Databehandleraftale

1. Parter

Denne Databehandleraftale ("DPA") indgås mellem Kunden ("Dataansvarlig") og YARDtwin Ltd, registreret i Irland ("Databehandler"), samlet benævnt "Parterne". Denne DPA er en del af og underlagt YARDtwin Servicevilkår.

2. Omfang og formål

Databehandleren behandler personoplysninger på vegne af den Dataansvarlige udelukkende med henblik på at levere YARDtwin yard management-platformen: dockplanlægning, portoperationer, digital twin-gårdsvisualisering, transport- og chaufførstyring, GMP-kompatibelt revisionsspor, analyse og integrationer. Behandlingen udføres i løbet af den Dataansvarliges abonnementsperiode samt en eventuel opbevaringsperiode i henhold til afsnit 11.

3. Kategorier af registrerede

• Den Dataansvarliges medarbejdere og administratorer (navngivne brugere af platformen)
• Chauffører og logistikpersonale, der er tjekket ind ved den Dataansvarliges porte
• Transportørrepræsentanter og dispatchkontakter
• Vagter og lageroperatørpersonale

4. Typer af personoplysninger

• Identitetsoplysninger: navne, e-mailadresser, telefonnumre, stilling/jobtitel, virksomhedsnavn og -adresse
• Autentificeringsoplysninger: bcrypt-hashede adgangskoder (12 runder), JWT-adgangs- og opdateringstokens, sessionstidsstempler, IP-adresser, SSO-identifikatorer (Google, Microsoft)
• Driftsoplysninger: aftaler, dockfordeling, trailerbevægelser, inspektionsregistreringer, dokumenter, opgavetildeling, køretøjsregistreringer
• Chaufføroplysninger: kørekortnumre, kørekortbilleder, valgfrie ansigtsbilleder til biometrisk portverifikation (særlig kategori af data, art. 9 GDPR — behandles kun, hvor den Dataansvarlige har aktiveret biometrisk verifikation ved porten og har indhentet udtrykkeligt samtykke på indsamlingstidspunktet)
• Revisionsdata: brugerhandlinger, tidsstempler, IP-adresser, user-agent-strenge, gamle/nye værdidiffs, GMP-markerede poster

5. Databehandlerens forpligtelser

• Behandle personoplysninger udelukkende på baggrund af dokumenterede instruktioner fra den Dataansvarlige (platformens brugergrænseflade og API udgør dokumenterede instruktioner)
• Sikre, at personer med tilladelse til at behandle data er bundet af fortrolighedsaftaler
• Implementere passende tekniske og organisatoriske sikkerhedsforanstaltninger (Art. 32) — se Afsnit 7 nedenfor
• Ikke anvende underdatabehandlere uden forudgående skriftlig godkendelse; give 30 dages varsel ved enhver ny underdatabehandler (ret til indsigelse)
• Bistå den Dataansvarlige med registreredes anmodninger (Art. 15–22) via de DSAR-endpoints, der er beskrevet i Afsnit 9
• Underrette den Dataansvarlige om brud på persondatasikkerheden uden unødig forsinkelse og inden for 72 timer (Afsnit 8)
• Slette eller returnere alle personoplysninger ved ophør af tjenester (Afsnit 11)
• Stille alle nødvendige oplysninger til rådighed for at påvise overholdelse og understøtte revisioner (Afsnit 12)

6. Underdatabehandlere

Databehandleren anvender i øjeblikket følgende underdatabehandlere, som hver handler under en databehandleraftale og (hvor det er relevant) Standardkontraktbestemmelser 2021:

Kunder underrettes mindst 30 dage, inden en ny underdatabehandler tilføjes, med ret til at gøre indsigelse og opsige uden sanktion.

7. Sikkerhedsforanstaltninger (Art. 32)

• Kryptering under overførsel: TLS 1.2+ på alle endpoints; certifikater administreret af Microsoft Azure (DigiCert)
• Kryptering i hvile: Azure Postgres Flexible Server transparent datakryptering; Azure Blob Storage-kryptering
• Kryptering på feltniveau: AES-256-GCM for biometriske data (kørekortsbilleder, underskriftsbilleder), nøgler opbevaret i Azure Key Vault
• Password-hashing: bcrypt, 12 runder
• Autentifikation: JWT-adgangstokens (1 times udløb) + opdateringstokens (7 dages udløb, rotation ved brug); SSO via Google og Microsoft som MFA-ækvivalent
• Lejer-isolation: håndhævet på alle API-ruter, regressionstestet med 25-vektor-krydslejer-audit ved hver release
• Rollebaseret adgangsstyring: seks roller (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin), middleware med mindst-privilegium-princip
• Web Application Firewall: Azure Front Door + administreret WAF (OWASP Core Rule Set, botbeskyttelse, L7 DDoS)
• Hastighedsbegrænsning: grænser pr. rute, strengere på auth-endpoints; in-memory + vedvarende forsøgssporing
• Revisionslog: append-only på applikationslaget, 6 års opbevaring, GMP-relevante poster markeres separat, pseudonymiseres (slettes ikke) ved Art. 17-sletning under Art. 17(3)(b)
• Kontinuerlig overvågning: Azure Application Insights, skema-drift-alarm (15-minutters vindue), ende-til-ende /health/db-write-probe, brudovervågnings-anomaliarbejder (fejlloginforsøg, multi-IP-angreb, landeændrede logins, 5xx-rate)
• Software-forsyningskæde: npm audit, Trivy, Semgrep, gitleaks, OWASP ZAP ved hvert PR. Hemmeligheder: Azure Key Vault tilgås via App Service-administreret identitet; ingen hemmeligheder i kode, env-filer eller container-images

8. Anmeldelse af Brud på Persondatasikkerheden

Databehandleren skal underrette den dataansvarlige uden unødig forsinkelse og senest 72 timer efter at være blevet opmærksom på et brud på persondatasikkerheden, der berører den dataansvarliges data (Art. 33). Underretningen skal indeholde brudets karakter, kategorier og omtrentligt antal berørte registrerede, sandsynlige konsekvenser, trufne eller foreslåede foranstaltninger samt referencen i brudregisteret. Registrerede anomalier videresendes til Azure Monitor Action Group yardtwin-breach-actions; bekræftede hændelser spores i brudregistertabellen med en 72-timers DPC-nedtælling.

9. De Registreredes Rettigheder

Databehandleren stiller følgende endpoints til rådighed for den dataansvarlige med henblik på at opfylde de registreredes rettigheder inden for 30-dages-fristen i Art. 12(3):

• POST /api/v1/dsar/export/by-email — maskinlæsbar eksport der dækker Art. 15 (indsigt) og Art. 20 (dataportabilitet)
• POST /api/v1/dsar/erase/by-email — pseudonymisering på tværs af alle PII-tabeller, med bevarelse af revisionslog-opbevaring i henhold til Art. 17(3)(b)
• Selvbetjeningsportal til anmodninger på /data-request

10. Internationale Overførsler

Driftsmæssige data opbevares inden for Det Europæiske Økonomiske Samarbejdsområde (Microsoft Azure, Sverige Central + Norge Øst). Videreoverførsler til ikke-EØS-underdatabehandlere (Resend, Anthropic) er reguleret af Standard Contractual Clauses 2021 med dokumenterede Transfer Impact Assessments. Stripe kontraherer via Stripe Ireland (EØS primær).

11. Varighed, Opsigelse og Tilbagelevering af Data

Denne DPA forbliver gyldig i hele aftaleperioden for serviceaftalen. Ved opsigelse:

• Den dataansvarlige kan eksportere alle sine data inden for 30 dage via produktets eksportfunktioner eller på anmodning
• Efter 30 dage vil databehandleren slette alle den dataansvarliges driftsmæssige personoplysninger
• Revisionslogge opbevares i 6 år efter hændelsen i pseudonymiseret tilstand, som krævet af 21 CFR Part 11 / EU GMP Annex 11 (Art. 17(3)(b) tilsidesættelse af retslig forpligtelse)
• Sikkerhedskopier slettes inden for 7 dage efter driftsmæssig sletning, i overensstemmelse med point-in-time-gendannelsesvinduet

12. Revisionsrettigheder

Databehandleren skal stille alle oplysninger til rådighed for den dataansvarlige, der er nødvendige for at påvise overholdelse af Art. 28 GDPR. Kunder kan anmode om: kopier af relevante sikkerhedscertificeringer og revisionsrapporter (hvor disse foreligger), det aktuelle underdatabehandlerregister, den seneste rapport over regressionstest af lejer-isolation, det seneste eksterne penetrationstestresumé (når det foreligger, se GDPR-politik 11.1) samt svar på et leverandørsikkerhedsspørgeskema. Rimelige on-site- eller fjernrevisioner kan arrangeres med mindst 30 dages varsel, udført af den dataansvarlige eller en uafhængig tredjepart bundet af fortrolighed. Databehandleren vil prioritere ISO 27001 / SOC 2 Type II-rapporter som erstatningsdokumentation, når disse certificeringer er på plads.

13. Ansvar og Gældende Ret

Ansvaret i henhold til denne DPA er underlagt de begrænsninger, der er fastsat i YARDtwin Servicevilkår. Denne DPA er underlagt irsk lovgivning og EU's databeskyttelsesforordning (GDPR). Eventuelle tvister er underlagt de irske domstoles eksklusive jurisdiktion.

14. Kontakt

For spørgsmål om denne DPA, for at anmode om en kontrasigneret kopi eller for at udøve nogen af de ovennævnte rettigheder, kontakt admin@yardtwin.com eller databeskyttelsesrådgiveren på dpo@yardtwin.com. En ekstern deltids-DPO er ved at blive kontraheret (GDPR-politik 11.2); indtil ansættelse vil post sendt til dpo@yardtwin.com blive videresendt til admin@yardtwin.com.