Сигурност в YARDtwin

YARDtwin работи на Microsoft Azure с изчислителни ресурси в Norway East и Sweden Central за данни, регистър и тайни. Клиентските данни се съхраняват в ЕС/ЕИП; ограничените трансфери към подизпълнители извън ЕИП са изброени по-долу и обхванати от Стандартни договорни клаузи.

• App Service (Linux Container) — Норвегия Изток
• Azure PostgreSQL Flexible Server — Швеция Централна
• Azure Blob Storage — Норвегия Изток, частни контейнери
• Azure Key Vault — Швеция Централна, контролиран с RBAC
• Azure Front Door + WAF — режим на превенция (Prevention mode), персонализирани правила за ограничаване на честотата на заявките
• Azure Monitor с известия за грешки, латентност и наличност, плюс известия от Azure Service Health

Клиентските данни се хостват в региони на Microsoft Azure в ЕС/ЕИП — Норвегия Изток (приложение, съхранение) и Швеция Централна (база данни, тайни). Норвегия е държава от ЕИП, в която се прилага GDPR, поради което това е договореност в рамките на ЕИП, която не изисква механизъм за прехвърляне по Глава V. Създаването на ресурси извън одобрените региони е блокирано на ниво платформа чрез назначение „Deny“ на Azure Policy, така че клиентски данни не могат да бъдат осигурени извън ЕС/ЕИП. Някои функции изпращат данни до подизпълнителите, изброени по-долу (и на /subprocessors), включително такива извън ЕИП — например Anthropic в САЩ за AI функции, както и доставчика на услуги за доставка на имейли — въз основа на Стандартни договорни клаузи на ЕС (и Рамката за защита на личните данни ЕС-САЩ, когато получателят е сертифициран); изпращат се само минимално необходимите данни.

YARDtwin използва малък, проверен набор от подизпълнители на обработка за предоставяне на услугата. Всеки е обвързан със Споразумение за обработка на данни. Поддържаме този регистър и уведомяваме клиентите за съществени промени в съответствие с член 28 от GDPR.

Услуги само за уебсайта (без оперативни данни на клиенти)

Те функционират само на публичния уебсайт. Не получават оперативни данни на клиенти и не са техни подизпълнители; тези, които задават бисквитки, се зареждат само със съгласие.

YARDtwin използва AI за четене на шофьорски книжки и транспортни документи (OCR), за сравнение на снимката на шофьора, направена на портала, едно към едно с книжката или съхранената снимка на шофьора, където обектът е активирал тази функция, за захранване на вградения асистент и за генериране на гласови указания. AI обработката е помощна: резултатите се представят на служител — например на охраняван портал операторът потвърждава всяко регистриране при влизане. Когато обектът е активирал автоматично регистриране чрез камери за разпознаване на регистрационни номера или безобслужван портал, камион, чиято резервация съвпада точно, се регистрира без оператор, а всички останали случаи се предават на персонала на портала. YARDtwin не взема автоматизирани решения, пораждащи правни или сходно значими последици за физически лица (GDPR Член 22).

• Клиентските данни не се използват за обучение на AI модели на трети страни — нашите AI подизпълнители обработват данни само за да върнат резултат по вашата заявка.
• Минимизиране на данните: AI OCR на документи може да бъде изключен за всеки обект поотделно, така че обекти, предпочитащи ръчно въвеждане, никога не изпращат документи до AI доставчик.
• Човешки надзор: извлечените полета могат да се преглеждат и редактират, преди да бъдат записани в регистъра.

Строга Content Security Policy с nonce на заявка за скриптове (без unsafe-inline). Пълен набор от заглавки за сигурност при всеки отговор: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Все още не е извършен тест за проникване от трета страна; независим тест е планиран преди първото внедряване в корпоративна среда. Вътрешен одит на кода (white-box) беше завършен през октомври 2026 г. и всички критични констатации бяха отстранени.

Функционално тестване на сигурността на 11 април 2026 г., обхващащо 1 890+ API извиквания при 270 записа: 0 неуспехи.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Резервни копия: възстановяване по точка във времето за 7 дни, плюс месечни криптирани резервни копия, съхранявани до 7 години съгласно политика за непроменяемост, базирана на времето, която блокира изтриването и презаписването (политиката все още не е заключена).
• Ежедневно архивиране: пълно копие на базата данни, правено всяка нощ и съхранявано в продължение на 35 дни в отделно криптирано хранилище в ЕИП (Швеция Централен, георепликирано към Швеция Юг).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Цялостност на данните (ALCOA+), одит журнал само за добавяне, електронни записи, контрол на достъпа, валидиран
• 21 CFR Part 11 — Електронни записи, одит журнал, атрибуция, верига на попечителство на печатите
• GDPR — Преносимост на данните (JSON + CSV), работен процес за DSAR, проследяване на съгласието, резидентност само в ЕС/ЕИП
• ISO 27001 — Програмата за сертификация е в ход; одитът за сертифициране е планиран за Q1 2027; целеви срок за получаване на сертификата — Q1 2027
• SOC 2 — Не се притежава. Достъпно при поискване след ISO 27001 сертификация.

• Vendor Assurance Pack v1.2 — Индекс на документи за QMS, категоризация по GAMP 5, съпоставяния на клаузи от EU GMP Annex 11 и 21 CFR Part 11, декларация ALCOA+, архитектура на сигурността, попълнен CAIQ-Lite, всички корекции към v1.1 и пълен списък на отворените точки. PDF, без необходима регистрация.
• Контролен списък за готовност за GMP одит на операциите в двора — 101 проверки в 12 области за оценка на собствения ви двор спрямо Annex 11, 21 CFR Part 11 и насоките на ЕС за GDP.
• Споразумение за обработка на данни — копие за преглед при поискване от dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• Политика по GDPR
• Политика за поверителност
• security.txt
• Страница за статус на услугата — актуален самоотчетен статус на платформата, ангажименти за наличност и история на инцидентите.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Приветстваме сигнали от изследователи по сигурността. Изпратете имейл на admin@yardtwin.comс описание на констатацията и стъпки за възпроизвеждане. Потвърждаваме получаването в рамките на 2 работни дни и се стремим да отстраним критичните проблеми в рамките на 7 дни. Моля, не разкривайте публично уязвимости, преди да сме имали възможност да ги отстраним.

Въпроси относно лични данни, DPA, подизпълнители по обработване или права на субектите на данни се изпращат до dpo@yardtwin.com. Това е функционална пощенска кутия, наблюдавана от лицето, отговорно за защита на данните в YARDtwin Ltd. YARDtwin не е определило законоустановено Длъжностно лице по защита на данните съгласно член 37 от GDPR, което не е задължително за неговата дейност по обработване; публикуваме адреса за контакт, а не името на физическо лице. Заявките на субекти на данни могат да бъдат подадени и чрез портала DSAR. /data-request