Sécurité chez YARDtwin

YARDtwin fonctionne sur Microsoft Azure avec les ressources de calcul en Norvège Est et en Suède Centre pour les données, le registre et les secrets. Toutes les données clients restent au sein de l'UE/EEE, conformément aux articles 44 à 49 du GDPR.

• App Service (Conteneur Linux) — Norvège Est
• Azure PostgreSQL Flexible Server — Suède Centre
• Azure Blob Storage — Norvège Est, conteneurs privés
• Azure Key Vault — Suède Centre, contrôle RBAC
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — Rétention 90 jours

Toutes les données clients sont stockées et traitées au sein de l'UE/EEE — hébergées dans les régions Microsoft Azure Norway East (application, stockage) et Sweden Central (base de données, secrets). La Norvège est un État de l'EEE dans lequel le GDPR s'applique ; il s'agit donc d'un arrangement intra-EEE ne nécessitant aucun mécanisme de transfert au titre du Chapitre V. La création de ressources en dehors des régions approuvées est bloquée au niveau de la plateforme par une affectation Azure Policy « Deny », de sorte que les données clients ne peuvent pas être provisionnées en dehors de l'UE/EEE. Lorsqu'un sous-traitant à périmètre limité opère en dehors de l'EEE (par exemple l'OCR par IA ou la distribution d'e-mails), les transferts sont encadrés par les Clauses Contractuelles Types de l'UE et seules les données strictement nécessaires sont transmises.

YARDtwin fait appel à un ensemble restreint et contrôlé de sous-traitants pour fournir le service. Chacun est lié par un accord de traitement des données. Nous tenons ce registre à jour et informons les clients de tout changement significatif conformément à l'article 28 du GDPR.

YARDtwin utilise l'IA pour lire les permis de conduire et les documents d'expédition (OCR), pour alimenter l'assistant intégré et pour générer des guidages vocaux. Le traitement par IA est assistif : ses résultats sont présentés à un opérateur humain — par exemple, un agent de portail confirme chaque entrée — et YARDtwin ne prend pas de décisions automatisées produisant des effets juridiques ou similairement significatifs sur les personnes (article 22 du GDPR).

• Les données client ne sont pas utilisées pour entraîner des modèles d'IA tiers — nos sous-traitants IA traitent les données uniquement pour retourner un résultat à votre demande.
• Minimisation des données : l'OCR documentaire par IA peut être désactivé par site, ainsi les sites préférant la saisie manuelle n'envoient jamais de documents à un fournisseur d'IA.
• Supervision humaine : les champs extraits sont consultables et modifiables avant d'être enregistrés.

CSP stricte avec nonces par requête sur les scripts (pas de unsafe-inline). Ensemble complet d'en-têtes de sécurité retournés à chaque réponse : HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Test de pénétration indépendant les 17 et 18 avril 2026 (10 catégories OWASP, 36 charges utiles) : 0 vulnérabilité.Tests de sécurité fonctionnels le 11 avril 2026 couvrant plus de 1 890 appels API sur 270 rendez-vous : 0 échec.Test d'intrusion annuel par un tiers planifié et audit SOC 2 Type II en cours.

• EU GMP Annex 11 — Intégrité des données (ALCOA+), piste d'audit en ajout uniquement, enregistrements électroniques, contrôle d'accès, validé
• 21 CFR Part 11 — Enregistrements électroniques, piste d'audit, attribution, chaîne de custody des scellés
• GDPR — Portabilité des données (JSON + CSV), workflow DSAR, suivi du consentement, résidence UE/EEE uniquement
• SOC 2 Type II — Audit en cours

• Vendor Assurance Pack (PDF) — Index de documents QMS, catégorisation GAMP 5, correspondances des clauses Annex 11 et 21 CFR Part 11, déclaration ALCOA+, architecture de sécurité, un CAIQ-Lite complété, et la liste complète de ce que nous ne détenons pas encore. Aucun formulaire requis.
• Checklist de préparation aux audits GMP des opérations de cour — 101 contrôles répartis en 12 domaines pour évaluer votre propre cour par rapport à l'Annex 11, au 21 CFR Part 11 et aux lignes directrices GDP de l'UE.
• Modèle d'accord de traitement des données (DPA) — pour examen et signature par l'entreprise
• Politique GDPR
• Politique de confidentialité
• security.txt
• Page de statut du service — statut de la plateforme auto-déclaré en temps réel, engagements de disponibilité et historique des incidents.

Nous accueillons favorablement les signalements des chercheurs en sécurité. Envoyez un e-mail à admin@yardtwin.comavec une description de la découverte et les étapes pour la reproduire. Nous accusons réception dans un délai de 2 jours ouvrés et visons à corriger les problèmes critiques dans les 7 jours. Merci de ne pas divulguer publiquement les vulnérabilités avant que nous ayons eu la possibilité d'y remédier.