Seguridad en YARDtwin

YARDtwin se ejecuta en Microsoft Azure con cómputo en Norway East y Sweden Central para datos, registro y secretos. Todos los datos de clientes permanecen dentro de la UE/EEE, en cumplimiento con los artículos 44–49 del GDPR.

• App Service (contenedor Linux) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, contenedores privados
• Azure Key Vault — Sweden Central, controlado por RBAC
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — Retención de 90 días

Todos los datos de clientes se almacenan y procesan dentro de la UE/EEE — alojados en las regiones Norway East (aplicación, almacenamiento) y Sweden Central (base de datos, secretos) de Microsoft Azure. Noruega es un estado del EEE en el que se aplica el GDPR, por lo que se trata de un acuerdo intra-EEE que no requiere ningún mecanismo de transferencia del Capítulo V. La creación de recursos fuera de las regiones aprobadas está bloqueada a nivel de plataforma mediante una asignación de directiva Azure Policy de tipo «Deny», por lo que los datos de clientes no pueden aprovisionarse fuera de la UE/EEE. Cuando un subencargado de alcance limitado opera fuera del EEE (por ejemplo, OCR con IA o entrega de correo electrónico), las transferencias se rigen por las Cláusulas Contractuales Estándar de la UE y solo se envían los datos mínimos necesarios.

YARDtwin utiliza un conjunto reducido y verificado de subencargados del tratamiento para prestar el servicio. Cada uno está vinculado por un Acuerdo de Tratamiento de Datos. Mantenemos este registro e informamos a los clientes de los cambios sustanciales de conformidad con el Artículo 28 del GDPR.

YARDtwin utiliza IA para leer permisos de conducir y documentos de transporte (OCR), para el asistente integrado y para generar guía de voz. El procesamiento con IA es de carácter asistencial: su resultado se presenta a una persona —por ejemplo, un operador de acceso confirma cada entrada— y YARDtwin no toma decisiones automatizadas que produzcan efectos jurídicos o igualmente significativos sobre las personas (Artículo 22 del GDPR).

• Los datos de los clientes no se utilizan para entrenar modelos de IA de terceros — nuestros subencargados de IA procesan los datos únicamente para devolver un resultado a su solicitud.
• Minimización de datos: el OCR de documentos con IA puede desactivarse por instalación, de modo que los sitios que prefieran la introducción manual nunca envíen documentos a un proveedor de IA.
• Supervisión humana: los campos extraídos son revisables y editables antes de guardarse en el registro.

CSP estricta con nonces por solicitud en scripts (sin unsafe-inline). Conjunto completo de cabeceras de seguridad devueltas en cada respuesta: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Prueba de penetración independiente los días 17–18 de abril de 2026 (10 categorías OWASP, 36 cargas útiles): 0 vulnerabilidades.Pruebas funcionales de seguridad el 11 de abril de 2026, cubriendo más de 1.890 llamadas API en 270 citas: 0 fallos.Pentest anual de terceros programado y auditoría SOC 2 Type II en curso.

• EU GMP Annex 11 — Integridad de datos (ALCOA+), registro de auditoría de solo adición, registros electrónicos, control de acceso, validado
• 21 CFR Part 11 — Registros electrónicos, registro de auditoría, atribución, cadena de custodia de precintos
• GDPR — Portabilidad de datos (JSON + CSV), flujo de trabajo DSAR, seguimiento de consentimiento, residencia exclusiva UE/EEE
• SOC 2 Type II — Auditoría en curso

• Paquete de Garantía del Proveedor (PDF) — Índice de documentos del SGC, categorización GAMP 5, mapeos de cláusulas de Annex 11 y 21 CFR Part 11, declaración ALCOA+, arquitectura de seguridad, un CAIQ-Lite completado y una lista completa de lo que aún no disponemos. Sin formulario requerido.
• Lista de Verificación de Preparación para Auditoría GMP de Operaciones de Patio — 101 comprobaciones en 12 dominios para evaluar su propio patio según Annex 11, 21 CFR Part 11 y las directrices GDP de la UE.
• Plantilla de Acuerdo de Procesamiento de Datos (DPA) — para revisión y firma empresarial
• Política GDPR
• Política de privacidad
• security.txt
• Página de estado del servicio — estado de la plataforma autodeclarado en tiempo real, compromisos de disponibilidad e historial de incidencias.

Agradecemos los informes de investigadores de seguridad. Envíe un correo a admin@yardtwin.comcon una descripción del hallazgo y los pasos para reproducirlo. Confirmamos la recepción en un plazo de 2 días hábiles y nos comprometemos a corregir los problemas críticos en 7 días. Le rogamos que no divulgue públicamente las vulnerabilidades antes de que hayamos tenido la oportunidad de remediarlas.