Biztonság a YARDtwin-nél

A YARDtwin Microsoft Azure-on fut, norvégiai (Norway East) számítási kapacitással és svédországi (Sweden Central) adat-, regisztrációs és titkosítási szolgáltatásokkal. Minden ügyféladat az EU/EGT-n belül marad, a GDPR 44–49. cikkelyeinek megfelelően.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privát tárolók
• Azure Key Vault — Sweden Central, RBAC-vezérelt
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — 90 napos megőrzés

Minden ügyféladat az EU/EGT-n belül kerül tárolásra és feldolgozásra – a Microsoft Azure norvégiai keleti (alkalmazás, tárhely) és svédországi középső (adatbázis, titkos kulcsok) régióiban. Norvégia egy olyan EGT-tagállam, amelyre a GDPR vonatkozik, így ez egy EGT-n belüli megállapodás, amely nem igényel V. fejezet szerinti adattovábbítási mechanizmust. A jóváhagyott régiókon kívüli erőforrások létrehozását platform szinten egy Azure Policy „Megtagadás" hozzárendelés blokkolja, így az ügyféladatok nem helyezhetők el az EU/EGT-n kívül. Amennyiben egy korlátozott hatókörű al-adatfeldolgozó az EGT-n kívül működik (például AI OCR vagy e-mail kézbesítés esetén), az adattovábbítást EU általános szerződési feltételek szabályozzák, és csak a szükséges minimális adat kerül továbbításra.

A YARDtwin kis számú, gondosan kiválasztott aladatfeldolgozót vesz igénybe a szolgáltatás nyújtásához. Mindegyikük adatfeldolgozási szerződéssel (DPA) kötött. Fenntartjuk ezt a nyilvántartást, és a GDPR 28. cikke szerinti anyagi változásokról értesítjük az ügyfeleket.

A YARDtwin AI-t alkalmaz jogosítványok és szállítási dokumentumok olvasásához (OCR), az alkalmazáson belüli asszisztens működtetéséhez, valamint hangvezérlés generálásához. Az AI-feldolgozás támogató jellegű: eredményét egy személy elé tárja — például egy kapukezelő hagyja jóvá minden be-/kiléptetést —, és a YARDtwin nem hoz automatizált döntéseket, amelyek jogi vagy hasonlóan jelentős hatással lennének az érintettekre (GDPR 22. cikk).

• Az ügyféladatokat nem használják harmadik fél AI-modelljeinek betanítására — AI-aladatfeldolgozóink az adatokat kizárólag a kérés eredményének visszaadása céljából dolgozzák fel.
• Adatminimalizálás: az AI-alapú dokumentum-OCR telephelyenként kikapcsolható, így a manuális bevitelt előnyben részesítő telephelyek soha nem küldenek dokumentumot AI-szolgáltatóhoz.
• Emberi felügyelet: a kinyert mezők áttekinthetők és szerkeszthetők, mielőtt a rendszer rögzíti azokat.

Szigorú CSP kérésenként generált nonce-okkal a szkriptekhez (nem unsafe-inline). Teljes biztonsági fejléckészlet minden válaszban: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Független penetrációs teszt 2026. április 17–18-án (10 OWASP-kategória, 36 hasznos adat): 0 sebezhetőség.Funkcionális biztonsági teszt 2026. április 11-én, 270 időpontra vonatkozó 1890+ API-hívással: 0 hiba.Éves külső penetrációs teszt ütemezve, SOC 2 Type II audit folyamatban.

• EU GMP Annex 11 — Adatintegritás (ALCOA+), csak hozzáfűzéssel bővíthető audit trail, elektronikus nyilvántartások, hozzáférés-vezérlés, validált
• 21 CFR Part 11 — Elektronikus nyilvántartások, audit trail, hozzárendelhetőség, zárólánc-gondozás
• GDPR — Adathordozhatóság (JSON + CSV), DSAR-munkafolyamat, beleegyezés-nyomon követés, kizárólag EU/EGT-s adattárolás
• SOC 2 Type II — Audit folyamatban

• Szállítói Biztosítéki Csomag (PDF) — QMS dokumentumindex, GAMP 5 kategorizáció, Annex 11 és 21 CFR Part 11 záradékmegfeleltetések, ALCOA+ nyilatkozat, biztonsági architektúra, kitöltött CAIQ-Lite, valamint a jelenleg még nem rendelkezésünkre álló dokumentumok teljes listája. Nincs szükség formanyomtatványra.
• Yard Operations GMP Audit-felkészültségi Ellenőrzőlista — 101 ellenőrzési pont 12 területen, saját udvari műveletek értékeléséhez az Annex 11, a 21 CFR Part 11 és az EU GDP irányelvek alapján.
• Adatfeldolgozási megállapodás (DPA) sablon — vállalati áttekintéshez és aláíráshoz
• GDPR-szabályzat
• Adatvédelmi szabályzat
• security.txt
• Szolgáltatás állapotoldala — élő, önbevallásos platform-állapot, rendelkezésre állási vállalások és incidenstörténet.

Szívesen fogadjuk biztonsági kutatók jelentéseit. Küldjön e-mailt a admin@yardtwin.comcímre a megállapítás leírásával és a reprodukálás lépéseivel. A beérkezést 2 munkanapon belül visszaigazoljuk, és kritikus problémák esetén 7 napon belül javítást célzunk meg. Kérjük, ne hozza nyilvánosságra a sebezhetőségeket, amíg nem volt lehetőségünk azokat elhárítani.