Seguridad en YARDtwin

YARDtwin se ejecuta en Microsoft Azure con cómputo en Norway East y Sweden Central para datos, registro y secretos. Los datos de los clientes se almacenan en la UE/EEE; las transferencias limitadas a subencargados fuera del EEE se enumeran a continuación y están cubiertas por Cláusulas Contractuales Tipo.

• App Service (contenedor Linux) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, contenedores privados
• Azure Key Vault — Sweden Central, controlado por RBAC
• Azure Front Door + WAF — modo Prevención, reglas personalizadas de limitación de velocidad
• Azure Monitor genera alertas sobre errores, latencia y disponibilidad, además de alertas de Azure Service Health

Los datos de los clientes se alojan en regiones de Microsoft Azure en la UE/EEE — Norway East (aplicación, almacenamiento) y Sweden Central (base de datos, secretos). Noruega es un estado del EEE en el que se aplica el RGPD, por lo que se trata de un acuerdo intra-EEE que no requiere ningún mecanismo de transferencia del Capítulo V. La creación de recursos fuera de las regiones aprobadas está bloqueada a nivel de plataforma mediante una asignación de política «Deny» de Azure, por lo que los datos de los clientes no pueden aprovisionarse fuera de la UE/EEE. Algunas funciones envían datos a los subencargados enumerados a continuación (y en /subprocessors), incluidos algunos fuera del EEE — por ejemplo, Anthropic en EE. UU. para funciones de IA, y el envío de correo electrónico — bajo las Cláusulas Contractuales Tipo de la UE (y el Marco de Privacidad de Datos UE-EE. UU. cuando el destinatario está certificado); solo se envían los datos mínimos necesarios.

YARDtwin utiliza un conjunto reducido y verificado de subencargados del tratamiento para prestar el servicio. Cada uno está vinculado por un Acuerdo de Tratamiento de Datos. Mantenemos este registro e informamos a los clientes de los cambios sustanciales de conformidad con el Artículo 28 del RGPD.

Servicios exclusivos del sitio web (sin datos operativos de clientes)

Estos se ejecutan únicamente en el sitio web público. No reciben datos operativos de clientes y no son subencargados de los mismos; los que establecen cookies se cargan solo con consentimiento.

YARDtwin utiliza IA para leer licencias de conducir y documentos de envío (OCR), para comparar uno a uno la foto de un conductor en la puerta con la licencia o la foto almacenada del conductor cuando un sitio activa esta función, para impulsar el asistente integrado en la aplicación y para generar orientación por voz. El procesamiento de IA es asistivo: su resultado se presenta a una persona — en una puerta con personal, por ejemplo, un operador de puerta confirma cada entrada. Cuando un sitio activa el registro automático desde sus cámaras de matrícula o una puerta sin personal, un camión cuya reserva coincide con claridad se registra sin operador de puerta, y cualquier otro caso se pasa al personal de la puerta. YARDtwin no toma decisiones automatizadas que produzcan efectos jurídicos o significativos similares sobre las personas (Artículo 22 del RGPD).

• Los datos de los clientes no se utilizan para entrenar modelos de IA de terceros — nuestros subencargados de IA procesan los datos únicamente para devolver un resultado a su solicitud.
• Minimización de datos: el OCR de documentos con IA puede desactivarse por instalación, de modo que los sitios que prefieran la introducción manual nunca envíen documentos a un proveedor de IA.
• Supervisión humana: los campos extraídos son revisables y editables antes de guardarse en el registro.

CSP estricta con nonces por solicitud en scripts (sin unsafe-inline). Conjunto completo de cabeceras de seguridad devueltas en cada respuesta: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Aún no se ha realizado ninguna prueba de penetración por terceros; se tiene prevista una prueba independiente antes del primer lanzamiento empresarial. En octubre de 2026 se completó una auditoría interna de código white-box y se corrigieron todos los hallazgos Críticos.

Pruebas funcionales de seguridad el 11 de abril de 2026, cubriendo más de 1.890 llamadas API en 270 citas: 0 fallos.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Copias de seguridad: restauración puntual de 7 días, más copias de seguridad cifradas mensuales conservadas hasta 7 años bajo una política de inmutabilidad temporal que bloquea la eliminación y la sobreescritura (política aún no bloqueada).
• Copia de seguridad diaria: una copia completa de la base de datos tomada cada noche y conservada durante 35 días en almacenamiento cifrado independiente en el EEE (Sweden Central, con replicación geográfica en Sweden South).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Integridad de datos (ALCOA+), registro de auditoría de solo adición, registros electrónicos, control de acceso, validado
• 21 CFR Part 11 — Registros electrónicos, registro de auditoría, atribución, cadena de custodia de precintos
• GDPR — Portabilidad de datos (JSON + CSV), flujo de trabajo DSAR, seguimiento de consentimiento, residencia exclusiva UE/EEE
• ISO 27001 — Programa de certificación en curso; auditoría de certificación prevista para el primer trimestre de 2027; certificado previsto para el primer trimestre de 2027
• SOC 2 — No se dispone de ella. Disponible bajo solicitud tras la certificación ISO 27001.

• Vendor Assurance Pack v1.2 — Índice de documentos QMS, categorización GAMP 5, mapeos de cláusulas EU GMP Annex 11 y 21 CFR Part 11, declaración ALCOA+, arquitectura de seguridad, un CAIQ-Lite completado, cada corrección a la v1.1 y la lista completa de elementos abiertos. PDF, sin formulario requerido.
• Lista de Verificación de Preparación para Auditoría GMP de Operaciones de Patio — 101 comprobaciones en 12 dominios para evaluar su propio patio según Annex 11, 21 CFR Part 11 y las directrices GDP de la UE.
• Acuerdo de Tratamiento de Datos — copia para revisión bajo solicitud a dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• Política RGPD
• Política de privacidad
• security.txt
• Página de estado del servicio — estado de la plataforma autodeclarado en tiempo real, compromisos de disponibilidad e historial de incidencias.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Agradecemos los informes de investigadores de seguridad. Envíe un correo a admin@yardtwin.comcon una descripción del hallazgo y los pasos para reproducirlo. Confirmamos la recepción en un plazo de 2 días hábiles y nuestro objetivo es corregir los problemas críticos en 7 días. Le rogamos que no divulgue públicamente las vulnerabilidades antes de que hayamos tenido la oportunidad de remediarlas.

Las consultas sobre datos personales, el DPA, subencargados del tratamiento o derechos de los interesados deben dirigirse a dpo@yardtwin.com. Este es un buzón de rol supervisado por el responsable de protección de datos de YARDtwin Ltd. YARDtwin no ha designado un Delegado de Protección de Datos estatutario conforme al Artículo 37 del RGPD, lo cual no es obligatorio para su tratamiento; publicamos la dirección de contacto en lugar del nombre de una persona física. Las solicitudes de los interesados también pueden presentarse a través del portal DSAR. /data-request