Сигурност в YARDtwin

YARDtwin работи на Microsoft Azure с изчислителни ресурси в Норвегия Изток и Швеция Централна за данни, регистри и тайни. Всички клиентски данни остават в рамките на ЕС/ЕИП, в съответствие с членове 44–49 от GDPR.

• App Service (Linux Container) — Норвегия Изток
• Azure PostgreSQL Flexible Server — Швеция Централна
• Azure Blob Storage — Норвегия Изток, частни контейнери
• Azure Key Vault — Швеция Централна, контролиран с RBAC
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — задържане 90 дни

Всички клиентски данни се съхраняват и обработват в рамките на ЕС/ЕИП — хоствани в регионите Norway East (приложение, съхранение) и Sweden Central (база данни, тайни) на Microsoft Azure. Норвегия е държава от ЕИП, в която се прилага GDPR, поради което това е вътрешноеиповска договореност, която не изисква механизъм за прехвърляне по Глава V. Създаването на ресурси извън одобрените региони е блокирано на платформено ниво чрез Azure Policy с присвояване "Deny", така че клиентските данни не могат да бъдат осигурени извън ЕС/ЕИП. Когато подизпълнител с ограничен обхват оперира извън ЕИП (например AI OCR или доставка на имейли), прехвърлянията се уреждат от Стандартните договорни клаузи на ЕС и се изпращат само минимално необходимите данни.

YARDtwin използва малък, проверен набор от подизпълнители на обработка за предоставяне на услугата. Всеки е обвързан със Споразумение за обработка на данни. Поддържаме този регистър и уведомяваме клиентите за съществени промени в съответствие с член 28 от GDPR.

YARDtwin използва AI за четене на шофьорски книжки и товарни документи (OCR), за захранване на вградения асистент и за генериране на гласово ръководство. AI обработката е асистивна: резултатът се представя на човек — например оператор на портала потвърждава всяко влизане — и YARDtwin не взема автоматизирани решения, пораждащи правни или подобно значими последици за физически лица (член 22 от GDPR).

• Клиентските данни не се използват за обучение на AI модели на трети страни — нашите AI подизпълнители обработват данни само за да върнат резултат по вашата заявка.
• Минимизиране на данните: AI OCR на документи може да бъде изключен за всеки обект поотделно, така че обекти, предпочитащи ръчно въвеждане, никога не изпращат документи до AI доставчик.
• Човешки надзор: извлечените полета могат да се преглеждат и редактират, преди да бъдат записани в регистъра.

Строга Content Security Policy с nonce на заявка за скриптове (без unsafe-inline). Пълен набор от заглавки за сигурност при всеки отговор: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Независимо тестване за проникване на 17–18 април 2026 г. (10 категории OWASP, 36 полезни товара): 0 уязвимости.Функционално тестване на сигурността на 11 април 2026 г., обхващащо 1 890+ API извиквания при 270 записа: 0 неуспехи.Годишен pentest от трета страна е планиран, а SOC 2 Type II одитът е в процес.

• EU GMP Annex 11 — Цялостност на данните (ALCOA+), одит журнал само за добавяне, електронни записи, контрол на достъпа, валидиран
• 21 CFR Part 11 — Електронни записи, одит журнал, атрибуция, верига на попечителство на печатите
• GDPR — Преносимост на данните (JSON + CSV), работен процес за DSAR, проследяване на съгласието, резидентност само в ЕС/ЕИП
• SOC 2 Type II — Одитът е в процес

• Пакет за осигуряване на доставчик (PDF) — Индекс на QMS документи, категоризация по GAMP 5, съответствие с клаузи от Annex 11 и 21 CFR Part 11, декларация ALCOA+, архитектура на сигурността, попълнен CAIQ-Lite и пълен списък на все още непритежавани от нас документи. Не се изисква формуляр.
• Контролен списък за готовност за GMP одит на операциите в двора — 101 проверки в 12 области за оценка на собствения ви двор спрямо Annex 11, 21 CFR Part 11 и насоките на ЕС за GDP.
• Шаблон на Споразумение за обработка на данни (DPA) — за корпоративен преглед и подпис
• Политика по GDPR
• Политика за поверителност
• security.txt
• Страница за статус на услугата — актуален самоотчетен статус на платформата, ангажименти за наличност и история на инцидентите.

Приветстваме сигнали от изследователи по сигурността. Изпратете имейл на admin@yardtwin.comс описание на констатацията и стъпки за възпроизвеждане. Потвърждаваме получаването в рамките на 2 работни дни и се стремим да отстраним критичните проблеми в рамките на 7 дни. Моля, не разкривайте публично уязвимости, преди да сме имали възможност да ги отстраним.