Seguridad en YARDtwin

YARDtwin se ejecuta en Microsoft Azure con cómputo en Norway East y Sweden Central para datos, registro y secretos. Todos los datos de clientes permanecen dentro de la UE/EEE, en cumplimiento con los artículos 44–49 del GDPR.

• App Service (contenedor Linux) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, contenedores privados
• Azure Key Vault — Sweden Central, controlado por RBAC
• Azure Front Door + WAF — Modo de prevención
• Log Analytics + Microsoft Sentinel — Retención de 90 días

All customer data is stored and processed within the EU/EEA — hosted in Microsoft Azure’s Ireland and West/North Europe regions. Creation of resources outside the approved EU regions is blocked at the platform level by an Azure Policy “Deny” rule, so customer data cannot be provisioned outside the EU/EEA. Where a limited-scope sub-processor operates outside the EU (for example AI OCR or email delivery), transfers are governed by EU Standard Contractual Clauses and only the minimum data necessary is sent.

YARDtwin uses a small, vetted set of sub-processors to deliver the service. Each is bound by a Data Processing Agreement. We maintain this register and notify customers of material changes in line with GDPR Article 28.

YARDtwin uses AI to read driver licences and shipping documents (OCR), to power the in-app assistant, and to generate voice guidance. AI processing is assistive: its output is presented to a person — for example a gate operator confirms every check-in — and YARDtwin does not make automated decisions producing legal or similarly significant effects on individuals (GDPR Article 22).

• Customer data is not used to train third-party AI models — our AI sub-processors process data only to return a result for your request.
• Data minimisation: AI document OCR can be switched off per site, so sites that prefer manual entry never send documents to an AI provider.
• Human oversight: extracted fields are reviewable and editable before they are committed to the record.

CSP estricta con nonces por solicitud en scripts (sin unsafe-inline). Conjunto completo de cabeceras de seguridad devueltas en cada respuesta: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Prueba de penetración independiente los días 17–18 de abril de 2026 (10 categorías OWASP, 36 cargas útiles): 0 vulnerabilidades.Pruebas funcionales de seguridad el 11 de abril de 2026, cubriendo más de 1.890 llamadas API en 270 citas: 0 fallos.Pentest anual de terceros programado y auditoría SOC 2 Type II en curso.

• EU GMP Annex 11 — Integridad de datos (ALCOA+), registro de auditoría de solo adición, registros electrónicos, control de acceso, validado
• 21 CFR Part 11 — Registros electrónicos, registro de auditoría, atribución, cadena de custodia de precintos
• GDPR — Portabilidad de datos (JSON + CSV), flujo de trabajo DSAR, seguimiento de consentimiento, residencia exclusiva UE/EEE
• SOC 2 Type II — Auditoría en curso

• Plantilla de Acuerdo de Procesamiento de Datos (DPA) — para revisión y firma empresarial
• Política GDPR
• Política de privacidad
• security.txt

Agradecemos los informes de investigadores de seguridad. Envíe un correo a admin@yardtwin.comcon una descripción del hallazgo y los pasos para reproducirlo. Confirmamos la recepción en un plazo de 2 días hábiles y nos comprometemos a corregir los problemas críticos en 7 días. Le rogamos que no divulgue públicamente las vulnerabilidades antes de que hayamos tenido la oportunidad de remediarlas.