YARDtwin의 보안

YARDtwin은 노르웨이 동부 컴퓨팅 및 스웨덴 중부 데이터·레지스트리·시크릿 저장을 갖춘 Microsoft Azure에서 운영됩니다. 모든 고객 데이터는 EU/EEA 내에 보관되며 GDPR 제44조~제49조를 준수합니다.

• App Service (Linux 컨테이너) — 노르웨이 동부
• Azure PostgreSQL Flexible Server — 스웨덴 중부
• Azure Blob Storage — 노르웨이 동부, 프라이빗 컨테이너
• Azure Key Vault — 스웨덴 중부, RBAC 제어
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — 90일 보존

모든 고객 데이터는 EU/EEA 내에서 저장 및 처리됩니다 — Microsoft Azure의 노르웨이 동부(애플리케이션, 스토리지) 및 스웨덴 중부(데이터베이스, 시크릿) 리전에서 호스팅됩니다. 노르웨이는 GDPR이 적용되는 EEA 회원국이므로, 이는 5장(Chapter V) 이전 메커니즘이 필요 없는 EEA 역내 처리 구조입니다. 승인된 리전 외부에서의 리소스 생성은 Azure Policy "Deny" 할당을 통해 플랫폼 수준에서 차단되므로, 고객 데이터는 EU/EEA 외부에서 프로비저닝될 수 없습니다. 제한된 범위의 하위 처리자가 EEA 외부에서 운영되는 경우(예: AI OCR 또는 이메일 발송), 이전은 EU 표준 계약 조항(Standard Contractual Clauses)에 의해 규율되며 필요 최소한의 데이터만 전송됩니다.

YARDtwin은 서비스 제공을 위해 엄선된 소수의 하위 처리자를 사용합니다. 각 하위 처리자는 데이터 처리 계약(DPA)에 구속됩니다. 당사는 이 등록부를 유지하며 GDPR 제28조에 따라 중요한 변경 사항을 고객에게 통지합니다.

YARDtwin은 운전면허증 및 운송 서류 판독(OCR), 앱 내 어시스턴트 구동, 음성 안내 생성을 위해 AI를 활용합니다. AI 처리는 보조적 역할을 하며, 그 결과는 사람에게 제시됩니다. 예를 들어 게이트 운영자가 모든 체크인을 확인하며, YARDtwin은 개인에게 법적 또는 이에 준하는 중대한 영향을 미치는 자동화된 결정을 내리지 않습니다(GDPR 제22조).

• 고객 데이터는 제3자 AI 모델 학습에 사용되지 않으며, AI 하위 처리자는 요청에 대한 결과 반환 목적으로만 데이터를 처리합니다.
• 데이터 최소화: AI 문서 OCR은 사이트별로 비활성화할 수 있어, 수동 입력을 선호하는 사이트는 AI 제공업체에 문서를 전송하지 않습니다.
• 인간 감독: 추출된 필드는 레코드에 저장되기 전에 검토 및 편집이 가능합니다.

요청별 nonce를 사용한 엄격한 CSP 적용(스크립트에 no unsafe-inline 없음). 모든 응답에 전체 보안 헤더 반환: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

2026년 4월 17~18일 독립적 침투 테스트 실시(OWASP 카테고리 10개, 페이로드 36개): 취약점 0건.2026년 4월 11일 기능 보안 테스트 실시 — 예약 270건에 걸쳐 1,890건 이상의 API 호출 검증: 실패 0건.연간 제3자 침투 테스트 예정 및 SOC 2 Type II 감사 진행 중.

• EU GMP Annex 11 — 데이터 무결성(ALCOA+), 추가 전용 감사 추적, 전자 기록, 접근 제어, 검증 완료
• 21 CFR Part 11 — 전자 기록, 감사 추적, 귀속, 봉인 보관 연속성
• GDPR — 데이터 이동성(JSON + CSV), DSAR 워크플로우, 동의 추적, EU/EEA 전용 데이터 보관
• SOC 2 Type II — 감사 진행 중

• 벤더 보증 팩 (PDF) — QMS 문서 색인, GAMP 5 분류, Annex 11 및 21 CFR Part 11 조항 매핑, ALCOA+ 진술서, 보안 아키텍처, 작성 완료된 CAIQ-Lite, 그리고 아직 보유하지 않은 항목의 전체 목록이 포함되어 있습니다. 별도 양식 제출 불필요.
• 야드 운영 GMP 감사 준비 체크리스트 — Annex 11, 21 CFR Part 11 및 EU GDP 가이드라인에 따라 자사 야드를 평가하기 위한 12개 영역의 101개 점검 항목.
• 데이터 처리 계약(DPA) 템플릿 — 기업 검토 및 서명용
• GDPR 정책
• 개인정보 처리방침
• security.txt
• 서비스 상태 페이지 — 실시간 자체 보고 플랫폼 상태, 가용성 약정 및 인시던트 이력.

보안 연구자의 제보를 환영합니다. 발견 내용 및 재현 절차를 기재하여 이메일로 보내주세요: admin@yardtwin.com수신 후 2영업일 이내에 확인 회신을 드리며, 심각한 문제는 7일 이내 패치를 목표로 합니다. 저희가 조치할 기회를 갖기 전에 취약점을 공개적으로 공표하지 마십시오.