Tietoturva YARDtwin-palvelussa

YARDtwin toimii Microsoft Azuressa: laskenta Norway East -alueella ja tiedot, rekisteri sekä salaisuudet Sweden Central -alueella. Kaikki asiakasdata pysyy EU/ETA-alueella GDPR:n artiklojen 44–49 mukaisesti.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, yksityiset säilöt
• Azure Key Vault — Sweden Central, RBAC-hallittu
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — 90 päivän säilytys

Kaikki asiakasdata tallennetaan ja käsitellään EU:n/ETA:n alueella — isännöitynä Microsoft Azuren Norja Itä (sovellus, tallennus) ja Ruotsi Keski (tietokanta, salaisuudet) -alueilla. Norja on ETA-valtio, jossa GDPR on voimassa, joten kyseessä on ETA-sisäinen järjestely, joka ei edellytä V luvun mukaista siirtomekanismia. Resurssien luominen hyväksyttyjen alueiden ulkopuolelle on estetty alustatason Azure Policy "Deny" -määrityksellä, joten asiakasdata ei voi tallentua EU:n/ETA:n ulkopuolelle. Mikäli rajatun toimialan aliprosessointi tapahtuu ETA:n ulkopuolella (esim. AI OCR tai sähköpostin toimitus), siirrot on säännelty EU:n vakiosopimuslausekkeilla ja ainoastaan välttämätön vähimmäisdata lähetetään.

YARDtwin käyttää pientä, tarkistettua joukkoa alidatankäsittelijöitä palvelun tuottamiseen. Jokaista sitoo tietojenkäsittelysopimus (DPA). Ylläpidämme tätä rekisteriä ja ilmoitamme asiakkaille olennaisista muutoksista GDPR:n 28 artiklan mukaisesti.

YARDtwin käyttää tekoälyä ajokorttien ja rahtiasiakirjojen lukemiseen (OCR), sovelluksen sisäisen assistentin toimintaan ja ääniopastuksen tuottamiseen. Tekoälykäsittely on avustavaa: sen tulokset esitetään henkilölle — esimerkiksi porttioperaattori vahvistaa jokaisen sisäänkirjautumisen — eikä YARDtwin tee automatisoituja päätöksiä, joilla on oikeudellisia tai vastaavia merkittäviä vaikutuksia henkilöihin (GDPR 22 artikla).

• Asiakastietoja ei käytetä kolmansien osapuolten tekoälymallien kouluttamiseen — tekoälyn alidatankäsittelijämme käsittelevät tietoja ainoastaan palauttaakseen tuloksen pyyntöösi.
• Tietojen minimointi: tekoälyn asiakirja-OCR voidaan poistaa käytöstä sivustokohtaisesti, joten manuaalista syöttöä suosivat sivustot eivät koskaan lähetä asiakirjoja tekoälypalveluntarjoajalle.
• Inhimillinen valvonta: poimitut kentät ovat tarkasteltavissa ja muokattavissa ennen niiden tallentamista tietueeseen.

Tiukka CSP pyyntökohtaisilla nonce-arvoilla skripteille (ei unsafe-inline). Täysi joukko tietoturvaotsakkeita palautetaan jokaisessa vastauksessa: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Riippumaton penetraatiotestaus 17.–18. huhtikuuta 2026 (10 OWASP-kategoriaa, 36 kuorma-arvoa): 0 haavoittuvuutta.Toiminnallinen tietoturvatestaus 11. huhtikuuta 2026 kattaen yli 1 890 API-kutsua 270 ajanvarauksen osalta: 0 epäonnistumista.Vuosittainen kolmannen osapuolen penetraatiotestaus on aikataulutettu ja SOC 2 Type II -auditointi on käynnissä.

• EU GMP Annex 11 — Datan eheys (ALCOA+), vain lisäysmahdollisuus -auditointipolku, sähköiset tietueet, käyttöoikeuksien hallinta, validoitu
• 21 CFR Part 11 — Sähköiset tietueet, auditointipolku, attribuointi, sinettien hallintaketju
• GDPR — Datan siirrettävyys (JSON + CSV), DSAR-työnkulku, suostumuksen seuranta, EU/ETA-alueella pysyvä tallennus
• SOC 2 Type II — Auditointi käynnissä

• Toimittajan vakuutuspaketti (PDF) — QMS-asiakirjaindeksi, GAMP 5 -luokittelu, Annex 11- ja 21 CFR Part 11 -lausekkeiden kartoitukset, ALCOA+-lausuma, tietoturva-arkkitehtuuri, täytetty CAIQ-Lite sekä täydellinen luettelo siitä, mitä meillä ei vielä ole. Ei vaadi lomakkeen täyttämistä.
• Piha-alueen toimintojen GMP-auditointivalmiuden tarkistuslista — 101 tarkistusta 12 osa-alueella oman piha-alueen arviointiin Annex 11-, 21 CFR Part 11- ja EU GDP -ohjeistojen mukaisesti.
• Data Processing Agreement (DPA) -mallipohja — yritysarviointia ja allekirjoitusta varten
• GDPR-käytäntö
• Tietosuojakäytäntö
• security.txt
• Palvelun tilasivu — reaaliaikainen, itse raportoitu alustan tila, saatavuussitoumukset ja tapahtumahistoria.

Toivotamme tietoturvatutkijoiden raportit tervetulleiksi. Lähetä sähköpostia osoitteeseen admin@yardtwin.comkuvaamalla löydös ja vaiheet sen toistamiseksi. Kuittaamme vastaanottamisen 2 arkipäivän kuluessa ja pyrimme korjaamaan kriittiset ongelmat 7 päivän sisällä. Älä julkaise haavoittuvuuksia julkisesti ennen kuin olemme saaneet mahdollisuuden korjata ne.