Sikkerhed hos YARDtwin

YARDtwin kører på Microsoft Azure med beregning i Norway East og Sweden Central til data, registre og hemmeligheder. Alle kundedata forbliver inden for EU/EØS i overensstemmelse med GDPR-artikel 44–49.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, private containere
• Azure Key Vault — Sweden Central, RBAC-styret
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — 90 dages opbevaring

Alle kundedata lagres og behandles inden for EU/EØS — hostet i Microsoft Azures regioner Norway East (applikation, lagring) og Sweden Central (database, hemmeligheder). Norge er en EØS-stat, hvor GDPR finder anvendelse, og dette udgør dermed en intra-EØS-ordning, der ikke kræver en overførselsmekanisme efter kapitel V. Oprettelse af ressourcer uden for de godkendte regioner er blokeret på platformsniveau via en Azure Policy "Deny"-tildeling, så kundedata ikke kan klargøres uden for EU/EØS. Hvor en underbehandler med begrænset omfang opererer uden for EØS (f.eks. AI OCR eller e-maillevering), reguleres overførsler af EU's standardkontraktbestemmelser, og kun de absolut nødvendige data sendes.

YARDtwin anvender et lille, godkendt sæt underdatabehandlere til at levere tjenesten. Hver er bundet af en databehandleraftale. Vi vedligeholder dette register og underretter kunder om væsentlige ændringer i overensstemmelse med GDPR artikel 28.

YARDtwin anvender AI til at læse kørekort og fragtdokumenter (OCR), til at drive in-app assistenten og til at generere stemmevejledning. AI-behandling er assisterende: output præsenteres for en person — eksempelvis bekræfter en portoperatør hvert check-in — og YARDtwin træffer ikke automatiserede afgørelser, der har retlige eller tilsvarende væsentlige virkninger for enkeltpersoner (GDPR artikel 22).

• Kundedata anvendes ikke til træning af tredjeparts AI-modeller — vores AI-underdatabehandlere behandler udelukkende data for at returnere et resultat for din anmodning.
• Dataminimering: AI-dokument-OCR kan deaktiveres per lokation, så lokationer, der foretrækker manuel indtastning, aldrig sender dokumenter til en AI-udbyder.
• Menneskelig kontrol: udtrukne felter kan gennemgås og redigeres, inden de gemmes i registreringen.

Streng CSP med per-anmodnings-nonces på scripts (ingen unsafe-inline). Fuldt sæt af sikkerhedsheadere returneres ved hvert svar: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Uafhængig penetrationstest den 17.–18. april 2026 (10 OWASP-kategorier, 36 payloads): 0 sårbarheder.Funktionel sikkerhedstest den 11. april 2026 med dækning af 1.890+ API-kald på tværs af 270 aftaler: 0 fejl.Årlig tredjeparts-pentest er planlagt, og SOC 2 Type II-revision er i gang.

• EU GMP Annex 11 — Dataintegritet (ALCOA+), append-only revisionsspor, elektroniske registre, adgangskontrol, valideret
• 21 CFR Part 11 — Elektroniske registre, revisionsspor, tilskrivning, forseglingschain of custody
• GDPR — Dataportabilitet (JSON + CSV), DSAR-arbejdsgang, samtykkesporing, kun EU/EØS-residens
• SOC 2 Type II — Revision i gang

• Vendor Assurance Pack (PDF) — QMS-dokumentindeks, GAMP 5-kategorisering, Annex 11 og 21 CFR Part 11 klausulkortlægninger, ALCOA+-erklæring, sikkerhedsarkitektur, en udfyldt CAIQ-Lite og en komplet liste over hvad vi endnu ikke har. Ingen formular kræves.
• GMP Audit-parathedstjekliste for gårddrift — 101 kontroller på tværs af 12 domæner til vurdering af din egen gård i forhold til Annex 11, 21 CFR Part 11 og EU GDP-retningslinjerne.
• Databehandleraftale (DPA)-skabelon — til virksomhedsgennemgang og underskrift
• GDPR-politik
• Privatlivspolitik
• security.txt
• Servicestatusside — live selvrapporteret platformstatus, tilgængelighedsforpligtelser og hændelseshistorik.

Vi modtager gerne rapporter fra sikkerhedsforskere. Send en e-mail til admin@yardtwin.commed en beskrivelse af fundet og trin til reproduktion. Vi bekræfter modtagelse inden for 2 arbejdsdage og sigter mod at rette kritiske problemer inden for 7 dage. Offentliggør venligst ikke sårbarheder, før vi har haft mulighed for at afhjælpe dem.