Sicurezza in YARDtwin

YARDtwin è ospitato su Microsoft Azure con elaborazione in Norway East e Sweden Central per dati, registry e segreti. Tutti i dati dei clienti rimangono all'interno dell'UE/SEE, in conformità con gli articoli 44–49 del GDPR.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, container privati
• Azure Key Vault — Sweden Central, controllo RBAC
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — conservazione 90 giorni

Tutti i dati dei clienti sono archiviati ed elaborati all'interno dell'UE/SEE — ospitati nelle region Microsoft Azure Norway East (applicazione, storage) e Sweden Central (database, segreti). La Norvegia è uno Stato SEE in cui si applica il GDPR, pertanto si tratta di un accordo intra-SEE che non richiede alcun meccanismo di trasferimento ai sensi del Capitolo V. La creazione di risorse al di fuori delle region approvate è bloccata a livello di piattaforma tramite un'assegnazione Azure Policy "Deny", impedendo il provisioning dei dati dei clienti al di fuori dell'UE/SEE. Qualora un sub-responsabile del trattamento con perimetro limitato operi al di fuori del SEE (ad esempio OCR con intelligenza artificiale o recapito di e-mail), i trasferimenti sono regolati dalle Clausole Contrattuali Standard dell'UE e viene inviato solo il minimo indispensabile di dati.

YARDtwin si avvale di un insieme ristretto e verificato di sub-responsabili del trattamento per erogare il servizio. Ciascuno è vincolato da un Accordo sul Trattamento dei Dati. Manteniamo questo registro e notifichiamo ai clienti le modifiche sostanziali in conformità all'articolo 28 del GDPR.

YARDtwin utilizza l'IA per leggere patenti di guida e documenti di spedizione (OCR), per alimentare l'assistente in-app e per generare la guida vocale. L'elaborazione tramite IA è di supporto: il risultato viene presentato a una persona — ad esempio, un operatore di accesso conferma ogni check-in — e YARDtwin non adotta decisioni automatizzate che producano effetti giuridici o analoghi effetti significativi sugli individui (articolo 22 del GDPR).

• I dati dei clienti non vengono utilizzati per addestrare modelli di IA di terze parti — i nostri sub-responsabili IA elaborano i dati esclusivamente per restituire un risultato alla tua richiesta.
• Minimizzazione dei dati: l'OCR dei documenti tramite IA può essere disattivato per singolo sito, in modo che i siti che preferiscono l'inserimento manuale non inviino mai documenti a un fornitore di IA.
• Supervisione umana: i campi estratti sono verificabili e modificabili prima di essere salvati nel registro.

CSP restrittiva con nonce per richiesta sugli script (nessun unsafe-inline). Set completo di header di sicurezza restituiti ad ogni risposta: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Penetration testing indipendente il 17–18 aprile 2026 (10 categorie OWASP, 36 payload): 0 vulnerabilità.Test di sicurezza funzionale dell'11 aprile 2026 su oltre 1.890 chiamate API per 270 appuntamenti: 0 errori.Pentest annuale di terze parti pianificato e audit SOC 2 Type II in corso.

• EU GMP Annex 11 — Integrità dei dati (ALCOA+), audit trail append-only, registrazioni elettroniche, controllo degli accessi, validato
• 21 CFR Part 11 — Registrazioni elettroniche, audit trail, attribuzione, catena di custodia dei sigilli
• GDPR — Portabilità dei dati (JSON + CSV), flusso di lavoro DSAR, tracciamento del consenso, residenza esclusivamente in UE/SEE
• SOC 2 Type II — Audit in corso

• Vendor Assurance Pack (PDF) — Indice dei documenti QMS, categorizzazione GAMP 5, mappatura delle clausole Annex 11 e 21 CFR Part 11, dichiarazione ALCOA+, architettura di sicurezza, un CAIQ-Lite compilato e un elenco completo di ciò che non è ancora disponibile. Nessun modulo richiesto.
• Checklist di Preparazione all'Audit GMP per le Operazioni di Yard — 101 verifiche su 12 domini per valutare il proprio yard rispetto ad Annex 11, 21 CFR Part 11 e alle linee guida EU GDP.
• Modello di Data Processing Agreement (DPA) — per revisione e firma aziendale
• Informativa GDPR
• Informativa sulla privacy
• security.txt
• Pagina di stato del servizio — stato della piattaforma auto-dichiarato in tempo reale, impegni sulla disponibilità e storico degli incidenti.

Accogliamo con favore le segnalazioni dei ricercatori di sicurezza. Invia un'e-mail a admin@yardtwin.comcon una descrizione della vulnerabilità e i passaggi per riprodurla. Confermiamo la ricezione entro 2 giorni lavorativi e ci impegniamo a correggere i problemi critici entro 7 giorni. Si prega di non divulgare pubblicamente le vulnerabilità prima che abbiamo avuto la possibilità di porvi rimedio.