Tietosuojakäytäntö

Päivitetty viimeksi: 9. toukokuuta 2026 · v3.0 · Voimassa välittömästi

1. Keitä olemme

YARDtwin™ on piha-alueiden hallintapalvelu, jota operoi YARDtwin Ltd ("me", "meidän"), Irlantiin rekisteröity yhtiö. Tarjoamme pilvipalvelupohjaista ohjelmistoa piha-alueiden hallinnan tueksi, mukaan lukien laitureiden ajoitus, porttiautomaatio, perävaunujen seuranta ja analytiikka.

Rekisterinpitäjän yhteystiedot: admin@yardtwin.com. Voit myös lähettää pyynnön Rekisteröidyn pyyntöportaali

2. Keräämämme tiedot

Keräämme seuraavia henkilötietokategorioita:

Tilin tiedot: Nimi, sähköpostiosoite, puhelinnumero, asema/tehtävänimike, yrityksen nimi ja osoite (katuosoite, kaupunki, maa) — annettu tilin rekisteröinnin yhteydessä.

Todennustiedot: Hajautetut salasanat (bcrypt, 12 kierrosta), istuntotunnukset, JWT-päivitystunnukset, kirjautumisajat ja IP-osoitteet. SSO-tunnisteet Googlelta ja Microsoftilta käyttäjille, jotka kirjautuvat näillä palveluntarjoajilla.

Operatiiviset tiedot: Ajanvarausten tiedot, kuljetusliikkeiden tiedot, laituriosoitukset, perävaunujen liikkeet, tarkastustietueet, asiakirjat ja tehtävänmääritykset, jotka luodaan alustan normaalin käytön yhteydessä.

Kuljettajatiedot: Nimet, puhelinnumerot, sähköpostiosoitteet, ajokorttinumerot, ajokorttivalokuvat ja (asiakkaan ottaessa käyttöön) kasvokuvat biometristä porttitunnistusta varten. GDPR:n 9 artiklan mukainen erityinen henkilötietoryhmä — kerätään portilla nimenomaisen suostumuksen perusteella. Säilytysaika: biometriset tiedot 30 päivää, yleiset henkilötiedot 90 päivää, toimipistekohtaisesti määritettävissä.

Auditointitiedot: Käyttäjien toiminnot, aikaleimat, IP-osoitteet ja user agent -merkkijonot vaatimustenmukaisuus- ja tietoturvatavoitteisiin. Säilytetään 6 vuotta tapahtuman jälkeen GMP/Part 11 -vaatimusten mukaisesti.

Uutiskirjetiedot: Sähköpostiosoite ja yrityksen nimi uutiskirjeen tilauksen yhteydessä sekä suostumuksen aikaleima ja IP-osoite.

Tekniset tiedot: Selaintyyppi, laitetiedot ja käyttölokit, jotka kerätään automaattisesti tietoturvaa ja suorituskykyä varten.

3. Henkilötietojesi käyttötarkoitukset

Palvelun toimittaminen: Ajanvarausten käsittely, laitureiden hallinta, perävaunujen seuranta, analytiikan tuottaminen ja kaikkien tilaamiesi alustaominaisuuksien tarjoaminen.

Smart Slots -suositukset: Smart Slots -varaussuositusten tuottamiseksi käsittelemme operatiivisia tietoja, kuten varausaikoja, kuljetusliikkeen identiteettiä, laituriosoituksia, määritettyjä taukoikkunoita ja historiallisia saapumismalleja. Tämä käsittely tehdään vain omassa vuokraajatilassasi, eikä sitä käytetä asiakkaiden väliseen mallinnuskoulutukseen Vaiheessa 1. Kuljettajan henkilötietoja (nimi, puhelin, valokuva) ei koskaan käytetä Smart Slots -syötteenä — järjestelmä käyttää kuljetusliikkeen identiteettiä, ei kuljettajan identiteettiä. Vaiheen 2 uudelleenkoulutus (käyttöönotettuna) on oletuksena vuokrajakohtaista; vuokrajien välinen koulutus edellyttäisi nimenomaista opt-in-valintaa sivuston asetuksissa sekä erillistä DPA-lisäsopimusta. Katso Smart Slots sivulta lisätietoja.

Tilin hallinta: Käyttäjätodennus, roolipohjainen pääsynhallinta, tilauslaskutus ja vuokraajaeristys.

Tietoturva ja vaatimustenmukaisuus: Auditointiketjujen ylläpito GMP-vaatimustenmukaisuutta varten (21 CFR Part 11, EU Annex 11), petostentorjunta ja tietoturvavalvonta.

Viestintä: Kuukausittaisten uutiskirjeiden lähettäminen (nimenomaisen suostumuksen perusteella), järjestelmäilmoitukset ja palvelupäivitykset.

Kehittäminen: Koostettu ja anonymisoitu analytiikka alustan suorituskyvyn ja ominaisuuksien parantamiseksi.

4. Käsittelyn oikeusperusteet

Sopimuksen täytäntöönpano (GDPR 6 art. 1 kohta b): Käsittely, joka on tarpeen YARDtwin-palvelun toimittamiseksi tilaussopimuksen mukaisesti.

Oikeutettu etu (GDPR 6 art. 1 kohta f): Tietoturvalokitus, petostentorjunta ja alustan kehittäminen silloin, kun etumme ei syrjäytä oikeuksiasi.

Suostumus (GDPR 6 art. 1 kohta a): Uutiskirjeiden tilaukset ja markkinointiviestintä, jotka voit peruuttaa milloin tahansa.

Lakisääteinen velvoite (GDPR 6 art. 1 kohta c): Auditointitietojen säilyttäminen lääkealan sääntelyvaatimusten (GMP/GDP) noudattamiseksi.

5. Tietoturva

Salaus siirron aikana: Kaikki tiedot siirretään TLS 1.2+ -protokollalla (HTTPS). TLS-varmenteita hallinnoi Microsoft Azure (DigiCert).

Salaus tallennettuna: Azure PostgreSQL Flexible Server läpinäkyvällä tietosalauksella. Azure Blob Storage -salaus asiakirjoille ja kuville. Kenttätason salaus (AES-256-GCM) biometrisille tiedoille (ajokorttivedokset, allekirjoitukset) ja avaimet hallitaan Azure Key Vaultissa. Salasanat hajautetaan bcrypt-algoritmilla (12 kierrosta).

Usean vuokraajan eristys: Jokaisen asiakkaan tiedot on loogisesti eristetty vuokraaja-ID:n avulla. API-väliohjelmisto valvoo vuokraajarajoja jokaisessa pyynnössä. Todennetaan automaattisella 25 testin vuokrajien välisellä auditioinnilla jokaisen julkaisun yhteydessä.

Roolipohjainen pääsynhallinta: Kuusi erillistä käyttäjäroolia (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin) reittitason käyttöoikeuksineen. SSO tuettu Googlen ja Microsoftin kautta.

Pyyntönopeuden rajoitus: API-pyyntönopeuden rajoitus kaikilla reiteillä; tiukemmat rajoitukset todennusreiteillä. Helmet-tyylisiä tietoturvaotsikoita kaikissa vastauksissa.

Istunnon tietoturva: JWT-käyttötokenit 1 tunnin voimassaoloajalla. Päivitystokenit 7 päivän voimassaoloajalla ja kierrätyksellä käytön yhteydessä. IP-sidottu istunnonseuranta.

Auditointilokitus: Jokainen merkittävä toiminto kirjataan käyttäjätiedoin, aikaleimoin, IP-osoittein ja vanhoilla/uusilla arvoilla. GMP-relevantit tapahtumat merkitään erikseen. Sovellustasolla vain lisäys sallittu; 6 vuoden säilytysaika.

Jatkuva valvonta: Azure Application Insights skeeman muutoshälytyksineen (Postgres "column / relation does not exist" → laukeaa 15 minuutin kuluessa). Päästä päähän -/health/db-write-tarkistus varmistaa, että sovellus pystyy kirjoittamaan ja lukemaan jokaisen käyttöönoton yhteydessä.

Infrastruktuuri: Isännöity Microsoft Azuressa, Sweden Central + Norway East (ETA-alue). Kontitettu käyttöönotto Azure Container Registryn kautta staging-slot-then-swap-menetelmällä. Salaisuudet tallennetaan Azure Key Vaultiin ja niihin pääsee hallitun identiteetin kautta. Päivittäiset varmuuskopiot + 7 päivän ajankohdan mukainen palautus Postgresille.

Ohjelmiston toimitusketju: Jokainen pull request skannataan npm auditin, Trivyn (kontin CVE:t), Semgrepin (SAST OWASP top-ten + Node.js + React + salaisuussäännöt), gitleaksin (salaisuushistoria) ja OWASP ZAPin (dynaaminen skannaus staging-ympäristöä vastaan aikataulutetusti) avulla.

6. Tietojen säilyttäminen

Tilitiedot: Säilytetään tilauksen voimassaoloajan sekä 6 vuotta sen jälkeen (tarkastussäilytys). Pseudonymisoidaan Art. 17 mukaisen poistopyyntöön.

Operatiiviset tiedot: Säilytetään tilauksen voimassaoloajan. Viedään sinulle pyynnöstä ennen poistamista. Tilauksen päättyessä säilytetään tai palautetaan asiakkaan tietojenkäsittelysopimuksen mukaisesti.

Kuljettajan biometriset tiedot (ajokorttikuvat, kasvokuvat): 30 päivää uloskirjauksen jälkeen. Poistetaan automaattisesti ajastetun siivous prosessin toimesta.

Yleiset kuljettajan henkilötiedot (nimi, puhelin, sähköposti, ajokortin numero): 90 päivää uloskirjauksen jälkeen, kohdekohtaisesti konfiguroitavissa.

Tarkastustiedot: Säilytetään 6 vuotta tapahtuman jälkeen lääketeollisuuden sääntelyvaatimusten noudattamiseksi (GMP / 21 CFR Part 11). Pseudonymisoidaan — ei poisteta — rekisteröidyn poistopyyntöön (Art. 17(3)(b) lakisääteinen velvoite ohittaa).

Uutiskirjetiedot: Säilytetään, kunnes peruutat tilauksen. Suostumustiedot säilytetään 3 vuotta peruuttamisen jälkeen.

Istuntotiedot: Käyttöoikeustunnukset vanhenevat 1 tunnin kuluttua. Päivitystunnukset vanhenevat 7 päivän kuluttua. Istuntorivit poistetaan pysyvästi uloskirjautumisen tai poistopyynnön yhteydessä.

7. Tietojen jakaminen ja alikäsittelijät

Emme myy henkilötietojasi. Jaamme tietoja seuraavien alikäsittelijöiden kanssa, joista jokainen toimii tietojenkäsittelysopimuksen ja (soveltuvin osin) vakiosopimuslausekkeiden nojalla:

Microsoft Azure (Sweden Central + Norway East, ETA-alue) — pilvipalvelut, tallennus, Key Vault, Application Insights. Microsoft Online Services DPA + EU:n vakiosopimuslausekkeet.

Stripe (Stripe Ireland, ETA-alue) — tilauslaskutus. Stripe käsittelee maksutiedot suoraan; emme tallenna luottokorttinumeroita. Stripe DPA + vakiosopimuslausekkeet mahdollisiin siirtoihin Yhdysvaltoihin.

Resend (Yhdysvallat) — transaktiosähköposti (tervetuloviestit, kokeilumuistutukset, DSAR-vastaukset). Resend DPA + vakiosopimuslausekkeet.

Google Cloud Vision (EU-alueet) — kuljettajan ajokortin OCR, kun asiakas ottaa käyttöön ajokorttikuvan tarkistuksen portilla.

Google Workspace / Microsoft Entra ID — OAuth kertakirjautuminen käyttäjille, jotka valitsevat kirjautumisen Google- tai Microsoft-tilillään.

Anthropic (Yhdysvallat) — Claude API tuotteen sisäistä tekoälyavustajaa ja ajokortin OCR-tekstianalyysiä varten. Anthropic DPA + nollan säilytyksen lupaus + vakiosopimuslausekkeet.

Asiakasviittauksen käyttö: Saatamme käyttää yrityksesi nimeä ja logoa YARDtwin-asiakkaana markkinointimateriaaleissa, asiakaslistoissa, tapaustutkimuksissa ja verkkosivustollamme. Voit kieltäytyä lähettämällä sähköpostia osoitteeseen admin@yardtwin.com — katso Palveluehdot §6a.

Oma organisaatiosi: Vuokraajien järjestelmänvalvojat voivat nähdä oman organisaationsa käyttäjätoiminnot osana normaaleja alustan toimintoja.

Lakisääteiset vaatimukset: Saatamme luovuttaa tietoja, jos laki, tuomioistuimen määräys tai omien oikeuksiemme suojaaminen niin edellyttää.

8. Oikeutesi

GDPR:n (ja Irlannin tietosuojalain 2018) nojalla sinulla on oikeus:

✓Saada pääsy henkilötietoihisi (Art. 15)

✓Oikaista virheelliset tiedot (Art. 16)

✓Poistaa tietosi (Art. 17)

✓Rajoittaa käsittelyä (Art. 18)

✓Tietojen siirrettävyys (Art. 20)

✓Vastustaa käsittelyä (Art. 21)

✓Peruuttaa suostumus milloin tahansa

✓Tehdä valitus DPC:lle

Käyttääksesi mitä tahansa oikeutta, lähetä pyyntö Rekisteröidyn pyyntöportaali tai sähköpostia admin@yardtwin.com. Vastaamme 30 päivän kuluessa.

Sisäisesti pyynnöt täyttää hallintotiimimme kahden päätepisteen kautta: POST /api/v1/dsar/export/by-email tuottaa koneluettavan JSON-asiakirjan kaikista sähköpostiosoitteelle tallennetuista tiedoista (Art. 15 / 20); POST /api/v1/dsar/erase/by-email pseudonymisoi rekisteröidyn kaikissa henkilötietotauluissa säilyttäen tarkastuslokin eheyden Art. 17(3)(b) mukaisesti (Art. 17).

9. Evästeet

YARDtwin käyttää välttämättömiä evästeitä ja localStorage-tallennusta istunnon todentamiseen (JWT-tunnukset). Evästeiden suostumusbanneri tarjoaa neljä luokkaa: välttämättömät (aina käytössä), toiminnalliset (asetukset), analytiikka (ei käytössä tällä hetkellä) ja markkinointi (ei käytössä tällä hetkellä). Vierailijat voivat valita: Hylkää ei-välttämättömät / Mukauta / Hyväksy kaikki. Asetukset tallennetaan paikallisesti versiotunnisteen kera; banneri näytetään uudelleen, jos luokat muuttuvat. Yksityiskohtainen evästeluettelo on Evästekäytäntö sivulla.

10. Kansainväliset siirrot

Operatiiviset tietosi tallennetaan Euroopan talousalueella (ETA) Microsoft Azuressa (Ruotsi Keski + Norja Itä). Edelleensiirrot ETA:n ulkopuolisille alihenkilötietojen käsittelijöille:

Stripe: Stripe Ireland on sopimuksen osapuoli (ETA). Jotkin tukitoiminnot Yhdysvalloissa vakiosopimuslausekkeiden nojalla.
Resend: Yhdysvalloissa toimiva. Siirrot vakiosopimuslausekkeiden 2021 nojalla.
Anthropic: Yhdysvalloissa toimiva. Vakiosopimuslausekkeet voimassa; Anthropicin nollasäilytysperiaate on sovellettavissa. Chatbot-kyselyt jätetään tarkoituksellisesti ilman operatiivisia henkilötietoja; lisenssi-OCR JSON-jäsennin lähettää OCR-tekstiä.
Google: EU-alueet Vision OCR -palvelulle; Google Workspace globaalisti OAuth-identiteettitokeneille. Google Cloud DPA + EU:n vakiosopimuslausekkeet.

Jokaista Yhdysvaltoihin suuntautuvaa siirtoa varten ylläpidetään siirtovaikutusten arviointia.

11. Lasten yksityisyys

YARDtwin on yritysten välinen alusta. Emme tietoisesti kerää tietoja alle 16-vuotiailta henkilöiltä.

12. Muutokset tähän käytäntöön

Saatamme päivittää tätä tietosuojakäytäntöä ajoittain. Olennaisista muutoksista ilmoitetaan sähköpostitse tilien ylläpitäjille sekä ilmoituksella alustalla. YARDtwinin jatkuva käyttö muutosten jälkeen katsotaan hyväksynnäksi.

13. Yhteystiedot ja valvontaviranomainen

Rekisterinpitäjä: YARDtwin Ltd · Sähköposti: admin@yardtwin.com

Valvontaviranomainen: Data Protection Commission (DPC), Irlanti · www.dataprotection.ie