, der Gespraechsverlauf und Werkzeugergebnisse beziehungsweise statistische Auswertungen | Nicht-EUUSA (Standardvertragsklauseln) |
| Cloudflare, Inc. | Namensauflösung der Domain und vorgelagerter Netzschutz | Nicht-EUUSA (Standardvertragsklauseln) |
| Resend (Plus Five Five, Inc.) | Versand von Systemnachrichten wie Bestätigungen und Rechnungshinweisen | Nicht-EUUSA (Standardvertragsklauseln) |
| Twilio SendGrid | Ausweichweg für den Versand von Systemnachrichten | Nicht-EUUSA (Standardvertragsklauseln) |
| Trustpilot A/S | Einholung und Anzeige von Kundenbewertungen | EUDänemark |
| Google Ireland Ltd. | Reichweitenmessung der Website, wird durch die eigene Messung abgelöst | Nicht-EUIrland (Datenübermittlung in die USA möglich) |
Sicherheitslücke melden
Meldungen an security@covasyn.com. Wir antworten auf berechtigte Meldungen innerhalb von 5 Werktagen und arbeiten mit koordinierter Offenlegung, 90 Tage. Die maschinenlesbare Fassung liegt unter /.well-known/security.txt nach RFC 9116.
Brauchen Sie das Validation-Pack?
Im Enterprise-Tier inklusive. Discovery-Call buchen für Walkthrough.