Politique GDPR

Dernière mise à jour : 9 mai 2026 · v3.0 · Applicable immédiatement

Réglementations applicables : Règlement général sur la protection des données de l'UE (2016/679), Loi irlandaise sur la protection des données 2018

1. Notre Engagement

YARDtwin Ltd s'engage à respecter pleinement le Règlement général sur la protection des données (RGPD). En tant que responsable du traitement (pour nos propres données clients) et sous-traitant (traitant des données opérationnelles pour le compte de nos clients), nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles à chaque étape.

2. Rôles & Responsabilités

YARDtwin en tant que Responsable du traitement : Nous déterminons les finalités et les moyens du traitement des données personnelles pour la gestion des comptes, la facturation, les abonnements à la newsletter et l'analyse du site web.

YARDtwin en tant que Sous-traitant : Lorsque nos clients saisissent des données opérationnelles (rendez-vous, coordonnées des transporteurs, noms des chauffeurs, enregistrements d'inspection) dans la plateforme, YARDtwin agit en tant que sous-traitant en leur nom. Chaque client (locataire) est le responsable du traitement de ses données opérationnelles.

Responsabilités des Clients : Les clients sont responsables de s'assurer qu'ils disposent de bases légales pour les données personnelles qu'ils saisissent dans YARDtwin (ex. noms des chauffeurs, coordonnées des transporteurs, immatriculations de véhicules). Les clients doivent informer leurs propres personnes concernées du traitement des données via YARDtwin.

3. Accord de Traitement des Données (DPA)

Tous les clients peuvent consulter et accepter notre Accord de Traitement des Données via la page DPA. Les clients des formules Standard et Fondateur reçoivent également un Accord de Traitement des Données cosigné couvrant : le périmètre et la finalité du traitement, les types de données personnelles traitées, les catégories de personnes concernées, les obligations des deux parties, la gestion des sous-traitants, la notification des violations de données, les transferts internationaux et les droits d'audit. Pour l'exécution du DPA, contactez par e-mail admin@yardtwin.com (en copie le Délégué à la Protection des Données à dpo@yardtwin.com).

4. Mesures Techniques (Art. 32 RGPD)

4.1 Chiffrement

Toutes les données sont chiffrées en transit (TLS 1.2+). Les mots de passe sont hachés avec bcrypt (12 tours). PostgreSQL Flexible Server utilise le chiffrement transparent des données au repos. Azure Blob Storage est chiffré au repos. Chiffrement au niveau applicatif (AES-256-GCM) pour les données biométriques (images de permis de conduire, images de signature), avec des clés stockées dans Azure Key Vault. Les jetons JWT sont signés cryptographiquement (HS256). Les secrets sont gérés via Azure Key Vault, accessible par l'identité managée d'App Service — aucun secret dans le code, les fichiers d'environnement ou les images de conteneur.

4.2 Contrôle d'accès

Contrôle d'accès basé sur les rôles (RBAC) avec six rôles définis (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin). Principe du moindre privilège appliqué via un middleware sur chaque route authentifiée. Isolation des tenants vérifiée par un audit automatisé de 25 tests inter-tenants à chaque mise en production. SSO pris en charge via Google et Microsoft pour l'authentification multifacteur.

4.3 Pistes d'audit

Journalisation complète des actions utilisateurs : identité de l'utilisateur, horodatage, adresse IP, verbe d'action, entité concernée, anciennes et nouvelles valeurs. Les actions pertinentes pour la GMP sont signalées séparément (is_gmp_relevant=1). En ajout uniquement au niveau applicatif ; conservation pendant 6 ans. Pseudonymisées mais non supprimées lors d'une effacement au titre de l'Art. 17 (dérogation pour obligation légale Art. 17(3)(b)).

4.4 Sécurité de l'infrastructure

Hébergé sur Microsoft Azure (Sweden Central + Norway East, EEE). App Service conteneurisé déployé via Azure Container Registry avec permutation par slot de staging. Seuls les ports 80/443 sont exposés ; PostgreSQL n'est pas directement accessible depuis Internet. Azure NSG et Front Door (prévu). Application Insights avec alerte de dérive de schéma sur les erreurs Postgres "column / relation does not exist" (fenêtre de 15 minutes). La sonde /health/db-write vérifie de bout en bout que l'application peut écrire et lire la base de données à chaque déploiement.

4.5 Minimisation des données

Nous ne collectons que les données nécessaires à la fourniture du service. Les champs conducteur facultatifs (téléphone, e-mail) peuvent être laissés vides lorsque le processus du client le permet. La vérification biométrique est désactivée par défaut par site ; l'administrateur de site doit l'activer. La newsletter collecte uniquement l'adresse e-mail et, optionnellement, le nom de l'entreprise.

4.6 Chaîne d'approvisionnement logicielle

Chaque pull request fait l'objet de contrôles de sécurité automatisés : npm audit (les CVE de dépendances de niveau HIGH+ bloquent le déploiement), Trivy (analyse CVE des conteneurs), Semgrep SAST (top dix OWASP + Node.js + React + règles sur les secrets), gitleaks (analyse des secrets sur l'historique git complet), et OWASP ZAP (DAST contre le staging selon un calendrier). Dependabot ouvre des PR pour les nouvelles CVE dès leur divulgation.

5. Droits des personnes concernées (Chapitre III GDPR)

Nous facilitons l'exercice de tous les droits des personnes concernées :

Droit d'accès (Art. 15) : Les utilisateurs peuvent demander une copie de toutes les données personnelles que nous détenons. Les administrateurs de tenant peuvent exporter les données de leur organisation. Toutes les autres personnes concernées (conducteurs, abonnés à la newsletter, prospects) peuvent soumettre une demande via le Portail DSAR.

Droit de rectification (Art. 16) : Les utilisateurs peuvent mettre à jour leurs données de profil via la page Paramètres. Les administrateurs de tenant peuvent mettre à jour tout utilisateur au sein de leur organisation.

Droit à l'effacement (Art. 17) : Les demandes de suppression de compte sont traitées dans un délai de 30 jours. À soumettre via le Portail DSAR. Traité en interne par POST /api/v1/dsar/erase/by-email qui pseudonymise l'ensemble des tables contenant des données personnelles. Remarque : les données d'audit sont conservées 6 ans conformément à la dérogation pour obligation légale de l'Art. 17(3)(b).

Droit à la limitation du traitement (Art. 18) : Les utilisateurs peuvent demander une limitation. Nous marquerons les données et cesserons tout traitement à l'exception du stockage.

Droit à la portabilité des données (Art. 20) : Les données peuvent être exportées aux formats CSV et JSON. Les données de rendez-vous, les données transporteurs et les journaux d'audit sont tous exportables.

Droit d'opposition (Art. 21) : Les utilisateurs peuvent s'opposer au traitement fondé sur des intérêts légitimes. Le désabonnement à la newsletter est disponible via un lien en un clic dans chaque e-mail.

Droit relatif à la prise de décision automatisée (Art. 22) : YARDtwin ne prend pas de décisions basées uniquement sur un traitement automatisé ayant des effets significatifs sur les personnes.

6. Gestion du consentement

Newsletter : Consentement explicite par opt-in requis. L'horodatage du consentement et l'adresse IP sont enregistrés. Lien de désabonnement dans chaque communication. Le consentement peut être retiré à tout moment sans incidence sur l'accès au service.

Conditions d'utilisation : La création d'un compte vaut acceptation des Conditions d'utilisation (base contractuelle). Les utilisateurs sont informés lors de l'inscription du traitement de leurs données.

Cookies : Une bannière de consentement aux cookies s'affiche lors de la première visite, conformément à la directive ePrivacy. Les utilisateurs peuvent choisir les cookies essentiels uniquement ou tous les cookies. Les préférences sont stockées localement et peuvent être modifiées à tout moment.

7. Procédures en cas de violation de données (Art. 33-34)

Détection automatisée : Un worker de surveillance des violations s'exécute toutes les 5 minutes sur le journal d'audit et signale les anomalies comme incidents potentiels :

≥10 tentatives de connexion échouées pour une adresse e-mail en 1 heure
≥5 adresses IP sources distinctes ciblant une adresse e-mail en 24 heures
Connexion réussie depuis une adresse IP source jamais observée pour cet utilisateur au cours des 30 derniers jours
Taux d'erreurs HTTP 5xx > 5% sur une fenêtre de 5 minutes
Erreurs Postgres "column / relation does not exist" (dérive de schéma, App Insights)
Échec de la sonde /health/db-write (vérification lecture+écriture à chaque déploiement et en continu)

Registre des violations : Chaque anomalie détectée est consignée dans la breach_register table avec une machine à états (détecté → en cours d'investigation → confirmé → notifié → clôturé), la sévérité, le périmètre, les personnes concernées affectées, le compte à rebours de l'échéance DPC et l'historique d'audit. Visible dans le panneau "Registre des violations" du SuperAdmin.

Acheminement des alertes : Les événements de détection sont acheminés vers le groupe d'actions Azure Monitor yardtwin-breach-actions, qui envoie des e-mails à admin@yardtwin.com ainsi qu'aux adresses d'astreinte enregistrées. Les événements de dérive de schéma utilisent le groupe yardtwin-schema-drift-actions existant.

Évaluation : Dans les 24 heures suivant la détection, l'équipe technique trie l'incident dans le panneau du registre des violations : périmètre, personnes concernées, gravité (critère « risque pour les droits et libertés » de l'Art. 33(1)) et cause racine.

Notification à l'autorité de contrôle (Art. 33) : Dans les 72 heures suivant la prise de connaissance d'une violation présentant un risque. Le panneau du registre des violations affiche un compte à rebours de 72 heures en direct dès que l'incident est marqué confirmé.

Notification aux personnes concernées (Art. 34) : Sans délai indu si la violation présente un risque élevé pour leurs droits et libertés.

Notification aux clients : Les administrateurs de tenant concernés sont notifiés dans les 48 heures suivant la confirmation d'une violation affectant les données de leur tenant.

Documentation : Chaque entrée du registre des violations est conservée pendant toute la durée de vie de la plateforme plus 6 ans (conservation à des fins d'audit), qu'une notification externe ait été requise ou non.

8. Sous-traitants

Sous-traitant	Finalité	Localisation	Garanties
Microsoft Azure	Infrastructure cloud (App Service, Postgres, Blob, Key Vault, App Insights)	EEA (Sweden Central + Norway East)	DPA Microsoft Online Services + SCCs UE, ISO 27001, SOC 2 Type II
Stripe	Facturation des abonnements et traitement des paiements	Stripe Irlande (EEA), support partiel aux États-Unis	DPA Stripe + SCCs + PCI DSS
Resend	E-mails transactionnels (bienvenue, rappels d'essai, réponses aux DSAR)	États-Unis (Delaware)	DPA + SCCs (vérification en cours)
Google Cloud Vision	OCR de permis de conduire (si le client active la vérification de permis)	Régions UE	DPA Google Cloud + SCCs UE, ISO 27001, SOC 2
Google / Microsoft (OAuth SSO)	Jetons d'identité SSO pour les utilisateurs ayant opté pour le SSO	EEA (Microsoft Entra ID), mondial (Google Workspace)	DPA Microsoft / Google Cloud
Anthropic	API Claude pour l'assistant IA intégré au produit + analyse OCR de texte de permis	États-Unis (Californie)	DPA Anthropic + engagement zéro rétention + SCCs

Les clients seront informés 30 jours avant l'ajout de tout nouveau sous-traitant.

9. Analyse d'impact relative à la protection des données (AIPD)

Nous réalisons des AIPD pour les activités de traitement présentant des risques élevés pour les personnes concernées. Étant donné que YARDtwin traite principalement des données opérationnelles métier (plannings des quais, noms de transporteurs, immatriculations de véhicules) plutôt que des données personnelles sensibles, le profil de risque est modéré. Des AIPD ont été réalisées pour : le traitement des pistes d'audit, l'analytique inter-tenant (module d'administration de la plateforme) et la gestion des abonnés à la newsletter.

10. Protection des données dès la conception et par défaut (Art. 25)

Dès la conception : Architecture multi-tenant avec isolation obligatoire des tenants. RBAC intégré à chaque point de terminaison API. Mots de passe jamais stockés en clair. Collecte minimale des données à chaque étape.

Par défaut : Les nouveaux comptes disposent de permissions minimales. Les champs optionnels sont véritablement facultatifs. La newsletter requiert un opt-in actif. La visibilité des données est restreinte par rôle.

11. État de conformité et amélioration continue

Résolu (au mai 2026)

✓ Migration vers PostgreSQL Flexible Server (géré par Azure, chiffrement transparent des données au repos, récupération à un instant précis sur 7 jours)
✓ Migration vers Microsoft Azure (Sweden Central + Norway East, EEA) avec App Service + ACR + Key Vault
✓ Gestion des secrets via Azure Key Vault (aucun secret dans .env ou les images de conteneurs ; accès par identité gérée)
✓ Export automatique des DSAR (POST /api/v1/dsar/export/by-email — Art. 15 / 20)
✓ Effacement automatique des DSAR (POST /api/v1/dsar/erase/by-email — Art. 17 avec conformité à la conservation des journaux d'audit)
✓ Bandeau de cookies v2 avec quatre catégories (essentiels / fonctionnels / analytiques / marketing) et les options Refuser / Personnaliser / Tout accepter
✓ Audit d'isolation multi-tenant automatisé ; 25/25 vecteurs d'accès inter-tenant bloqués, testés en régression à chaque version
✓ Pipeline de sécurité CI/CD : npm audit + Trivy + Semgrep + gitleaks + ZAP DAST
✓ Alertes de dérive de schéma sur Application Insights (fenêtre de 15 minutes)
✓ Sonde /health/db-write de bout en bout vérifiant l'accessibilité en écriture de la base de données à chaque déploiement
✓ Groupe d'action de dérive de schéma App Insights envoie un e-mail à l'adresse d'astreinte en cas d'erreurs Postgres « column / relation does not exist »
✓ Chiffrement au niveau des champs (AES-256-GCM) pour les données biométriques (images de permis de conduire, signature_data)
✓ Purge automatisée de conservation des données (configurable par site ; worker pii-cleanup)
✓ Période d'essai de 30 jours harmonisée partout (inscription, site marketing, conditions, e-mails)
✓ Test de régression de bout en bout sur 5 000 camions couvrant chaque endpoint Site Admin avec des assertions de fidélité de vue de cour à chaque transition (53 650/53 651 = 100 %)
✓ Inventaire des données et registre des activités de traitement (Art. 30) publié
✓ Registre des sous-traitants maintenu et révisé annuellement
✓ Protection des données dès la conception et par défaut documentée (Art. 25)
✓ Pare-feu applicatif Web (Azure Front Door + WAF géré) protégeant yardtwin.com avec l'ensemble de règles de base OWASP, la protection anti-bots et la mitigation DDoS L7
✓ Détection automatisée des violations — worker d'anomalie d'authentification (pics de tentatives de connexion échouées, attaques multi-IP, connexions depuis un nouveau pays), alertes sur le taux de 5xx, alertes de dérive de schéma et sonde /health/db-write
✓ Registre des violations table persistante avec machine à états complète et compte à rebours des délais DPC, visible dans le panneau SuperAdmin
✓ Groupe d'action yardtwin-breach-actions envoie un e-mail à admin@yardtwin.com et aux adresses d'astreinte à chaque détection

Améliorations restantes

11.1 Premier test de pénétration externe CREST

Aucun test de pénétration par un tiers n'a été réalisé. Engagement cadré (Cobalt.io, ~6–8 k€ pour application web + test authentifié). Les tests internes ont résolu 27 constatations à ce jour. Priorité : Haute. Cible : T3 2026.

11.2 Désignation d'un Délégué à la Protection des Données

Un DPO externe à temps partiel sera contracté avant le premier client pharmaceutique entreprise payant. Requis pour un référencement fournisseur crédible, même lorsque non strictement imposé par l'Art. 37. Priorité : Haute. Cible : Avant le premier client entreprise payant.

11.3 Certification ISO 27001

Squelette de la déclaration d'applicabilité finalisé, couvrant les 93 contrôles de l'Annexe A (~32 EN PLACE, ~25 PARTIELS, ~22 ÉCARTS, ~14 N/A). L'engagement d'un auditeur principal externe est la prochaine étape ; le parcours de certification complète est de 9 à 12 mois. Priorité : Moyenne. Cible : T4 2026 — audit de certification T1 2027.

11.4 SOC 2 Type II

Requis pour les clients entreprises américains. À engager de préférence après la mise en place de l'ISO 27001 — la majorité des contrôles se recoupent. Priorité : Moyenne. Cible : 2027.

11.5 Région secondaire géo-redondante

YARDtwin fonctionne sur Azure App Service avec récupération de sauvegarde ponctuelle (fenêtre de 7 jours) mais est déployé dans une seule région. Une région secondaire géo-redondante dans une autre région EEE peut réduire le RTO de quelques heures à quelques minutes en cas de défaillance régionale. Priorité : Moyenne. Cible : T4 2026.

11.6 Vérification des SCC Resend & Anthropic

Les deux sous-traitants transfèrent des données vers les États-Unis dans le cadre des SCC. La confirmation écrite des mesures supplémentaires relatives à la section 702 du FISA est en cours de collecte dans le cadre de la revue annuelle des sous-traitants. Priorité : Moyenne. Cible : T3 2026.

11.7 Programme de Bug Bounty

Un programme privé de bug bounty (HackerOne / Intigriti) est prévu après le deuxième test de pénétration externe concluant, assurant une couverture externe continue entre les tests annuels. Priorité : Faible. Cible : 2027.

12. Contact & Délégué à la Protection des Données

Délégué à la Protection des Données : dpo@yardtwin.com — un DPO externe en mode fractionné est en cours de contractualisation (voir 11.2) ; jusqu'à sa nomination, les messages envoyés à cette adresse sont acheminés vers admin@yardtwin.com pour traitement.

Demandes générales : admin@yardtwin.com

Demandes des personnes concernées : Soumettre via notre portail DSAR

Accord de Traitement des Données : Consulter et accepter sur /dpa

Autorité de contrôle : Data Protection Commission (DPC), Irlande · www.dataprotection.ie · +353 (0)761 104 800