YARDtwin의 보안

YARDtwin은 Microsoft Azure를 기반으로 하며, 컴퓨팅은 노르웨이 동부, 데이터·레지스트리·시크릿은 스웨덴 중부에서 운영됩니다. 고객 데이터는 EU/EEA 내에 저장되며, EEA 외부 하위 처리자에 대한 제한적인 데이터 이전은 아래에 명시되어 있고 표준 계약 조항(Standard Contractual Clauses)이 적용됩니다.

• App Service (Linux 컨테이너) — 노르웨이 동부
• Azure PostgreSQL Flexible Server — 스웨덴 중부
• Azure Blob Storage — 노르웨이 동부, 프라이빗 컨테이너
• Azure Key Vault — 스웨덴 중부, RBAC 제어
• Azure Front Door + WAF — 방지(Prevention) 모드, 사용자 지정 속도 제한 규칙
• Azure Monitor를 통한 오류·지연·가용성 경보 및 Azure Service Health 경보

고객 데이터는 EU/EEA 내 Microsoft Azure 리전, 즉 노르웨이 동부(애플리케이션, 스토리지)와 스웨덴 중부(데이터베이스, 시크릿)에 호스팅됩니다. 노르웨이는 GDPR이 적용되는 EEA 회원국이므로, 이는 별도의 Chapter V 이전 메커니즘이 필요 없는 EEA 내 처리에 해당합니다. 승인된 리전 외부에서의 리소스 생성은 Azure Policy의 "Deny" 할당을 통해 플랫폼 수준에서 차단되므로, 고객 데이터는 EU/EEA 외부에서 프로비저닝될 수 없습니다. 일부 기능은 아래(/subprocessors 포함)에 나열된 하위 처리자에게 데이터를 전송하며, EEA 외부 전송의 경우(예: AI 기능을 위한 미국의 Anthropic 및 이메일 발송) EU 표준 계약 조항(수신자가 인증된 경우 EU-미국 데이터 프라이버시 프레임워크 포함)에 따라 처리되며, 최소한의 필요 데이터만 전송됩니다.

YARDtwin은 서비스 제공을 위해 엄선된 소수의 하위 처리자를 사용합니다. 각 하위 처리자는 데이터 처리 계약(DPA)에 구속됩니다. 당사는 이 등록부를 유지하며 GDPR 제28조에 따라 중요한 변경 사항을 고객에게 통지합니다.

웹사이트 전용 서비스(고객 운영 데이터 없음)

이 서비스들은 공개 웹사이트에서만 실행됩니다. 고객 운영 데이터를 수신하지 않으며 해당 데이터의 하위 처리자가 아닙니다. 쿠키를 설정하는 서비스는 동의 후에만 로드됩니다.

YARDtwin은 AI를 활용하여 운전면허증 및 선적 서류를 판독(OCR)하고, 사이트에서 활성화한 경우 운전기사의 게이트 사진을 면허증 또는 저장된 운전기사 사진과 1:1로 비교하며, 인앱 어시스턴트 기능과 음성 안내 생성에 사용합니다. AI 처리는 보조적 역할을 합니다. AI의 결과는 담당자에게 제시되며, 예를 들어 유인 게이트에서는 게이트 운영자가 각 체크인을 확인합니다. 사이트에서 번호판 카메라 또는 무인 게이트를 통한 자동 체크인을 활성화한 경우, 예약과 명확히 일치하는 트럭은 게이트 운영자 없이 체크인되며, 그 외의 경우는 게이트 직원에게 전달됩니다. YARDtwin은 개인에게 법적 또는 이에 준하는 중대한 영향을 미치는 자동화된 결정을 내리지 않습니다(GDPR 제22조).

• 고객 데이터는 제3자 AI 모델 학습에 사용되지 않으며, AI 하위 처리자는 요청에 대한 결과 반환 목적으로만 데이터를 처리합니다.
• 데이터 최소화: AI 문서 OCR은 사이트별로 비활성화할 수 있어, 수동 입력을 선호하는 사이트는 AI 제공업체에 문서를 전송하지 않습니다.
• 인간 감독: 추출된 필드는 레코드에 저장되기 전에 검토 및 편집이 가능합니다.

요청별 nonce를 사용한 엄격한 CSP 적용(스크립트에 unsafe-inline 없음). 모든 응답에 전체 보안 헤더 반환: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

제3자 침투 테스트는 아직 수행되지 않았으며, 첫 번째 엔터프라이즈 서비스 개시 전에 독립적인 테스트가 계획되어 있습니다. 내부 화이트박스 코드 감사는 2026년 10월에 완료되었으며, 모든 심각(Critical) 발견 사항이 수정되었습니다.

2026년 4월 11일 기능 보안 테스트 실시 — 예약 270건에 걸쳐 1,890건 이상의 API 호출 검증: 실패 0건.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• 백업: 7일 시점 복원(point-in-time restore) 및 시간 기반 불변성 정책(삭제 및 덮어쓰기 차단, 정책은 아직 잠금 미적용)에 따라 최대 7년간 보관되는 월별 암호화 백업을 제공합니다.
• 일일 백업: 매일 밤 데이터베이스 전체 복사본을 생성하여 EEA 내 별도의 암호화된 스토리지(스웨덴 중부, 스웨덴 남부로 지역 복제)에 35일간 보관합니다.
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — 데이터 무결성(ALCOA+), 추가 전용 감사 추적, 전자 기록, 접근 제어, 검증 완료
• 21 CFR Part 11 — 전자 기록, 감사 추적, 귀속, 봉인 보관 연속성
• GDPR — 데이터 이동성(JSON + CSV), DSAR 워크플로우, 동의 추적, EU/EEA 전용 데이터 보관
• ISO 27001 — 인증 프로그램 진행 중; 인증 감사는 2027년 1분기 예정; 인증서 취득 목표 2027년 1분기
• SOC 2 — 미보유. ISO 27001 인증 후 요청 시 제공 가능합니다.

• Vendor Assurance Pack v1.2 — QMS 문서 인덱스, GAMP 5 분류, EU GMP Annex 11 및 21 CFR Part 11 조항 매핑, ALCOA+ 진술, 보안 아키텍처, 작성된 CAIQ-Lite, v1.1에 대한 모든 수정 사항 및 미결 항목 전체 목록. PDF, 양식 작성 불필요.
• 야드 운영 GMP 감사 준비 체크리스트 — Annex 11, 21 CFR Part 11 및 EU GDP 가이드라인에 따라 자사 야드를 평가하기 위한 12개 영역의 101개 점검 항목.
• 데이터 처리 계약(DPA) — 검토용 사본은 다음으로 요청하세요 dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• GDPR 정책
• 개인정보 처리방침
• security.txt
• 서비스 상태 페이지 — 실시간 자체 보고 플랫폼 상태, 가용성 약정 및 인시던트 이력.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

보안 연구자의 제보를 환영합니다. 발견 내용 및 재현 절차를 기재하여 이메일로 보내주세요: admin@yardtwin.com수신 후 2영업일 이내에 확인 회신을 드리며, 심각한 문제는 7일 이내 패치를 목표로 합니다. 저희가 조치할 기회를 갖기 전에 취약점을 공개적으로 공표하지 마십시오.

개인 데이터, DPA, 하위 처리자 또는 정보주체 권리에 관한 문의는 다음으로 보내주십시오. dpo@yardtwin.com. 이 주소는 YARDtwin Ltd에서 개인정보 보호 업무를 담당하는 사람이 모니터링하는 역할 사서함입니다. YARDtwin은 GDPR 제37조에 따른 법정 개인정보 보호 책임자(DPO)를 지정하지 않았으며, 이는 당사의 처리 활동에 있어 의무 사항이 아닙니다. 개인 이름 대신 담당 연락처 주소를 공개합니다. 정보주체 요청은 DSAR 포털을 통해서도 제출하실 수 있습니다. /data-request