Turvalisus YARDtwin-is

YARDtwin töötab Microsoft Azure'il, kasutades arvutuseks Norway East ja andmete, registri ning saladuste jaoks Sweden Central piirkonda. Kõik kliendiandmed jäävad EU/EEA piirkonda, vastavalt GDPR artiklitele 44–49.

• App Service (Linuxi konteiner) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privaatsed konteinerid
• Azure Key Vault — Sweden Central, RBAC-kontrolliga
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — 90-päevane säilitamine

Kõik kliendiandmed salvestatakse ja töödeldakse EL/EMPis — majutatud Microsoft Azure'i piirkondades Norway East (rakendus, salvestusruum) ja Sweden Central (andmebaas, saladused). Norra on EMP liikmesriik, kus GDPR kehtib, seega on tegemist EMP-sisese korraldusega, mis ei nõua V peatüki ülekandemehhanismi. Ressursside loomine väljaspool kinnitatud piirkondi on platvormitasandil blokeeritud Azure Policy „Keela" määranguga, mistõttu ei saa kliendiandmeid väljaspool EL/EMPi ette valmistada. Kui piiratud ulatusega alamtöötleja tegutseb väljaspool EMPi (näiteks AI OCR või e-posti saatmine), reguleeritakse üleandmisi EL standardsete lepingutingimustega ning edastatakse üksnes minimaalselt vajalikud andmed.

YARDtwin kasutab teenuse osutamiseks väikest, hoolikalt valitud alamtöötlejate kogumit. Igaühega on sõlmitud andmetöötlusleping. Peame seda registrit ajakohasena ja teavitame kliente olulistest muudatustest kooskõlas GDPR artikliga 28.

YARDtwin kasutab tehisintellekti juhilubade ja saatedokumentide lugemiseks (OCR), rakendusesisese assistendi toetamiseks ning häälteatiste genereerimiseks. Tehisintellekti töötlus on abistav: selle väljund esitatakse inimesele — näiteks väravavaht kinnitab iga registreerimise — ning YARDtwin ei tee automatiseeritud otsuseid, millel on isikutele õiguslikud või sarnaselt olulised tagajärjed (GDPR artikkel 22).

• Kliendiandmeid ei kasutata kolmandate osapoolte tehisintellekti mudelite treenimiseks — meie tehisintellekti alamtöötlejad töötlevad andmeid ainult teie päringule vastuse tagastamiseks.
• Andmete minimeerimine: tehisintellekti dokumentide OCR saab lülitada välja iga saidi kaupa, nii et manuaalse sisestuse eelistavad saidid ei saada dokumente tehisintellekti teenusepakkujale.
• Inimjärelevalve: eraldatud väljad on enne kirjesse salvestamist ülevaadatavad ja muudetavad.

Range CSP päringupõhiste nonce'idega skriptidel (ei unsafe-inline). Täielik turvapäiste komplekt iga vastuse korral: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Sõltumatu läbitungimistestimine 17.–18. aprillil 2026 (10 OWASP kategooriat, 36 koormust): 0 haavatavust.Funktsionaalne turvatestiti 11. aprillil 2026, hõlmates üle 1 890 API-kõne 270 kohtumise ulatuses: 0 viga.Iga-aastane kolmanda osapoole läbitungimistest on planeeritud ja SOC 2 Type II audit on käimas.

• EU GMP Annex 11 — Andmete terviklus (ALCOA+), ainult lisatav auditijälg, elektroonilised andmed, juurdepääsukontroll, valideeritud
• 21 CFR Part 11 — Elektroonilised andmed, auditijälg, omistamine, tihendi valdusahel
• GDPR — Andmete teisaldatavus (JSON + CSV), DSAR töövoog, nõusoleku jälgimine, ainult EU/EEA residentsus
• SOC 2 Type II — Audit käimas

• Hankija Tagatispakett (PDF) — QMS-dokumendi register, GAMP 5 kategoriseerimine, Annex 11 ja 21 CFR Part 11 klauslite vastavustabelid, ALCOA+ deklaratsioon, turvaarhitektuur, täidetud CAIQ-Lite ning täielik loetelu veel puuduvatest dokumentidest. Vormi täitmine pole nõutud.
• Hoovi GMP-auditiks valmisoleku kontrollnimekiri — 101 kontrolli 12 valdkonnas oma hoovi hindamiseks vastavalt Annex 11, 21 CFR Part 11 ja EL GDP juhenditele.
• Andmetöötluslepingu (DPA) mall — ettevõtte ülevaatamiseks ja allkirjastamiseks
• GDPR poliitika
• Privaatsuspoliitika
• security.txt
• Teenuse olekuleht — reaalajas eneseraporteeritud platvormi olek, kättesaadavuse kohustused ja intsidentide ajalugu.

Tervitame turvauurijate teateid. Saatke e-kiri aadressile admin@yardtwin.comkoos leiu kirjelduse ja reprodutseerimise sammudega. Kinnitame kättesaamist 2 tööpäeva jooksul ja eesmärgiks on kriitiliste probleemide parandamine 7 päeva jooksul. Palun ärge avalikustage haavatavusi enne, kui meil on olnud võimalus need kõrvaldada.