Databehandleraftale

1. Parter

Denne Databehandleraftale ("DPA") indgås mellem Kunden ("Dataansvarlig") og YARDtwin Ltd, registreret i Irland ("Databehandler"), samlet benævnt "Parterne". Denne DPA er en del af og underlagt YARDtwin Servicevilkår.

2. Omfang og formål

Databehandleren behandler personoplysninger på vegne af den dataansvarlige udelukkende med henblik på at levere YARDtwin yard management-platformen: dokplanlægning, portoperationer, digital twin-visualisering af pladsen, fragtfører- og chaufførstyring, en revisionslog bygget til GMP-miljøer, analyser og integrationer. Behandlingen udføres i abonnementsperioden og enhver opbevaringsperiode, der kræves i henhold til afsnit 11.

3. Kategorier af registrerede

• Den Dataansvarliges medarbejdere og administratorer (navngivne brugere af platformen)
• Chauffører og logistikpersonale, der er tjekket ind ved den Dataansvarliges porte
• Transportørrepræsentanter og dispatchkontakter
• Vagter og lageroperatørpersonale

4. Typer af personoplysninger

• Identitetsoplysninger: navne, e-mailadresser, telefonnumre, stilling/jobtitel, virksomhedsnavn og -adresse
• Autentificeringsoplysninger: bcrypt-hashede adgangskoder (12 runder), JWT-adgangs- og opdateringstokens, sessionstidsstempler, IP-adresser, SSO-identifikatorer (Google, Microsoft)
• Driftsoplysninger: aftaler, dockfordeling, trailerbevægelser, inspektionsregistreringer, dokumenter, opgavetildeling, køretøjsregistreringer
• Chaufføroplysninger: kørekortnumre og kørekortbilleder. Portpersonalet kan tage et ansigtsfoto af chaufføren som portdokumentation. Hvor et sted aktiverer AI-ansigtssammenligning, sammenligner vores AI-udbyder (Anthropic) dette foto én-til-én med kørekortfotoet eller chaufførens lagrede foto for at hjælpe personalet med at bekræfte chaufførens identitet. Resultatet er vejledende: portpersonalet beslutter og kan give adgang til en chauffør, som sammenligningen ikke bekræftede, ved at angive en begrundelse. Hver sammenligning registreres på vores servere med sit resultat. Hvor ansigtssammenligning er deaktiveret (standard), sendes intet ansigtsfoto til AI-udbyderen, og personalet sammenligner selv chaufføren med kørekortfotoet; kørekortbilleder aflæses stadig af AI, hvor AI-aflæsning er aktiveret. YARDtwin gemmer ingen ansigtsskabeloner og foretager ingen én-til-mange-identifikation.
• Revisionsdata: brugerhandlinger, tidsstempler, IP-adresser, user-agent-strenge, gamle/nye værdidiffs, GMP-markerede poster

5. Databehandlerens forpligtelser

• Behandle personoplysninger udelukkende på baggrund af dokumenterede instruktioner fra den Dataansvarlige (platformens brugergrænseflade og API udgør dokumenterede instruktioner)
• Sikre, at personer med tilladelse til at behandle data er bundet af fortrolighedsaftaler
• Implementere passende tekniske og organisatoriske sikkerhedsforanstaltninger (Art. 32) — se Afsnit 7 nedenfor
• Anvend kun de underdatabehandlere, der er anført i afsnit 6, hvortil den dataansvarlige giver generel skriftlig godkendelse; giv mindst 30 dages varsel om en ny underdatabehandler, som den dataansvarlige kan gøre indsigelse mod (afsnit 6)
• Bistå den Dataansvarlige med registreredes anmodninger (Art. 15–22) via de DSAR-endpoints, der er beskrevet i Afsnit 9
• Underret den dataansvarlige uden unødigt ophold og under alle omstændigheder inden for 48 timer efter at være blevet opmærksom på et brud på persondatasikkerheden; giv en foreløbig underretning inden for 24 timer efter enhver bekræftet sikkerhedshændelse, der berører den dataansvarliges data (afsnit 8)
• Slette eller returnere alle personoplysninger ved ophør af tjenester (Afsnit 11)
• Stille alle nødvendige oplysninger til rådighed for at påvise overholdelse og understøtte revisioner (Afsnit 12)

6. Underdatabehandlere

Databehandleren anvender i øjeblikket følgende underdatabehandlere, som hver handler under en databehandleraftale og (hvor det er relevant) Standardkontraktbestemmelser 2021:

Den dataansvarlige giver generel skriftlig godkendelse til de ovennævnte underdatabehandlere. Databehandleren vil give mindst 30 dages varsel om en ny underdatabehandler; den dataansvarlige kan gøre indsigelse på rimelige grunde og, hvis indsigelsen ikke kan løses, opsige den berørte tjeneste uden strafgebyr.

Webstedsspecifikke tjenester (ingen operationelle kundedata)

Disse kører udelukkende på det offentlige websted. De modtager ingen operationelle kundedata og er ikke underdatabehandlere heraf; eventuelle tjenester, der sætter cookies, indlæses kun med samtykke.

7. Sikkerhedsforanstaltninger (Art. 32)

• Kryptering under overførsel: TLS 1.2+ på alle endpoints; certifikater administreret af Microsoft Azure (DigiCert)
• Kryptering i hvile: Azure Postgres Flexible Server transparent datakryptering; Azure Blob Storage-kryptering
• Kørekortbilleder og underskrifter: Billeder af kørekort og underskrifter er krypteret i hvile med AES-256 af Azure Storage og Azure Database for PostgreSQL (nøgler administreret af Microsoft), og adgangen til dem er begrænset efter rolle og organisation
• Password-hashing: bcrypt, 12 runder
• Autentifikation: JWT-adgangstokens (1 times udløb) og opdateringstokens (7 dages udløb, roteres ved brug, aldrig gyldigt mere end 30 dage fra login). Single sign-on (SAML 2.0, Google, Microsoft); tidsbaseret engangskode-MFA, obligatorisk for platformsadministratorer og tilgængelig for alle brugere
• Lejer-isolation: håndhævet server-side ved lejer-scoping og testet automatisk inden hvert release: release-gatens tværgående lejersweep kalder API'et som én organisation med en anden organisations post-ID'er, og releaset blokeres, hvis nogen af den pågældende organisations data kan læses eller ændres
• Rollebaseret adgangsstyring: rollebaserede tilladelser på godkendte ruter med lejer-scoping håndhævet server-side
• Web Application Firewall: Azure Front Door WAF i forebyggelsestilstand (Prevention mode) med tilpassede regler for hastighedsbegrænsning på endpoints til godkendelse, tilmelding, nulstilling af adgangskode og anmodninger fra registrerede samt L7-DDoS-beskyttelse på platformsniveau. Der er ikke tilknyttet et administreret OWASP-regelsæt — det kræver Front Door Premium-niveauet.
• Hastighedsbegrænsning: grænser pr. rute, strengere på auth-endpoints; in-memory + vedvarende forsøgssporing
• Revisionslog: manipulationsafslørende og append-only (håndhævet i databasen), GMP-relevante poster markeret særskilt og opbevaret i mindst 7 år, mens serviceaftalen løber (ved kontraktudløb eksporteres de til den Dataansvarlige, medmindre den Dataansvarlige afslår eksporten skriftligt eller ikke kan kontaktes trods rimelige forsøg, og derefter slettes de — afsnit 11), øvrige poster i 365 dage, pseudonymiseret (ikke slettet) ved anmodning om sletning i henhold til Art. 17 under Art. 17(3)(b)
• Kontinuerlig overvågning: Azure Application Insights; en tilgængelighedstest af webstedet hvert 10. minut; en skema-driftsalarm (15-minutters vindue); en alarm, når mere end 10 serverfejl (HTTP 5xx) opstår på 5 minutter; og en brud-overvågningsworker, der kontrollerer revisionsloggen hvert 5. minut for spidser i mislykkede loginforsøg (10 eller flere for én konto på en time), loginforsøg på én konto fra 5 eller flere IP-adresser på 24 timer, og vellykkede logins fra en IP-adresse, der ikke er set for den pågældende bruger inden for de seneste 30 dage
• Software-forsyningskæde: Enhver pull request skal bestå npm audit (afhængighedssårbarheder), Semgrep (statisk analyse) og gitleaks (hemmelig scanning), inden den kan flettes, med en Trivy container image-scanning som rådgivende kontrol; disse kontroller kører også ved hvert push til master og om natten, sammen med en rådgivende OWASP ZAP baseline-scanning (dynamisk test) af produktionsstedet. Hemmeligheder: Azure Key Vault tilgås via App Service-administreret identitet; ingen hemmeligheder i kode, env-filer eller container-images

8. Anmeldelse af Brud på Persondatasikkerheden

Databehandleren skal underrette den dataansvarlige uden unødigt ophold og under alle omstændigheder inden for 48 timer efter at være blevet opmærksom på et brud på persondatasikkerheden, der berører den dataansvarliges data, og skal give en foreløbig underretning inden for 24 timer efter enhver bekræftet sikkerhedshændelse, der berører den dataansvarliges data. Underretningen skal indeholde brudets art, kategorier og omtrentligt antal berørte registrerede, sandsynlige konsekvenser, trufne eller foreslåede foranstaltninger samt brudregisterreferencen. Registrerede anomalier dirigeres til Azure Monitor Action Group yardtwin-breach-actions; bekræftede hændelser spores i brudregistertabellen med en 72-timers DPC-nedtælling.

9. De Registreredes Rettigheder

Databehandleren stiller følgende endpoints til rådighed for den dataansvarlige med henblik på at opfylde de registreredes rettigheder inden for 30-dages-fristen i Art. 12(3):

• POST /api/v1/dsar/export/by-email — maskinlæsbar eksport der dækker Art. 15 (indsigt) og Art. 20 (dataportabilitet)
• POST /api/v1/dsar/erase/by-email — sletning på en verificeret anmodning: personens egne brugerkonti i de valgte kundekonti anonymiseres, og vedkommendes sessioner, tokens, notifikationer, afventende invitationer, nyhedsbrevs- og tilmeldingsposter samt egen avatar slettes; driftsposter, som den dataansvarlige har (bookinger, port- og besøgsregistreringer, chaufførliste, kontakter), oplistes, så den dataansvarlige kan tage stilling til dem; revisionssporet bevarer en anonymiseret reference til den handlende af hensyn til GMP-integriteten (art. 17, stk. 3, litra b)
• Selvbetjeningsportal til anmodninger på /data-request

10. Internationale Overførsler

Driftsdata opbevares inden for Det Europæiske Økonomiske Samarbejdsområde (Microsoft Azure, Sverige Central og Norge Øst). Standardkontraktbestemmelser (2021) gælder for enhver overførsel til en underdatabehandler uden for EØS; hvor en modtager er certificeret under EU-US Data Privacy Framework, er dette ligeledes grundlaget. Vurderinger af overførselskonsekvenser er under udarbejdelse (planlagt november 2026).

11. Varighed, Opsigelse og Tilbagelevering af Data

Denne DPA forbliver gyldig i hele aftaleperioden for serviceaftalen. Ved opsigelse:

• Den dataansvarlige kan eksportere alle sine data inden for 30 dage via produktets eksportfunktioner eller på anmodning
• Efter 30 dage vil databehandleren slette alle den dataansvarliges driftsmæssige personoplysninger
• Mens serviceaftalen løber, opbevares revisionslogge i pseudonymiseret tilstand: GMP-relevante poster i mindst 7 år efter hændelsen for at opfylde krav til GMP-journalopbevaring (21 CFR Part 11 / EU GMP Annex 11; Art. 17(3)(b) tilsidesættelse på grundlag af retlig forpligtelse), øvrige revisionsposter i 365 dage. Ved kontraktens udløb, inden den Dataansvarliges data slettes, gives den Dataansvarlige en komplet eksport af sit revisionsspor med en verifikationskvittering, som den Dataansvarlige kan opbevare i sin egen opbevaringsperiode, medmindre den Dataansvarlige skriftligt afslår eksporten, eller den Dataansvarlige ikke kan nås efter rimelige forsøg; Databehandleren sletter derefter revisionssporet sammen med resten af den Dataansvarliges data. Bortset fra de sikkerhedskopier, der er beskrevet nedenfor, og som udløber efter deres egen tidsplan, og Databehandlerens egen registrering af overdragelsen (kvitteringen, eksportens hash-værdier og optællinger samt oplysninger om, hvem der foretog og modtog overdragelsen), opbevares revisionssporet kun længere, hvis den Dataansvarlige instruerer Databehandleren skriftligt herom under en særskilt aftale.
• Driftsdata slettes inden for 30 dage efter kontraktens ophør. Point-in-time-databasesikkerhedskopier udløber inden for 7 dage. Krypterede månedlige arkivsikkerhedskopier opbevares i op til 7 år udelukkende til katastrofegendannelse; de gendannes ikke undtagen for at gendanne tjenesten, dataene heri er uden for brug, og de udløber med sikkerhedskopien.
• En fuld databasesikkerhedskopi tages hver nat og opbevares i 35 dage i separat krypteret lager i EØS (Sweden Central, geo-replikeret til Sweden South); data slettet fra den aktive tjeneste forbliver i disse sikkerhedskopier, uden for brug, indtil de udløber.

12. Revisionsrettigheder

Databehandleren skal stille alle oplysninger til rådighed for den dataansvarlige, der er nødvendige for at påvise overholdelse af art. 28 GDPR. Kunder kan anmode om: det aktuelle underdatabehandlerregister, den seneste rapport om regressionstestning af lejerisolation, resuméet af den eksterne penetrationstest, når en test er udført (se GDPR-politik 11.1), samt svar på et leverandørsikkerhedsspørgeskema. Rimelige fysiske eller fjernrevisioner kan aftales med mindst 30 dages varsel og udføres af den dataansvarlige eller en uafhængig tredjepart, der er bundet af fortrolighed. Databehandleren har i dag ingen ISO 27001- eller SOC 2-certificering; når ISO 27001-certificeringen opnås (planlagt Q1 2027), vil databehandleren tilbyde certifikatet som erstatningsdokumentation.

13. Ansvar og Gældende Ret

Ansvaret i henhold til denne DPA er underlagt de begrænsninger, der er fastsat i YARDtwin Servicevilkår. Denne DPA er underlagt irsk lovgivning og EU's databeskyttelsesforordning (GDPR). Eventuelle tvister er underlagt de irske domstoles eksklusive jurisdiktion.

14. Kontakt

For spørgsmål om denne DPA, for at anmode om en gennemgangsversion (en modunderskrevet udgave udstedes, når virksomhedsregistreringen er fuldført), eller for at udøve nogen af de ovennævnte rettigheder, kontakt admin@yardtwin.com eller databeskyttelseskontakten på dpo@yardtwin.com. Dette er en rollepostkasse, der overvåges af den person hos YARDtwin Ltd, der er ansvarlig for databeskyttelse. YARDtwin har ikke udpeget en lovpligtig databeskyttelsesrådgiver i henhold til artikel 37 GDPR, hvilket ikke er obligatorisk for selskabets behandlingsaktiviteter (GDPR Policy 11.2); kontaktadressen offentliggøres i stedet for en enkeltpersons navn.