Biztonság a YARDtwin-nél

A YARDtwin Microsoft Azure infrastruktúrán működik: a számítási feladatok a Norway East, az adatok, a regisztrációs adatbázis és a titkos kulcsok a Sweden Central régióban találhatók. Az ügyféladatokat az EU/EGT területén tároljuk; az EGT-n kívüli aladatfeldolgozóknak végzett korlátozott adattovábbítások az alábbiakban szerepelnek, és standard szerződési záradékok fedezik őket.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privát tárolók
• Azure Key Vault — Sweden Central, RBAC-vezérelt
• Azure Front Door + WAF — Megelőzési (Prevention) mód, egyéni forgalomkorlátozási szabályok
• Azure Monitor riasztások hibákra, késleltetésre és rendelkezésre állásra, valamint Azure Service Health riasztások

Az ügyféladatok tárolása Microsoft Azure EU/EEA-régiókon belül történik — Norway East (alkalmazás, tárolás) és Sweden Central (adatbázis, titkos kulcsok). Norvégia EEA-tagállam, ahol a GDPR alkalmazandó, így ez egy EEA-n belüli megállapodás, amely nem igényel V. fejezet szerinti adattovábbítási mechanizmust. Az engedélyezett régiókon kívüli erőforrások létrehozása platform szinten blokkolva van egy Azure Policy „Megtagadás" hozzárendeléssel, így az ügyféladatok nem helyezhetők el az EU/EEA-n kívül. Egyes funkciók adatokat küldenek az alábbiakban (valamint a /subprocessors oldalon) felsorolt aladatfeldolgozóknak, köztük néhány EEA-n kívüli félnek — például az Anthropic (USA) az AI-funkciókhoz, valamint az e-mail-kézbesítés — EU általános szerződési feltételek alapján (és az EU–US Data Privacy Framework keretében, amennyiben a fogadó fél tanúsított); kizárólag a szükséges minimális adatmennyiség kerül továbbításra.

A YARDtwin kis számú, gondosan kiválasztott aladatfeldolgozót vesz igénybe a szolgáltatás nyújtásához. Mindegyikük adatfeldolgozási szerződéssel (DPA) kötött. Fenntartjuk ezt a nyilvántartást, és a GDPR 28. cikke szerinti anyagi változásokról értesítjük az ügyfeleket.

Csak webhelyhez kapcsolódó szolgáltatások (nincs ügyfél-működési adat)

Ezek kizárólag a nyilvános weboldalon működnek. Nem kapnak ügyfél-működési adatot, és nem minősülnek annak adatfeldolgozójának; azok, amelyek sütiket helyeznek el, csak hozzájárulás esetén töltődnek be.

A YARDtwin mesterséges intelligenciát használ a jogosítványok és szállítmányozási dokumentumok olvasásához (OCR), az alkalmazáson belüli asszisztens működtetéséhez, valamint hangalapú útmutatás generálásához. Ahol egy telephely bekapcsolja, a rendszer egy-az-egyhez összehasonlítja a sofőr kapunál készített fényképét a jogosítványon vagy a tárolt sofőrfotón szereplő képpel. A mesterséges intelligencia feldolgozása segédjellegű: eredményét ember elé tárják – például személyzettel ellátott kapunál a kapukezelő erősít meg minden bejelentkezést. Ahol egy telephely bekapcsolja a rendszámkamerákról vagy felügyelet nélküli kapuról történő automatikus bejelentkezést, a foglalásnak egyértelműen megfelelő teherautó kezelői beavatkozás nélkül kerül bejelentkezésre, minden egyéb eset a kapus személyzethez kerül. A YARDtwin nem hoz automatizált döntéseket, amelyek jogi vagy hasonlóan jelentős hatással lennének az érintettekre (GDPR 22. cikk).

• Az ügyféladatokat nem használják harmadik fél AI-modelljeinek betanítására — AI-aladatfeldolgozóink az adatokat kizárólag a kérés eredményének visszaadása céljából dolgozzák fel.
• Adatminimalizálás: az AI-alapú dokumentum-OCR telephelyenként kikapcsolható, így a manuális bevitelt előnyben részesítő telephelyek soha nem küldenek dokumentumot AI-szolgáltatóhoz.
• Emberi felügyelet: a kinyert mezők áttekinthetők és szerkeszthetők, mielőtt a rendszer rögzíti azokat.

Szigorú CSP kérésenként generált nonce-okkal a szkriptekhez (nem unsafe-inline). Teljes biztonsági fejléckészlet minden válaszban: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Harmadik fél által végzett penetrációs teszt még nem készült; független tesztet tervezünk az első nagyvállalati üzembe helyezés előtt. Belső white-box kódaudit 2026 októberében készült el, és minden kritikus megállapítást javítottunk.

Funkcionális biztonsági teszt 2026. április 11-én, 270 időpontra vonatkozó 1890+ API-hívással: 0 hiba.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Biztonsági mentések: 7 napos időalapú visszaállítás, valamint havi titkosított biztonsági mentések, amelyek akár 7 évig megőrzésre kerülnek egy időalapú módosíthatatlansági szabályzat keretében, amely megakadályozza a törlést és a felülírást (a szabályzat még nincs zárolva).
• Napi biztonsági mentés: az adatbázis teljes másolata minden éjjel elkészül, és 35 napig külön titkosított tárolóban őrizzük az EGT-n belül (Svédország – Közép régió, geo-replikálva Svédország – Dél régióba).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Adatintegritás (ALCOA+), csak hozzáfűzéssel bővíthető audit trail, elektronikus nyilvántartások, hozzáférés-vezérlés, validált
• 21 CFR Part 11 — Elektronikus nyilvántartások, audit trail, hozzárendelhetőség, zárólánc-gondozás
• GDPR — Adathordozhatóság (JSON + CSV), DSAR-munkafolyamat, beleegyezés-nyomon követés, kizárólag EU/EGT-s adattárolás
• ISO 27001 — Tanúsítási program folyamatban; tanúsítási audit tervezett 2027 Q1-re; tanúsítvány célkitűzése 2027 Q1
• SOC 2 — Nem rendelkezünk vele. ISO 27001 tanúsítás után kérésre elérhető.

• Vendor Assurance Pack v1.2 — QMS dokumentumindex, GAMP 5 kategorizálás, EU GMP Annex 11 és 21 CFR Part 11 klauzula-leképezések, ALCOA+ nyilatkozat, biztonsági architektúra, kitöltött CAIQ-Lite, az összes v1.1-es javítás és a nyitott elemek teljes listája. PDF, regisztráció nélkül.
• Yard Operations GMP Audit-felkészültségi Ellenőrzőlista — 101 ellenőrzési pont 12 területen, saját udvari műveletek értékeléséhez az Annex 11, a 21 CFR Part 11 és az EU GDP irányelvek alapján.
• Adatfeldolgozási Megállapodás — véleményezésre szánt példány kérésre elérhető: dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• GDPR-szabályzat
• Adatvédelmi szabályzat
• security.txt
• Szolgáltatás állapotoldala — élő, önbevallásos platform-állapot, rendelkezésre állási vállalások és incidenstörténet.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Szívesen fogadjuk biztonsági kutatók jelentéseit. Küldjön e-mailt a admin@yardtwin.comcímre a megállapítás leírásával és a reprodukálás lépéseivel. A beérkezést 2 munkanapon belül visszaigazoljuk, és kritikus problémák esetén 7 napon belül javítást célzunk meg. Kérjük, ne hozza nyilvánosságra a sebezhetőségeket, amíg nem volt lehetőségünk azokat elhárítani.

A személyes adatokkal, a DPA-val, az adatfeldolgozókkal vagy az érintetti jogokkal kapcsolatos kérdéseket ide kérjük küldeni: dpo@yardtwin.com. Ez egy szerepkör-postafiók, amelyet a YARDtwin Ltd adatvédelemért felelős személye felügyel. A YARDtwin nem jelölt ki kötelező adatvédelmi tisztviselőt a GDPR 37. cikke alapján, mivel ez a végzett adatkezelési tevékenységek esetén nem kötelező; a kapcsolattartási címet egy személy neve helyett tesszük közzé. Az érintetti jogokra vonatkozó kérelmek a DSAR portálon keresztül is benyújthatók. /data-request