Zásady ochrany osobních údajů
Poslední aktualizace: 17. října 2026 · verze 3.4 · Změny ve verzi 3.4: oddíly 2, 5 a 6 — na konci smlouvy obdrží zákazník úplný export svého auditního protokolu před jeho výmazem, pokud jej písemně neodmítne nebo pokud s ním nelze navázat kontakt po přiměřených pokusech; YARDtwin poté uchovává záznamy auditního protokolu pouze na základě písemného pokynu zákazníka, s výjimkou záloh do doby jejich vypršení a vlastního záznamu o předání.
1. Kdo jsme
YARDtwin™ je platforma pro správu dvoru provozovaná společností YARDtwin Ltd ("my", "nás", "naše"), registrovanou v Irsku. Poskytujeme cloudový software pro řízení dvorových operací, včetně plánování nakládacích ramp, automatizace brán, sledování přívěsů a analytiky.
Kontakt na správce dat: admin@yardtwin.com. Žádost můžete také podat prostřednictvím našeho Portál žádostí subjektů údajů
2. Data, která shromažďujeme
Shromažďujeme následující kategorie osobních údajů:
3. Jak používáme vaše údaje
Poskytování služeb: Zpracování schůzek, správa doků, sledování návěsů, generování analytik a poskytování všech funkcí platformy, ke kterým jste se přihlásili.
Doporučení Smart Slots: Za účelem generování doporučení rezervací prostřednictvím Smart Slots zpracováváme provozní data, včetně časů rezervací, identity dopravce, přiřazení doků, nastavených přestávkových oken a historických vzorců příjezdů. Toto zpracování probíhá výhradně v rámci vašeho tenantu a v Fázi 1 není využíváno k trénování modelů napříč zákazníky. Osobní údaje řidičů (jméno, telefon, fotografie) nejsou nikdy použity jako vstup pro Smart Slots — engine pracuje s identitou dopravce, nikoli s identitou řidiče. Přetrénování ve Fázi 2 (po zavedení) probíhá standardně per-tenant; trénování napříč tenanty by vyžadovalo výslovný opt-in prostřednictvím konfigurace pracoviště a samostatný dodatek DPA. Viz stránka Smart Slots pro podrobnosti.
Správa účtu: Ověřování uživatelů, řízení přístupu na základě rolí, fakturace předplatného a izolace tenantů.
Bezpečnost a shoda: Vedení auditních záznamů pro soulad s GMP (21 CFR Part 11, EU Annex 11), detekce podvodů a bezpečnostní monitoring.
Komunikace: Zasílání měsíčních newsletterů (s výslovným souhlasem opt-in), systémových oznámení a aktualizací služeb.
Zlepšování: Agregovaná, anonymizovaná analytika pro zlepšování výkonu a funkcí platformy.
4. Právní základy zpracování
Plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR): Zpracování nezbytné pro poskytování služby YARDtwin v souladu s vaším předplatným.
Oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR): Bezpečnostní protokolování, prevence podvodů a zlepšování platformy, pokud náš zájem nepřevažuje nad vašimi právy.
Souhlas (čl. 6 odst. 1 písm. a) GDPR): Odběr newsletteru a marketingová komunikace, které můžete kdykoli odvolat.
Právní povinnost (čl. 6 odst. 1 písm. c) GDPR): Uchovávání auditních dat za účelem dodržení farmaceutických regulatorních požadavků (GMP/GDP).
5. Zabezpečení dat
Šifrování při přenosu: Veškerá data přenášena prostřednictvím TLS 1.2+ (HTTPS). Certifikáty TLS spravuje Microsoft Azure (DigiCert).
Šifrování v klidu: Azure PostgreSQL Flexible Server s transparentním šifrováním dat. Šifrování Azure Blob Storage pro dokumenty a obrázky. Snímky řidičských průkazů a podpisy jsou v klidu šifrovány algoritmem AES-256 službami Azure Storage a Azure Database for PostgreSQL (klíče spravované společností Microsoft) a přístup k nim je omezen podle role a organizace. Hesla hashována pomocí bcrypt (12 kol).
Izolace více tenantů: Data každého zákazníka jsou logicky izolována pomocí ID tenantů, přičemž rozsah tenanta je vynucován na straně serveru. Izolace tenantů je automaticky testována před každým vydáním: brána vydání provede křížové ověření voláním API jako jedna organizace s ID záznamů jiné organizace a vydání je zablokováno, pokud lze jakákoli data této organizace přečíst nebo změnit.
Řízení přístupu na základě rolí: Oprávnění založená na rolích pro ověřené trasy s vynucením rozsahu tenanta na straně serveru. Jednotné přihlašování (SSO) je podporováno prostřednictvím SAML 2.0, Google a Microsoft.
Omezení četnosti požadavků: Omezení četnosti požadavků API na všech trasách; přísnější limity na ověřovacích endpointech. Bezpečnostní hlavičky ve stylu Helmet na všech odpovědích.
Zabezpečení relací: Přístupové tokeny JWT s dobou platnosti 1 hodiny. Obnovovací tokeny vyprší po 7 dnech, jsou nahrazeny při každém použití a nikdy neprodlužují přihlášení nad 30 dní. Adresa přihlášení je zaznamenána s každou relací.
Auditní protokolování: Každá významná akce je zaznamenána s informacemi o uživateli, časovým razítkem, IP adresou a starými/novými hodnotami. Záznamy relevantní pro GMP jsou označeny samostatně. S detekcí neoprávněných změn a pouze pro přidávání, vynuceno v databázi; záznamy relevantní pro GMP jsou uchovávány po dobu alespoň 7 let po dobu trvání smlouvy o poskytování služeb, ostatní záznamy auditního protokolu po dobu 365 dní; na konci smlouvy je auditní protokol exportován zákazníkovi (pokud jej písemně neodmítne nebo pokud s ním nelze navázat kontakt po přiměřených pokusech) a poté vymazán.
Průběžný monitoring: Azure Application Insights s upozorněním na odchylku schématu (Postgres "column / relation does not exist" → spuštění do 15 min). Sonda end-to-end /health/db-write ověřuje schopnost aplikace zapisovat a číst při každém nasazení.
Infrastruktura: Provozováno na Microsoft Azure v regionech Sweden Central + Norway East (EHP). Kontejnerizované nasazení prostřednictvím Azure Container Registry se vzorem staging-slot-then-swap. Tajné klíče jsou uloženy v Azure Key Vault a přístupné přes spravovanou identitu. Obnova databáze Postgres k libovolnému bodu v čase za posledních 7 dní, plus měsíční šifrované zálohy uchovávané po dobu až 7 let v rámci časově omezené zásady neměnnosti blokující mazání a přepisování (zásada dosud není uzamčena). Každou noc je pořízena úplná záloha databáze, která je uchovávána po dobu 35 dní v samostatném šifrovaném úložišti v EEA (Sweden Central, geograficky replikováno do Sweden South); data vymazaná z aktivní služby zůstávají v těchto zálohách mimo použití až do jejich vypršení.
Softwarový dodavatelský řetězec: Každý pull request musí projít kontrolami npm audit (zranitelnosti závislostí), Semgrep (statická analýza) a gitleaks (skenování tajných klíčů), než může být sloučen; jako poradní kontrola slouží skenování obrazu kontejneru nástrojem Trivy. Tyto kontroly se spouštějí také při každém pushu do větve master a každou noc, spolu s poradním základním skenem OWASP ZAP (dynamické testování) produkčního webu.
6. Uchovávání dat
Data účtu: Uchovávány po dobu trvání předplatného a smazány do 30 dní po jeho ukončení. Na základě žádosti o výmaz dle čl. 17 je účet pseudonymizován, aby byly zachovány odkazy v protokolech auditu.
Provozní data: Uchovávána po dobu trvání vašeho předplatného. Na vyžádání vám exportována před smazáním. Po skončení předplatného uchována nebo vrácena dle zákaznické smlouvy o zpracování dat (DPA).
Fotografie řidičů (snímky řidičských průkazů, fotografie tváře): Fotografie řidičských průkazů a obličeje se automaticky mažou po uplynutí doby nastavené pro provozovnu: 2–14 dní, výchozí 14 dní.
Obecné osobní údaje řidičů (jméno, telefon, e-mail, číslo průkazu): Jméno, telefon, e-mail a údaje o řidičském průkazu u uzavřené rezervace jsou anonymizovány po 365 dnech (záznam o rezervaci je uchován); protokol řidičů u brány uchovává identifikační údaje po dobu 90 dní. Obojí platí od okamžiku, kdy zákazník aktivuje plán uchovávání.
Auditní data: Záznamy auditního protokolu relevantní pro GMP jsou uchovávány po dobu alespoň 7 let od události po dobu trvání smlouvy o poskytování služeb, a to za účelem splnění požadavků farmaceutické regulace (GMP / 21 CFR Part 11); ostatní záznamy auditního protokolu po dobu 365 dní. Pseudonymizovány — nikoli vymazány — při výmazu subjektu údajů (zákonná výjimka podle čl. 17 odst. 3 písm. b)). Na konci smlouvy obdrží zákazník úplný export svého auditního protokolu, který si může uchovávat pro vlastní dobu uchovávání záznamů (pokud jej písemně neodmítne nebo pokud s ním nelze navázat kontakt po přiměřených pokusech), a YARDtwin jej poté vymaže; YARDtwin jej uchovává déle pouze na základě písemného pokynu zákazníka, s výjimkou záloh do doby jejich vypršení a vlastního záznamu o předání.
Data newsletteru: Uchovávány do odhlášení odběru. Poté je adresa uchována, označena jako odhlášená, výhradně za účelem respektování odhlášení; automatické odstranění po 30 dnech je plánováno.
Data relace: Přístupové tokeny vyprší po 1 hodině. Obnovovací token vyprší po 7 dnech (přihlášení trvá nejvýše 30 dní) a je zrušen při odhlášení; automatické odstraňování záznamů vypršelých tokenů je plánováno.
7. Sdílení dat a dílčí zpracovatelé
Vaše osobní údaje neprodáváme. Sdílíme data s následujícími dílčími zpracovateli, přičemž každý z nich jedná na základě smlouvy o zpracování dat (DPA) a (tam, kde je to relevantní) standardních smluvních doložek:
| Poskytovatel | Účel | Umístění | Záruka pro přenos |
|---|---|---|---|
| Microsoft Azure | Hosting, databáze a úložiště souborů | EHP — Sweden Central a Norway East (geograficky redundantní kopie nahraných souborů v Norway West) | Microsoft Products and Services DPA; data zůstávají v EHP |
| Anthropic | Čtení řidičských průkazů a dokumentů pomocí AI (ve výchozím nastavení zapnuto; správce webu může funkci vypnout), individuální porovnání fotografie řidiče pořízené u brány s řidičským průkazem nebo uloženou fotografií řidiče (ve výchozím nastavení vypnuto; správce webu může funkci zapnout nebo vypnout) a interní asistent v aplikaci | USA | Standardní smluvní doložky a posouzení dopadu přenosu (není certifikováno v rámci rámce EU–USA pro ochranu soukromí); data API nejsou používána k trénování modelu a jsou smazána do 30 dní v souladu se standardními komerčními podmínkami Anthropic |
| Resend | Transakční e-mail | USA | Standardní smluvní doložky (opětovná certifikace v rámci rámce EU–USA pro ochranu soukromí je ve fázi přezkoumání) |
| Stripe | Fakturační kontakt a platební údaje (YARDtwin neuchovává čísla karet) | EU / USA | Standardní smluvní doložky; PCI DSS Level 1 |
| Twilio | SMS a WhatsApp notifikace (pouze pokud je zákazník povolí) | USA | Standardní smluvní doložky |
| Google and Microsoft | Identifikační data pro přihlášení (pouze pokud zákazník tyto možnosti přihlášení používá) | EU / USA | Standardní smluvní doložky / EU-US Data Privacy Framework |
| ElevenLabs | Volitelný převod textu na řeč: hlasí odpovědi asistenta v aplikaci, které mohou obsahovat provozní údaje jako registrační značky vozidel, a hlas na veřejných stránkách | USA | Rámec EU–USA pro ochranu soukromí + standardní smluvní doložky |
Služby pouze pro webové stránky (bez provozních dat zákazníků)
Tyto služby fungují pouze na veřejném webu. Nepřijímají žádná provozní data zákazníků a nejsou jejich zpracovateli; ty z nich, které nastavují cookies, se načítají pouze se souhlasem.
| Poskytovatel | Účel | Umístění | Záruka pro přenos |
|---|---|---|---|
| LinkedIn Insight Tag | Měření marketingu na veřejných stránkách — načítá se pouze po udělení souhlasu s marketingovými cookies, nikdy uvnitř aplikace ani pro přihlášené uživatele | EU / USA | Souhlas; LinkedIn DPA se standardními smluvními doložkami |
Asistent v aplikaci: Výzvy asistenta obsahují to, co uživatel zadá, a provozní kontext jeho areálu (například registrační značky vozidel); nejsou používány k trénování modelu.
Použití jako reference zákazníka: Vaše jméno ani logo jako zákazníka zveřejníme pouze s vaším předchozím písemným souhlasem — viz Podmínky služby §6a.
Vaše organizace: Správci tenanta mohou v rámci standardní funkcionality platformy sledovat aktivitu uživatelů ve své vlastní organizaci.
Zákonné požadavky: Data můžeme zpřístupnit, pokud to vyžaduje zákon, soudní příkaz nebo ochrana našich právních zájmů.
8. Vaše práva
V rámci GDPR (a irského zákona o ochraně osobních údajů z roku 2018) máte právo na:
Chcete-li uplatnit jakékoli právo, podejte žádost prostřednictvím Portál žádostí subjektů údajů nebo e-mailem na admin@yardtwin.com. Odpovíme do 30 dnů.
Interně jsou žádosti vyřizovány naším administrativním týmem prostřednictvím dvou koncových bodů: POST /api/v1/dsar/export/by-email vytváří strojově čitelný JSON dokument obsahující veškeré záznamy, které evidujeme k dané e-mailové adrese (čl. 15 / 20); POST /api/v1/dsar/erase/by-email provádí výmaz na základě ověřené žádosti: anonymizuje vlastní uživatelské účty osoby ve vybraných zákaznických účtech a maže její relace, tokeny, oznámení, čekající pozvánky, záznamy o odběru newsletteru a registraci a vlastní avatar. Provozní záznamy vedené zákazníkem (rezervace, záznamy z brány a návštěv, seznam řidičů, kontakty) jsou záznamy zákazníka jako správce a jsou vypsány, aby s nimi zákazník mohl naložit; auditní stopa uchovává anonymizovaný odkaz na původce kvůli integritě GMP (čl. 17).
9. Soubory cookie
YARDtwin používá nezbytné cookies a localStorage pro ověřování relací (JWT tokeny). Banner pro správu souhlasu s cookies nabízí čtyři kategorie: nezbytné (vždy aktivní), funkční (předvolby), analytické (momentálně nevyužívané) a marketingové (LinkedIn Insight Tag pouze na veřejných stránkách webu – vyžaduje souhlas, nikdy uvnitř aplikace). Návštěvníci si mohou zvolit Odmítnout nepodstatné / Přizpůsobit / Přijmout vše. Předvolby jsou uloženy lokálně s označením verze; banner se znovu zobrazí při změně kategorií. Podrobný přehled cookies je uveden na Zásady používání cookies .
10. Mezinárodní přenosy
Vaše provozní data jsou uložena v Evropském hospodářském prostoru (EEA) na platformě Microsoft Azure (Sweden Central a Norway East). Dílčí zpracovatelé, kteří přijímají data mimo EEA, a přehled toho, co každý z nich přijímá, jsou uvedeni v části 7.
Na každý přenos mimo EEA se vztahují standardní smluvní doložky (2021); pokud je příjemce certifikován v rámci rámce ochrany osobních údajů EU–USA, spoléhá se i na tento základ. Posouzení dopadu přenosů jsou zpracovávána (cílový termín: listopad 2026).
11. Ochrana soukromí dětí
YARDtwin je platforma určená výhradně pro firemní zákazníky (B2B). Vědomě neshromažďujeme data od osob mladších 16 let.
12. Změny těchto zásad
Tyto zásady ochrany osobních údajů můžeme čas od času aktualizovat. O podstatných změnách budeme správce účtů informovat e-mailem a oznámením v rámci platformy. Pokračování v používání YARDtwin po provedení změn představuje jejich přijetí.
13. Kontakt a dozorový úřad
Správce údajů: YARDtwin Ltd · E-mail: admin@yardtwin.com
Kontakt pro ochranu osobních údajů: dpo@yardtwin.com
Dozorový úřad: Data Protection Commission (DPC), Irsko · www.dataprotection.ie