Turvalisus YARDtwin-is

YARDtwin töötab Microsoft Azure'il, kasutades arvutusressurssideks Norway East ja andmete, registri ning saladuste jaoks Sweden Central piirkonda. Kliendiandmed on salvestatud EL/EMPs; piiratud edastused EMP-väliste alamtöötlejatega on loetletud allpool ja kaetud standardsete lepingutingimustega.

• App Service (Linuxi konteiner) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privaatsed konteinerid
• Azure Key Vault — Sweden Central, RBAC-kontrolliga
• Azure Front Door + WAF — ennetusrežiim (Prevention mode), kohandatud päringupiirangu reeglid
• Azure Monitor hoiatused vigade, latentsuse ja kättesaadavuse kohta ning Azure Service Health hoiatused

Kliendiandmeid hoitakse Microsoft Azure'i piirkondades EL/EMP-s — Norway East (rakendus, salvestus) ja Sweden Central (andmebaas, saladused). Norra on EMP liikmesriik, kus kehtib GDPR, seega on tegemist EMP-sisese korraldusega, mis ei nõua V peatüki edastusmehhanismi. Ressursside loomine väljaspool heakskiidetud piirkondi on platvormi tasemel blokeeritud Azure Policy „Keela“ määramisega, mistõttu ei saa kliendiandmeid paigutada väljaspool EL/EMP-d. Mõned funktsioonid saadavad andmeid allpool (ja aadressil /subprocessors) loetletud alamtöötlejatele, sh mõnedele väljaspool EMP-d — näiteks Anthropic USA-s tehisintellekti funktsioonide jaoks ning e-posti edastamiseks — ELi standardsete lepingutingimuste alusel (ja EL-USA andmeprivaatsuse raamistiku alusel, kui saaja on sertifitseeritud); edastatakse ainult minimaalselt vajalikud andmed.

YARDtwin kasutab teenuse osutamiseks väikest, hoolikalt valitud alamtöötlejate kogumit. Igaühega on sõlmitud andmetöötlusleping. Peame seda registrit ajakohasena ja teavitame kliente olulistest muudatustest kooskõlas GDPR artikliga 28.

Ainult veebisaidi teenused (kliendi tegevusandmeid ei kasutata)

Need töötavad ainult avalikul veebisaidil. Nad ei saa kliendi tegevusandmeid ega ole seetõttu nende alamtöötlejad; küpsiseid seadistavad teenused laadivad ainult nõusoleku korral.

YARDtwin kasutab tehisintellekti juhilubade ja saatedokumentide lugemiseks (OCR), juhivärava foto üks-ühele võrdlemiseks juhiloal või salvestatud juhi fotoga (kui see on konkreetsel asukohal aktiveeritud), rakendusesisese assistendi toimimiseks ja häälsuuniste genereerimiseks. Tehisintellekti töötlus on abistav: selle väljund esitatakse inimesele — näiteks mehitatud väravas kinnitab väravatöötaja iga sisseregistreerimise. Kui asukoht aktiveerib automaatse sisseregistreerimise numbrimärkide kaamerate või mehitamata värava kaudu, registreeritakse veoauto, mille broneering sobib täpselt, automaatselt ilma väravatöötajata; kõik muud juhtumid edastatakse väratöötajatele. YARDtwin ei tee automatiseeritud otsuseid, millel on üksikisikutele õiguslikult olulised või samaväärsed tagajärjed (GDPR artikkel 22).

• Kliendiandmeid ei kasutata kolmandate osapoolte tehisintellekti mudelite treenimiseks — meie tehisintellekti alamtöötlejad töötlevad andmeid ainult teie päringule vastuse tagastamiseks.
• Andmete minimeerimine: tehisintellekti dokumentide OCR saab lülitada välja iga saidi kaupa, nii et manuaalse sisestuse eelistavad saidid ei saada dokumente tehisintellekti teenusepakkujale.
• Inimjärelevalve: eraldatud väljad on enne kirjesse salvestamist ülevaadatavad ja muudetavad.

Range CSP päringupõhiste nonce'idega skriptidel (ei unsafe-inline). Täielik turvapäiste komplekt iga vastuse korral: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Kolmanda osapoole läbitungimistesti ei ole veel läbi viidud; sõltumatu test on kavandatud enne esimest ettevõtte kasutuselevõttu. Sisemine white-box koodiaudit lõpetati oktoobris 2026 ja kõik kriitilised leiud kõrvaldati.

Funktsionaalne turvatestiti 11. aprillil 2026, hõlmates üle 1 890 API-kõne 270 kohtumise ulatuses: 0 viga.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Varukoopiad: 7-päevane ajahetke taaste, lisaks igakuised krüpteeritud varukoopiad, mida säilitatakse kuni 7 aastat ajapõhise muutumatuspoliitika alusel, mis blokeerib kustutamise ja ülekirjutamise (poliitika pole veel lukustatud).
• Igapäevane varukoopia: täielik andmebaasi koopia võetakse iga öö ja säilitatakse 35 päeva eraldi krüpteeritud salvestusruumis EMP-s (Rootsi keskus, georeplikeeritud Rootsi lõunasse).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Andmete terviklus (ALCOA+), ainult lisatav auditijälg, elektroonilised andmed, juurdepääsukontroll, valideeritud
• 21 CFR Part 11 — Elektroonilised andmed, auditijälg, omistamine, tihendi valdusahel
• GDPR — Andmete teisaldatavus (JSON + CSV), DSAR töövoog, nõusoleku jälgimine, ainult EU/EEA residentsus
• ISO 27001 — Sertifitseerimisprogramm on käimas; sertifitseerimisaudit kavandatud Q1 2027; sertifikaat eesmärgiks Q1 2027
• SOC 2 — Ei ole omandatud. Saadaval taotluse alusel pärast ISO 27001 sertifitseerimist.

• Vendor Assurance Pack v1.2 — QMS-dokumendi register, GAMP 5 kategoriseerimine, EL GMP Annex 11 ja 21 CFR Part 11 klauslite vastavused, ALCOA+ deklaratsioon, turvaarhitektuur, täidetud CAIQ-Lite, kõik parandused versioonile v1.1 ning avatud punktide täielik loend. PDF, vormi täitmine ei ole nõutav.
• Hoovi GMP-auditiks valmisoleku kontrollnimekiri — 101 kontrolli 12 valdkonnas oma hoovi hindamiseks vastavalt Annex 11, 21 CFR Part 11 ja EL GDP juhenditele.
• Andmetöötlusleping — ülevaatamiseks mõeldud koopia saadaval taotluse alusel aadressil dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• GDPR poliitika
• Privaatsuspoliitika
• security.txt
• Teenuse olekuleht — reaalajas eneseraporteeritud platvormi olek, kättesaadavuse kohustused ja intsidentide ajalugu.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Tervitame turvauurijate teateid. Saatke e-kiri aadressile admin@yardtwin.comkoos leiu kirjelduse ja reprodutseerimise sammudega. Kinnitame kättesaamist 2 tööpäeva jooksul ja eesmärgiks on kriitiliste probleemide parandamine 7 päeva jooksul. Palun ärge avalikustage haavatavusi enne, kui meil on olnud võimalus need kõrvaldada.

Isikuandmete, DPA, alamtöötlejate või andmesubjekti õigustega seotud küsimused saatke aadressile dpo@yardtwin.com. See on rollipostkast, mida jälgib YARDtwin Ltd andmekaitse eest vastutav isik. YARDtwin ei ole määranud GDPR artikli 37 kohast ametlikku andmekaitseametnikku, mis ei ole tema töötlemistoimingute puhul kohustuslik; avaldame kontaktaadressi isiku nime asemel. Andmesubjekti taotlusi saab esitada ka DSAR-portaali kaudu. /data-request