GDPR irányelvek

Utoljára frissítve: 2026. október 17. · v3.4 · Változások a v3.4-ben: 4.3. és 5. szakasz — a szerződés végén az ügyfél megkapja auditnyomvonalának teljes exportját, mielőtt azt töröljük, kivéve, ha azt írásban visszautasítja, vagy ésszerű próbálkozások után sem érhető el; a YARDtwin ezt követően az auditnaplókat kizárólag az ügyfél írásbeli utasítására őrzi meg, kivéve a lejáratig megmaradó mentéseket és az átadás saját nyilvántartását.

Alkalmazandó jogszabályok: EU általános adatvédelmi rendelet (2016/679), ír adatvédelmi törvény 2018

1. Elkötelezettségünk

A YARDtwin Ltd teljes mértékben elkötelezett az általános adatvédelmi rendelet (GDPR) betartása mellett. Mivel egyszerre vagyunk adatkezelők (saját ügyféladataink tekintetében) és adatfeldolgozók (ügyfeleink nevében kezelt operatív adatok tekintetében), megfelelő technikai és szervezési intézkedéseket alkalmazunk a személyes adatok védelmére minden szakaszban.

2. Szerepek és felelősségek

YARDtwin mint adatkezelő: Meghatározzuk a személyes adatok kezelésének céljait és eszközeit a fiókkezelés, számlázás, hírlevél-feliratkozások és marketing mérés vonatkozásában nyilvános weboldalunkon (LinkedIn Insight Tag, amely kizárólag marketing-cookie hozzájárulással töltődik be). Jelenleg nem alkalmazunk analitikai sütiket.

YARDtwin mint adatfeldolgozó: Amikor ügyfeleink operatív adatokat (időpontok, fuvarozói adatok, sofőrnevek, ellenőrzési nyilvántartások) visznek be a platformra, a YARDtwin az ő nevükben adatfeldolgozóként jár el. Az operatív adatok tekintetében minden ügyfél (bérlő) az adatkezelő.

Ügyfelek felelőssége: Az ügyfelek felelnek azért, hogy jogszerű jogalappal rendelkezzenek a YARDtwin rendszerébe bevitt személyes adatokhoz (pl. sofőrnevek, fuvarozói kapcsolattartási adatok, járműrendszámok). Az ügyfeleknek tájékoztatniuk kell saját érintettjeiket a YARDtwin általi adatkezelésről.

3. Adatfeldolgozási megállapodás (DPA)

Minden ügyfél megtekintheti és elfogadhatja Adatfeldolgozási megállapodásunkat az önkiszolgáló DPA oldalon. A fizetős csomagot igénybe vevő ügyfelek az Adatfeldolgozási megállapodást véleményezésre a dpo@yardtwin.com címen kérhetik; a kölcsönösen aláírt változatot a cégbejegyzés lezárulta után adjuk ki.

4. Technikai intézkedések (32. cikk, GDPR)

4.1 Titkosítás

Minden adat titkosítva kerül átvitelre (TLS 1.2+). A jelszavak bcrypt algoritmussal kerülnek kivonatolásra (12 kör). A PostgreSQL Flexible Server transzparens titkosítást alkalmaz az adatok tárolásához. Az Azure Blob Storage adatai tároláskor titkosítottak. A jogosítványképeket és az aláírásokat az Azure Storage és az Azure Database for PostgreSQL tároláskor AES-256 titkosítással védi (Microsoft által kezelt kulcsok), és a hozzáférés szerepkör és szervezet szerint korlátozott. A JWT tokenek kriptográfiailag aláírtak (HS256). A titkos kulcsok kezelése az Azure Key Vaulton keresztül történik, amelyet az App Service felügyelt identitása ér el – a forráskódban, környezeti fájlokban vagy konténerképekben semmilyen titkos adat nem szerepel.

4.2 Hozzáférés-szabályozás

Szerepkör-alapú hozzáférés-vezérlés (RBAC) hitelesített útvonalakon, szerver oldalon kényszerített bérlői hatókörrel. A bérlői izoláció minden kiadás előtt automatikusan tesztelésre kerül: a kiadási kapu kereszt-bérlői vizsgálata egy másik szervezet rekordazonosítóival hívja az API-t az adott szervezet nevében, és a kiadás blokkolva van, ha a másik szervezet bármely adata olvasható vagy módosítható. Egyszeri bejelentkezés (SAML 2.0, Google, Microsoft); időalapú egyszer használatos jelszó (MFA), kötelező platformadminisztrátoroknak, minden felhasználó számára elérhető.

4.3 Auditnapló

Teljes körű auditnapló a felhasználói műveletekről: felhasználói azonosító, időbélyeg, IP-cím, művelet típusa, érintett entitás, régi és új értékek. A GMP-szempontból releváns műveletek külön jelöltek (is_gmp_relevant=1). A manipuláció kimutatható (manipulációt jelző) és csak hozzáfűzhető, az adatbázisban hash-lánccal érvényesített; a GMP-releváns bejegyzések a szolgáltatási szerződés fennállása alatt legalább 7 évig megőrzendők, az egyéb auditbejegyzések 365 napig. Az Art. 17 szerinti törlési kérelemre pszeudonimizálásra kerülnek, de nem törlődnek (Art. 17(3)(b) jogszabályi kötelezettség alapján). A szerződés végén az ügyfél megkapja auditnyomvonalának teljes exportját, mielőtt az törlésre kerül, kivéve, ha azt írásban visszautasítja, vagy ésszerű próbálkozások után sem érhető el; a YARDtwin kizárólag az ügyfél írásbeli utasítására őrzi meg hosszabb ideig, kivéve a lejáratig megőrzött biztonsági mentéseket és az átadás saját nyilvántartását.

4.4 Infrastruktúra-biztonság

Microsoft Azure infrastruktúrán üzemeltetett (Sweden Central + Norway East, EGT). Konténerizált App Service telepítve Azure Container Registry-n keresztül, előkészítési tárolóhelycsere módszerrel. A forgalom Azure Front Door-on keresztül éri el az alkalmazást, Web Application Firewall Megelőzési módban; az adatbázis kizárólag Azure-szolgáltatásoktól és egy adminisztrátori IP-engedélyezőlistáról fogad kapcsolatokat. Application Insights sémadrift-riasztással a Postgres "column / relation does not exist" hibákra (15 perces ablak). Végponttól végpontig terjedő /health/db-write szonda ellenőrzi, hogy az alkalmazás képes-e írni és olvasni az adatbázisból minden telepítéskor.

4.5 Adatminimalizálás

Csak a szolgáltatásnyújtáshoz szükséges adatokat gyűjtjük. Az opcionális sofőrmezők (telefon, e-mail) üresen hagyhatók, ahol az ügyfél folyamata ezt lehetővé teszi. A kapuszemélyzet fényképet készíthet a sofőrről kapuellenőrzési bizonyítékként. Ha egy telephely bekapcsolja az AI-alapú arcösszehasonlítást, AI-szolgáltatónk (Anthropic) egy az egyhez összehasonlítja ezt a fényképet az okmányfényképpel vagy a sofőr tárolt fényképével, hogy segítse a személyzetet az azonosság megerősítésében. Az eredmény tanácsadó jellegű: a kapuszemélyzet dönt, és indok megadásával beengedhet olyan sofőrt is, akit az összehasonlítás nem erősített meg. Minden összehasonlítás rögzítésre kerül a szervereinkre az eredménnyel együtt. Ha az arcösszehasonlítás ki van kapcsolva (ez az alapértelmezett állapot), nem kerül arcfénykép az AI-szolgáltatóhoz, és a személyzet maga hasonlítja össze a sofőrt az okmányfényképpel; az okmányképeket azonban AI olvassa, ha az AI-olvasás be van kapcsolva. A YARDtwin nem tárol arctemplátokat, és nem végez egy-a-sokhoz azonosítást. A hírlevél kizárólag e-mail-címet és opcionálisan cégnevet gyűjt.

4.6 Szoftveres Ellátási Lánc

Minden pull requestnek át kell mennie az npm audit (függőségi sebezhetőségek), a Semgrep (statikus elemzés) és a gitleaks (titkosszó-szkennelés) ellenőrzésén, mielőtt beolvasztható, a Trivy konténerkép-vizsgálat tanácsadói ellenőrzésként fut; ezek az ellenőrzések minden master ágra küldött módosításnál és éjszakánként is lefutnak, kiegészítve egy tanácsadói OWASP ZAP alap-vizsgálattal (dinamikus tesztelés) az éles webhelyen. A Dependabot-figyelmeztetések a függőségeinkben újonnan felfedezett sebezhetőségekről tájékoztatnak.

5. Az érintettek jogai (GDPR III. fejezet)

Elősegítjük az összes érintetti jog gyakorlását:

Hozzáférési jog (15. cikk): A felhasználók másolatot kérhetnek az általunk tárolt összes személyes adatukról. A bérlői adminisztrátorok exportálhatják szervezetük adatait. Minden egyéb érintett (sofőrök, hírlevél-feliratkozók, potenciális ügyfelek) kérelmet nyújthat be a DSAR Portal.

Helyesbítéshez való jog (16. cikk): A felhasználók a Beállítások oldalon frissíthetik profiladataikat. A bérlői adminisztrátorok szervezetükön belül bármely felhasználó adatát módosíthatják.

Törléshez való jog (17. cikk): A fiók törlési kérelmeket 30 napon belül teljesítjük. Kérelem benyújtása a DSAR Portaloldalon keresztül. A belső teljesítés a POST /api/v1/dsar/erase/by-email amely igazolt kérésre anonimizálja az érintett személy saját felhasználói fiókjait a kiválasztott ügyfélfiókokban, és törli azok munkameneteit, tokenjeit, értesítéseit, függőben lévő meghívásait, hírlevél- és regisztrációs adatait, valamint saját profilképét. Az ügyfél által kezelt működési nyilvántartások (foglalások, kapus és látogatási rekordok, sofőrnévsor, kapcsolattartók) adatkezelőként az ügyfél nyilvántartásai, és az ügyfél számára kerülnek felsorolásra, hogy azok felett intézkedjen. Az auditnyomvonal GMP-integritás céljából anonimizált szereplő-hivatkozást őriz meg; a GMP-releváns auditadatokat a szolgáltatási szerződés fennállása alatt legalább 7 évig kell megőrizni az Art. 17(3)(b) jogszabályi kötelezettség alapján, és a szerződés végén az ügyfélnek exportálásra kerülnek (kivéve, ha azt írásban visszautasítja, vagy ésszerű próbálkozások után sem érhető el), majd törlésre kerülnek.

Az adatkezelés korlátozásához való jog (18. cikk): A felhasználók kérhetik az adatkezelés korlátozását. Az adatot megjelöljük, és az adatkezelést a tárolás kivételével megszüntetjük.

Adathordozhatósághoz való jog (20. cikk): Az adatok CSV és JSON formátumban exportálhatók. Az időpont-adatok, fuvarozói adatok és audinaplók mind exportálhatók.

Tiltakozáshoz való jog (21. cikk): A felhasználók tiltakozhatnak a jogos érdeken alapuló adatkezelés ellen. A hírlevélről való leiratkozás minden e-mailben elérhető egyetlen kattintással.

Az automatizált döntéshozatalhoz kapcsolódó jog (22. cikk): A YARDtwin nem hoz kizárólag automatizált döntéseket, amelyek jelentős hatással lennének az egyénekre.

6. Hozzájárulás-kezelés

Hírlevél: Kifejezett feliratkozási hozzájárulás szükséges. A hozzájárulás időbélyege és IP-címe rögzítésre kerül. Minden kommunikációban leiratkozási hivatkozás szerepel. A hozzájárulás bármikor visszavonható a szolgáltatás igénybevételének befolyásolása nélkül.

Szolgáltatási feltételek: A fiók létrehozása a Szolgáltatási Feltételek elfogadását jelenti (szerződéses jogalap). A felhasználókat a regisztráció során tájékoztatjuk az adatkezelésről.

Sütik: Az első látogatáskor az ePrivacy irányelvnek megfelelő süti-hozzájárulási banner jelenik meg. A felhasználók választhatnak, hogy csak az alapvető sütiket vagy az összes sütit engedélyezik. A beállítások helyileg tárolódnak, és bármikor módosíthatók.

7. Adatvédelmi incidensek kezelése (33–34. cikk)

Automatizált észlelés: A jogsértés-figyelő worker 5 percenként ellenőrzi az audit naplót, és az alábbi három anomáliát lehetséges incidensként rögzíti; a másik három külön Azure-monitorozási riasztás:

≥10 sikertelen bejelentkezési kísérlet egy e-mail-címre 1 órán belül
≥5 különböző forrás IP-cím, amely egy e-mail-címet céloz meg 24 órán belül
Sikeres bejelentkezés olyan forrás IP-címről, amely az adott felhasználónál az elmúlt 30 napban nem volt látható
Több mint 10 kiszolgálóhiba (HTTP 5xx) 5 perces időablakban
Postgres "column / relation does not exist" hibák (sémaeltérés, App Insights)
A webhelyelérhetőségi teszt (10 percenként fut) meghibásodása vagy lassú válasza

Incidensnyilvántartás: Minden észlelt anomália rögzítésre kerül a breach_register táblázat állapotgéppel (detected → investigating → confirmed → notified → closed), súlyossággal, hatókörrel, érintett adatalanyokkal, adatvédelmi hatósági határidő visszaszámlálóval és audit előzményekkel. A SuperAdmin "Breach Register" panelen látható.

Riasztás-útválasztás: Az észlelési események az Azure Monitor Action Group-ba kerülnek irányításra yardtwin-breach-actions, amely e-mailt küld az alapító kapcsolattartási címére (admin@yardtwin.com). A sémaeltérési események a meglévő yardtwin-schema-drift-actions csoportot használják.

Értékelés: Az észleléstől számított 24 órán belül a technikai csapat elvégzi az incidens osztályozását az adatvédelmi incidensnyilvántartó panelen: hatókör, érintett személyek, súlyossági fok (Art. 33(1) szerinti „az érintettek jogaira és szabadságaira nézve kockázatot jelent" kritérium), valamint kiváltó ok.

Értesítés az adatvédelmi hatóságnak (33. cikk): Az adatvédelmi incidens tudomásra jutásától számított 72 órán belül, amennyiben az kockázatot jelent. Az incidensnyilvántartó panel élő 72 órás visszaszámláló időzítőt jelenít meg, amint az incidens állapota erre változik: megerősítve.

Értesítés az érintetteknek (34. cikk): Indokolatlan késedelem nélkül, ha az adatvédelmi incidens magas kockázatot jelent jogaikra és szabadságaikra nézve.

Értesítés az ügyfeleknek: Az érintett bérlői adminisztrátorokat indokolatlan késedelem nélkül, de legkésőbb 48 órán belül értesítjük, miután tudomást szereztünk a bérlői adataikat érintő személyes adatvédelmi incidensről; minden megerősített, az adott adatot érintő biztonsági incidens esetén 24 órán belül előzetes értesítést küldünk.

Dokumentáció: Az incidensnyilvántartás minden bejegyzése megőrzésre kerül, automatikus törlés nélkül, függetlenül attól, hogy szükséges volt-e külső értesítés.

8. Aladatfeldolgozók

Aladatfeldolgozó	Cél	Helyszín	Biztosítékok
Microsoft Azure	Tárhelyszolgáltatás, adatbázis és fájltárolás	EGT — Sweden Central és Norway East (a feltöltött fájlok georedundáns másolata Norway West-ben)	Microsoft Products and Services DPA; az adatok az EGT-n belül maradnak
Anthropic	Sofőrengedélyek és dokumentumok AI-alapú olvasása (alapértelmezetten bekapcsolva; a helyszín rendszergazdája kikapcsolhatja), sofőr kapufotójának és az engedélyen vagy tárolt sofőrfotón szereplő kép egy-az-egyhez összehasonlítása (alapértelmezetten kikapcsolva; a helyszín rendszergazdája be- vagy kikapcsolhatja), valamint az alkalmazáson belüli asszisztens	USA	Általános Szerződési Feltételek és adatátviteli hatásvizsgálat (nem tanúsított az EU-US Adatvédelmi Keretrendszer alatt); az API-adatok nem kerülnek felhasználásra modelltraining céljára, és az Anthropic standard kereskedelmi feltételei szerint 30 napon belül törlődnek
Resend	Tranzakciós e-mail	USA	Általános Szerződési Feltételek (az EU-US Adatvédelmi Keretrendszer újratanúsítása felülvizsgálat alatt áll)
Stripe	Számlázási kapcsolattartó és fizetési adatok (a YARDtwin nem tárol kártyaszámokat)	EU / USA	Standard Contractual Clauses; PCI DSS Level 1
Twilio	SMS és WhatsApp értesítések (csak ha az ügyfél engedélyezi)	USA	Standard Contractual Clauses
Google and Microsoft	Bejelentkezési azonosító adatok (csak ha az ügyfél ezeket a bejelentkezési lehetőségeket használja)	EU / USA	Standard Contractual Clauses / EU-US Data Privacy Framework
ElevenLabs	Opcionális szövegfelolvasás: hangosítja az alkalmazáson belüli asszisztens válaszait, amelyek tartalmazhatnak operatív részleteket, például rendszámokat, valamint a nyilvános oldalak hangját	USA	EU-US Adatvédelmi Keretrendszer + Általános Szerződési Feltételek

Az ügyfelek általános írásbeli felhatalmazást adnak a fent felsorolt aladatfeldolgozókra. Minden új aladatfeldolgozóról legalább 30 nappal előre értesítést küldünk; az ügyfél megalapozott indokkal kifogást emelhet, és ha a kifogás nem rendezható, büntetés nélkül felmondhatja az érintett szolgáltatást.

Csak webhelyhez kapcsolódó szolgáltatások (nincs ügyfél-működési adat)

Ezek kizárólag a nyilvános weboldalon működnek. Nem kapnak ügyfél-működési adatot, és nem minősülnek annak adatfeldolgozójának; azok, amelyek sütiket helyeznek el, csak hozzájárulás esetén töltődnek be.

Szolgáltató	Cél	Helyszín	Adattovábbítási biztosíték
LinkedIn Insight Tag	Marketingmérés nyilvános oldalakon — csak marketing-cookie hozzájárulás után töltődik be, soha nem az alkalmazáson belül vagy bejelentkezett felhasználók számára	EU / USA	Hozzájárulás; LinkedIn DPA Standard Contractual Clauses-szal

9. Adatvédelmi hatásvizsgálat (DPIA)

Az ügyfelek, mint adatkezelők, döntik el, hogy a YARDtwin-ben végzett adatkezelési tevékenységük megkövetel-e DPIA-t. Az ügyfelek számára DPIA bemeneti csomag áll rendelkezésre saját DPIA elvégzéséhez. A YARDtwin főként üzleti operatív adatokat kezel (dokkolási menetrendek, fuvarozói nevek, rendszámok), nem érzékeny személyes adatokat.

10. Beépített és alapértelmezett adatvédelem (25. cikk)

Beépített adatvédelem: Több-bérlős architektúra kötelező bérlői elkülönítéssel. RBAC minden API-végponton beépítve. Jelszavak soha nem tárolódnak titkosítatlanul. Minimális adatgyűjtés minden szakaszban.

Alapértelmezett adatvédelem: Az új fiókok minimális jogosultságokkal rendelkeznek. Az opcionális mezők valóban opcionálisak. A hírlevelekhez aktív feliratkozás szükséges. Az adatok láthatóságát szerepkör korlátozza.

11. Megfelelőségi állapot és folyamatos fejlesztés

Megoldott (2026 májusától)

✓ Migráció PostgreSQL Flexible Serverre (Azure által felügyelt, átlátható adattitkosítás tároláskor, 7 napos időponthoz kötött visszaállítás)
✓ Migráció Microsoft Azure-ra (Svédország – Közép + Norvégia – Kelet, EEA) App Service + ACR + Key Vault használatával
✓ Titkos kulcsok kezelése Azure Key Vault segítségével (nincs titkos adat .env fájlban vagy konténerképekben; felügyelt identitásos hozzáférés)
✓ Automatizált DSAR-adatexport (POST /api/v1/dsar/export/by-email — 15. / 20. cikk)
✓ Automatizált DSAR-adattörlés (POST /api/v1/dsar/erase/by-email — 17. cikk, auditálási megőrzési kötelezettség betartásával)
✓ Cookie-banner v2 négy kategóriával (alapvető / funkcionális / analitikai / marketing) és Elutasítás / Testreszabás / Összes elfogadása lehetőséggel
✓ Bérlők közötti elkülönítési audit automatizált kereszt-bérlői vizsgálat a kiadási kapuban, minden kiadás előtt: egy másik szervezet rekordazonosítóival hívja az API-t az adott szervezet nevében, és a kiadás blokkolva van, ha a másik szervezet bármely adata olvasható vagy módosítható
✓ CI/CD biztonsági folyamat: npm audit + Trivy + Semgrep + gitleaks + ZAP DAST
✓ Sémaeltérés-riasztás az Application Insights szolgáltatásban (15 perces ablak)
✓ Végpontok közötti /health/db-write ellenőrzés az írható adatbázis ellenőrzése minden telepítéskor
✓ App Insights sémaváltozás Action Group e-mailt küld az alapító kapcsolattartási címére (admin@yardtwin.com) Postgres "column / relation does not exist" hibák esetén
✓ Jogosítványképek és aláírások (signature_data) védelme AES-256 titkosítással tároláskor az Azure Storage és az Azure Database for PostgreSQL szolgáltatásban (Microsoft által kezelt kulcsok), szerepkör és szervezet szerint korlátozott hozzáféréssel
✓ Automatizált adatmegőrzési törlés (telephelyenként konfigurálható; személyes adat-tisztítási folyamat)
✓ 30 napos próbaidőszak egységesen mindenhol (regisztráció, marketing oldal, feltételek, e-mailek)
✓ 5 000 tehergépjárműves végponttól végpontig regressziós teszt minden Site Admin végpontot lefed yard-nézet hűségű ellenőrzésekkel minden átmenetnél (53 650/53 651 = 100%)
✓ Adatleltár és az adatkezelési tevékenységek nyilvántartása (30. cikk) közzétéve
✓ Aladatfeldolgozói nyilvántartás karbantartva és évente felülvizsgálva
✓ Beépített és alapértelmezett adatvédelem dokumentálva (25. cikk)
✓ Web Application Firewall (Azure Front Door WAF, Prevention mode) a yardtwin.com védelme egyéni forgalomkorlátozási szabályokkal a hitelesítési és fiók-helyreállítási végpontokon, valamint platformszintű L7 DDoS-védelemmel. Felügyelt OWASP-szabálykészlet nincs csatolva; ehhez a Front Door Premium csomag szükséges
✓ Automatizált incidensészlelés — jogsértés-figyelő worker (sikertelen bejelentkezési tüskék, egy fiókra irányuló bejelentkezési kísérletek sok IP-címről, sikeres bejelentkezések 30 napja nem látott IP-címről az adott felhasználónál), 5xx-tüske riasztás, sémaeltolódás riasztás és webhelyelérhetőségi teszt
✓ Incidensnyilvántartás állandó táblázat teljes állapotgéppel és DPC-határidő visszaszámlálóval, látható a SuperAdmin panelen
✓ Akciócsapat yardtwin-breach-actions e-mailt küld az alapító kapcsolattartási címére (admin@yardtwin.com) minden észlelés esetén

Fennmaradó fejlesztések

11.1 Első külső CREST behatolásvizsgálat

Harmadik fél által végzett penetrációs teszt még nem készült; független tesztet tervezünk az első nagyvállalati üzembe helyezés előtt. Belső white-box kódaudit 2026 októberében készült el, és minden kritikus megállapítást javítottunk. Prioritás: Magas. Célkitűzés: az első nagyvállalati üzembe helyezés előtt.

11.2 Adatvédelmi tisztviselő

A YARDtwin Ltd nem jelölt ki kötelező adatvédelmi tisztviselőt: a 37. cikk (1) bekezdésében foglalt feltételek egyike sem áll fenn az adatkezelési tevékenységei tekintetében (közigazgatási szerv; nagy léptékű, rendszeres és szisztematikus megfigyelést igénylő alaptevékenység; különleges kategóriájú adatok nagy léptékű kezelését magában foglaló alaptevékenység). Az adatvédelemért való felelősség a YARDtwin Ltd egy megnevezett munkatársát terheli, aki a dpo@yardtwin.com szerepkör-postafiókján keresztül érhető el, és amelyet e szabályzatban, az adatvédelmi tájékoztatóban, a DPA-ban és a Trust Centerben teszünk közzé. A kapcsolattartási címet az érintett személy neve helyett tesszük közzé. Formális kijelölésre – az Adatvédelmi Bizottság értesítésével – akkor kerül sor, ha valamely ügyfélszerződés vagy az adatkezelés megváltozása azt szükségessé teszi. Állapot: döntés kelte 2026. szeptember 26. Felülvizsgálat minden ISMS-vezetői értékelésen.

11.3 ISO 27001 tanúsítás

Tanúsítási program folyamatban; tanúsítási audit tervezett 2027 Q1-re; tanúsítvány célkitűzése 2027 Q1. Prioritás: Közepes. Célkitűzés: 2027 Q1.

11.4 SOC 2 Type II

Nem rendelkezünk vele. ISO 27001 tanúsítás után kérésre elérhető. Prioritás: Alacsony. Célkitűzés: ügyfél kérésére, ISO 27001 után.

11.5 Földrajzi redundancia és adatbázis magas rendelkezésre állás

A feltöltött fájlok 2026 októberétől georedundánsan tárolódnak (Norway East → Norway West); az adatbázis magas rendelkezésre állása az első vállalati éles indítás előtt tervezett. Addig az adatbázis-kiesés visszaállítása időponthoz kötött visszaállítással (7 napos ablak) történik. Prioritás: Közepes. Cél: az első vállalati éles indítás előtt.

11.6 Adattovábbítási hatásvizsgálatok

Az EGT-n kívüli minden adattovábbításhoz standard szerződési záradékok vannak érvényben; az adattovábbítási hatásvizsgálatok elkészítése folyamatban van (cél: 2026. november). Prioritás: Közepes. Cél: 2026. november.

11.7 Hibavadász program

Tervezett egy privát hibavadász program (HackerOne / Intigriti) a második sikeres külső behatolásvizsgálat után, amely folyamatos külső lefedettséget biztosít az éves tesztek között. Prioritás: Alacsony. Cél: 2027.

12. Kapcsolat és adatvédelem

Adatvédelmi kapcsolattartó: dpo@yardtwin.com — egy szerepkör-postafiók, amelyet a YARDtwin Ltd adatvédelemért felelős személye felügyel (lásd 11.2). A kapcsolattartási címet egy személy neve helyett tesszük közzé.

Általános megkeresések: admin@yardtwin.com

Érintetti jogok gyakorlása: Kérelem benyújtása a DSAR Portálon keresztül

Adatfeldolgozási megállapodás: Megtekintés és elfogadás a /dpa oldalon

Felügyeleti hatóság: Data Protection Commission (DPC), Írország · www.dataprotection.ie · +353 (0)761 104 800