Sicurezza in YARDtwin

YARDtwin è ospitato su Microsoft Azure con compute in Norway East e dati, registro e segreti in Sweden Central. I dati dei clienti sono archiviati nell'UE/SEE; i trasferimenti limitati a sub-responsabili al di fuori del SEE sono elencati di seguito e coperti da Clausole Contrattuali Standard.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, container privati
• Azure Key Vault — Sweden Central, controllo RBAC
• Azure Front Door + WAF — modalità Prevenzione, regole personalizzate di limitazione del traffico
• Azure Monitor con avvisi su errori, latenza e disponibilità, oltre ad avvisi di Azure Service Health

I dati dei clienti sono ospitati nelle aree Microsoft Azure nell'UE/SEE — Norway East (applicazione, storage) e Sweden Central (database, segreti). La Norvegia è uno Stato SEE in cui si applica il GDPR, pertanto si tratta di un accordo intra-SEE che non richiede alcun meccanismo di trasferimento ai sensi del Capitolo V. La creazione di risorse al di fuori delle aree approvate è bloccata a livello di piattaforma da un'assegnazione Azure Policy "Deny", quindi i dati dei clienti non possono essere allocati al di fuori dell'UE/SEE. Alcune funzionalità inviano dati ai sub-responsabili elencati di seguito (e su /subprocessors), inclusi alcuni al di fuori del SEE — ad esempio Anthropic negli Stati Uniti per le funzionalità AI, e la consegna delle e-mail — nell'ambito delle Clausole Contrattuali Standard dell'UE (e del EU-US Data Privacy Framework ove il destinatario sia certificato); vengono inviati solo i dati strettamente necessari.

YARDtwin si avvale di un insieme ristretto e verificato di sub-responsabili del trattamento per erogare il servizio. Ciascuno è vincolato da un Accordo sul Trattamento dei Dati. Manteniamo questo registro e notifichiamo ai clienti le modifiche sostanziali in conformità all'articolo 28 del GDPR.

Servizi solo per il sito web (nessun dato operativo del cliente)

Questi operano esclusivamente sul sito web pubblico. Non ricevono dati operativi dei clienti e non sono sub-responsabili del loro trattamento; quelli che impostano cookie vengono caricati solo previo consenso.

YARDtwin utilizza l'AI per leggere patenti di guida e documenti di spedizione (OCR), per confrontare in modalità uno a uno la foto del conducente al varco con la patente o la foto del conducente memorizzata ove un sito abiliti questa funzione, per alimentare l'assistente in-app e per generare la guida vocale. L'elaborazione AI è di supporto: il suo output viene presentato a un operatore — ad esempio a un varco presidiato, un operatore conferma ogni accettazione. Ove un sito abiliti l'accettazione automatica tramite telecamere di lettura targhe o un varco non presidiato, un veicolo la cui prenotazione corrisponde in modo univoco viene accettato senza l'intervento dell'operatore, mentre qualsiasi altro caso viene passato al personale del varco. YARDtwin non adotta decisioni automatizzate che producano effetti giuridici o analoghi significativi sugli individui (GDPR Articolo 22).

• I dati dei clienti non vengono utilizzati per addestrare modelli di IA di terze parti — i nostri sub-responsabili IA elaborano i dati esclusivamente per restituire un risultato alla tua richiesta.
• Minimizzazione dei dati: l'OCR dei documenti tramite IA può essere disattivato per singolo sito, in modo che i siti che preferiscono l'inserimento manuale non inviino mai documenti a un fornitore di IA.
• Supervisione umana: i campi estratti sono verificabili e modificabili prima di essere salvati nel registro.

CSP restrittiva con nonce per richiesta sugli script (nessun unsafe-inline). Set completo di header di sicurezza restituiti ad ogni risposta: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Non è ancora stato effettuato un penetration test da parte di terzi; un test indipendente è pianificato prima del primo go-live enterprise. Un audit interno white-box del codice è stato completato nell'ottobre 2026 e tutte le vulnerabilità critiche sono state corrette.

Test di sicurezza funzionale dell'11 aprile 2026 su oltre 1.890 chiamate API per 270 appuntamenti: 0 errori.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Backup: ripristino point-in-time a 7 giorni, più backup mensili cifrati conservati fino a 7 anni in base a una policy di immutabilità temporale che blocca eliminazione e sovrascrittura (policy non ancora bloccata).
• Backup giornaliero: una copia completa del database eseguita ogni notte e conservata per 35 giorni in uno storage crittografato separato nel SEE (Sweden Central, con replica geografica su Sweden South).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Integrità dei dati (ALCOA+), audit trail append-only, registrazioni elettroniche, controllo degli accessi, validato
• 21 CFR Part 11 — Registrazioni elettroniche, audit trail, attribuzione, catena di custodia dei sigilli
• GDPR — Portabilità dei dati (JSON + CSV), flusso di lavoro DSAR, tracciamento del consenso, residenza esclusivamente in UE/SEE
• ISO 27001 — Programma di certificazione in corso; audit di certificazione pianificato per il Q1 2027; certificato previsto per il Q1 2027
• SOC 2 — Non posseduta. Disponibile su richiesta dopo la certificazione ISO 27001.

• Vendor Assurance Pack v1.2 — Indice dei documenti QMS, categorizzazione GAMP 5, mappatura delle clausole EU GMP Annex 11 e 21 CFR Part 11, dichiarazione ALCOA+, architettura di sicurezza, un CAIQ-Lite compilato, ogni correzione alla v1.1 e l'elenco completo dei punti aperti. PDF, nessun modulo richiesto.
• Checklist di Preparazione all'Audit GMP per le Operazioni di Yard — 101 verifiche su 12 domini per valutare il proprio yard rispetto ad Annex 11, 21 CFR Part 11 e alle linee guida EU GDP.
• Accordo sul Trattamento dei Dati (DPA) — copia per la revisione su richiesta a dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• Politica GDPR
• Informativa sulla privacy
• security.txt
• Pagina di stato del servizio — stato della piattaforma auto-dichiarato in tempo reale, impegni sulla disponibilità e storico degli incidenti.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Accogliamo con favore le segnalazioni dei ricercatori di sicurezza. Invia un'e-mail a admin@yardtwin.comcon una descrizione della vulnerabilità e i passaggi per riprodurla. Confermiamo la ricezione entro 2 giorni lavorativi e puntiamo a correggere i problemi critici entro 7 giorni. Si prega di non divulgare pubblicamente le vulnerabilità prima che abbiamo avuto la possibilità di porvi rimedio.

Le domande relative ai dati personali, al DPA, ai sub-responsabili del trattamento o ai diritti degli interessati vanno indirizzate a dpo@yardtwin.com. Si tratta di una casella di posta di funzione monitorata dalla persona responsabile della protezione dei dati presso YARDtwin Ltd. YARDtwin non ha designato un Responsabile della Protezione dei Dati ai sensi dell'articolo 37 GDPR, non essendo tale designazione obbligatoria per le sue attività di trattamento; pubblichiamo l'indirizzo di contatto anziché il nome di un singolo individuo. Le richieste degli interessati possono essere presentate anche tramite il portale DSAR. /data-request