Ασφάλεια στο YARDtwin

Το YARDtwin λειτουργεί στο Microsoft Azure με υπολογιστικούς πόρους στο Norway East και αποθήκευση δεδομένων, μητρώο και μυστικά στο Sweden Central. Όλα τα δεδομένα πελατών παραμένουν εντός ΕΕ/ΕΟΧ, σε συμμόρφωση με τα Άρθρα 44–49 του GDPR.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, ιδιωτικά κοντέινερ
• Azure Key Vault — Sweden Central, ελεγχόμενο μέσω RBAC
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — Διατήρηση 90 ημερών

Όλα τα δεδομένα πελατών αποθηκεύονται και υφίστανται επεξεργασία εντός της ΕΕ/ΕΟΧ — φιλοξενούνται στις περιοχές Norway East (εφαρμογή, αποθήκευση) και Sweden Central (βάση δεδομένων, μυστικά) του Microsoft Azure. Η Νορβηγία είναι κράτος του ΕΟΧ στο οποίο εφαρμόζεται το GDPR, επομένως πρόκειται για ενδο-ΕΟΧ ρύθμιση που δεν απαιτεί μηχανισμό μεταφοράς βάσει του Κεφαλαίου V. Η δημιουργία πόρων εκτός των εγκεκριμένων περιοχών αποκλείεται σε επίπεδο πλατφόρμας μέσω ανάθεσης πολιτικής Azure «Απόρριψη» ("Deny"), οπότε τα δεδομένα πελατών δεν μπορούν να παρασχεθούν εκτός ΕΕ/ΕΟΧ. Όταν ένας υποεπεξεργαστής περιορισμένου πεδίου λειτουργεί εκτός ΕΟΧ (π.χ. AI OCR ή παράδοση email), οι μεταφορές διέπονται από τις Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ και αποστέλλονται μόνο τα απολύτως απαραίτητα δεδομένα.

Το YARDtwin χρησιμοποιεί ένα μικρό, ελεγμένο σύνολο υπεργολάβων επεξεργασίας για την παροχή της υπηρεσίας. Κάθε ένας δεσμεύεται από Συμφωνία Επεξεργασίας Δεδομένων. Τηρούμε αυτό το μητρώο και ενημερώνουμε τους πελάτες για ουσιαστικές αλλαγές σύμφωνα με το Άρθρο 28 του GDPR.

Το YARDtwin χρησιμοποιεί AI για την ανάγνωση αδειών οδήγησης και μεταφορικών εγγράφων (OCR), για τον ενσωματωμένο βοηθό και για τη δημιουργία φωνητικής καθοδήγησης. Η επεξεργασία AI είναι υποστηρικτική: τα αποτελέσματά της παρουσιάζονται σε άνθρωπο — για παράδειγμα, ο χειριστής πύλης επιβεβαιώνει κάθε check-in — και το YARDtwin δεν λαμβάνει αυτοματοποιημένες αποφάσεις που παράγουν νομικές ή ανάλογης σημασίας επιπτώσεις σε άτομα (Άρθρο 22 GDPR).

• Τα δεδομένα πελατών δεν χρησιμοποιούνται για εκπαίδευση μοντέλων AI τρίτων — οι υπεργολάβοι AI επεξεργάζονται δεδομένα αποκλειστικά για να επιστρέψουν αποτέλεσμα στο αίτημά σας.
• Ελαχιστοποίηση δεδομένων: το OCR εγγράφων AI μπορεί να απενεργοποιηθεί ανά εγκατάσταση, ώστε εγκαταστάσεις που προτιμούν χειροκίνητη καταχώρηση να μην αποστέλλουν ποτέ έγγραφα σε πάροχο AI.
• Ανθρώπινη εποπτεία: τα εξαγόμενα πεδία είναι επανεξέταστα και επεξεργάσιμα πριν δεσμευτούν στο αρχείο.

Αυστηρή CSP με nonces ανά αίτημα στα scripts (χωρίς unsafe-inline). Πλήρες σύνολο κεφαλίδων ασφαλείας σε κάθε απόκριση: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Ανεξάρτητες δοκιμές διείσδυσης στις 17–18 Απριλίου 2026 (10 κατηγορίες OWASP, 36 payloads): 0 ευπάθειες.Λειτουργικές δοκιμές ασφαλείας στις 11 Απριλίου 2026 που καλύπτουν 1.890+ κλήσεις API σε 270 ραντεβού: 0 αποτυχίες.Ετήσιο pentest τρίτου μέρους προγραμματισμένο και έλεγχος SOC 2 Type II σε εξέλιξη.

• EU GMP Annex 11 — Ακεραιότητα δεδομένων (ALCOA+), ίχνος ελέγχου μόνο προσάρτησης, ηλεκτρονικά αρχεία, έλεγχος πρόσβασης, επικυρωμένο
• 21 CFR Part 11 — Ηλεκτρονικά αρχεία, ίχνος ελέγχου, απόδοση, αλυσίδα θεματοφυλακής σφραγίδας
• GDPR — Φορητότητα δεδομένων (JSON + CSV), ροή εργασίας DSAR, παρακολούθηση συγκατάθεσης, αποκλειστική εγκατάσταση σε ΕΕ/ΕΟΧ
• SOC 2 Type II — Έλεγχος σε εξέλιξη

• Πακέτο Διασφάλισης Προμηθευτή (PDF) — Ευρετήριο εγγράφων QMS, κατηγοριοποίηση GAMP 5, αντιστοιχίσεις ρητρών Annex 11 και 21 CFR Part 11, δήλωση ALCOA+, αρχιτεκτονική ασφαλείας, συμπληρωμένο CAIQ-Lite και πλήρης κατάλογος όσων δεν διαθέτουμε ακόμα. Δεν απαιτείται φόρμα.
• Λίστα Ελέγχου Ετοιμότητας GMP Ελέγχου Λειτουργιών Αυλής — 101 έλεγχοι σε 12 τομείς για την αξιολόγηση της αυλής σας έναντι των Annex 11, 21 CFR Part 11 και των κατευθυντήριων οδηγιών GDP της ΕΕ.
• Πρότυπο Συμφωνίας Επεξεργασίας Δεδομένων (DPA) — για επιχειρηματική επισκόπηση & υπογραφή
• Πολιτική GDPR
• Πολιτική απορρήτου
• security.txt
• Σελίδα κατάστασης υπηρεσίας — ζωντανή κατάσταση πλατφόρμας, δεσμεύσεις διαθεσιμότητας και ιστορικό περιστατικών.

Καλωσορίζουμε αναφορές από ερευνητές ασφαλείας. Αποστολή email στο admin@yardtwin.comμε περιγραφή του ευρήματος και βήματα αναπαραγωγής. Επιβεβαιώνουμε τη λήψη εντός 2 εργάσιμων ημερών και στοχεύουμε στην επιδιόρθωση κρίσιμων ζητημάτων εντός 7 ημερών. Παρακαλούμε να μην αποκαλύπτετε δημοσίως ευπάθειες πριν έχουμε την ευκαιρία να τις αντιμετωπίσουμε.