Sikkerhed hos YARDtwin

YARDtwin kører på Microsoft Azure med beregning i Norway East og data, registrering samt hemmeligheder i Sweden Central. Kundedata opbevares i EU/EØS; de begrænsede overførsler til underdatabehandlere uden for EØS er angivet nedenfor og dækket af standardkontraktbestemmelser.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, private containere
• Azure Key Vault — Sweden Central, RBAC-styret
• Azure Front Door + WAF — forebyggelsestilstand, tilpassede regler for hastighedsbegrænsning
• Azure Monitor-alarmer for fejl, ventetid og tilgængelighed samt Azure Service Health-alarmer

Kundedata hostes i Microsoft Azure-regioner i EU/EØS — Norway East (applikation, storage) og Sweden Central (database, hemmeligheder). Norge er en EØS-stat, hvor GDPR finder anvendelse, så dette er en intra-EØS-ordning, der ikke kræver en overførselsmekanisme i henhold til kapitel V. Oprettelse af ressourcer uden for de godkendte regioner er blokeret på platformniveau af en Azure Policy "Deny"-tildeling, så kundedata ikke kan klargøres uden for EU/EØS. Visse funktioner sender data til de underdatabehandlere, der er angivet nedenfor (og på /subprocessors), herunder nogle uden for EØS — f.eks. Anthropic i USA til AI-funktioner og e-maillevering — under EU's standardkontraktbestemmelser (og EU-US Data Privacy Framework, hvor modtageren er certificeret); kun de minimalt nødvendige data sendes.

YARDtwin anvender et lille, godkendt sæt underdatabehandlere til at levere tjenesten. Hver er bundet af en databehandleraftale. Vi vedligeholder dette register og underretter kunder om væsentlige ændringer i overensstemmelse med GDPR artikel 28.

Webstedsspecifikke tjenester (ingen operationelle kundedata)

Disse kører udelukkende på det offentlige websted. De modtager ingen operationelle kundedata og er ikke underdatabehandlere heraf; eventuelle tjenester, der sætter cookies, indlæses kun med samtykke.

YARDtwin anvender AI til at læse kørekort og forsendelsesdokumenter (OCR), til at sammenligne en chaufførs portfoto én-til-én med kørekortet eller det gemte chaufførfoto, hvor et site aktiverer dette, til at drive den integrerede assistent og til at generere stemmevejledning. AI-behandling er assisterende: dens output præsenteres for en person — ved en bemandet port bekræfter f.eks. en portoperatør hvert check-in. Hvor et site aktiverer automatisk check-in fra nummerpladekameraer eller en ubemandet port, checkes en lastbil, hvis booking matcher klart, ind uden en portoperatør, og alt andet overdrages til portpersonalet. YARDtwin træffer ikke automatiske afgørelser, der har retlige eller tilsvarende væsentlige virkninger for enkeltpersoner (GDPR artikel 22).

• Kundedata anvendes ikke til træning af tredjeparts AI-modeller — vores AI-underdatabehandlere behandler udelukkende data for at returnere et resultat for din anmodning.
• Dataminimering: AI-dokument-OCR kan deaktiveres per lokation, så lokationer, der foretrækker manuel indtastning, aldrig sender dokumenter til en AI-udbyder.
• Menneskelig kontrol: udtrukne felter kan gennemgås og redigeres, inden de gemmes i registreringen.

Streng CSP med per-anmodnings-nonces på scripts (ingen unsafe-inline). Fuldt sæt af sikkerhedsheadere returneres ved hvert svar: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Der er endnu ikke gennemført en tredjeparts penetrationstest; en uafhængig test er planlagt inden den første enterprise-idriftsættelse. En intern white-box-koderevision blev gennemført i oktober 2026, og alle kritiske fund blev udbedret.

Funktionel sikkerhedstest den 11. april 2026 med dækning af 1.890+ API-kald på tværs af 270 aftaler: 0 fejl.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Sikkerhedskopier: point-in-time-gendannelse op til 7 dage samt månedlige krypterede sikkerhedskopier opbevaret i op til 7 år under en tidsbaseret uforanderlighed-politik, der blokerer sletning og overskrivning (politik endnu ikke låst).
• Daglig sikkerhedskopiering: en fuld kopi af databasen tages hver nat og opbevares i 35 dage i separat krypteret lager i EØS (Sweden Central, geo-replikeret til Sweden South).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Dataintegritet (ALCOA+), append-only revisionsspor, elektroniske registre, adgangskontrol, valideret
• 21 CFR Part 11 — Elektroniske registre, revisionsspor, tilskrivning, chain of custody for forseglinger
• GDPR — Dataportabilitet (JSON + CSV), DSAR-arbejdsgang, samtykkesporing, kun EU/EØS-residens
• ISO 27001 — Certificeringsprogram i gang; certificeringsaudit planlagt til Q1 2027; certifikat målrettet Q1 2027
• SOC 2 — Ikke opnået. Tilgængeligt på forespørgsel efter ISO 27001-certificering.

• Vendor Assurance Pack v1.2 — QMS-dokumentindeks, GAMP 5-kategorisering, EU GMP Annex 11 og 21 CFR Part 11 klausultilknytninger, ALCOA+-erklæring, sikkerhedsarkitektur, et udfyldt CAIQ-Lite, alle rettelser til v1.1 og den komplette liste over åbne punkter. PDF, ingen formular krævet.
• GMP Audit-parathedstjekliste for yard-drift — 101 kontroller på tværs af 12 domæner til vurdering af dit eget yard-område i forhold til Annex 11, 21 CFR Part 11 og EU GDP-retningslinjerne.
• Databehandleraftale — gennemsynskopi på forespørgsel fra dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• GDPR-politik
• Privatlivspolitik
• security.txt
• Servicestatusside — live selvrapporteret platformstatus, tilgængelighedsforpligtelser og hændelseshistorik.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Vi modtager gerne rapporter fra sikkerhedsforskere. Send en e-mail til admin@yardtwin.commed en beskrivelse af fundet og trin til reproduktion. Vi bekræfter modtagelse inden for 2 arbejdsdage og sigter mod at rette kritiske problemer inden for 7 dage. Offentliggør venligst ikke sårbarheder, før vi har haft mulighed for at afhjælpe dem.

Spørgsmål om personoplysninger, DPA, underdatabehandlere eller registreredes rettigheder sendes til dpo@yardtwin.com. Dette er en rollepostkasse, der overvåges af den person hos YARDtwin Ltd, der er ansvarlig for databeskyttelse. YARDtwin har ikke udpeget en lovpligtig databeskyttelsesrådgiver i henhold til GDPR artikel 37, hvilket ikke er obligatorisk for selskabets behandlingsaktiviteter; vi offentliggør kontaktadressen frem for en enkeltpersons navn. Anmodninger fra registrerede kan også indsendes via DSAR-portalen. /data-request