Ασφάλεια στο YARDtwin

Το YARDtwin λειτουργεί σε Microsoft Azure με υπολογιστική υποδομή στη Νορβηγία (Norway East) και αποθήκευση δεδομένων, μητρώου και μυστικών στη Σουηδία (Sweden Central). Τα δεδομένα πελατών αποθηκεύονται εντός ΕΕ/ΕΟΧ· οι περιορισμένες διαβιβάσεις σε υπεργολάβους επεξεργασίας εκτός ΕΟΧ παρατίθενται παρακάτω και καλύπτονται από Τυποποιημένες Συμβατικές Ρήτρες.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, ιδιωτικά κοντέινερ
• Azure Key Vault — Sweden Central, ελεγχόμενο μέσω RBAC
• Azure Front Door + WAF — λειτουργία Prevention, προσαρμοσμένοι κανόνες περιορισμού ρυθμού
• Ειδοποιήσεις Azure Monitor για σφάλματα, καθυστέρηση και διαθεσιμότητα, καθώς και ειδοποιήσεις Azure Service Health

Τα δεδομένα πελατών φιλοξενούνται σε περιοχές Microsoft Azure εντός ΕΕ/ΕΟΧ — Norway East (εφαρμογή, αποθηκευτικός χώρος) και Sweden Central (βάση δεδομένων, μυστικά). Η Νορβηγία είναι κράτος του ΕΟΧ στο οποίο εφαρμόζεται το GDPR, οπότε πρόκειται για ενδοΕΟΧ διευθέτηση που δεν απαιτεί μηχανισμό διαβίβασης κατά το Κεφάλαιο V. Η δημιουργία πόρων εκτός των εγκεκριμένων περιοχών αποκλείεται σε επίπεδο πλατφόρμας μέσω ανάθεσης πολιτικής Azure τύπου «Deny», οπότε τα δεδομένα πελατών δεν μπορούν να παρασχεθούν εκτός ΕΕ/ΕΟΧ. Ορισμένες λειτουργίες αποστέλλουν δεδομένα στους υπεργολάβους επεξεργασίας που αναφέρονται παρακάτω (και στο /subprocessors), συμπεριλαμβανομένων ορισμένων εκτός ΕΟΧ — για παράδειγμα η Anthropic στις ΗΠΑ για λειτουργίες AI και η παράδοση ηλεκτρονικού ταχυδρομείου — βάσει Τυποποιημένων Συμβατικών Ρητρών ΕΕ (και του Πλαισίου Προστασίας Δεδομένων ΕΕ-ΗΠΑ όπου ο αποδέκτης είναι πιστοποιημένος)· αποστέλλονται μόνο τα ελάχιστα αναγκαία δεδομένα.

Το YARDtwin χρησιμοποιεί ένα μικρό, ελεγμένο σύνολο υπεργολάβων επεξεργασίας για την παροχή της υπηρεσίας. Κάθε ένας δεσμεύεται από Συμφωνία Επεξεργασίας Δεδομένων. Τηρούμε αυτό το μητρώο και ενημερώνουμε τους πελάτες για ουσιαστικές αλλαγές σύμφωνα με το Άρθρο 28 του GDPR.

Υπηρεσίες αποκλειστικά ιστότοπου (χωρίς επιχειρησιακά δεδομένα πελατών)

Αυτές λειτουργούν αποκλειστικά στον δημόσιο ιστότοπο. Δεν λαμβάνουν επιχειρησιακά δεδομένα πελατών και δεν αποτελούν υπεπεξεργαστές τους· όσες χρησιμοποιούν cookies φορτώνονται μόνο με συγκατάθεση.

Το YARDtwin χρησιμοποιεί AI για την ανάγνωση αδειών οδήγησης και εγγράφων αποστολής (OCR), για τη σύγκριση φωτογραφίας οδηγού στην πύλη ένα-προς-ένα με την άδεια ή αποθηκευμένη φωτογραφία οδηγού όπου ενεργοποιείται από τον χώρο, για την υποστήριξη του ενσωματωμένου βοηθού και για τη δημιουργία φωνητικής καθοδήγησης. Η επεξεργασία AI είναι υποβοηθητική: η έξοδός της παρουσιάζεται σε άτομο — για παράδειγμα σε επανδρωμένη πύλη, ο χειριστής πύλης επιβεβαιώνει κάθε check-in. Όπου ένας χώρος ενεργοποιεί αυτόματο check-in από κάμερες αναγνώρισης πινακίδων ή από ανεπάνδρωτη πύλη, το φορτηγό του οποίου η κράτηση ταιριάζει πλήρως εισάγεται χωρίς χειριστή πύλης, και οτιδήποτε άλλο διαβιβάζεται στο προσωπικό πύλης. Το YARDtwin δεν λαμβάνει αυτοματοποιημένες αποφάσεις που παράγουν νομικές ή παρόμοιας σημασίας συνέπειες για φυσικά πρόσωπα (GDPR Άρθρο 22).

• Τα δεδομένα πελατών δεν χρησιμοποιούνται για εκπαίδευση μοντέλων AI τρίτων — οι υπεργολάβοι AI επεξεργάζονται δεδομένα αποκλειστικά για να επιστρέψουν αποτέλεσμα στο αίτημά σας.
• Ελαχιστοποίηση δεδομένων: το OCR εγγράφων AI μπορεί να απενεργοποιηθεί ανά εγκατάσταση, ώστε εγκαταστάσεις που προτιμούν χειροκίνητη καταχώρηση να μην αποστέλλουν ποτέ έγγραφα σε πάροχο AI.
• Ανθρώπινη εποπτεία: τα εξαγόμενα πεδία είναι επανεξέταστα και επεξεργάσιμα πριν δεσμευτούν στο αρχείο.

Αυστηρή CSP με nonces ανά αίτημα στα scripts (χωρίς unsafe-inline). Πλήρες σύνολο κεφαλίδων ασφαλείας σε κάθε απόκριση: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Δεν έχει πραγματοποιηθεί ακόμη δοκιμή διείσδυσης από τρίτο μέρος· ανεξάρτητη δοκιμή έχει προγραμματιστεί πριν από την έναρξη λειτουργίας του πρώτου πελάτη enterprise. Εσωτερικός έλεγχος κώδικα τύπου white-box ολοκληρώθηκε τον Οκτώβριο 2026 και όλα τα Κρίσιμα ευρήματα διορθώθηκαν.

Λειτουργικές δοκιμές ασφαλείας στις 11 Απριλίου 2026 που καλύπτουν 1.890+ κλήσεις API σε 270 ραντεβού: 0 αποτυχίες.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Αντίγραφα ασφαλείας: επαναφορά σε σημείο χρόνου 7 ημερών, καθώς και μηνιαία κρυπτογραφημένα αντίγραφα που διατηρούνται έως 7 χρόνια υπό πολιτική αναλλοίωτης διατήρησης βάσει χρόνου που αποτρέπει τη διαγραφή και την αντικατάσταση (η πολιτική δεν έχει ακόμη κλειδωθεί).
• Ημερήσιο αντίγραφο ασφαλείας: πλήρες αντίγραφο της βάσης δεδομένων που λαμβάνεται κάθε βράδυ και διατηρείται για 35 ημέρες σε ξεχωριστό κρυπτογραφημένο χώρο αποθήκευσης εντός ΕΟΧ (Sweden Central, με γεωγραφική αναπαραγωγή στο Sweden South).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Ακεραιότητα δεδομένων (ALCOA+), ίχνος ελέγχου μόνο προσάρτησης, ηλεκτρονικά αρχεία, έλεγχος πρόσβασης, επικυρωμένο
• 21 CFR Part 11 — Ηλεκτρονικά αρχεία, ίχνος ελέγχου, απόδοση, αλυσίδα θεματοφυλακής σφραγίδας
• GDPR — Φορητότητα δεδομένων (JSON + CSV), ροή εργασίας DSAR, παρακολούθηση συγκατάθεσης, αποκλειστική εγκατάσταση σε ΕΕ/ΕΟΧ
• ISO 27001 — Πρόγραμμα πιστοποίησης σε εξέλιξη· έλεγχος πιστοποίησης προγραμματισμένος για Q1 2027· στόχος απόκτησης πιστοποιητικού Q1 2027
• SOC 2 — Δεν κατέχεται. Διαθέσιμο κατόπιν αιτήματος μετά την πιστοποίηση ISO 27001.

• Vendor Assurance Pack v1.2 — Ευρετήριο εγγράφων QMS, κατηγοριοποίηση GAMP 5, αντιστοιχίσεις ρητρών EU GMP Annex 11 και 21 CFR Part 11, δήλωση ALCOA+, αρχιτεκτονική ασφαλείας, συμπληρωμένο CAIQ-Lite, κάθε διόρθωση στην έκδοση v1.1 και πλήρης κατάλογος ανοιχτών θεμάτων. PDF, χωρίς απαιτούμενη φόρμα.
• Λίστα Ελέγχου Ετοιμότητας GMP Ελέγχου Λειτουργιών Αυλής — 101 έλεγχοι σε 12 τομείς για την αξιολόγηση της αυλής σας έναντι των Annex 11, 21 CFR Part 11 και των κατευθυντήριων οδηγιών GDP της ΕΕ.
• Σύμβαση Επεξεργασίας Δεδομένων (DPA) — αντίγραφο προς επισκόπηση κατόπιν αιτήματος από dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• Πολιτική GDPR
• Πολιτική απορρήτου
• security.txt
• Σελίδα κατάστασης υπηρεσίας — ζωντανή κατάσταση της πλατφόρμας, όπως τη δηλώνουμε εμείς οι ίδιοι, δεσμεύσεις διαθεσιμότητας και ιστορικό περιστατικών.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Καλωσορίζουμε αναφορές από ερευνητές ασφαλείας. Αποστολή email στο admin@yardtwin.comμε περιγραφή του ευρήματος και βήματα αναπαραγωγής. Επιβεβαιώνουμε τη λήψη εντός 2 εργάσιμων ημερών και στοχεύουμε στην επιδιόρθωση κρίσιμων ζητημάτων εντός 7 ημερών. Παρακαλούμε να μην αποκαλύπτετε δημοσίως ευπάθειες πριν έχουμε την ευκαιρία να τις αντιμετωπίσουμε.

Ερωτήματα σχετικά με προσωπικά δεδομένα, το DPA, υπεργολάβους επεξεργασίας ή δικαιώματα υποκειμένων δεδομένων αποστέλλονται στο dpo@yardtwin.com. Πρόκειται για γραμματοκιβώτιο ρόλου που παρακολουθείται από το πρόσωπο που είναι αρμόδιο για την προστασία δεδομένων στην YARDtwin Ltd. Η YARDtwin δεν έχει ορίσει νόμιμο Υπεύθυνο Προστασίας Δεδομένων βάσει του Άρθρου 37 GDPR, κάτι που δεν είναι υποχρεωτικό για τις επεξεργασίες της· δημοσιεύουμε τη διεύθυνση επικοινωνίας αντί του ονόματος φυσικού προσώπου. Αιτήματα υποκειμένων δεδομένων μπορούν επίσης να υποβληθούν μέσω της πύλης DSAR. /data-request