GDPR ポリシー
最終更新：2026年5月9日 · v3.0 · 即時発効
適用法規：EU一般データ保護規則（2016/679）、アイルランドデータ保護法2018
1. 当社のコミットメント
YARDtwin Ltdは、一般データ保護規則（GDPR）への完全準拠を約束しています。当社は、自社の顧客データに関するデータ管理者、および顧客に代わって業務データを取り扱うデータ処理者の両方として、あらゆる段階において個人データを保護するための適切な技術的・組織的措置を講じています。
2. 役割と責任
3. データ処理契約（DPA）
すべての顧客は、セルフサービスの DPAページからデータ処理契約を確認・同意することができます。StandardおよびFounderプランの顧客には、処理の範囲と目的、処理される個人データの種類、データ主体のカテゴリ、両当事者の義務、サブプロセッサ管理、データ侵害通知、国際移転、および監査権を網羅した副署済みのデータ処理契約が提供されます。DPAの締結については、 admin@yardtwin.com （データ保護責任者のCC： dpo@yardtwin.com）までメールでお問い合わせください。
4. 技術的措置（GDPRアート32条）
すべてのデータは転送中に暗号化（TLS 1.2以上）。パスワードはbcrypt（12ラウンド）でハッシュ化。PostgreSQL Flexible Serverは保存時の透過的データ暗号化を使用。Azure Blob Storageは保存時に暗号化。生体データ（ドライバーライセンス画像、署名画像）にはアプリケーションレベルのフィールド暗号化（AES-256-GCM）を適用し、鍵はAzure Key Vaultで管理。JWTトークンは暗号署名済み（HS256）。シークレットはApp ServiceマネージドIDを通じてアクセスするAzure Key Vaultで管理——コード、環境ファイル、コンテナイメージにはシークレットを含みません。
6つの定義済みロール（admin、ops_manager、gate_guard、warehouse_operator、carrier、super_admin）によるロールベースアクセス制御（RBAC）。すべての認証済みルートにミドルウェアで最小権限の原則を適用。テナント分離はリリースごとに自動化された25件のクロステナント監査で検証。多要素認証のためGoogleおよびMicrosoft経由のSSOに対応。
ユーザー操作の完全な監査ログ：ユーザーID、タイムスタンプ、IPアドレス、操作内容、対象エンティティ、変更前後の値。GMP関連の操作は個別にフラグ付け（is_gmp_relevant=1）。アプリケーション層では追記のみ可能；6年間保持。第17条に基づく消去要求時は仮名化処理を行い削除はしない（第17条第3項(b)の法的義務による免除）。
Microsoft Azure（スウェーデン中部＋ノルウェー東部、EEA）にホスト。コンテナ化されたApp ServiceはAzure Container Registryを通じてステージングスロットのスワップ方式でデプロイ。公開ポートは80/443のみ；PostgreSQLは直接インターネットに接続不可。Azure NSGおよびFront Door（計画中）。Application Insightsによるスキーマドリフトアラート（Postgres「column / relation does not exist」エラー、15分間ウィンドウ）。デプロイごとにエンドツーエンドの/health/db-writeプローブでアプリケーションのデータベース書き込み・読み取りを検証。
サービス提供に必要なデータのみを収集します。顧客の業務プロセスが許す場合、ドライバーの任意項目（電話番号、メールアドレス）は空欄のままにすることができます。生体認証はサイトごとにデフォルトで無効；サイト管理者がオプトインで有効化します。ニュースレターはメールアドレスと任意の会社名のみを収集します。
すべてのプルリクエストは自動セキュリティチェックを通過します：npm audit（HIGH以上の依存関係CVEはデプロイをブロック）、Trivy（コンテナCVEスキャン）、Semgrep SAST（OWASPトップテン + Node.js + React + シークレットルール）、gitleaks（gitの完全な履歴に対するシークレットスキャン）、OWASP ZAP（スケジュールに基づくステージング環境へのDAST）。Dependabotは新たなCVEが開示され次第、PRを自動作成します。
5. データ主体の権利（GDPR 第III章）
当社はすべてのデータ主体の権利行使を支援します：
POST /api/v1/dsar/erase/by-email によって行われ、すべてのPIIテーブル全体で仮名化されます。注意：監査データは第17条(3)(b)の法的義務の例外規定に基づき6年間保持されます。6. 同意管理
ニュースレター： 明示的なオプトイン同意が必要です。同意の日時とIPアドレスが記録されます。すべての通知に配信停止リンクが含まれます。サービスへのアクセスに影響を与えることなく、いつでも同意を撤回できます。
サービス利用規約： アカウント作成は利用規約への同意（契約上の根拠）を意味します。ユーザーは登録時にデータ処理についての説明を受けます。
Cookie： ePrivacy指令に準拠し、初回訪問時にCookie同意バナーが表示されます。ユーザーは必須Cookieのみ、またはすべてのCookieを選択できます。設定はローカルに保存され、いつでも変更できます。
7. データ侵害対応手順（第33〜34条）
自動検知： 侵害監視ワーカーが5分ごとに監査ログに対して実行され、異常を潜在的なインシデントとしてフラグを立てます：
- 1時間以内に同一メールアドレスへのログイン失敗が10回以上
- 24時間以内に同一メールアドレスを標的とした異なるソースIPが5つ以上
- 過去30日以内に当該ユーザーで確認されていないソースIPからのログイン成功
- 5分間のウィンドウでHTTP 5xxエラー率が5%超
- Postgresの「column / relation does not exist」エラー（スキーマドリフト、App Insights）
- /health/db-write プローブの失敗（すべてのデプロイおよび継続的な読み書きチェック）
侵害レジスター： 検知されたすべての異常は breach_register テーブルに記録され、ステートマシン（検知 → 調査中 → 確認済み → 通知済み → 完了）、重大度、範囲、影響を受けるデータ主体、DPC期限カウントダウン、および監査履歴が管理されます。SuperAdminの「侵害レジスター」パネルで確認できます。
アラートルーティング： 検知イベントはAzure Monitor Action Group yardtwin-breach-actionsにルーティングされ、admin@yardtwin.comおよび登録されているオンコール担当者にメールが送信されます。スキーマドリフトイベントには既存の yardtwin-schema-drift-actions グループが使用されます。
評価： 検知から24時間以内に、技術チームが侵害レジスターパネルでインシデントをトリアージします：範囲、影響を受けるデータ主体、重大度（第33条(1)「権利および自由へのリスク」基準）、および根本原因。
DPCへの通知（第33条）： リスクをもたらす侵害を認識してから72時間以内に通知します。インシデントが 確認済み.
データ主体への通知（第34条）： 侵害がデータ主体の権利および自由に高いリスクをもたらす場合、不当な遅延なく通知します。
顧客への通知： 影響を受けたテナント管理者は、自テナントのデータに関わる侵害が確認されてから48時間以内に通知されます。
記録・文書化： 侵害登録簿のすべての記録は、外部通知の要否にかかわらず、プラットフォームの存続期間に加えて6年間（監査保持期間）保管されます。
8. サブプロセッサー
| サブプロセッサ | 目的 | 所在地 | 保護措置 |
|---|---|---|---|
| Microsoft Azure | クラウドインフラ（App Service、Postgres、Blob、Key Vault、App Insights） | EEA（スウェーデン中部 + ノルウェー東部） | Microsoft Online Services DPA + EU SCCs、ISO 27001、SOC 2 Type II |
| Stripe | サブスクリプション請求・決済処理 | Stripe アイルランド（EEA）、一部米国サポート | Stripe DPA + SCCs + PCI DSS |
| Resend | トランザクションメール（ウェルカム、トライアルリマインダー、DSAR応答） | 米国（デラウェア州） | DPA + SCCs（確認中） |
| Google Cloud Vision | 運転免許証 OCR（顧客が免許証確認を有効にした場合） | EUリージョン | Google Cloud DPA + EU SCCs、ISO 27001、SOC 2 |
| Google / Microsoft（OAuth SSO） | SSO を選択したユーザーのシングルサインオン IDトークン | EEA（Microsoft Entra ID）、グローバル（Google Workspace） | Microsoft / Google Cloud DPA |
| Anthropic | 製品内AIアシスタント向け Claude API + 免許証 OCR テキスト解析 | 米国（カリフォルニア州） | Anthropic DPA + ゼロリテンション申告 + SCCs |
新たなサブプロセッサーが追加される30日前に顧客へ通知します。
9. データ保護影響評価（DPIA）
データ主体に高いリスクをもたらす処理活動については DPIAを実施します。YARDtwin が処理するのは主に業務上の運営データ（ドックスケジュール、運送業者名、車両登録番号）であり、機微な個人データではないため、リスクプロファイルは中程度です。以下の項目について DPIAが完了しています：監査証跡処理、クロステナント分析（プラットフォーム管理モジュール）、ニュースレター購読者管理。
10. プライバシー・バイ・デザイン＆デフォルト（第25条）
バイ・デザイン： テナント分離を必須とするマルチテナントアーキテクチャ。すべての API エンドポイントに RBAC を組み込み。パスワードの平文保存なし。各段階での最小限のデータ収集。
バイ・デフォルト： 新規アカウントは最小限の権限で作成されます。任意フィールドは完全に任意です。ニュースレターはアクティブなオプトインが必要です。データ閲覧範囲はロールによって制限されます。
11. コンプライアンス状況と継続的改善
解決済み（2026年5月時点）
- ✓ PostgreSQL フレキシブルサーバーへの移行 （Azure マネージド、保存データの透過的暗号化、7日間ポイントインタイムリカバリー）
- ✓ Microsoft Azure への移行 （スウェーデン中部 + ノルウェー東部、EEA）App Service + ACR + Key Vault 構成
- ✓ Azure Key Vault によるシークレット管理 （.env やコンテナイメージにシークレットなし；マネージド ID アクセス）
- ✓ DSAR 自動エクスポート （POST /api/v1/dsar/export/by-email — 第15条 / 第20条）
- ✓ DSAR 自動消去 （POST /api/v1/dsar/erase/by-email — 監査保持コンプライアンス対応の第17条）
- ✓ クッキーバナー v2 4カテゴリ（必須 / 機能 / 分析 / マーケティング）および「拒否」「カスタマイズ」「すべて承認」ボタン付き
- ✓ クロステナント分離監査 自動化済み；クロステナントアクセスベクター25件中25件をブロック、リリースごとにリグレッションテスト実施
- ✓ CI/CD セキュリティパイプライン： npm audit + Trivy + Semgrep + gitleaks + ZAP DAST
- ✓ スキーマドリフトアラート Application Insights にて（15分間ウィンドウ）
- ✓ エンドツーエンド /health/db-write プローブ デプロイのたびに書き込み可能なDBを検証
- ✓ App Insights スキーマドリフト アクショングループ Postgres の「column / relation does not exist」エラー発生時にオンコール担当アドレスへメール通知
- ✓ フィールドレベル暗号化（AES-256-GCM） 生体認証データ（運転免許証画像、signature_data）に適用
- ✓ データ保持期限の自動パージ （サイトごとに設定可能；pii-cleanup ワーカー）
- ✓ 30日間トライアルを全体で統一 （サインアップ、マーケティングサイト、利用規約、メール）
- ✓ 5,000台トラック エンドツーエンド回帰テスト すべての Site Admin エンドポイントを対象に、各遷移時のヤードビュー忠実性アサーションを含む（53,650/53,651 = 100%）
- ✓ データインベントリおよび処理活動記録（第30条） 公開済み
- ✓ 副処理者登録簿 維持・年次レビュー実施
- ✓ プライバシー・バイ・デザインおよびバイ・デフォルト 文書化済み（第25条）
- ✓ Web Application Firewall (Azure Front Door WAF, Prevention mode) protecting yardtwin.com with custom rate-limiting rules on the authentication and account-recovery endpoints, plus platform-level L7 DDoS mitigation. A managed OWASP rule set is not attached; that requires the Front Door Premium tier
- ✓ 自動侵害検知 — 認証異常ワーカー（ログイン失敗急増、複数IP攻撃、国変更ログイン）、5xxレートアラート、スキーマドリフトアラート、/health/db-write プローブ
- ✓ 侵害登録簿 完全なステートマシンと DPC 期限カウントダウンを備えた永続テーブル、SuperAdmin パネルで確認可能
- ✓ アクショングループ
yardtwin-breach-actions検知のたびに admin@yardtwin.com およびオンコール担当アドレスへメール通知
残存する改善事項
サードパーティによるペネトレーションテストは未実施。エンゲージメントのスコープ策定済み（Cobalt.io、Webアプリ＋認証済みテストで約€6〜8k）。内部テストにてこれまで27件の指摘事項を解消済み。 優先度：高。目標：2026年Q3。
外部の非常勤 DPO を、初の有償エンタープライズ製薬顧客の獲得前に契約する。第37条により厳密に義務付けられていない場合でも、信頼できるベンダーオンボーディングのために必要。 優先度：高。目標：初の有償エンタープライズ顧客獲得前。
適用宣言書（SoA）の骨格が完成し、93の附属書Aコントロールをマッピング済み（約32件 適用済み、約25件 部分的、約22件 ギャップ、約14件 非該当）。外部主任審査員のエンゲージメントが次のステップ；認証取得までの全行程は9〜12ヶ月。 優先度：中。目標：2026年Q4 — 認証審査 2027年Q1。
米国エンタープライズ顧客に必要。ISO 27001 取得後に取り組むのが最善 — 大半のコントロールが重複する。 優先度：中。目標：2027年。
YARDtwin は Azure App Service 上で動作し、ポイントインタイムバックアップリカバリ（7日間ウィンドウ）を備えるが、シングルリージョン構成。別の EEA リージョンに地理冗長セカンダリを設けることで、リージョン障害時の RTO を数時間から数分に短縮可能。 優先度：中。目標：2026年Q4。
両副処理者は SCC に基づき米国へデータを移転。FISA 702 補足措置の書面による確認を、年次副処理者レビューの一環として収集中。 優先度：中。目標：2026年Q3。
2回目のクリーンな外部ペンテスト後に、プライベートバグバウンティプログラム（HackerOne / Intigriti）を実施予定。年次テスト間の継続的な外部カバレッジを提供する。 優先度：低。目標：2027年。
12. お問い合わせ・データ保護責任者
データ保護責任者（DPO）: dpo@yardtwin.com — 外部の非常勤DPOとの契約を進めています（11.2参照）。任命までの間、このアドレス宛のメールはadmin@yardtwin.comへ転送され、対応されます。
一般的なお問い合わせ: admin@yardtwin.com
データ主体のリクエスト: DSAR Portalよりご提出ください
データ処理契約（DPA）: /dpa にてご確認・同意いただけます
監督機関: データ保護委員会（DPC）、アイルランド · www.dataprotection.ie · +353 (0)761 104 800