Bezpečnost v YARDtwin

YARDtwin běží na Microsoft Azure s výpočetními prostředky v Norway East a daty, registry a tajnými klíči ve Sweden Central. Veškerá zákaznická data zůstávají v EU/EEA v souladu s GDPR, články 44–49.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privátní kontejnery
• Azure Key Vault — Sweden Central, řízeno přes RBAC
• Azure Front Door + WAF — režim prevence
• Log Analytics + Microsoft Sentinel — uchovávání po dobu 90 dní

All customer data is stored and processed within the EU/EEA — hosted in Microsoft Azure’s Ireland and West/North Europe regions. Creation of resources outside the approved EU regions is blocked at the platform level by an Azure Policy “Deny” rule, so customer data cannot be provisioned outside the EU/EEA. Where a limited-scope sub-processor operates outside the EU (for example AI OCR or email delivery), transfers are governed by EU Standard Contractual Clauses and only the minimum data necessary is sent.

YARDtwin uses a small, vetted set of sub-processors to deliver the service. Each is bound by a Data Processing Agreement. We maintain this register and notify customers of material changes in line with GDPR Article 28.

YARDtwin uses AI to read driver licences and shipping documents (OCR), to power the in-app assistant, and to generate voice guidance. AI processing is assistive: its output is presented to a person — for example a gate operator confirms every check-in — and YARDtwin does not make automated decisions producing legal or similarly significant effects on individuals (GDPR Article 22).

• Customer data is not used to train third-party AI models — our AI sub-processors process data only to return a result for your request.
• Data minimisation: AI document OCR can be switched off per site, so sites that prefer manual entry never send documents to an AI provider.
• Human oversight: extracted fields are reviewable and editable before they are committed to the record.

Přísná CSP s nonces pro jednotlivé požadavky na skripty (bez unsafe-inline). Kompletní sada bezpečnostních hlaviček vrácených při každé odpovědi: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Nezávislé penetrační testování ve dnech 17.–18. dubna 2026 (10 kategorií OWASP, 36 payloadů): 0 zranitelností.Funkční bezpečnostní testování dne 11. dubna 2026 pokrývající více než 1 890 API volání na 270 rezervací: 0 selhání.Každoroční penetrační test třetí stranou je naplánován a probíhá audit SOC 2 Type II.

• EU GMP Annex 11 — Integrita dat (ALCOA+), append-only auditní záznam, elektronické záznamy, řízení přístupu, validováno
• 21 CFR Part 11 — Elektronické záznamy, auditní záznam, atribuce, řetězec custody pečetí
• GDPR — Přenositelnost dat (JSON + CSV), pracovní postup DSAR, sledování souhlasů, rezidence výhradně v EU/EEA
• SOC 2 Type II — Audit probíhá

• Šablona smlouvy o zpracování dat (DPA) — pro přezkum a podpis podnikem
• Zásady GDPR
• Zásady ochrany osobních údajů
• security.txt

Vítáme hlášení od bezpečnostních výzkumníků. Napište nám e-mail na admin@yardtwin.coms popisem zjištění a kroky k reprodukci. Potvrzení přijetí zašleme do 2 pracovních dnů a kritické problémy se snažíme opravit do 7 dnů. Prosíme, nezveřejňujte zranitelnosti, dokud jsme neměli příležitost je napravit.