Sécurité chez YARDtwin

YARDtwin s'appuie sur Microsoft Azure avec des ressources de calcul en Norway East et des données, registres et secrets hébergés en Sweden Central. Les données clients sont stockées dans l'UE/EEE ; les transferts limités vers des sous-traitants ultérieurs hors EEE sont listés ci-dessous et encadrés par des Clauses Contractuelles Types.

• App Service (Conteneur Linux) — Norvège Est
• Azure PostgreSQL Flexible Server — Suède Centre
• Azure Blob Storage — Norvège Est, conteneurs privés
• Azure Key Vault — Suède Centre, contrôle RBAC
• Azure Front Door + WAF — mode Prévention, règles personnalisées de limitation du débit
• Azure Monitor avec alertes sur les erreurs, la latence et la disponibilité, ainsi que les alertes Azure Service Health

Les données clients sont hébergées dans les régions Microsoft Azure de l'UE/EEE — Norway East (application, stockage) et Sweden Central (base de données, secrets). La Norvège est un État de l'EEE dans lequel le RGPD s'applique ; il s'agit donc d'un arrangement intra-EEE ne nécessitant aucun mécanisme de transfert au titre du chapitre V. La création de ressources en dehors des régions approuvées est bloquée au niveau de la plateforme par une affectation Azure Policy « Deny », de sorte que les données clients ne peuvent pas être provisionnées en dehors de l'UE/EEE. Certaines fonctionnalités envoient des données aux sous-traitants ultérieurs listés ci-dessous (et sur /subprocessors), dont certains situés en dehors de l'EEE — par exemple Anthropic aux États-Unis pour les fonctionnalités IA, et la distribution d'e-mails — dans le cadre des clauses contractuelles types de l'UE (et du cadre EU-US Data Privacy Framework lorsque le destinataire est certifié) ; seules les données strictement nécessaires sont transmises.

YARDtwin fait appel à un ensemble restreint et contrôlé de sous-traitants ultérieurs pour fournir le service. Chacun est lié par un accord de traitement des données. Nous tenons ce registre à jour et informons les clients de tout changement significatif conformément à l'article 28 du RGPD.

Services réservés au site web (aucune donnée opérationnelle client)

Ces services fonctionnent uniquement sur le site web public. Ils ne reçoivent aucune donnée opérationnelle client et n'en sont pas des sous-traitants ; ceux qui déposent des cookies ne se chargent qu'avec consentement.

YARDtwin utilise l'IA pour lire les permis de conduire et les documents d'expédition (OCR), pour comparer en mode un-à-un la photo prise au portail d'un chauffeur avec le permis ou la photo du chauffeur enregistrée lorsqu'un site active cette fonction, pour alimenter l'assistant intégré et pour générer des instructions vocales. Le traitement par IA est assistif : son résultat est présenté à un opérateur humain — à un portail gardienné, par exemple, un agent de portail confirme chaque entrée. Lorsqu'un site active l'entrée automatique via ses caméras de lecture de plaques ou un portail non gardienné, un camion dont la réservation correspond clairement est enregistré sans intervention d'un agent de portail ; tout autre cas est transmis au personnel de portail. YARDtwin ne prend pas de décisions automatisées produisant des effets juridiques ou similairement significatifs sur les personnes (article 22 du RGPD).

• Les données client ne sont pas utilisées pour entraîner des modèles d'IA tiers — nos sous-traitants ultérieurs d'IA traitent les données uniquement pour retourner un résultat à votre demande.
• Minimisation des données : l'OCR documentaire par IA peut être désactivé par site, ainsi les sites préférant la saisie manuelle n'envoient jamais de documents à un fournisseur d'IA.
• Supervision humaine : les champs extraits sont consultables et modifiables avant d'être enregistrés.

CSP stricte avec nonces par requête sur les scripts (pas de unsafe-inline). Ensemble complet d'en-têtes de sécurité retournés à chaque réponse : HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Aucun test de pénétration par un tiers n'a encore été réalisé ; un test indépendant est prévu avant le premier déploiement en environnement entreprise. Un audit interne en boîte blanche du code a été effectué en octobre 2026 et toutes les failles Critiques ont été corrigées.

Tests de sécurité fonctionnels le 11 avril 2026 couvrant plus de 1 890 appels API sur 270 rendez-vous : 0 échec.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Sauvegardes : restauration à un instant précis sur 7 jours, plus sauvegardes mensuelles chiffrées conservées jusqu'à 7 ans sous une politique d'immuabilité temporelle bloquant toute suppression et tout écrasement (politique non encore verrouillée).
• Sauvegarde quotidienne : une copie complète de la base de données est effectuée chaque nuit et conservée pendant 35 jours dans un stockage chiffré séparé dans l'EEE (Sweden Central, géo-répliqué vers Sweden South).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Intégrité des données (ALCOA+), piste d'audit en ajout uniquement, enregistrements électroniques, contrôle d'accès, validé
• 21 CFR Part 11 — Enregistrements électroniques, piste d'audit, attribution, chaîne de traçabilité des scellés
• GDPR — Portabilité des données (JSON + CSV), workflow DSAR, suivi du consentement, résidence UE/EEE uniquement
• ISO 27001 — Programme de certification en cours ; audit de certification prévu au T1 2027 ; obtention du certificat visée au T1 2027
• SOC 2 — Non détenu. Disponible sur demande après la certification ISO 27001.

• Vendor Assurance Pack v1.2 — Index documentaire QMS, catégorisation GAMP 5, correspondances de clauses EU GMP Annex 11 et 21 CFR Part 11, déclaration ALCOA+, architecture de sécurité, un CAIQ-Lite complété, toutes les corrections apportées à la v1.1 et la liste complète des points ouverts. PDF, sans formulaire requis.
• Checklist de préparation aux audits GMP des opérations de cour — 101 contrôles répartis en 12 domaines pour évaluer votre propre cour par rapport à l'Annex 11, au 21 CFR Part 11 et aux lignes directrices GDP de l'UE.
• Accord de traitement des données (DPA) — copie pour examen sur demande auprès de dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• Politique RGPD
• Politique de confidentialité
• security.txt
• Page de statut du service — statut de la plateforme auto-déclaré en temps réel, engagements de disponibilité et historique des incidents.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Nous accueillons favorablement les signalements des chercheurs en sécurité. Envoyez un e-mail à admin@yardtwin.comavec une description de la découverte et les étapes pour la reproduire. Nous accusons réception dans un délai de 2 jours ouvrés et visons à corriger les problèmes critiques dans les 7 jours. Merci de ne pas divulguer publiquement les vulnérabilités avant que nous ayons eu la possibilité d'y remédier.

Les questions relatives aux données personnelles, au DPA, aux sous-traitants ultérieurs ou aux droits des personnes concernées doivent être adressées à dpo@yardtwin.com. Il s'agit d'une boîte aux lettres de rôle surveillée par le responsable de la protection des données chez YARDtwin Ltd. YARDtwin n'a pas désigné de Délégué à la Protection des Données statutaire au titre de l'article 37 du RGPD, ce qui n'est pas obligatoire pour ses traitements ; nous publions l'adresse de contact plutôt que le nom d'une personne physique. Les demandes des personnes concernées peuvent également être soumises via le portail DSAR. /data-request