Sigurnost u YARDtwin

YARDtwin radi na Microsoft Azure platformi s računalnim resursima u Norway East i pohranom podataka, registrom i tajnama u Sweden Central. Korisnički podaci pohranjuju se unutar EU/EEA; ograničeni prijenosi podizvoditeljima obrade izvan EEA navedeni su u nastavku i pokriveni Standardnim ugovornim klauzulama.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privatni spremnici
• Azure Key Vault — Sweden Central, kontrola putem RBAC
• Azure Front Door + WAF — način Prevention, prilagođena pravila ograničavanja brzine zahtjeva
• Azure Monitor upozorenja za pogreške, latenciju i dostupnost, uz Azure Service Health upozorenja

Podaci klijenata smješteni su u regijama Microsoft Azure u EU/EEA — Norway East (aplikacija, pohrana) i Sweden Central (baza podataka, tajni ključevi). Norveška je država EEA u kojoj se primjenjuje GDPR, stoga je ovo aranžman unutar EEA koji ne zahtijeva nikakav mehanizam prijenosa iz Poglavlja V. Kreiranje resursa izvan odobrenih regija blokirano je na razini platforme putem Azure Policy dodjele "Zabrani", tako da se podaci klijenata ne mogu pohraniti izvan EU/EEA. Neke funkcionalnosti šalju podatke podizvoditeljima obrade navedenim u nastavku (i na /subprocessors), uključujući neke izvan EEA — primjerice Anthropic u SAD-u za AI funkcionalnosti i dostavu e-pošte — u okviru EU Standardnih ugovornih klauzula (i EU-US okvira za zaštitu privatnosti podataka gdje je primatelj certificiran); šalje se samo minimalna količina nužnih podataka.

YARDtwin koristi mali, pažljivo odabrani skup podizvoditelja obrade za pružanje usluge. Svaki je vezan Ugovorom o obradi podataka. Vodimo ovaj registar i obavještavamo korisnike o značajnim promjenama u skladu s GDPR člankom 28.

Usluge isključivo za web stranicu (bez operativnih podataka korisnika)

Ove usluge rade samo na javnoj web stranici. Ne primaju operativne podatke korisnika i nisu njihovi podugovaratelji obrade; one koje postavljaju kolačiće učitavaju se samo uz pristanak.

YARDtwin koristi umjetnu inteligenciju za čitanje vozačkih dozvola i otpremnih dokumenata (OCR), za usporedbu fotografije vozača na ulaznoj rampi jedan-na-jedan s dozvolom ili pohranjenom fotografijom vozača kada lokacija to omogući, za pokretanje internog asistenta te za generiranje glasovnih uputa. Obrada putem umjetne inteligencije je pomoćna: njezin rezultat prikazuje se osobi — primjerice na posluženoj ulaznoj rampi, operater rampe potvrđuje svaki prijava. Kada lokacija omogući automatsku prijavu putem kamera za prepoznavanje registarskih tablica ili neposluženoj ulaznoj rampi, kamion čija rezervacija odgovara bez odstupanja prijavljuje se bez operatera rampe, a sve ostalo prosljeđuje se osoblju rampe. YARDtwin ne donosi automatiziranih odluka koje proizvode pravne ili slično značajne učinke na pojedince (GDPR članak 22).

• Podaci korisnika ne koriste se za treniranje AI modela trećih strana — naši AI podizvoditelji obrađuju podatke isključivo radi vraćanja rezultata za vaš zahtjev.
• Minimizacija podataka: OCR dokumenata putem AI može se isključiti po lokaciji, tako da lokacije koje preferiraju ručni unos nikada ne šalju dokumente AI pružatelju.
• Ljudski nadzor: izvučena polja mogu se pregledati i urediti prije nego što se pohrane u zapis.

Strogi CSP s jednokratnim oznakama (nonce) po zahtjevu za skripte (bez unsafe-inline). Potpun skup sigurnosnih zaglavlja vraća se uz svaki odgovor: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Penetracijsko testiranje od strane treće strane još nije provedeno; neovisni test planiran je prije prvog uvođenja u produkciju za enterprise korisnike. Interni white-box revizija koda dovršena je u listopadu 2026. i sve Kritične nalaze su ispravljene.

Funkcionalno sigurnosno testiranje 11. travnja 2026. koje obuhvaća više od 1 890 API poziva kroz 270 termina: 0 grešaka.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Sigurnosne kopije: obnova na bilo koju točku unutar 7 dana, uz mjesečne šifrirane sigurnosne kopije koje se čuvaju do 7 godina prema vremenski ograničenoj politici nepromjenjivosti koja blokira brisanje i prepisivanje (politika još nije zaključana).
• Dnevna sigurnosna kopija: potpuna kopija baze podataka izrađuje se svake noći i čuva 35 dana u odvojenoj šifriranoj pohrani unutar EEA (Sweden Central, georeplicirano u Sweden South).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Integritet podataka (ALCOA+), samo-dodavajući revizijski trag, elektronički zapisi, kontrola pristupa, validirano
• 21 CFR Part 11 — Elektronički zapisi, revizijski trag, atribucija, lanac nadzora pečaćenja
• GDPR — Prenosivost podataka (JSON + CSV), DSAR proces, praćenje privole, pohrana isključivo u EU/EEA
• ISO 27001 — Program certifikacije u tijeku; revizija za certifikaciju planirana za Q1 2027.; certifikat ciljano u Q1 2027.
• SOC 2 — Ne posjedujemo SOC 2. Dostupno na zahtjev nakon ISO 27001 certifikacije.

• Vendor Assurance Pack v1.2 — Indeks QMS dokumenata, GAMP 5 kategorizacija, mapiranja klauzula EU GMP Annex 11 i 21 CFR Part 11, izjava ALCOA+, sigurnosna arhitektura, ispunjeni CAIQ-Lite, sve ispravke verzije v1.1 i cjeloviti popis otvorenih stavki. PDF, nije potreban obrazac.
• GMP Kontrolna Lista Spremnosti za Reviziju Dvorišnih Operacija — 101 provjera u 12 domena za procjenu vašeg vlastitog dvorišta prema Annex 11, 21 CFR Part 11 i EU GDP smjernicama.
• Ugovor o obradi podataka (DPA) — kopija za pregled na zahtjev od dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• GDPR pravila
• Pravila privatnosti
• security.txt
• Stranica statusa usluge — status platforme uživo, kako ga sami objavljujemo, obveze dostupnosti i povijest incidenata.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Pozdravljamo prijave sigurnosnih istraživača. Pošaljite e-mail na admin@yardtwin.coms opisom nalaza i koracima za reprodukciju. Potvrđujemo primitak unutar 2 radna dana i nastojimo ispraviti kritične probleme unutar 7 dana. Molimo vas da ne objavljujete ranjivosti javno prije nego što imamo priliku provesti popravne mjere.

Pitanja o osobnim podacima, DPA, podizvođačima obrade ili pravima ispitanika upućujte na dpo@yardtwin.com. Ovo je skupni poštanski pretinac koji nadzire osoba odgovorna za zaštitu podataka u YARDtwin Ltd. YARDtwin nije imenovao zakonskog Službenika za zaštitu podataka sukladno članku 37. GDPR-a, što nije obvezno za njegovu obradu; objavljujemo adresu kontakta umjesto osobnog imena. Zahtjevi ispitanika mogu se podnijeti i putem DSAR portala. /data-request