GDPR-käytäntö

Viimeksi päivitetty: 17. lokakuuta 2026 · v3.4 · Muutokset versiossa v3.4: kohdat 4.3 ja 5 — sopimuksen päättyessä asiakkaalle annetaan täydellinen vienti sen tarkastuslokeista ennen niiden poistamista, paitsi jos asiakas kieltäytyy viennistä kirjallisesti tai siihen ei saada yhteyttä kohtuullisten yritysten jälkeen; YARDtwin säilyttää tarkastuslokitietoja tämän jälkeen ainoastaan asiakkaan kirjallisesta ohjeesta, lukuun ottamatta varmuuskopioita niiden vanhenemiseen saakka sekä omaa kirjaustaan luovutuksesta.

Sovellettavat säädökset: EU:n yleinen tietosuoja-asetus (2016/679), Irlannin tietosuojalaki 2018

1. Sitoumuksemme

YARDtwin Ltd on sitoutunut täysimääräiseen yleisen tietosuoja-asetuksen (GDPR) noudattamiseen. Toimimme sekä rekisterinpitäjänä (omien asiakastietojemme osalta) että henkilötietojen käsittelijänä (käsittelemme operatiivisia tietoja asiakkaidemme puolesta) ja toteutamme asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi kaikissa vaiheissa.

2. Roolit ja vastuut

YARDtwin rekisterinpitäjänä: Määritämme henkilötietojen käsittelyn tarkoitukset ja keinot tilinhallintaa, laskutusta, uutiskirjetilauksia ja markkinoinnin mittaamista varten julkisella verkkosivustollamme (LinkedIn Insight Tag, joka latautuu vain markkinointievästeiden suostumuksella). Emme tällä hetkellä käytä analytiikkaevästeitä.

YARDtwin henkilötietojen käsittelijänä: Kun asiakkaamme syöttävät operatiivisia tietoja (ajanvaraukset, kuljetustiedot, kuljettajien nimet, tarkastusrekisterit) alustalle, YARDtwin toimii heidän puolestaan henkilötietojen käsittelijänä. Jokainen asiakas (vuokralainen) on oman operatiivisen datansa rekisterinpitäjä.

Asiakkaiden vastuut: Asiakkaat ovat vastuussa siitä, että heillä on lainmukaiset perusteet YARDtwiniin syöttämilleen henkilötiedoille (esim. kuljettajien nimet, kuljetusyrityksen yhteystiedot, ajoneuvojen rekisteritunnukset). Asiakkaiden on tiedotettava omia rekisteröityjään YARDtwinin kautta tapahtuvasta henkilötietojen käsittelystä.

3. Tietojenkäsittelysopimus (DPA)

Kaikki asiakkaat voivat tarkastella ja hyväksyä tietojenkäsittelysopimuksemme itsepalvelun kautta DPA-sivulla. Maksullisen suunnitelman asiakkaat voivat pyytää tietojenkäsittelysopimuksen tarkastettavaksi osoitteesta dpo@yardtwin.com; molempien osapuolten allekirjoittama versio toimitetaan, kun yrityksen rekisteröinti on valmis.

4. Tekniset toimenpiteet (GDPR:n 32 artikla)

4.1 Salaus

Kaikki tiedot salataan siirron aikana (TLS 1.2+). Salasanat hashataan bcrypt-algoritmilla (12 kierrosta). PostgreSQL Flexible Server käyttää läpinäkyvää tietojen salausta levossa. Azure Blob Storage salataan levossa. Ajokorttikuvat ja allekirjoitukset salataan levossa AES-256-salauksella palveluissa Azure Storage ja Azure Database for PostgreSQL (Microsoftin hallinnoimat avaimet), ja pääsy niihin on rajattu roolin ja organisaation mukaan. JWT-tunnukset on kryptografisesti allekirjoitettu (HS256). Salaisuuksia hallitaan Azure Key Vaultin kautta App Servicen hallitun identiteetin avulla — ei salaisuuksia koodissa, ympäristötiedostoissa tai konttikuvissa.

4.2 Pääsynhallinta

Roolipohjainen käyttöoikeuksien hallinta (RBAC) autentikoituihin reitteihin, vuokralaiskohtainen rajaus valvottuna palvelinpuolella. Vuokralaisidentifikaation eristäminen testataan automaattisesti ennen jokaista julkaisua: julkaisuportin ristikkäinen tarkistus kutsuu API:a yhden organisaation tunnuksilla käyttäen toisen organisaation tietuetunnuksia, ja julkaisu estetään, jos kyseisen organisaation tietoja voidaan lukea tai muuttaa. Kertakirjautuminen (SAML 2.0, Google, Microsoft); aikapohjainen kertakäyttösalasana-MFA, pakollinen alustan pääkäyttäjille ja käytettävissä kaikille käyttäjille.

4.3 Auditointijäljet

Täydellinen tarkastusloki käyttäjien toimista: käyttäjätunnus, aikaleima, IP-osoite, toimintoverbi, kohde-entiteetti sekä vanhat ja uudet arvot. GMP-relevantit toimet merkitään erikseen (is_gmp_relevant=1). Peukaloinnin paljastava ja vain lisäystä salliva, valvottu tietokannassa hajautusketjulla; GMP-relevantit merkinnät säilytetään vähintään 7 vuotta palvelusopimuksen voimassaoloajan, muut tarkastusmerkinnät 365 päivää. Pseudonymisoitu mutta ei poisteta Art. 17 mukaisen poistopyynnön yhteydessä (Art. 17(3)(b) lakisääteisen velvoitteen poikkeus). Sopimuksen päättyessä asiakkaalle toimitetaan täydellinen vientitiedosto tarkastuslokistaan ennen sen poistamista, ellei asiakas kieltäydy siitä kirjallisesti tai ole tavoitettavissa kohtuullisten yritysten jälkeen; YARDtwin säilyttää sen pidempään ainoastaan asiakkaan kirjallisesta ohjeesta, lukuun ottamatta varmuuskopioita niiden voimassaolon päättymiseen asti sekä omaa kirjaamaansa luovutustietoa.

4.4 Infrastruktuurin tietoturva

Isännöity Microsoft Azuressa (Sweden Central + Norway East, ETA). Kontitettu App Service käyttöönotetaan Azure Container Registryn kautta staging-slot-then-swap-menetelmällä. Liikenne saavuttaa sovelluksen Azure Front Doorin kautta Web Application Firewallilla Prevention-tilassa; tietokanta hyväksyy yhteydet vain Azure-palveluista ja ylläpitäjän IP-sallitulta listalta. Application Insights skeeman muutoshälytyksineen Postgresin "column / relation does not exist" -virheistä (15 minuutin ikkuna). Kattava /health/db-write-tarkistus varmistaa, että sovellus pystyy kirjoittamaan ja lukemaan tietokantaa jokaisen käyttöönoton yhteydessä.

4.5 Tietojen minimointi

Keräämme vain palvelun toimittamiseen tarvittavat tiedot. Valinnaiset kuljettajakentät (puhelin, sähköposti) voidaan jättää tyhjiksi, jos asiakkaan prosessi sen sallii. Porttihenkilöstö voi ottaa kuljettajasta kasvokuvan porttitodistukseksi. Kun toimipaikka ottaa käyttöön tekoälypohjaisen kasvovertailun, tekoälyntoimittajamme (Anthropic) vertaa kyseistä valokuvaa yksi-yhteen ajokortin kuvan tai kuljettajan tallennetun kuvan kanssa auttaakseen henkilöstöä vahvistamaan kuljettajan henkilöllisyyden. Tulos on suositus: porttihenkilöstö päättää, ja voi päästää kuljettajan sisään, vaikka vertailu ei vahvistanut henkilöllisyyttä, antamalla syyn. Jokainen vertailu kirjataan palvelimillemme tuloksineen. Kun kasvovertailu on pois käytöstä (oletus), kasvokuvaa ei lähetetä tekoälyntoimittajalle ja henkilöstö vertaa kuljettajaa itse ajokortin kuvaan; ajokorttikuvat luetaan silti tekoälyllä, kun tekoälyluku on käytössä. YARDtwin ei tallenna kasvomalleja eikä suorita yksi-moneen-tunnistusta. Uutiskirje kerää vain sähköpostiosoitteen ja valinnaisen yrityksen nimen.

4.6 Ohjelmiston toimitusketjun turvallisuus

Jokaisen pull requestin on läpäistävä npm audit (riippuvuushaavoittuvuudet), Semgrep (staattinen analyysi) ja gitleaks (salaisuusskannaus) ennen yhdistämistä, sekä Trivy-kontti-imageskannaus neuvoa-antavana tarkistuksena. Nämä tarkistukset suoritetaan myös jokaisella master-haaraan tehdyllä pushilla sekä öisin, yhdessä neuvoa-antavan OWASP ZAP -perusskannauksen (dynaaminen testaus) kanssa tuotantoympäristöstä. Dependabot-hälytykset raportoivat riippuvuuksissamme havaitut uudet haavoittuvuudet.

5. Rekisteröidyn oikeudet (GDPR III luku)

Helpotamme kaikkien rekisteröidyn oikeuksien käyttämistä:

Oikeus saada pääsy tietoihin (15 art.): Käyttäjät voivat pyytää kopion kaikista hallussapitämistämme henkilötiedoista. Vuokralaisen järjestelmänvalvojat voivat viedä organisaationsa tiedot. Kaikki muut rekisteröidyt (kuljettajat, uutiskirjeen tilaajat, potentiaaliset asiakkaat) voivat lähettää pyynnön DSAR-portaali.

Oikeus tietojen oikaisemiseen (16 art.): Käyttäjät voivat päivittää profiilitietonsa Asetukset-sivun kautta. Vuokralaisen järjestelmänvalvojat voivat päivittää organisaationsa minkä tahansa käyttäjän tiedot.

Oikeus tietojen poistamiseen (17 art.): Tilin poistopyynnöt käsitellään 30 päivän kuluessa. Lähetä pyyntö DSAR-portaali. Sisäisesti toteuttaa POST /api/v1/dsar/erase/by-email joka vahvistetusta pyynnöstä anonymisoi henkilön omat käyttäjätilit valituissa asiakastileissä ja poistaa heidän istuntonsa, tunnuksensa, ilmoituksensa, vireillä olevat kutsunsa, uutiskirje- ja rekisteröintitietonsa sekä oman avatarensa. Asiakkaan hallinnoimat operatiiviset tietueet (varaukset, portti- ja vierailutiedot, kuljettajarekisteri, yhteystiedot) ovat asiakkaan tietoja rekisterinpitäjänä ja ne listataan asiakkaan toimenpiteitä varten. Tarkastusloki säilyttää anonymisoidun toimijaviitteen GMP-eheyden vuoksi; GMP-relevantit tarkastustiedot säilytetään vähintään 7 vuotta palvelusopimuksen voimassaoloajan Art. 17(3)(b) lakisääteisen velvoitteen poikkeuksen nojalla, ja sopimuksen päättyessä ne viedään asiakkaalle (ellei asiakas kieltäydy kirjallisesti tai ole tavoitettavissa kohtuullisten yritysten jälkeen) ja poistetaan sen jälkeen.

Oikeus käsittelyn rajoittamiseen (18 art.): Käyttäjät voivat pyytää käsittelyn rajoittamista. Merkitsemme tiedot ja lopetamme käsittelyn säilytystä lukuun ottamatta.

Oikeus tietojen siirrettävyyteen (20 art.): Tiedot voidaan viedä CSV- ja JSON-muodoissa. Ajanvarausdata, kuljetusyritysdata ja auditointilokit ovat kaikki vietävissä.

Vastustamisoikeus (21 art.): Käyttäjät voivat vastustaa käsittelyä, joka perustuu oikeutettuihin etuihin. Uutiskirjeen tilauksen voi peruuttaa yhdellä napsautuksella jokaisessa sähköpostiviestissä olevaa linkkiä käyttämällä.

Automatisoitua päätöksentekoa koskevat oikeudet (22 art.): YARDtwin ei tee yksinomaan automatisoituja päätöksiä, jotka vaikuttavat merkittävästi henkilöihin.

6. Suostumusten hallinta

Uutiskirje: Vaatii nimenomaisen tilaussuostumuksen. Suostumuksen aikaleima ja IP-osoite tallennetaan. Jokaisessa viestissä on peruutuslinkki. Suostumuksen voi peruuttaa milloin tahansa ilman, että se vaikuttaa palvelun käyttöön.

Palveluehdot: Tilin luominen merkitsee palveluehtojen hyväksymistä (sopimuksellinen peruste). Käyttäjiä tiedotetaan rekisteröitymisen yhteydessä tietojenkäsittelystä.

Evästeet: Ensimmäisellä vierailulla näytetään evästeiden suostumusbanneri sähköisen viestinnän tietosuojadirektiivin mukaisesti. Käyttäjät voivat valita joko vain välttämättömät evästeet tai kaikki evästeet. Asetukset tallennetaan paikallisesti ja niitä voi muuttaa milloin tahansa.

7. Henkilötietojen tietoturvaloukkauksia koskevat menettelyt (33–34 art.)

Automaattinen havaitseminen: Tietoturvaloukkausten seurantapalvelu tarkistaa auditointilokin viiden minuutin välein ja kirjaa kolme ensimmäistä alla olevaa poikkeamaa mahdollisiksi tapauksiksi. Muut kolme ovat erillisiä Azure-valvontahälytyksiä:

≥10 epäonnistunutta kirjautumista yhdelle sähköpostiosoitteelle 1 tunnin aikana
≥5 eri lähde-IP-osoitetta kohdistettuna yhteen sähköpostiosoitteeseen 24 tunnin aikana
Onnistunut kirjautuminen lähde-IP-osoitteesta, jota ei ole aiemmin nähty kyseiselle käyttäjälle viimeisten 30 päivän aikana
Yli 10 palvelinvirhettä (HTTP 5xx) viiden minuutin aikaikkunassa
Postgres-virheet "column / relation does not exist" (skeeman ajautuminen, App Insights)
Verkkosivuston saatavuustesti (suoritetaan 10 minuutin välein) epäonnistuu tai vastaa hitaasti

Tietomurtorekisteri: Jokainen havaittu poikkeama kirjataan breach_register -tauluun tilakoneen avulla (havaittu → tutkinnassa → vahvistettu → ilmoitettu → suljettu), vakavuusaste, laajuus, vaikutuksen alaiset rekisteröidyt, tietosuojaviranomaisen määräajan laskuri ja auditointihistoria. Näkyvissä SuperAdminin "Tietomurtorekisteri"-paneelissa.

Hälytysten reititys: Havaitsemistapahtumat reititetään Azure Monitor -toimintoryhmään yardtwin-breach-actions, joka lähettää sähköpostia perustajan yhteysosoitteeseen admin@yardtwin.com. Skeeman ajautumiset käyttävät olemassa olevaa yardtwin-schema-drift-actions -ryhmää.

Arviointi: 24 tunnin kuluessa havaitsemisesta tekninen tiimi triagoi tapahtuman tietomurtorekisterin paneelissa: laajuus, vaikutuksen alaiset rekisteröidyt, vakavuus (33(1) art. "riski oikeuksille ja vapauksille" -kriteeri) ja perussyy.

Ilmoitus tietosuojaviranomaiselle (33 art.): 72 tunnin kuluessa siitä, kun tietoturvaloukkauksesta, joka aiheuttaa riskin, on tullut tietoiseksi. Tietomurtorekisterin paneelissa näkyy reaaliaikainen 72 tunnin laskuri, kun tapahtuma on merkitty vahvistetuksi.

Ilmoitus rekisteröidyille (34 art.): Ilman aiheetonta viivytystä, jos tietoturvaloukkaus aiheuttaa korkean riskin rekisteröityjen oikeuksille ja vapauksille.

Ilmoitus asiakkaille: Asianomaisia vuokralaisen ylläpitäjiä ilmoitetaan ilman aiheetonta viivytystä ja joka tapauksessa 48 tunnin kuluessa siitä, kun olemme tulleet tietoisiksi heidän vuokralaistietojaan koskevasta henkilötietoloukkauksesta; ensimmäinen ilmoitus annetaan 24 tunnin kuluessa mistä tahansa vahvistetusta tietoturvahäiriöstä, joka vaikuttaa kyseiseen dataan.

Dokumentaatio: Jokainen poikkeamarekisterin merkintä säilytetään ilman automaattista poistoa riippumatta siitä, oliko ulkoinen ilmoitus tarpeen.

8. Alikäsittelijät

Alikäsittelijä	Tarkoitus	Sijainti	Suojatoimet
Microsoft Azure	Isännöinti, tietokanta ja tiedostojen tallennus	ETA — Sweden Central ja Norway East (geo-redundantti kopio ladatuista tiedostoista Norway Westissä)	Microsoft Products and Services DPA; data pysyy ETA-alueella
Anthropic	Tekoälypohjainen ajokorttien ja asiakirjojen lukeminen (käytössä oletuksena; sivuston ylläpitäjä voi poistaa sen käytöstä), kuljettajan porttivaiheen valokuvan vertaaminen ajokorttiin tai tallennettuun kuljettajakuvaan (pois käytöstä oletuksena; sivuston ylläpitäjä voi ottaa sen käyttöön tai poistaa sen käytöstä) sekä sovelluksen sisäinen assistentti	USA	Vakiosopimuslausekkeet ja siirtovaikutuksen arviointi (ei sertifioitu EU–US Data Privacy Frameworkin alla); API-dataa ei käytetä mallin kouluttamiseen ja se poistetaan 30 päivän kuluessa Anthropicin vakiokaupallisten ehtojen mukaisesti
Resend	Transaktiosähköposti	USA	Vakiosopimuslausekkeet (sen EU–US Data Privacy Framework -uudelleensertifiointi on arvioinnin alla)
Stripe	Laskutusyhteystieto- ja maksudata (YARDtwin ei tallenna korttinumeroita)	EU / USA	Standard Contractual Clauses; PCI DSS Level 1
Twilio	SMS- ja WhatsApp-ilmoitukset (vain jos asiakas ottaa ne käyttöön)	USA	Standard Contractual Clauses
Google and Microsoft	Kirjautumisidentiteettidata (vain jos asiakas käyttää näitä kirjautumisvaihtoehtoja)	EU / USA	Standard Contractual Clauses / EU-US Data Privacy Framework
ElevenLabs	Valinnainen tekstistä puheeksi -toiminto: äänentää sovelluksen sisäisen assistentin vastaukset, jotka voivat sisältää operatiivisia tietoja kuten ajoneuvon rekisterinumeroita, sekä äänen julkisilla sivuilla	USA	EU–US Data Privacy Framework + vakiosopimuslausekkeet

Asiakkaat antavat yleisen kirjallisen valtuutuksen yllä luetelluille alikäsittelijöille. Ilmoitamme vähintään 30 päivää etukäteen mistä tahansa uudesta alikäsittelijästä; asiakas voi vastustaa sitä perustelluilla syillä, ja mikäli vastustusta ei voida ratkaista, hän voi irtisanoa kyseisen palvelun ilman sanktioita.

Vain verkkosivustolla käytettävät palvelut (ei asiakkaan operatiivista dataa)

Nämä toimivat vain julkisella verkkosivustolla. Ne eivät vastaanota asiakkaan operatiivista dataa eivätkä ole sen alihankkijoita; evästeitä asettavat palvelut latautuvat vain suostumuksella.

Palveluntarjoaja	Tarkoitus	Sijainti	Siirron suojatoimenpide
LinkedIn Insight Tag	Markkinointimittaus julkisilla sivuilla — latautuu vain markkinointievästeiden hyväksynnän jälkeen, ei koskaan sovelluksessa eikä kirjautuneille käyttäjille	EU / USA	Suostumus; LinkedIn DPA Standard Contractual Clausesin kanssa

9. Tietosuojan vaikutustenarviointi (DPIA)

Asiakkaat rekisterinpitäjinä päättävät, tarvitseeko heidän YARDtwin-käsittelynsä DPIA:n. DPIA-syötepaketti on asiakkaiden käytettävissä heidän omaa DPIA:taan varten. YARDtwin käsittelee pääasiassa liiketoiminnallisia operatiivisia tietoja (laiturointiaikataulut, rahdinantajien nimet, ajoneuvon rekisterinumerot) eikä arkaluonteisia henkilötietoja.

10. Sisäänrakennettu ja oletusarvoinen tietosuoja (Art. 25)

Sisäänrakennettu tietosuoja: Monivuokrausarkkitehtuuri pakollisella vuokralaisten eristyksellä. RBAC integroituna jokaiseen API-päätepisteeseen. Salasanoja ei tallenneta selväkielisinä. Minimaalinen tiedonkeruu jokaisessa vaiheessa.

Oletusarvoinen tietosuoja: Uusilla tileillä on minimaaliset käyttöoikeudet. Valinnaiset kentät ovat aidosti valinnaisia. Uutiskirje vaatii aktiivisen suostumuksen. Tietojen näkyvyys on rajattu roolin mukaan.

11. Vaatimustenmukaisuuden tila ja jatkuva parantaminen

Ratkaistu (toukokuu 2026 mennessä)

✓ Siirtyminen PostgreSQL Flexible Server -palveluun (Azuren hallitsema, läpinäkyvä tietojen salaus levossa, 7 päivän ajankohdan palautus)
✓ Siirtyminen Microsoft Azureen (Ruotsi, Keski + Norja, Itä, ETA) App Service + ACR + Key Vault
✓ Salaisuuksien hallinta Azure Key Vaultin kautta (ei salaisuuksia .env-tiedostoissa tai kontti-imagessa; hallittu identiteettipääsy)
✓ Automatisoitu DSAR-autovienti (POST /api/v1/dsar/export/by-email — Art. 15 / 20)
✓ Automatisoitu DSAR-autopyyhintä (POST /api/v1/dsar/erase/by-email — Art. 17 tarkastussäilytyksen vaatimustenmukaisuudella)
✓ Evästebanneri v2 neljällä kategorialla (välttämättömät / toiminnalliset / analytiikka / markkinointi) sekä Hylkää / Mukauta / Hyväksy kaikki
✓ Vuokralaisten välinen eristystarkastus automaattinen ristikkäinen vuokralaistarkistus julkaisuportissa ennen jokaista julkaisua: se kutsuu API:a yhden organisaation tunnuksilla käyttäen toisen organisaation tietuetunnuksia, ja julkaisu estetään, jos kyseisen organisaation tietoja voidaan lukea tai muuttaa
✓ CI/CD-tietoturvaputki: npm audit + Trivy + Semgrep + gitleaks + ZAP DAST
✓ Skeemadrift-hälytys Application Insightsissa (15 minuutin ikkuna)
✓ Päästä päähän /health/db-write-koettelu varmistaa kirjoitettavan tietokannan jokaisessa käyttöönotossa
✓ App Insights skeemadrift-toimintoryhmä lähettää sähköpostia perustajan yhteysosoitteeseen admin@yardtwin.com Postgresin "column / relation does not exist" -virheistä
✓ Ajokorttikuvat ja allekirjoitukset (signature_data) suojattu AES-256-salauksella levossa palveluissa Azure Storage ja Azure Database for PostgreSQL (Microsoftin hallinnoimat avaimet); pääsy rajattu roolin ja organisaation mukaan
✓ Automaattinen tietojen säilytysajan puhdistus (toimipistekohtaisesti määritettävissä; pii-cleanup-taustaprosessi)
✓ 30 päivän kokeilujakso yhtenäistetty kaikkialla (rekisteröityminen, markkinointisivusto, ehdot, sähköpostit)
✓ 5 000 kuorma-auton päästä päähän -regressiotesti kattaa jokaisen sivuston ylläpitäjän päätepisteen piha-näkymän tarkkuusväittämillä jokaisessa siirtymässä (53 650/53 651 = 100 %)
✓ Tietoinventaario ja käsittelytoimien rekisteri (art. 30) julkaistu
✓ Alikäsittelijärekisteri ylläpidetään ja tarkistetaan vuosittain
✓ Sisäänrakennettu ja oletuksena tietosuoja dokumentoitu (art. 25)
✓ Web Application Firewall (Azure Front Door WAF, Prevention mode) joka suojaa yardtwin.com-sivustoa mukautetuilla pyyntönopeuden rajoitussäännöillä todennuksen ja tilin palautuksen päätepisteissä sekä alustatason L7-DDoS-suojauksella. Hallinnoitua OWASP-sääntöjoukkoa ei ole liitetty; se edellyttää Front Door Premium -tasoa
✓ Automaattinen tietomurtohavaitseminen — tietoturvaloukkausten seurantapalvelu (epäonnistuneiden kirjautumisyritysten piikit, kirjautumisyritykset yhdelle tilille useista IP-osoitteista, onnistuneet kirjautumiset IP-osoitteesta, jota ei ole havaittu kyseisellä käyttäjällä 30 päivään), 5xx-piikkihälytys, skeeman muutosilmoitus ja verkkosivuston saatavuustesti
✓ Tietomurtorekisteri pysyvä taulu täydellä tilakoneen logiikalla ja DPC-määräajan laskurilla, näkyvissä SuperAdmin-paneelissa
✓ Toimintoryhmä yardtwin-breach-actions lähettää sähköpostia perustajan yhteysosoitteeseen admin@yardtwin.com jokaisesta havainnosta

Jäljellä olevat parannukset

11.1 Ensimmäinen ulkoinen CREST-tunkeutumistesti

Ulkopuolista penetraatiotestausta ei ole vielä suoritettu; riippumaton testi on suunniteltu ennen ensimmäistä yritysasiakkaan käyttöönottoa. Sisäinen white-box-koodiauditointi suoritettiin lokakuussa 2026 ja kaikki kriittiset havainnot korjattiin. Prioriteetti: Korkea. Tavoite: ennen ensimmäistä yritysasiakkaan käyttöönottoa.

11.2 Tietosuojavastaava

YARDtwin Ltd ei ole nimennyt lakisääteistä tietosuojavastaavaa: mikään 37 artiklan 1 kohdan edellytyksistä (viranomainen; laajamittaista säännöllistä ja järjestelmällistä seurantaa edellyttävä ydintoiminta; laajamittaisesta erityisten henkilötietoryhmien käsittelystä koostuva ydintoiminta) ei sovellu sen käsittelytoimiin. Tietosuojavastuu kuuluu nimetylle henkilölle YARDtwin Ltd:n sisällä, johon voi ottaa yhteyttä tehtäväpostilaatikon dpo@yardtwin.com kautta, joka on julkaistu tässä käytännössä, tietosuojakäytännössä, DPA:ssa ja Trust Centerissä. Julkaisemme yhteystietona sähköpostiosoitteen yksittäisen henkilön nimen sijaan. Virallinen nimeäminen ja ilmoitus Irlannin tietosuojaviranomaiselle (Data Protection Commission, DPC) tehdään, mikäli asiakassopimus tai käsittelytoimien muutos sitä edellyttää. Tila: päätetty 26. syyskuuta 2026. Tarkistetaan jokaisen ISMS-johdon katselmuksen yhteydessä.

11.3 ISO 27001 -sertifiointi

Sertifiointiohjelma käynnissä; sertifiointiauditointi suunniteltu Q1 2027; sertifikaatin tavoiteaika Q1 2027. Prioriteetti: Keskitaso. Tavoite: Q1 2027.

11.4 SOC 2 Type II

Ei hallussa. Saatavilla pyydettäessä ISO 27001 -sertifioinnin jälkeen. Prioriteetti: Matala. Tavoite: asiakkaan pyynnöstä ISO 27001:n jälkeen.

11.5 Maantieteellinen redundanssi ja tietokannan korkea käytettävyys

Ladatut tiedostot ovat geo-redundantteja (Norja itä → Norja länsi) lokakuusta 2026 alkaen; tietokannan korkea käytettävyys on suunniteltu ennen ensimmäistä yritystason käyttöönottoa. Siihen asti tietokantakatkos korjataan ajankohdan mukaisella palautuksella (7 päivän ikkuna). Prioriteetti: Keskisuuri. Tavoite: ennen ensimmäistä yritystason käyttöönottoa.

11.6 Siirron vaikutusarvioinnit

Vakiosopimuslausekkeet ovat käytössä jokaisen ETA-alueen ulkopuolelle tapahtuvan siirron osalta; siirron vaikutusarviointeja viimeistellään (tavoite marraskuu 2026). Prioriteetti: Keskisuuri. Tavoite: marraskuu 2026.

11.7 Bug bounty -ohjelma

Yksityinen bug bounty -ohjelma (HackerOne / Intigriti) on suunniteltu toisen puhtaan ulkoisen tunkeutumistestin jälkeen, tarjoten jatkuvaa ulkoista kattavuutta vuosittaisten testien välillä. Prioriteetti: Matala. Tavoite: 2027.

12. Yhteystiedot ja tietosuoja

Tietosuojayhteyshenkilö: dpo@yardtwin.com — tehtäväpostilaatikko, jota seuraa YARDtwin Ltd:n tietosuojasta vastaava henkilö (ks. 11.2). Julkaisemme yhteystietona sähköpostiosoitteen yksittäisen henkilön nimen sijaan.

Yleiset tiedustelut: admin@yardtwin.com

Rekisteröidyn pyynnöt: Lähetä pyyntö DSAR-portaalimme kautta

Tietojenkäsittelysopimus: Tarkastele ja hyväksy osoitteessa /dpa

Valvontaviranomainen: Data Protection Commission (DPC), Irlanti · www.dataprotection.ie · +353 (0)761 104 800