YARDtwinのセキュリティ

YARDtwinはMicrosoft Azure上で稼働し、コンピューティングはノルウェー東部、データ・レジストリ・シークレットはスウェーデン中部を使用しています。すべての顧客データはEU/EEA域内に保管され、GDPR第44条〜第49条に準拠しています。

• App Service（Linuxコンテナ）— ノルウェー東部
• Azure PostgreSQL Flexible Server — スウェーデン中部
• Azure Blob Storage — ノルウェー東部、プライベートコンテナ
• Azure Key Vault — スウェーデン中部、RBACアクセス制御
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — 90日間保持

お客様のデータはすべてEU/EEA域内で保存・処理されます。Microsoft AzureのNorway East（アプリケーション・ストレージ）およびSweden Central（データベース・シークレット）リージョンにホスティングされています。ノルウェーはGDPRが適用されるEEA加盟国であるため、本構成はEEA域内の取り決めに該当し、第V章の移転メカニズムは不要です。承認済みリージョン外へのリソース作成は、AzureポリシーのDeny割り当てによりプラットフォームレベルでブロックされており、お客様データをEU/EEA域外にプロビジョニングすることはできません。EEA域外で運用される限定的なサブプロセッサー（AI OCRまたはメール配信など）との間のデータ移転は、EU標準契約条項に基づいて管理され、必要最小限のデータのみが送信されます。

YARDtwinは、サービス提供のために厳選された少数の副処理者を利用しています。各副処理者はデータ処理契約（DPA）に拘束されています。このレジスターを維持管理し、GDPR第28条に従い、重要な変更をお客様に通知します。

YARDtwinは、運転免許証および輸送書類の読み取り（OCR）、アプリ内アシスタントの提供、音声ガイダンスの生成にAIを使用しています。AI処理はあくまで補助的なものです。その出力は担当者に提示され（例：ゲートオペレーターがすべてのチェックインを確認）、YARDtwinは個人に法的または同等の重大な影響を及ぼす自動意思決定（GDPR第22条）を行いません。

• 顧客データはサードパーティのAIモデルの学習には使用されません — AIの副処理者は、お客様のリクエストに対する結果を返すためにのみデータを処理します。
• データ最小化：AI文書 OCR はサイトごとに無効化でき、手動入力を希望するサイトはドキュメントをAIプロバイダーに送信しません。
• 人間による監視：抽出されたフィールドはレコードに確定する前に確認・編集が可能です。

リクエストごとのノンスを使用したスクリプトの厳格なCSP（ unsafe-inlineは不使用）。すべてのレスポンスに完全なセキュリティヘッダーを付与：HSTS、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policy、Cross-Origin-Opener-Policy、Cross-Origin-Resource-Policy。

2026年4月17〜18日に独立機関によるペネトレーションテスト実施（OWASPカテゴリ10項目、ペイロード36件）： 脆弱性 0件.2026年4月11日に機能セキュリティテスト実施（270件のアポイントメントにわたる1,890件以上のAPI呼び出し）： 失敗 0件.年次サードパーティペンテストを予定、SOC 2 Type II監査を進行中。

• EU GMP Annex 11 — データインテグリティ（ALCOA+）、追記専用監査証跡、電子記録、アクセス制御、バリデーション済み
• 21 CFR Part 11 — 電子記録、監査証跡、帰属管理、封印チェーン・オブ・カストディ
• GDPR — データポータビリティ（JSON + CSV）、DSARワークフロー、同意管理、EU/EEA域内限定保管
• SOC 2 Type II — 監査進行中

• ベンダー保証パック (PDF) — QMS文書索引、GAMP 5分類、Annex 11およびGMP 21 CFR Part 11の条項マッピング、ALCOA+声明、セキュリティアーキテクチャ、CAIQ-Lite記入済み資料、および未取得項目の完全リストを収録。申請フォーム不要。
• ヤード業務 GMP 監査対応チェックリスト — Annex 11、21 CFR Part 11、およびEU GDPガイドラインに基づき、自社ヤードを評価するための12ドメイン・101チェック項目。
• データ処理契約（DPA）テンプレート — 企業審査・署名用
• GDPRポリシー
• プライバシーポリシー
• security.txt
• サービスステータスページ — リアルタイムの自己申告によるプラットフォームステータス、可用性コミットメントおよびインシデント履歴。

セキュリティ研究者からの報告を歓迎します。発見内容と再現手順を記載の上、 admin@yardtwin.comまでメールでご連絡ください。受領後2営業日以内に確認の返信を行い、重大な問題は7日以内のパッチ適用を目標としています。修正対応の機会を設けるまで、脆弱性の公開はお控えください。