Bezpečnost v YARDtwin

YARDtwin běží na platformě Microsoft Azure s výpočetními prostředky v oblasti Norway East a daty, registry a tajnými klíči v oblasti Sweden Central. Zákaznická data jsou uložena v EU/EEA; omezené přenosy k dílčím zpracovatelům mimo EEA jsou uvedeny níže a kryty standardními smluvními doložkami.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privátní kontejnery
• Azure Key Vault — Sweden Central, řízeno přes RBAC
• Azure Front Door + WAF — režim Prevention, vlastní pravidla omezení četnosti požadavků
• Azure Monitor upozornění na chyby, latenci a dostupnost, plus upozornění Azure Service Health

Data zákazníků jsou hostována v oblastech Microsoft Azure v EU/EHP — Norway East (aplikace, úložiště) a Sweden Central (databáze, tajné klíče). Norsko je státem EHP, v němž se GDPR uplatňuje, takže se jedná o uspořádání v rámci EHP, které nevyžaduje žádný mechanismus předávání podle kapitoly V. Vytváření prostředků mimo schválené oblasti je na úrovni platformy blokováno přiřazením zásady Azure „Odepřít", takže data zákazníků nemohou být zřízena mimo EU/EHP. Některé funkce odesílají data dílčím zpracovatelům uvedeným níže (a na adrese /subprocessors), včetně některých mimo EHP — například Anthropic v USA pro funkce AI a doručování e-mailů — na základě standardních smluvních doložek EU (a rámce EU–USA pro ochranu soukromí údajů, pokud je příjemce certifikován); jsou odesílána pouze nezbytně nutná data.

YARDtwin využívá malý, prověřený okruh dílčích zpracovatelů k poskytování služby. Každý z nich je vázán smlouvou o zpracování údajů (DPA). Tento registr udržujeme aktuální a zákazníky informujeme o podstatných změnách v souladu s článkem 28 GDPR.

Služby pouze pro webové stránky (bez provozních dat zákazníků)

Tyto služby fungují pouze na veřejném webu. Nepřijímají žádná provozní data zákazníků a nejsou jejich zpracovateli; ty z nich, které nastavují cookies, se načítají pouze se souhlasem.

YARDtwin využívá AI ke čtení řidičských průkazů a přepravních dokladů (OCR), k porovnání fotografie řidiče pořízené u brány s průkazem nebo uloženou fotografií řidiče metodou 1:1 na pracovištích, kde je tato funkce zapnutá, k pohánění asistenta v aplikaci a ke generování hlasového navádění. Zpracování pomocí AI má podpůrnou funkci: jeho výstup je předkládán člověku — například na obsazené bráně operátor brány potvrdí každé odbavení. Pokud pracoviště zapne automatické odbavení prostřednictvím kamer pro rozpoznávání SPZ nebo bezobslužné brány, je nákladní vozidlo, jehož rezervace odpovídá bez výhrad, odbaveno bez operátora brány; vše ostatní je předáno pracovníkům brány. YARDtwin neprovádí automatizované rozhodování s právními nebo obdobně závažnými dopady na fyzické osoby (GDPR článek 22).

• Zákaznická data nejsou používána k trénování modelů AI třetích stran — naši dílčí zpracovatelé AI zpracovávají data výhradně za účelem vrácení výsledku pro váš požadavek.
• Minimalizace dat: OCR dokumentů pomocí AI lze vypnout pro každý provoz zvlášť, takže provozy preferující ruční zadávání nikdy neodesílají dokumenty poskytovateli AI.
• Lidský dohled: extrahovaná pole lze před uložením do záznamu zkontrolovat a upravit.

Přísná CSP s nonces pro jednotlivé požadavky na skripty (bez unsafe-inline). Kompletní sada bezpečnostních hlaviček vrácených při každé odpovědi: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Zatím nebyl proveden žádný penetrační test třetí stranou; nezávislý test je plánován před prvním spuštěním pro podnikové zákazníky. Interní audit kódu metodou white-box byl dokončen v říjnu 2026 a všechny kritické nálezy byly opraveny.

Funkční bezpečnostní testování dne 11. dubna 2026 pokrývající více než 1 890 API volání na 270 rezervací: 0 selhání.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Zálohy: obnova k libovolnému bodu v čase za posledních 7 dní, plus měsíční šifrované zálohy uchovávané až 7 let v rámci časově omezené politiky neměnnosti, která blokuje mazání a přepisování (politika dosud nezamčena).
• Denní záloha: úplná kopie databáze pořízená každou noc a uchovávána po dobu 35 dní v samostatném šifrovaném úložišti v EEA (Sweden Central, geograficky replikováno do Sweden South).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Integrita dat (ALCOA+), append-only auditní záznam, elektronické záznamy, řízení přístupu, validováno
• 21 CFR Part 11 — Elektronické záznamy, auditní záznam, atribuce, řetězec custody pečetí
• GDPR — Přenositelnost dat (JSON + CSV), pracovní postup DSAR, sledování souhlasů, rezidence výhradně v EU/EEA
• ISO 27001 — Certifikační program probíhá; certifikační audit plánován na Q1 2027; cílový termín získání certifikátu Q1 2027
• SOC 2 — Certifikace není držena. K dispozici na vyžádání po získání certifikace ISO 27001.

• Vendor Assurance Pack v1.2 — Index dokumentů QMS, kategorizace podle GAMP 5, mapování doložek EU GMP Annex 11 a 21 CFR Part 11, prohlášení ALCOA+, bezpečnostní architektura, vyplněný CAIQ-Lite, veškeré opravy od verze 1.1 a úplný seznam otevřených položek. PDF, bez nutnosti vyplňovat formulář.
• Kontrolní seznam GMP připravenosti na audit provozu skladu — 101 kontrol ve 12 oblastech pro posouzení vlastního skladu podle Annex 11, 21 CFR Part 11 a pokynů EU GDP.
• Smlouva o zpracování údajů (DPA) — kopie k nahlédnutí na vyžádání od dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• Zásady GDPR
• Zásady ochrany osobních údajů
• security.txt
• Stránka stavu služby — aktuální stav platformy, jak jej sami vykazujeme, závazky dostupnosti a historie incidentů.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Vítáme hlášení od bezpečnostních výzkumníků. Napište nám e-mail na admin@yardtwin.coms popisem zjištění a kroky k reprodukci. Potvrzení přijetí zašleme do 2 pracovních dnů a kritické problémy se snažíme opravit do 7 dnů. Prosíme, nezveřejňujte zranitelnosti, dokud jsme neměli příležitost je napravit.

Dotazy týkající se osobních údajů, DPA, dílčích zpracovatelů nebo práv subjektů údajů zasílejte na adresu dpo@yardtwin.com. Jedná se o skupinovou poštovní schránku sledovanou osobou odpovědnou za ochranu osobních údajů ve společnosti YARDtwin Ltd. YARDtwin nejmenoval zákonného pověřence pro ochranu osobních údajů podle článku 37 GDPR, což není pro jeho zpracování povinné; zveřejňujeme kontaktní adresu namísto jména konkrétní osoby. Žádosti subjektů údajů lze rovněž podávat prostřednictvím portálu DSAR. /data-request