Política RGPD

Todos los datos cifrados en tránsito (TLS 1.2+). Contraseñas con hash bcrypt (12 rondas). PostgreSQL Flexible Server utiliza cifrado de datos transparente en reposo. Azure Blob Storage cifrado en reposo. Las imágenes de permisos de conducir y las firmas se cifran en reposo con AES-256 mediante Azure Storage y Azure Database for PostgreSQL (claves administradas por Microsoft), y el acceso a ellas está limitado por rol y organización. Tokens JWT firmados criptográficamente (HS256). Secretos gestionados mediante Azure Key Vault accedido por identidad administrada de App Service — sin secretos en código, archivos de entorno ni imágenes de contenedor.

Control de acceso basado en roles (RBAC) en rutas autenticadas, con alcance de inquilino aplicado en el servidor. El aislamiento de inquilinos se verifica automáticamente antes de cada publicación: la verificación previa al despliegue realiza un barrido entre inquilinos que llama al API como una organización con los ID de registro de otra organización, y el despliegue queda bloqueado si se puede leer o modificar algún dato de esa organización. Inicio de sesión único (SAML 2.0, Google, Microsoft); MFA con contraseña de un solo uso basada en tiempo, obligatoria para administradores de plataforma y disponible para todos los usuarios.

Registro de auditoría completo de las acciones de los usuarios: identidad del usuario, marca de tiempo, dirección IP, verbo de acción, entidad afectada, valores anteriores y nuevos. Las acciones relevantes para GMP se marcan por separado (is_gmp_relevant=1). Con evidencia de manipulación (toda alteración es detectable) y de solo adición, aplicado en la base de datos mediante una cadena de hashes; las entradas relevantes para GMP se conservan durante al menos 7 años mientras el acuerdo de servicio esté vigente, y las demás entradas de auditoría durante 365 días. Se seudonimizán pero no se eliminan en caso de supresión conforme al Art. 17 (excepción por obligación legal del Art. 17(3)(b)). Al finalizar el contrato, se proporciona al cliente una exportación completa de su registro de auditoría antes de su eliminación, salvo que la decline por escrito o no se pueda contactar con él tras intentos razonables; YARDtwin solo lo conserva por más tiempo en virtud de la instrucción escrita del cliente, salvo las copias de seguridad hasta que expiren y su propio registro de la entrega.

Alojado en Microsoft Azure (Sweden Central + Norway East, EEE). Servicio de aplicaciones en contenedores desplegado a través de Azure Container Registry con ranura de staging y cambio posterior. El tráfico llega a la aplicación a través de Azure Front Door con un Firewall de Aplicaciones Web en modo Prevención; la base de datos solo acepta conexiones desde servicios de Azure y una lista de IP de administrador permitidas. Application Insights con alerta de desviación de esquema en errores de Postgres "column / relation does not exist" (ventana de 15 minutos). La sonda /health/db-write de extremo a extremo verifica que la aplicación puede escribir y leer la base de datos en cada despliegue.

Solo recopilamos los datos necesarios para la prestación del servicio. Los campos opcionales del conductor (teléfono, correo electrónico) pueden dejarse en blanco cuando el proceso del cliente lo permite. El personal de la puerta puede tomar una foto del rostro del conductor como evidencia de la entrada. Cuando un sitio activa la comparación facial por IA, nuestro proveedor de IA (Anthropic) compara esa foto uno a uno con la foto de la licencia o la foto almacenada del conductor para ayudar al personal a confirmar la identidad del conductor. El resultado es orientativo: el personal de la puerta decide y puede admitir a un conductor que la comparación no confirmó indicando un motivo. Cada comparación se registra en nuestros servidores con su resultado. Cuando la comparación facial está desactivada (opción predeterminada), no se envía ninguna foto del rostro al proveedor de IA y el personal compara al conductor con la foto de la licencia; las imágenes de la licencia siguen siendo leídas por IA cuando la lectura por IA está activada. YARDtwin no almacena plantillas faciales y no realiza identificación de uno a muchos. El boletín informativo solo recopila el correo electrónico y, opcionalmente, el nombre de la empresa.

Cada solicitud de incorporación de cambios debe superar npm audit (vulnerabilidades de dependencias), Semgrep (análisis estático) y gitleaks (escaneo de secretos) antes de poder fusionarse, con un escaneo de imagen de contenedor Trivy como verificación orientativa; estas comprobaciones también se ejecutan en cada envío a master y de forma nocturna, junto con un escaneo de base OWASP ZAP orientativo (pruebas dinámicas) del sitio en producción. Las alertas de Dependabot notifican vulnerabilidades recién divulgadas en nuestras dependencias.