YARDtwinのセキュリティ

YARDtwinはMicrosoft Azure上で稼働しており、コンピュートにNorway East、データ・レジストリ・シークレットにSweden Centralを使用しています。お客様のデータはEU/EEA内に保存されます。EEA域外のサブプロセッサへの限定的な転送については以下に列挙しており、標準契約条項（SCC）によって保護されています。

• App Service（Linuxコンテナ）— ノルウェー東部
• Azure PostgreSQL Flexible Server — スウェーデン中部
• Azure Blob Storage — ノルウェー東部、プライベートコンテナ
• Azure Key Vault — スウェーデン中部、RBACアクセス制御
• Azure Front Door + WAF — Preventionモード、カスタムレート制限ルール
• Azure Monitorによるエラー・レイテンシ・可用性のアラート、およびAzure Service Healthアラート

顧客データはEU/EEA内のMicrosoft Azureリージョン（ノルウェー東部：アプリケーション・ストレージ、スウェーデン中部：データベース・シークレット）でホストされています。ノルウェーはGDPRが適用されるEEA加盟国であるため、本構成はEEA域内の取り決めであり、第5章の移転メカニズムは不要です。承認済みリージョン外へのリソース作成は、Azure Policyの「拒否」割り当てによりプラットフォームレベルでブロックされており、顧客データをEU/EEA外にプロビジョニングすることはできません。一部の機能は、EEA外を含む下記のサブプロセッサー（および /subprocessors に掲載）にデータを送信します。例として、AI機能向けに米国のAnthropicへの送信や電子メール配信があり、これらはEU標準契約条項（および受信者が認定済みの場合はEU-米国データプライバシーフレームワーク）に基づき、必要最小限のデータのみを送信します。

YARDtwinは、サービス提供のために厳選された少数のサブプロセッサーを利用しています。各サブプロセッサーはデータ処理契約（DPA）に拘束されています。このレジスターを維持管理し、GDPR第28条に従い、重要な変更をお客様に通知します。

ウェブサイト専用サービス（顧客の業務データなし）

これらは公開ウェブサイトのみで動作します。顧客の業務データは受信せず、そのサブプロセッサーではありません。Cookieを設定するものは同意がある場合のみ読み込まれます。

YARDtwinは、運転免許証および輸送書類の読み取り（OCR）、サイトが有効にした場合における運転手のゲート写真と免許証または保存済み運転手写真との1対1照合、アプリ内アシスタントの提供、および音声ガイダンスの生成にAIを使用します。AI処理はあくまで補助的なものであり、その出力は人間に提示されます。例えば有人ゲートでは、ゲートオペレーターが各チェックインを確認します。ナンバープレートカメラまたは無人ゲートによる自動チェックインをサイトが有効にした場合、予約と問題なく一致したトラックはゲートオペレーターなしでチェックインされ、それ以外はゲートスタッフに引き渡されます。YARDtwinは、個人に対して法的または同等の重大な影響をもたらす自動化された意思決定（GDPR第22条）を行いません。

• 顧客データはサードパーティのAIモデルの学習には使用されません — AIサブプロセッサーは、お客様のリクエストに対する結果を返すためにのみデータを処理します。
• データ最小化：AI文書 OCR はサイトごとに無効化でき、手動入力を希望するサイトはドキュメントをAIプロバイダーに送信しません。
• 人間による監視：抽出されたフィールドはレコードに確定する前に確認・編集が可能です。

リクエストごとのノンスを使用したスクリプトの厳格なCSP（ unsafe-inlineは不使用）。すべてのレスポンスに完全なセキュリティヘッダーを付与：HSTS、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policy、Cross-Origin-Opener-Policy、Cross-Origin-Resource-Policy。

現時点ではサードパーティによるペネトレーションテストは未実施です。最初のエンタープライズ本番稼働前に独立したテストを予定しています。2026年10月に内部ホワイトボックスコード監査を完了し、重大（Critical）な指摘事項はすべて修正済みです。

2026年4月11日に機能セキュリティテスト実施（270件のアポイントメントにわたる1,890件以上のAPI呼び出し）： 失敗 0件.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• バックアップ：7日間のポイントインタイムリストアに加え、削除および上書きをブロックする時間ベースのイミュータビリティポリシー（ポリシーはまだロックされていません）の下で、月次暗号化バックアップを最大7年間保持します。
• 日次バックアップ：毎夜データベースのフルコピーを取得し、EEA内（スウェーデン中部、スウェーデン南部へのジオレプリケーション）の独立した暗号化ストレージに35日間保管します。
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — データインテグリティ（ALCOA+）、追記専用監査証跡、電子記録、アクセス制御、バリデーション済み
• 21 CFR Part 11 — 電子記録、監査証跡、帰属管理、封印チェーン・オブ・カストディ
• GDPR — データポータビリティ（JSON + CSV）、DSARワークフロー、同意管理、EU/EEA域内限定保管
• ISO 27001 — 認証プログラム進行中。認証審査は2027年第1四半期を予定、認証取得目標は2027年第1四半期
• SOC 2 — 未取得。ISO 27001認証取得後、ご要望に応じて対応可能。

• Vendor Assurance Pack v1.2 — QMS文書インデックス、GAMP 5分類、EU GMP Annex 11および21 CFR Part 11の条項マッピング、ALCOA+声明、セキュリティアーキテクチャ、記入済みCAIQ-Lite、v1.1へのすべての修正、および未解決項目の完全リストを含みます。PDF形式、申請不要。
• ヤード業務 GMP 監査対応チェックリスト — Annex 11、21 CFR Part 11、およびEU GDPガイドラインに基づき、自社ヤードを評価するための12ドメイン・101チェック項目。
• データ処理契約（DPA） — 確認用の写しはご要望に応じて提供。お問い合わせ先： dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• GDPRポリシー
• プライバシーポリシー
• security.txt
• サービスステータスページ — リアルタイムの自己申告によるプラットフォームステータス、可用性コミットメントおよびインシデント履歴。
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

セキュリティ研究者からの報告を歓迎します。発見内容と再現手順を記載の上、 admin@yardtwin.comまでメールでご連絡ください。受領後2営業日以内に確認の返信を行い、重大な問題は7日以内のパッチ適用を目標としています。修正対応の機会を設けるまで、脆弱性の公開はお控えください。

個人データ、DPA、サブプロセッサー、またはデータ主体の権利に関するお問い合わせは以下までご連絡ください： dpo@yardtwin.com. こちらはYARDtwin Ltd.のデータ保護責任者が監視する役割メールボックスです。YARDtwin はGDPR第37条に基づく法定データ保護オフィサーを指定していません（同社の処理においては必須ではありません）。個人名の代わりに連絡先アドレスを公開しています。データ主体からのリクエストはDSARポータルからも送信できます。 /data-request