GDPR ポリシー
最終更新日：2026年10月17日 · v3.4 · v3.4の変更点：セクション4.3および5 — 契約終了時に、顧客は監査証跡の完全なエクスポートを削除前に受け取ります。ただし、顧客が書面でこれを辞退した場合、または合理的な試みの後に連絡が取れない場合を除きます。その後YARDtwinは、顧客の書面による指示がある場合にのみ監査記録を保持します。ただし、有効期限が切れるまでのバックアップおよび引き渡しに関する自己記録を除きます。
適用法規：EU一般データ保護規則（2016/679）、アイルランドデータ保護法2018
1. 当社のコミットメント
YARDtwin Ltdは、一般データ保護規則（GDPR）への完全準拠を約束しています。当社は、自社の顧客データに関するデータ管理者、および顧客に代わって業務データを取り扱うデータ処理者の両方として、あらゆる段階において個人データを保護するための適切な技術的・組織的措置を講じています。
2. 役割と責任
3. データ処理契約（DPA）
すべての顧客は、セルフサービスの DPAページからデータ処理契約を確認・同意することができます。有料プランのお客様は、データ処理契約の確認用コピーを dpo@yardtwin.comに請求できます。副署済みの版は、会社の登記完了後に発行されます。
4. 技術的措置（GDPR第32条）
すべてのデータは転送中に暗号化（TLS 1.2以上）。パスワードはbcrypt（12ラウンド）でハッシュ化。PostgreSQL Flexible Serverは保存時の透過的データ暗号化を使用。Azure Blob Storageは保存時に暗号化。運転免許証の画像と署名は、Azure StorageおよびAzure Database for PostgreSQLによりAES-256で保存時に暗号化され（Microsoft管理キー）、アクセスはロールと組織によって制限されています。JWTトークンは暗号署名済み（HS256）。シークレットはApp ServiceマネージドIDを通じてアクセスするAzure Key Vaultで管理——コード、環境ファイル、コンテナイメージにはシークレットを含みません。
認証済みルートにおけるロールベースアクセス制御（RBAC）を実施し、テナントスコープはサーバーサイドで強制されます。テナント分離はリリースごとに自動テストされます。リリースゲートのクロステナントスイープは、ある組織として別の組織のレコードIDを使用してAPIを呼び出し、そのデータが読み取りまたは変更可能な場合はリリースがブロックされます。シングルサインオン（SAML 2.0、Google、Microsoft）、時間ベースのワンタイムパスワードMFAを利用でき、プラットフォーム管理者には必須、全ユーザーにも提供されます。
ユーザーアクションの完全な監査ログ：ユーザーID、タイムスタンプ、IPアドレス、アクション動詞、対象エンティティ、変更前後の値。GMP関連アクションは別途フラグ付け（is_gmp_relevant=1）。データベース内でハッシュチェーンにより強制された改ざん検知可能かつ追記専用の記録。GMP関連エントリはサービス契約期間中、少なくとも7年間保持され、その他の監査エントリは365日間保持されます。Art. 17に基づく消去請求（Art. 17(3)(b)の法的義務の優先適用）において、仮名化されますが削除はされません。契約終了時には、顧客に対して監査証跡の完全なエクスポートが提供されてから削除されます。ただし、顧客が書面でエクスポートを辞退した場合、または合理的な試みを経ても連絡が取れない場合はこの限りではありません。YARDtwinは、顧客の書面による指示がある場合に限り、有効期限が切れていないバックアップおよび引き渡しの記録を除き、それ以上保持します。
Microsoft Azure（Sweden Central + Norway East、EEA）でホスト。Azure Container Registryを経由したコンテナ化App Serviceをステージングスロット→スワップ方式でデプロイ。トラフィックはPreventionモードのWebアプリケーションファイアウォールを備えたAzure Front Doorを経由してアプリケーションに到達。データベースはAzureサービスおよび管理者IPホワイトリストからの接続のみ受け付けます。Application InsightsはPostgresの「column / relation does not exist」エラーに対するスキーマドリフトアラートを実装（15分ウィンドウ）。エンドツーエンドの/health/db-writeプローブにより、デプロイのたびにアプリケーションのデータベース書き込み・読み取りを検証します。
当社はサービス提供に必要なデータのみを収集します。任意の運転手フィールド（電話番号、メールアドレス）は、顧客のプロセスが許可する場合に限り空白のままにできます。ゲートスタッフはゲート証跡として運転手の顔写真を撮影する場合があります。サイトがAI顔照合を有効にした場合、当社のAIプロバイダー（Anthropic）がその写真を免許証写真または保存済み運転手写真と1対1で照合し、スタッフの本人確認を支援します。照合結果はあくまで助言であり、ゲートスタッフが判断します。照合で確認できなかった運転手であっても、理由を記入することで入場を許可できます。各照合は結果とともに当社サーバーに記録されます。顔照合がオフ（デフォルト）の場合、AIプロバイダーへの顔写真の送信は行われず、スタッフが自ら運転手と免許証写真を照合します。なお、AI読み取りが有効な場合、免許証画像は引き続きAIにより読み取られます。YARDtwinは顔テンプレートを保存せず、1対多の識別も行いません。ニュースレターはメールアドレスおよび任意の会社名のみを収集します。
すべてのプルリクエストは、マージ前にnpm audit（依存関係の脆弱性）、Semgrep（静的解析）、gitleaks（シークレットスキャン）に合格する必要があり、Trivyによるコンテナイメージスキャンが参考チェックとして実施されます。これらのチェックはmasterへのプッシュ時および毎晩も実行され、本番サイトへの参考チェックとしてOWASP ZAPベースラインスキャン（動的テスト）も併せて実施されます。Dependabotアラートにより、依存関係に新たに開示された脆弱性が報告されます。
5. データ主体の権利（GDPR 第III章）
当社はすべてのデータ主体の権利行使を支援します：
POST /api/v1/dsar/erase/by-email 確認済みリクエストに基づき、選択された顧客アカウント内の本人のユーザーアカウントを匿名化し、セッション、トークン、通知、保留中の招待、ニュースレターおよび登録レコード、ならびに本人のアバターを削除します。顧客が保有する業務記録（予約、ゲートおよび訪問記録、ドライバー名簿、連絡先）は、データ管理者としての顧客のレコードであり、顧客が対応できるよう一覧表示されます。監査証跡はGMPの整合性のために匿名化されたアクター参照を保持します。GMP関連の監査データは、Art. 17(3)(b)の法的義務の優先適用に基づき、サービス契約期間中、少なくとも7年間保持され、契約終了時に顧客へエクスポートされます（顧客が書面で辞退した場合、または合理的な試みを経ても連絡が取れない場合を除く）。その後削除されます。6. 同意管理
ニュースレター： 明示的なオプトイン同意が必要です。同意の日時とIPアドレスが記録されます。すべての通知に配信停止リンクが含まれます。サービスへのアクセスに影響を与えることなく、いつでも同意を撤回できます。
サービス利用規約： アカウント作成は利用規約への同意（契約上の根拠）を意味します。ユーザーは登録時にデータ処理についての説明を受けます。
Cookie： ePrivacy指令に準拠し、初回訪問時にCookie同意バナーが表示されます。ユーザーは必須Cookieのみ、またはすべてのCookieを選択できます。設定はローカルに保存され、いつでも変更できます。
7. データ侵害対応手順（第33〜34条）
自動検知： 侵害モニターワーカーが5分ごとに監査ログをチェックし、以下の最初の3つの異常を潜在的インシデントとして記録します。残りの3つは個別のAzureモニタリングアラートです：
- 1時間以内に同一メールアドレスへのログイン失敗が10回以上
- 24時間以内に同一メールアドレスを標的とした異なるソースIPが5つ以上
- 過去30日以内に当該ユーザーで確認されていないソースIPからのログイン成功
- 5分間のウィンドウ内でサーバーエラー（HTTP 5xx）が10件を超えた場合
- Postgresの「column / relation does not exist」エラー（スキーマドリフト、App Insights）
- ウェブサイト可用性テスト（10分ごとに実行）が失敗した場合または応答が遅い場合
侵害レジスター： 検知されたすべての異常は breach_register テーブルに記録され、ステートマシン（検知 → 調査中 → 確認済み → 通知済み → 完了）、重大度、範囲、影響を受けるデータ主体、DPC期限カウントダウン、および監査履歴が管理されます。SuperAdminの「侵害レジスター」パネルで確認できます。
アラートルーティング： 検知イベントはAzure Monitor Action Group yardtwin-breach-actionsにルーティングされ、創業者の連絡先（admin@yardtwin.com）にメールが送信されます。スキーマドリフトイベントには既存の yardtwin-schema-drift-actions グループが使用されます。
評価： 検知から24時間以内に、技術チームが侵害レジスターパネルでインシデントをトリアージします：範囲、影響を受けるデータ主体、重大度（第33条(1)「権利および自由へのリスク」基準）、および根本原因。
DPCへの通知（第33条）： リスクをもたらす侵害を認識してから72時間以内に通知します。侵害レジスターパネルには、インシデントが次のステータスにマークされると72時間のライブカウントダウンタイマーが表示されます： 確認済み.
データ主体への通知（第34条）： 侵害がデータ主体の権利および自由に高いリスクをもたらす場合、不当な遅延なく通知します。
顧客への通知： 影響を受けるテナントの管理者には、不当な遅延なく、かつ当該テナントのデータに影響する個人データ侵害を認識してから48時間以内に通知されます。また、そのデータに影響するセキュリティインシデントが確認されてから24時間以内に初回通知が行われます。
記録・文書化： 外部通知が必要だったかどうかにかかわらず、侵害登録のすべてのエントリは自動削除なしで保持されます。
8. サブプロセッサー
| サブプロセッサ | 目的 | 所在地 | 保護措置 |
|---|---|---|---|
| Microsoft Azure | ホスティング、データベースおよびファイルストレージ | EEA — Sweden CentralおよびNorway East（アップロードされたファイルの地理冗長コピーはNorway West） | Microsoft Products and Services DPA；データはEEA内に保持 |
| Anthropic | 運転免許証および書類のAI読み取り（デフォルトで有効。サイト管理者が無効化可能）、ドライバーのゲート通過時の写真と免許証または登録済みドライバー写真との1対1照合（デフォルトで無効。サイト管理者が有効／無効を切り替え可能）、およびアプリ内アシスタント | USA | 標準契約条項および移転影響評価（EU-US データプライバシーフレームワーク認証なし）；API データはモデルトレーニングに使用されず、Anthropicの標準商業条件に基づき30日以内に削除されます |
| Resend | トランザクションメール | USA | 標準契約条項（EU-USデータプライバシーフレームワークの再認証審査中） |
| Stripe | 請求連絡先および支払いデータ（YARDtwinはカード番号を保存しない） | EU / USA | Standard Contractual Clauses；PCI DSS レベル1 |
| Twilio | SMSおよびWhatsApp通知（顧客が有効化した場合のみ） | USA | Standard Contractual Clauses |
| Google and Microsoft | サインインID情報（顧客がそれらのサインインオプションを使用する場合のみ） | EU / USA | Standard Contractual Clauses / EU-US Data Privacy Framework |
| ElevenLabs | オプションのテキスト読み上げ：車両登録番号などの運用詳細を含む場合があるアプリ内アシスタントの返答、および公開ページの音声を読み上げます | USA | EU-USデータプライバシーフレームワーク＋標準契約条項 |
お客様は上記に列挙されたサブプロセッサについて一般的な書面による承認を付与します。新たなサブプロセッサの追加に際しては、少なくとも30日前に通知します。お客様は合理的な理由に基づいて異議を申し立てることができ、解決できない場合はペナルティなしで該当サービスを終了できます。
ウェブサイト専用サービス（顧客の業務データなし）
これらは公開ウェブサイトのみで動作します。顧客の業務データは受信せず、そのサブプロセッサーではありません。Cookieを設定するものは同意がある場合のみ読み込まれます。
| プロバイダー | 目的 | 所在地 | 移転保護措置 |
|---|---|---|---|
| LinkedIn Insight Tag | 公開ページでのマーケティング計測 — マーケティングCookieへの同意後のみ読み込まれ、アプリケーション内やサインイン済みユーザーには使用されない | EU / USA | 同意；LinkedIn DPAおよびStandard Contractual Clauses |
9. データ保護影響評価（DPIA）
管理者である顧客は、YARDtwinでの処理にDPIAが必要かどうかを判断します。顧客自身のDPIAのためのDPIAインプットパックを提供しています。YARDtwinは主に機密性の高い個人データではなく、業務上の運用データ（ドックスケジュール、運送業者名、車両登録番号）を処理します。
10. プライバシー・バイ・デザイン＆デフォルト（第25条）
バイ・デザイン： テナント分離を必須とするマルチテナントアーキテクチャ。すべての API エンドポイントに RBAC を組み込み。パスワードの平文保存なし。各段階での最小限のデータ収集。
バイ・デフォルト： 新規アカウントは最小限の権限で作成されます。任意フィールドは完全に任意です。ニュースレターはアクティブなオプトインが必要です。データ閲覧範囲はロールによって制限されます。
11. コンプライアンス状況と継続的改善
解決済み（2026年5月時点）
- ✓ PostgreSQL フレキシブルサーバーへの移行 （Azure マネージド、保存データの透過的暗号化、7日間ポイントインタイムリカバリー）
- ✓ Microsoft Azure への移行 （スウェーデン中部 + ノルウェー東部、EEA）App Service + ACR + Key Vault 構成
- ✓ Azure Key Vault によるシークレット管理 （.env やコンテナイメージにシークレットなし；マネージド ID アクセス）
- ✓ DSAR 自動エクスポート （POST /api/v1/dsar/export/by-email — 第15条 / 第20条）
- ✓ DSAR 自動消去 （POST /api/v1/dsar/erase/by-email — 監査保持コンプライアンス対応の第17条）
- ✓ クッキーバナー v2 4カテゴリ（必須 / 機能 / 分析 / マーケティング）および「拒否」「カスタマイズ」「すべて承認」ボタン付き
- ✓ クロステナント分離監査 リリースゲートにおける自動クロステナントスイープ（リリースごとに実施）：ある組織として別の組織のレコードIDを使用してAPIを呼び出し、そのデータが読み取りまたは変更可能な場合はリリースがブロックされます
- ✓ CI/CD セキュリティパイプライン： npm audit + Trivy + Semgrep + gitleaks + ZAP DAST
- ✓ スキーマドリフトアラート Application Insights にて（15分間ウィンドウ）
- ✓ エンドツーエンド /health/db-write プローブ デプロイのたびに書き込み可能なDBを検証
- ✓ App Insights スキーマドリフト アクショングループ Postgres の「column / relation does not exist」エラー発生時に創業者の連絡先（admin@yardtwin.com）へメール通知
- ✓ 運転免許証の画像と署名（signature_data）の保護 Azure StorageおよびAzure Database for PostgreSQLによるAES-256の保存時暗号化（Microsoft管理キー）と、ロールおよび組織によるアクセス制限
- ✓ データ保持期限の自動パージ （サイトごとに設定可能；pii-cleanup ワーカー）
- ✓ 30日間トライアルを全体で統一 （サインアップ、マーケティングサイト、利用規約、メール）
- ✓ 5,000台トラック エンドツーエンド回帰テスト すべての Site Admin エンドポイントを対象に、各遷移時のヤードビュー忠実性アサーションを含む（53,650/53,651 = 100%）
- ✓ データインベントリおよび処理活動記録（第30条） 公開済み
- ✓ サブプロセッサー登録簿 維持・年次レビュー実施
- ✓ プライバシー・バイ・デザインおよびバイ・デフォルト 文書化済み（第25条）
- ✓ Webアプリケーションファイアウォール（Azure Front Door WAF、Preventionモード） 認証およびアカウント復旧エンドポイントに対するカスタムレート制限ルールと、プラットフォームレベルのL7 DDoS緩和によりyardtwin.comを保護。マネージドOWASPルールセットは適用されていません（Front Door Premiumティアが必要なため）
- ✓ 自動侵害検知 — 侵害モニターワーカー（ログイン失敗の急増、複数IPアドレスからの1アカウントへのサインイン試行、30日間そのユーザーで確認されていないIPアドレスからのログイン成功）、5xxスパイクアラート、スキーマドリフトアラート、ウェブサイト可用性テスト
- ✓ 侵害登録簿 完全なステートマシンと DPC 期限カウントダウンを備えた永続テーブル、SuperAdmin パネルで確認可能
- ✓ アクショングループ
yardtwin-breach-actions検知のたびに創業者の連絡先（admin@yardtwin.com）へメール通知
残存する改善事項
現時点ではサードパーティによるペネトレーションテストは未実施です。最初のエンタープライズ本番稼働前に独立したテストを予定しています。2026年10月に内部ホワイトボックスコード監査を完了し、重大（Critical）な指摘事項はすべて修正済みです。 優先度：高。目標：最初のエンタープライズ本番稼働前。
YARDtwin Ltd.は法定データ保護オフィサーを指定していません。第37条第1項のいずれの要件（公的機関であること、大規模な定期的・組織的監視を要するコア業務、大規模な特別カテゴリー処理を要するコア業務）も同社の処理には該当しないためです。データ保護の責任はYARDtwin Ltd.内の指名された担当者が担い、役割メールボックス dpo@yardtwin.com を通じて連絡可能です。このアドレスは本ポリシー、プライバシーポリシー、DPA、およびトラストセンターに公開されています。個人名の代わりに連絡先アドレスを公開しています。顧客契約または処理内容の変更により必要となった場合は、データ保護委員会への届出を含む正式な指定を行います。 ステータス：2026年9月26日決定。ISMSマネジメントレビューごとに見直し。
認証プログラム進行中。認証審査は2027年第1四半期を予定、認証取得目標は2027年第1四半期。 優先度：中。目標：2027年第1四半期。
未取得。ISO 27001認証取得後、ご要望に応じて対応可能。 優先度：低。目標：ISO 27001取得後、お客様のご要望に応じて。
アップロードされたファイルは2026年10月以降、地理冗長化されています（Norway East → Norway West）。データベースの高可用性は最初のエンタープライズ本番稼働前に計画されています。それまでの間、データベース障害はポイントインタイムリストア（7日間ウィンドウ）により復旧します。 優先度：中。目標：最初のエンタープライズ本番稼働前。
EEA域外へのすべての移転に対して標準契約条項（SCC）が締結されています。移転影響評価は現在完了に向けて進行中です（目標：2026年11月）。 優先度：中。目標：2026年11月。
2回目のクリーンな外部ペンテスト後に、プライベートバグバウンティプログラム（HackerOne / Intigriti）を実施予定。年次テスト間の継続的な外部カバレッジを提供する。 優先度：低。目標：2027年。
12. 連絡先・データ保護
データ保護担当窓口： dpo@yardtwin.com — YARDtwin Ltd.のデータ保護責任者が監視する役割メールボックス（11.2参照）。個人名の代わりに連絡先アドレスを公開しています。
一般的なお問い合わせ: admin@yardtwin.com
データ主体のリクエスト: DSARポータルよりご提出ください
データ処理契約（DPA）: /dpa にてご確認・同意いただけます
監督機関: データ保護委員会（DPC）、アイルランド · www.dataprotection.ie · +353 (0)761 104 800