Споразумение за обработка на данни

1. Страни

Настоящото Споразумение за обработка на данни ("DPA") се сключва между Клиента ("Администратор на данни") и YARDtwin Ltd, регистрирано в Ирландия ("Обработващ данни"), заедно наричани "Страните". Настоящото DPA е неразделна част от и се подчинява на YARDtwin Условия за ползване.

2. Обхват и цел

Обработващият обработва лични данни от името на Администратора единствено с цел предоставяне на платформата за управление на двора YARDtwin: планиране на докове, управление на портата, визуализация на дигиталния близнак на двора, управление на превозвачи и шофьори, одитна следа, създадена за GMP среди, анализи и интеграции. Обработването се извършва за срока на абонамента на Администратора и всеки период на съхранение, изискван от Раздел 11.

3. Категории субекти на данни

• Служители и администратори на Администратора (поименни потребители на платформата)
• Шофьори и логистичен персонал, регистрирани на портите на Администратора
• Представители на превозвачи и контакти за изпращане
• Персонал по охрана на портата и складови оператори

4. Видове лични данни

• Данни за самоличност: имена, имейл адреси, телефонни номера, длъжност/работна позиция, наименование и адрес на дружеството
• Данни за удостоверяване: пароли, хеширани с bcrypt (12 рунда), JWT токени за достъп и обновяване, времеви маркери на сесии, IP адреси, SSO идентификатори (Google, Microsoft)
• Оперативни данни: записи за часове, разпределения на докове, движения на ремаркета, протоколи от проверки, документи, възлагане на задачи, регистрационни номера на превозни средства
• Данни за шофьори: номера на шофьорски книжки и изображения на шофьорски книжки. Персоналът на портала може да направи снимка на лицето на шофьора като доказателство при портала. Когато даден обект включи AI сравнение на лица, нашият AI доставчик (Anthropic) сравнява тази снимка едно към едно със снимката от шофьорската книжка или съхранената снимка на шофьора, за да помогне на персонала да потвърди самоличността му. Резултатът е препоръка: персоналът на портала решава и може да допусне шофьор, чиято самоличност не е потвърдена от сравнението, като посочи причина. Всяко сравнение се записва на нашите сървъри заедно с резултата. Когато сравнението на лица е изключено (по подразбиране), никаква снимка на лице не се изпраща до AI доставчика и персоналът сравнява шофьора със снимката от шофьорската книжка сам; изображенията на шофьорските книжки все още се разчитат от AI, когато AI разчитането е включено. YARDtwin не съхранява шаблони на лица и не извършва идентификация едно към много.
• Одитни данни: действия на потребителите, времеви маркери, IP адреси, низове на потребителски агент, разлики между стари/нови стойности, GMP-маркирани записи

5. Задължения на обработващия данни

• Обработва лични данни само въз основа на документирани инструкции от Администратора (потребителският интерфейс и API на платформата представляват документирани инструкции)
• Гарантира, че лицата, упълномощени да обработват данни, са обвързани с договори за поверителност
• Прилага подходящи технически и организационни мерки за сигурност (чл. 32) — вж. Раздел 7 по-долу
• Да ангажира само подизпълнители по обработката, изброени в Раздел 6, за което Администраторът дава общо писмено разрешение; да предоставя най-малко 30 дни предизвестие за всеки нов подизпълнител по обработката, срещу когото Администраторът може да възрази (Раздел 6)
• Съдейства на Администратора при искания на субекти на данни (чл. 15–22) чрез DSAR крайните точки, описани в Раздел 9
• Да уведомява Администратора без излишно забавяне, и при всички случаи в рамките на 48 часа след узнаване за нарушение на сигурността на личните данни; да предоставя първоначално уведомление в рамките на 24 часа след всеки потвърден инцидент в сигурността, засягащ данните на Администратора (Раздел 8)
• Изтрива или връща всички лични данни при прекратяване на услугите (Раздел 11)
• Предоставя цялата необходима информация за демонстриране на съответствие и подпомага одитите (Раздел 12)

6. Подизпълнители по обработката

Обработващият понастоящем ангажира следните подизпълнители по обработката, всеки от които действа въз основа на Споразумение за обработка на данни и (където е приложимо) Стандартни договорни клаузи 2021:

Администраторът дава общо писмено разрешение за изброените по-горе подизпълнители по обработката. Обработващият ще предоставя най-малко 30 дни предизвестие за всеки нов подизпълнител по обработката; Администраторът може да възрази на разумни основания и, ако възражението не може да бъде разрешено, да прекрати засегнатата услуга без санкция.

Услуги само за уебсайта (без оперативни данни на клиенти)

Те функционират само на публичния уебсайт. Не получават оперативни данни на клиенти и не са техни подизпълнители; тези, които задават бисквитки, се зареждат само със съгласие.

7. Мерки за сигурност (чл. 32)

• Криптиране при пренос: TLS 1.2+ на всяка крайна точка; сертификати, управлявани от Microsoft Azure (DigiCert)
• Криптиране в покой: Прозрачно криптиране на данни в Azure Postgres Flexible Server; криптиране на Azure Blob Storage
• Изображения на шофьорски книжки и подписи: Изображенията на шофьорски книжки и подписите са криптирани в покой с AES-256 от Azure Storage и Azure Database for PostgreSQL (ключове, управлявани от Microsoft), а достъпът до тях е ограничен според ролята и организацията
• Хеширане на пароли: bcrypt, 12 итерации
• Удостоверяване: JWT токени за достъп (изтичане след 1 час) и токени за обновяване (изтичане след 7 дни, ротирани при използване, никога не са валидни повече от 30 дни след влизане). Единично влизане (SAML 2.0, Google, Microsoft); времево базирана еднократна парола MFA — задължителна за администраторите на платформата и достъпна за всички потребители
• Изолация на наематели: наложено на ниво сървър чрез обхват на наемателя и тествано автоматично преди всяко издание: проверката за издание при кръстосан наемател извиква API като една организация с идентификатори на записи на друга организация, а изданието се блокира, ако данни на тази организация могат да бъдат прочетени или променени
• Контрол на достъпа въз основа на роли: разрешения, базирани на роли, за удостоверени маршрути, с обхват на наемателя, наложен на ниво сървър
• Защитна стена за уеб приложения: Azure Front Door WAF в режим на превенция (Prevention mode) с персонализирани правила за ограничаване на честотата на заявките за крайните точки за удостоверяване, регистрация, нулиране на парола и заявки на субекти на данни, плюс защита от DDoS атаки на ниво L7 на ниво платформа. Не е свързан управляван набор от правила на OWASP — това изисква ниво Front Door Premium.
• Ограничаване на заявките: лимити по маршрут, по-строги за крайните точки за удостоверяване; проследяване на опити в паметта и с персистиране
• Одитна следа: с възможност за откриване на подправяне и само за добавяне (наложено на ниво база данни), GMP-релевантните записи са маркирани отделно и се съхраняват най-малко 7 години докато тече договорът за услуги (в края на договора се експортират на Администратора на данни, освен ако Администраторът на данни не откаже експорта писмено или не може да бъде достигнат след разумни опити, след което се изтриват — Раздел 11), останалите записи — 365 дни, псевдонимизирани (не изтрити) при искане за заличаване по чл. 17 въз основа на чл. 17(3)(б)
• Непрекъснато наблюдение: Azure Application Insights; тест за наличност на уебсайта на всеки 10 минути; предупреждение за отклонение в схемата (прозорец от 15 минути); предупреждение при повече от 10 сървърни грешки (HTTP 5xx) в рамките на 5 минути; и работник за мониторинг на пробиви, който проверява одитния журнал на всеки 5 минути за пикове на неуспешни влизания (10 или повече за един акаунт в рамките на час), опити за влизане в един акаунт от 5 или повече IP адреса в рамките на 24 часа и успешни влизания от IP адрес, невиждан за този потребител през последните 30 дни
• Верига за доставка на софтуер: Всяка заявка за промяна трябва да премине npm audit (уязвимости на зависимости), Semgrep (статичен анализ) и gitleaks (сканиране за тайни), преди да може да бъде слята, с advisory проверка чрез Trivy за сканиране на контейнерни изображения; тези проверки се изпълняват и при всяко изпращане към master и нощно, заедно с advisory OWASP ZAP базово сканиране (динамично тестване) на production сайта. Тайни: Azure Key Vault, достъпен чрез управлявана идентичност на App Service; без тайни в код, env файлове или контейнерни изображения

8. Уведомяване при нарушение на сигурността на личните данни

Обработващият уведомява Администратора без излишно забавяне, и във всеки случай в рамките на 48 часа от узнаването за нарушение на сигурността на лични данни, засягащо данните на Администратора, и изпраща първоначално уведомление в рамките на 24 часа от всеки потвърден инцидент, засягащ данните на Администратора. Уведомлението включва естеството на нарушението, категориите и приблизителния брой засегнати субекти на данни, вероятните последствия, предприетите или предложени мерки, и референтния номер в регистъра на нарушенията. Откритите аномалии се насочват към Azure Monitor Action Group. yardtwin-breach-actions; потвърдените инциденти се проследяват в таблицата на регистъра на нарушенията с обратно броене от 72 часа за DPC.

9. Права на субектите на данни

Обработващият предоставя на Администратора следните крайни точки за изпълнение на правата на субектите на данни в рамките на 30-дневния срок по чл. 12(3):

• POST /api/v1/dsar/export/by-email — машинно четим експорт, обхващащ чл. 15 (достъп) и чл. 20 (преносимост)
• POST /api/v1/dsar/erase/by-email — изтриване при проверено искане: собствените потребителски акаунти на лицето в избраните клиентски акаунти се анонимизират, а неговите сесии, токени, известия, чакащи покани, записи за бюлетин и регистрация и собственият му аватар се изтриват; оперативните записи, съхранявани от Администратора (резервации, записи от портата и посещенията, списък на шофьорите, контакти), се изброяват, за да може Администраторът да предприеме действия; одитната следа запазва анонимизирана препратка към извършителя за целостта по GMP (чл. 17, ал. 3, буква б))
• Портал за самообслужване на заявки на адрес /data-request

10. Международни предавания

Оперативните данни се съхраняват в рамките на Европейското икономическо пространство (Microsoft Azure, Sweden Central и Norway East). Стандартните договорни клаузи (2021) се прилагат към всяко предаване на данни към подизпълнител извън ЕИП; когато получателят е сертифициран по Рамката за защита на данните между ЕС и САЩ, тя също се прилага. Оценките на въздействието при предаване на данни са в процес на изготвяне (целева дата: ноември 2026 г.).

11. Срок, прекратяване и връщане на данни

Настоящото DPA остава в сила за срока на договора за услуги. При прекратяване:

• Администраторът може да експортира всичките си данни в рамките на 30 дни чрез вградените функции за експорт или по заявка
• След 30 дни Обработващият ще изтрие всички оперативни лични данни на Администратора
• Докато тече договорът за услуги, одитните дневници се съхраняват в псевдонимизиран вид: GMP-релевантните записи — най-малко 7 години след събитието, за да се изпълнят изискванията за съхранение на GMP записи (21 CFR Part 11 / EU GMP Annex 11; правно основание за отменяне на заличаването по чл. 17(3)(б)), останалите записи от одитния дневник — 365 дни. В края на договора, преди изтриването на данните на Администратора на данни, на Администратора на данни се предоставя пълен експорт на одитния му дневник с разписка за верификация, за да го съхранява за собствения си срок на съхранение на документи, освен ако не откаже експорта писмено или не може да бъде достигнат след разумни опити; след това Обработващият данни изтрива одитния дневник заедно с останалите данни на Администратора на данни. С изключение на резервните копия, описани по-долу, които изтичат по собствения си график, и собствения запис на Обработващия данни за предаването (разписката, хешовете и броячите на експорта, както и кой го е извършил и приел), одитният дневник се съхранява по-дълго само ако Администраторът на данни инструктира писмено Обработващия данни въз основа на отделно споразумение.
• Оперативните данни се изтриват в рамките на 30 дни след прекратяване на договора. Резервните копия на базата данни до момента (point-in-time) изтичат след 7 дни. Криптираните месечни архивни резервни копия се съхраняват до 7 години единствено за целите на аварийното възстановяване; те не се възстановяват освен за нуждите на възстановяване на услугата, данните в тях са извън употреба и изтичат заедно с резервното копие.
• Пълно резервно копие на базата данни се прави всяка нощ и се съхранява 35 дни в отделно криптирано хранилище в ЕИП (Sweden Central, с географска репликация в Sweden South); данните, изтрити от активната услуга, остават в тези резервни копия, извън употреба, до изтичането им.

12. Права на одит

Обработващият предоставя на Администратора цялата информация, необходима за доказване на съответствие с чл. 28 от GDPR. Клиентите могат да поискат: актуалния регистър на подизпълнителите, последния доклад от регресионни тестове за изолация на наемателите, резюмето на външния тест за проникване след провеждане на такъв (вж. GDPR Policy 11.1), и отговори на въпросник за сигурност на доставчика. По договорка е възможен разумен одит на място или дистанционно с предизвестие най-малко 30 дни, проведен от Администратора или независима трета страна, обвързана с поверителност. Обработващият не притежава сертификация по ISO 27001 или SOC 2 към момента; след постигане на сертификация по ISO 27001 (планирана за Q1 2027 г.) Обработващият ще предложи сертификата като заместващо доказателство.

13. Отговорност и приложимо право

Отговорността по настоящото DPA е предмет на ограниченията, посочени в YARDtwin Условия за ползване. Настоящото DPA се урежда от законодателството на Ирландия и Общия регламент на ЕС за защита на данните (GDPR). Всички спорове са подсъдни на съдилищата на Ирландия.

14. Контакти

За въпроси относно това DPA, за заявка на преглед на копие (подписано от двете страни издание се издава след завършване на регистрацията на компанията) или за упражняване на някое от посочените по-горе права, се свържете с admin@yardtwin.com или лицето за контакт по защита на данните на адрес dpo@yardtwin.com. Това е функционална пощенска кутия, наблюдавана от лицето, отговорно за защита на данните в YARDtwin Ltd. YARDtwin не е определило законоустановен Длъжностно лице по защита на данните съгласно член 37 от GDPR, което не е задължително за неговата дейност по обработване (GDPR Policy 11.2); адресът за контакт е публикуван вместо името на физическо лице.