Sigurnost u YARDtwin

YARDtwin radi na Microsoft Azure infrastrukturi s računalnim resursima u Norway East i pohranom podataka, registrom i tajnama u Sweden Central. Svi podaci korisnika ostaju unutar EU/EEA, u skladu s člancima 44–49 GDPR-a.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privatni spremnici
• Azure Key Vault — Sweden Central, kontrola putem RBAC
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — zadržavanje 90 dana

Svi podaci korisnika pohranjuju se i obrađuju unutar EU/EEA — smješteni u Microsoft Azure regijama Norway East (aplikacija, pohrana) i Sweden Central (baza podataka, tajni podaci). Norveška je država EEA u kojoj se primjenjuje GDPR, pa je ovo intra-EEA aranžman koji ne zahtijeva nikakav mehanizam prijenosa prema Poglavlju V. Kreiranje resursa izvan odobrenih regija blokirano je na razini platforme Azure Policy dodijelom "Deny", tako da se korisnički podaci ne mogu pohraniti izvan EU/EEA. Gdje podugovaratelj ograničenog opsega posluje izvan EEA (primjerice AI OCR ili dostava e-pošte), prijenosi su uređeni EU standardnim ugovornim klauzulama i šalje se samo minimum potrebnih podataka.

YARDtwin koristi mali, pažljivo odabrani skup podizvoditelja obrade za pružanje usluge. Svaki je vezan Ugovorom o obradi podataka. Vodimo ovaj registar i obavještavamo korisnike o značajnim promjenama u skladu s GDPR člankom 28.

YARDtwin koristi AI za čitanje vozačkih dozvola i prijevoznih dokumenata (OCR), za pokretanje pomoćnika unutar aplikacije te za generiranje glasovnih uputa. AI obrada je potporna: njezin rezultat prikazuje se osobi — primjerice, operater na ulazu potvrđuje svaku prijavu — a YARDtwin ne donosi automatiziranih odluka koje proizvode pravne ili slično značajne učinke na pojedince (GDPR članak 22).

• Podaci korisnika ne koriste se za treniranje AI modela trećih strana — naši AI podizvoditelji obrađuju podatke isključivo radi vraćanja rezultata za vaš zahtjev.
• Minimizacija podataka: OCR dokumenata putem AI može se isključiti po lokaciji, tako da lokacije koje preferiraju ručni unos nikada ne šalju dokumente AI pružatelju.
• Ljudski nadzor: izvučena polja mogu se pregledati i urediti prije nego što se pohrane u zapis.

Strogi CSP s jednokratnim oznakama (nonce) po zahtjevu za skripte (bez unsafe-inline). Potpun skup sigurnosnih zaglavlja vraća se uz svaki odgovor: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Neovisno penetracijsko testiranje 17.–18. travnja 2026. (10 OWASP kategorija, 36 payloada): 0 ranjivosti.Funkcionalno sigurnosno testiranje 11. travnja 2026. koje obuhvaća više od 1 890 API poziva kroz 270 termina: 0 grešaka.Godišnji penetracijský test treće strane planiran, SOC 2 Type II revizija u tijeku.

• EU GMP Annex 11 — Integritet podataka (ALCOA+), samo-dodavajući revizijski trag, elektronički zapisi, kontrola pristupa, validirano
• 21 CFR Part 11 — Elektronički zapisi, revizijski trag, atribucija, lanac nadzora pečaćenja
• GDPR — Prenosivost podataka (JSON + CSV), DSAR proces, praćenje privole, pohrana isključivo u EU/EEA
• SOC 2 Type II — Revizija u tijeku

• Vendor Assurance Pack (PDF) — Indeks QMS dokumenata, GAMP 5 kategorizacija, mapiranja klauzula Annex 11 i 21 CFR Part 11, ALCOA+ izjava, sigurnosna arhitektura, ispunjen CAIQ-Lite i potpuni popis onoga što još ne posjedujemo. Nije potreban nikakav obrazac.
• GMP Kontrolna Lista Spremnosti za Reviziju Dvorišnih Operacija — 101 provjera u 12 domena za procjenu vašeg vlastitog dvorišta prema Annex 11, 21 CFR Part 11 i EU GDP smjernicama.
• Predložak Ugovora o obradi podataka (DPA) — za pregled i potpis od strane poduzeća
• GDPR pravila
• Pravila privatnosti
• security.txt
• Stranica statusa usluge — live status platforme, obveze dostupnosti i povijest incidenata.

Pozdravljamo prijave sigurnosnih istraživača. Pošaljite e-mail na admin@yardtwin.coms opisom nalaza i koracima za reprodukciju. Potvrđujemo primitak unutar 2 radna dana i nastojimo ispraviti kritične probleme unutar 7 dana. Molimo vas da ne objavljujete ranjivosti javno prije nego što imamo priliku provesti popravne mjere.