Sécurité chez YARDtwin

YARDtwin fonctionne sur Microsoft Azure avec les ressources de calcul en Norvège Est et en Suède Centre pour les données, le registre et les secrets. Toutes les données clients restent au sein de l'UE/EEE, conformément aux articles 44 à 49 du GDPR.

• App Service (Conteneur Linux) — Norvège Est
• Azure PostgreSQL Flexible Server — Suède Centre
• Azure Blob Storage — Norvège Est, conteneurs privés
• Azure Key Vault — Suède Centre, contrôle RBAC
• Azure Front Door + WAF — Mode prévention
• Log Analytics + Microsoft Sentinel — Rétention 90 jours

All customer data is stored and processed within the EU/EEA — hosted in Microsoft Azure’s Ireland and West/North Europe regions. Creation of resources outside the approved EU regions is blocked at the platform level by an Azure Policy “Deny” rule, so customer data cannot be provisioned outside the EU/EEA. Where a limited-scope sub-processor operates outside the EU (for example AI OCR or email delivery), transfers are governed by EU Standard Contractual Clauses and only the minimum data necessary is sent.

YARDtwin uses a small, vetted set of sub-processors to deliver the service. Each is bound by a Data Processing Agreement. We maintain this register and notify customers of material changes in line with GDPR Article 28.

YARDtwin uses AI to read driver licences and shipping documents (OCR), to power the in-app assistant, and to generate voice guidance. AI processing is assistive: its output is presented to a person — for example a gate operator confirms every check-in — and YARDtwin does not make automated decisions producing legal or similarly significant effects on individuals (GDPR Article 22).

• Customer data is not used to train third-party AI models — our AI sub-processors process data only to return a result for your request.
• Data minimisation: AI document OCR can be switched off per site, so sites that prefer manual entry never send documents to an AI provider.
• Human oversight: extracted fields are reviewable and editable before they are committed to the record.

CSP stricte avec nonces par requête sur les scripts (pas de unsafe-inline). Ensemble complet d'en-têtes de sécurité retournés à chaque réponse : HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Test de pénétration indépendant les 17 et 18 avril 2026 (10 catégories OWASP, 36 charges utiles) : 0 vulnérabilité.Tests de sécurité fonctionnels le 11 avril 2026 couvrant plus de 1 890 appels API sur 270 rendez-vous : 0 échec.Test d'intrusion annuel par un tiers planifié et audit SOC 2 Type II en cours.

• EU GMP Annex 11 — Intégrité des données (ALCOA+), piste d'audit en ajout uniquement, enregistrements électroniques, contrôle d'accès, validé
• 21 CFR Part 11 — Enregistrements électroniques, piste d'audit, attribution, chaîne de custody des scellés
• GDPR — Portabilité des données (JSON + CSV), workflow DSAR, suivi du consentement, résidence UE/EEE uniquement
• SOC 2 Type II — Audit en cours

• Modèle d'accord de traitement des données (DPA) — pour examen et signature par l'entreprise
• Politique GDPR
• Politique de confidentialité
• security.txt

Nous accueillons favorablement les signalements des chercheurs en sécurité. Envoyez un e-mail à admin@yardtwin.comavec une description de la découverte et les étapes pour la reproduire. Nous accusons réception dans un délai de 2 jours ouvrés et visons à corriger les problèmes critiques dans les 7 jours. Merci de ne pas divulguer publiquement les vulnérabilités avant que nous ayons eu la possibilité d'y remédier.