GDPR politika

Paskutinį kartą atnaujinta: 2026 m. spalio 17 d. · v3.4 · Pakeitimai v3.4: 4.3 ir 5 skirsniai – pasibaigus sutarčiai klientui pateikiamas visas jo audito sekos eksportas prieš jos ištrynimą, nebent jis raštu atsisako jo arba su juo nepavyksta susisiekti po pagrįstų bandymų; YARDtwin po to saugo audito įrašus tik pagal kliento rašytinį nurodymą, išskyrus atsargines kopijas iki jų galiojimo pabaigos ir savo perdavimo įrašą.

Taikomi teisės aktai: ES Bendrasis duomenų apsaugos reglamentas (2016/679), Airijos Duomenų apsaugos įstatymas (2018)

1. Mūsų įsipareigojimas

YARDtwin Ltd yra įsipareigojusi visiškai laikytis Bendrojo duomenų apsaugos reglamento (GDPR). Veikdami tiek kaip duomenų valdytojas (savo klientų duomenų atžvilgiu), tiek kaip duomenų tvarkytojas (tvarkydami klientų vardu operatyvinius duomenis), mes įgyvendiname tinkamas technines ir organizacines priemones asmens duomenims apsaugoti kiekviename etape.

2. Vaidmenys ir atsakomybė

YARDtwin kaip duomenų valdytojas: Mes nustatome asmens duomenų tvarkymo tikslus ir priemones sąskaitų valdymo, atsiskaitymo, naujienlaiškių prenumeratos ir rinkodaros matavimo tikslais mūsų viešojoje svetainėje (LinkedIn Insight Tag, kuris įkeliamas tik gavus sutikimą dėl rinkodaros slapukų). Šiuo metu nenaudojame analitinių slapukų.

YARDtwin kaip duomenų tvarkytojas: Kai mūsų klientai į platformą įveda operacinius duomenis (susitikimus, vežėjų informaciją, vairuotojų vardus, patikrinimų įrašus), YARDtwin veikia kaip duomenų tvarkytojas jų vardu. Kiekvienas klientas (nuomininkas) yra savo operacinių duomenų valdytojas.

Klientų atsakomybė: Klientai yra atsakingi už tai, kad turėtų teisėtą pagrindą tvarkyti asmens duomenis, kuriuos įveda į YARDtwin (pvz., vairuotojų vardus, vežėjų kontaktinius duomenis, transporto priemonių registracijos numerius). Klientai privalo informuoti savo duomenų subjektus apie duomenų tvarkymą naudojant YARDtwin.

3. Duomenų tvarkymo sutartis (DPA)

Visi klientai gali peržiūrėti ir priimti mūsų duomenų tvarkymo sutartį per savitarnos DPA puslapį. Mokamo plano klientai gali paprašyti duomenų tvarkymo sutarties peržiūrai el. paštu dpo@yardtwin.com; abiejų šalių pasirašytas egzempliorius išduodamas, kai bus baigta bendrovės registracija.

4. Techninės priemonės (32 str. GDPR)

4.1 Šifravimas

Visi duomenys šifruojami perdavimo metu (TLS 1.2+). Slaptažodžiai maišomi naudojant bcrypt (12 raundų). PostgreSQL Flexible Server naudoja skaidrų duomenų šifravimą ramybės būsenoje. Azure Blob Storage šifruojamas ramybės būsenoje. Vairuotojo pažymėjimų vaizdai ir parašai ramybės būsenoje šifruojami AES-256 algoritmu naudojant Azure Storage ir Azure Database for PostgreSQL (Microsoft valdomi raktai), o prieiga prie jų ribojama pagal vaidmenį ir organizaciją. JWT prieigos raktai kriptografiškai pasirašyti (HS256). Slaptieji raktai valdomi per Azure Key Vault, pasiekiamą naudojant App Service valdomą tapatybę — jokie slaptieji raktai nėra kode, aplinkos failuose ar konteinerių vaizduose.

4.2 Prieigos kontrolė

Vaidmenimis pagrįsta prieigos kontrolė (RBAC) autentifikuotuose maršrutuose su nuomininko aprėpties vykdymu serverio pusėje. Nuomininko izoliacija automatiškai tikrinama prieš kiekvieną leidimą: leidimo vartų tarptomininė patikra iškviečia API kaip viena organizacija su kitos organizacijos įrašų ID, o leidimas blokuojamas, jei galima perskaityti arba pakeisti bet kokius tos organizacijos duomenis. Vieningo prisijungimo funkcija (SAML 2.0, Google, Microsoft); laiku pagrįsto vienkartinio slaptažodžio MFA – privaloma platformos administratoriams ir prieinama visiems naudotojams.

4.3 Audito sekos

Išsamus naudotojų veiksmų audito žurnalas: naudotojo tapatybė, laiko žyma, IP adresas, veiksmo tipas, paveiktas objektas, senos ir naujos reikšmės. Su GMP susiję veiksmai pažymimi atskirai (is_gmp_relevant=1). Neteisėti pakeitimai aptinkami, tik papildomi įrašai, duomenų bazėje užtikrinami maišos grandine; su GMP susiję įrašai saugomi mažiausiai 7 metus paslaugų sutarties galiojimo laikotarpiu, kiti audito įrašai – 365 dienas. Pseudonimizuojami, bet netrinami vykdant trynimą pagal Art. 17 (taikoma Art. 17(3)(b) teisinės prievolės išimtis). Sutarties pabaigoje klientui pateikiamas visas jo audito pėdsako eksportas prieš jį ištrinant, išskyrus atvejus, kai klientas raštu atsisako eksporto arba su juo nepavyksta susisiekti po pagrįstų bandymų; YARDtwin saugo jį ilgiau tik gavęs raštiškus kliento nurodymus, išskyrus atsarginių kopijų saugojimą iki jų galiojimo pabaigos ir paties perdavimo įrašą.

4.4 Infrastruktūros saugumas

Talpinama „Microsoft Azure" platformoje (Švedija – centrinis regionas + Norvegija – rytinis regionas, EEE). Konteinerizuota „App Service" paslauga diegiama per „Azure Container Registry" naudojant laikinojo lizdo keitimo metodą. Eismas į programą patenka per „Azure Front Door" su žiniatinklio programų užkarda (WAF) prevencijos režimu; duomenų bazė priima ryšius tik iš „Azure" paslaugų ir administratoriaus IP leidžiamųjų sąrašų. „Application Insights" su schemos pokyčių įspėjimu dėl „Postgres" klaidų „column / relation does not exist" (15 minučių langas). Galutinis /health/db-write tikrinimas patvirtina, kad programa gali įrašyti ir nuskaityti duomenis iš duomenų bazės kiekvieno diegimo metu.

4.5 Duomenų Minimizavimas

Renkame tik paslaugų teikimui būtinus duomenis. Neprivalomi vairuotojo laukai (telefonas, el. paštas) gali būti palikti tušti, jei kliento procesas tai leidžia. Vartų darbuotojai gali fotografuoti vairuotoją kaip vartų įrodymą. Jei objekte įjungtas AI veidų palyginimas, mūsų AI tiekėjas (Anthropic) palygina tą nuotrauką vienas su vienu su vairuotojo pažymėjimo nuotrauka arba vairuotojo saugoma nuotrauka, kad padėtų darbuotojams patvirtinti vairuotojo tapatybę. Rezultatas yra rekomendacija: vartų darbuotojai priima sprendimą ir gali įleisti vairuotoją, kurio palyginimas nepatvirtino, nurodydami priežastį. Kiekvienas palyginimas įrašomas mūsų serveriuose kartu su jo rezultatu. Jei veidų palyginimas išjungtas (numatytasis nustatymas), jokia veido nuotrauka nesiunčiama AI tiekėjui, o darbuotojai patys palygina vairuotoją su pažymėjimo nuotrauka; pažymėjimo vaizdai vis tiek nuskaitomi AI, jei AI skaitymas įjungtas. YARDtwin nesaugo veido šablonų ir nevykdo vienas su daugeliu identifikavimo. Naujienlaiškis renka tik el. paštą ir neprivalomą įmonės pavadinimą.

4.6 Programinės Įrangos Tiekimo Grandinė

Kiekviena užklausą dėl įtraukimo (angl. pull request) turi praėti npm audit (priklausomybių pažeidžiamumų patikra), Semgrep (statinė analizė) ir gitleaks (slaptųjų duomenų nuskaitymas) patikras, kad galėtų būti sujungta; papildomai atliekamas Trivy konteinerio vaizdo skenavimas (rekomendacinio pobūdžio patikra). Šios patikros taip pat vykdomos su kiekvienu kodu master šakoje bei kas naktį, kartu su rekomenduojamu OWASP ZAP bazinio lygio skenavimo (dinaminis testavimas) patikros ataskaita apie gamybinę svetainę. Dependabot įspėjimai praneša apie naujai aptiktus mūsų priklausomybių pažeidžiamumus.

5. Duomenų subjektų teisės (GDPR III skyrius)

Sudarome palankias sąlygas įgyvendinti visas duomenų subjektų teises:

Teisė susipažinti su duomenimis (15 str.): Vartotojai gali paprašyti visų mūsų saugomų asmens duomenų kopijos. Nuomininkų administratoriai gali eksportuoti savo organizacijos duomenis. Visi kiti duomenų subjektai (vairuotojai, naujienlaiškių prenumeratoriai, potencialūs klientai) gali pateikti užklausą per DSAR portalas.

Teisė į duomenų ištaisymą (16 str.): Vartotojai gali atnaujinti savo profilio duomenis per nustatymų puslapį. Nuomininkų administratoriai gali atnaujinti bet kurio savo organizacijos vartotojo duomenis.

Teisė į duomenų ištrynimą (17 str.): Paskyros ištrynimo prašymai įvykdomi per 30 dienų. Pateikite per DSAR portalas. Viduje vykdoma POST /api/v1/dsar/erase/by-email kuri, gavusi patvirtintą prašymą, anonimizuoja asmens nuosavų naudotojo paskyrų įrašus pasirinktose kliento paskyrose ir ištrina jų sesijas, prieigos raktus, pranešimus, laukiančius pakvietimus, naujienlaiškio ir registracijos įrašus bei nuosavą profilio nuotrauką. Operatyviniai įrašai, kuriuos saugo klientas (užsakymai, vartų ir apsilankymų įrašai, vairuotojų sąrašas, kontaktai), yra kliento, kaip duomenų valdytojo, įrašai ir pateikiami klientui, kad šis galėtų imtis veiksmų. Audito pėdsakas saugo anonimizuotą veikėjo nuorodą GMP vientisumo tikslais; su GMP susiję audito duomenys saugomi mažiausiai 7 metus paslaugų sutarties galiojimo laikotarpiu pagal Art. 17(3)(b) teisinės prievolės išimtį, o sutarties pabaigoje eksportuojami klientui (išskyrus atvejus, kai klientas raštu atsisako arba su juo nepavyksta susisiekti po pagrįstų bandymų) ir vėliau ištrinami.

Teisė apriboti duomenų tvarkymą (18 str.): Naudotojai gali prašyti apriboti duomenų tvarkymą. Duomenys bus pažymėti ir tvarkomi tik saugojimo tikslais.

Teisė į duomenų perkeliamumą (20 str.): Duomenis galima eksportuoti CSV ir JSON formatais. Susitikimų duomenys, vežėjų duomenys ir audito žurnalai – visi eksportuojami.

Teisė nesutikti (21 str.): Naudotojai gali nesutikti su duomenų tvarkymu teisėtų interesų pagrindu. Atsisakyti naujienlaiškio galima vieno paspaudimo nuoroda kiekviename el. laiške.

Teisė dėl automatizuoto sprendimų priėmimo (22 str.): YARDtwin nepriima vien automatizuotų sprendimų, darančių reikšmingą poveikį asmenims.

6. Sutikimo valdymas

Naujienlaiškis: Reikalingas aiškus sutikimas (opt-in). Fiksuojami sutikimo laikas ir IP adresas. Kiekviename pranešime pateikiama atsisakymo nuoroda. Sutikimą galima atšaukti bet kuriuo metu neribojant prieigos prie paslaugos.

Paslaugų sąlygos: Paskyros sukūrimas reiškia paslaugų teikimo sąlygų priėmimą (sutartinis pagrindas). Registracijos metu naudotojai informuojami apie duomenų tvarkymą.

Slapukai: Pirmojo apsilankymo metu rodomas slapukų sutikimo pranešimas, atitinkantis ePrivacy direktyvos reikalavimus. Vartotojai gali pasirinkti tik būtinus slapukus arba visus slapukus. Nuostatos saugomos vietoje ir gali būti keičiamos bet kada.

7. Duomenų saugumo pažeidimų procedūros (33–34 str.)

Automatinis aptikimas: Pažeidimų stebėjimo procesas kas 5 minutes tikrina audito žurnalą ir pirmąsias tris toliau nurodytas anomalijas įrašo kaip galimus incidentus; kiti trys yra atskiri „Azure“ stebėjimo įspėjimai:

≥10 nesėkmingų prisijungimų vienu el. pašto adresu per 1 valandą
≥5 skirtingi šaltinio IP adresai, nukreipti į vieną el. pašto adresą per 24 valandas
Sėkmingas prisijungimas iš šaltinio IP adreso, kuris nebuvo matytas tam vartotojui per pastarąsias 30 dienų
Daugiau nei 10 serverio klaidų (HTTP 5xx) per 5 minučių langą
Postgres "stulpelis / ryšys neegzistuoja" klaidos (schemos nukrypimas, App Insights)
Svetainės pasiekiamumo testas (vykdomas kas 10 minučių) nepavyksta arba atsako lėtai

Pažeidimų registras: Kiekviena aptikta anomalija užrašoma į breach_register lentelė su būsenos mašina (aptikta → tiriama → patvirtinta → pranešta → uždaryta), sunkumu, apimtimi, paveiktais duomenų subjektais, DPC termino atgaline atskaita ir audito istorija. Matoma SuperAdmin "Pažeidimų registras" skydelyje.

Įspėjimų maršrutizavimas: Aptikimo įvykiai nukreipiami į Azure Monitor Action Group yardtwin-breach-actions, kuris siunčia el. laišką įkūrėjo kontaktu admin@yardtwin.com. Schemos nukrypimo įvykiams naudojamas esamas yardtwin-schema-drift-actions grupė.

Vertinimas: Per 24 valandas nuo aptikimo techninė komanda pažeidimų registro skydelyje atlieka incidento triažą: apimtis, paveikti duomenų subjektai, sunkumas (Art. 33(1) „rizika teisėms ir laisvėms" kriterijus) ir pagrindinė priežastis.

Pranešimas DPC (33 str.): Per 72 valandas nuo momento, kai sužinoma apie pažeidimą, keliantį riziką. Pažeidimų registro skydelyje rodomas aktyvus 72 valandų atgalinis laikmatis, kai incidentas pažymimas patvirtinta.

Pranešimas duomenų subjektams (34 str.): Be nepagrįsto delsimo, jei pažeidimas kelia didelę riziką jų teisėms ir laisvėms.

Pranešimas klientams: Paveikti nuomininko administratoriai informuojami be nepagrįsto delsimo, o bet kuriuo atveju – per 48 valandas nuo to momento, kai sužinome apie asmens duomenų pažeidimą, turintį įtakos jų nuomininko duomenims; pradinis pranešimas pateikiamas per 24 valandas nuo bet kokio patvirtinto saugumo incidento, susijusio su tais duomenimis.

Dokumentacija: Kiekvienas pažeidimų registro įrašas saugomas ir automatiškai netrinamas, neatsižvelgiant į tai, ar buvo reikalingas išorinis pranešimas.

8. Subtvarkytojai

Subtvarkytojas	Paskirtis	Vieta	Apsaugos priemonės
Microsoft Azure	Prieglobstis, duomenų bazė ir failų saugykla	EEE — Sweden Central ir Norway East (geografiškai redundantiška įkeltų failų kopija Norway West)	Microsoft produktų ir paslaugų DPA; duomenys lieka EEE
Anthropic	Vairuotojo pažymėjimų ir dokumentų skaitymas naudojant DI (įjungta pagal numatytuosius nustatymus; vietos administratorius gali išjungti), vairuotojo vartų nuotraukos palyginimas su pažymėjimu arba saugoma vairuotojo nuotrauka (išjungta pagal numatytuosius nustatymus; vietos administratorius gali įjungti arba išjungti) ir programėlės vidinis asistentas	JAV	Standartinės sutartinės sąlygos ir duomenų perdavimo poveikio vertinimas (nesertifikuota pagal ES ir JAV duomenų privatumo sistemą); API duomenys nenaudojami modeliams mokyti ir ištrinami per 30 dienų pagal standartines „Anthropic“ komercines sąlygas
Resend	Transakcinis el. paštas	JAV	Standartinės sutartinės sąlygos (pakartotinis sertifikavimas pagal ES ir JAV duomenų privatumo sistemą peržiūrimas)
Stripe	Atsiskaitymo kontakto ir mokėjimo duomenys (YARDtwin nesaugo kortelių numerių)	ES / JAV	Standartinės sutartinės sąlygos; PCI DSS 1 lygis
Twilio	SMS ir WhatsApp pranešimai (tik jei klientas juos įjungia)	JAV	Standartinės sutartinės sąlygos
Google ir Microsoft	Prisijungimo tapatybės duomenys (tik jei klientas naudoja šias prisijungimo parinktis)	ES / JAV	Standartinės sutartinės sąlygos / ES ir JAV duomenų privatumo sistema
ElevenLabs	Neprivaloma teksto kalbos sintezė: įgarsina programėlės asistento atsakymus, kuriuose gali būti operacinių duomenų, pavyzdžiui, transporto priemonių registracijos numerių, ir balsą viešuose puslapiuose	JAV	ES ir JAV duomenų privatumo sistema + standartinės sutartinės sąlygos

Klientai suteikia bendrą rašytinį leidimą aukščiau išvardytiems subtvarkytojams. Apie kiekvieną naują subtvarkytoją informuojame ne vėliau kaip prieš 30 dienų; klientas gali prieštarauti dėl pagrįstų priežasčių, o jei prieštaravimo išspręsti nepavyksta – nutraukti atitinkamą paslaugą be baudų.

Tik svetainės paslaugos (jokių kliento operacinių duomenų)

Šios paslaugos veikia tik viešoje svetainėje. Jos negauna jokių kliento operacinių duomenų ir nėra jų papildomieji tvarkytojai; tos, kurios nustato slapukus, įkeliamos tik gavus sutikimą.

Teikėjas	Paskirtis	Vieta	Perdavimo apsaugos priemonė
LinkedIn Insight Tag	Rinkodaros matavimas viešuose puslapiuose — įkeliamas tik po rinkodaros slapukų sutikimo, niekada programėlės viduje ar prisijungusiems vartotojams	ES / JAV	Sutikimas; LinkedIn DPA su standartinėmis sutartinėmis sąlygomis

9. Duomenų apsaugos poveikio vertinimas (DPIA)

Klientai, būdami duomenų valdytojais, patys sprendžia, ar jų duomenų tvarkymui YARDtwin reikia DPIA. Klientams teikiamas DPIA pradinių duomenų paketas jų pačių DPIA atlikti. YARDtwin daugiausia tvarko verslo operacinius duomenis (doko tvarkaraščius, vežėjų pavadinimus, transporto priemonių registracijos numerius), o ne jautrius asmens duomenis.

10. Pritaikytoji ir standartizuotoji duomenų apsauga (25 str.)

Pritaikytoji duomenų apsauga: Daugianuomininkė architektūra su privalomu nuomininkų izoliavimo principu. RBAC integruotas kiekviename API galiniame taške. Slaptažodžiai niekada nesaugomi atviruoju tekstu. Minimalus duomenų rinkimas kiekviename etape.

Standartizuotoji duomenų apsauga: Naujoms paskyoms suteikiami minimalūs leidimai. Neprivalomi laukai yra tikrai neprivalomi. Naujienlaiškiui reikalingas aktyvus sutikimas. Duomenų matomumas ribojamas pagal vaidmenį.

11. Atitikties būklė ir nuolatinis tobulinimas

Išspręsta (nuo 2026 m. gegužės)

✓ Migracija į PostgreSQL Flexible Server (valdomasis Azure, skaidrus duomenų šifravimas ramybės būsenoje, 7 dienų atkūrimas pagal laiką)
✓ Migracija į Microsoft Azure (Švedija, centras + Norvegija, rytai, EEA) su App Service + ACR + Key Vault
✓ Slaptumų valdymas per Azure Key Vault (jokie slaptai .env ar konteinerių atvaizduose; prieiga per valdomą tapatybę)
✓ Automatinis DSAR duomenų eksportas (POST /api/v1/dsar/export/by-email — 15 / 20 str.)
✓ Automatinis DSAR duomenų ištrynimas (POST /api/v1/dsar/erase/by-email — 17 str., laikantis audito saugojimo reikalavimų)
✓ Slapukų reklamjuostė v2 su keturiomis kategorijomis (būtinieji / funkciniai / analitiniai / rinkodaros) ir Atmesti / Tinkinti / Priimti visus
✓ Kelių nuomininkų izoliacijos auditas automatinis tarpnuomininkinis patikrinimas išleidimo vartų etape prieš kiekvieną leidimą: API iškviečiamas kaip viena organizacija, naudojant kitos organizacijos įrašų ID – jei bet kokie tos organizacijos duomenys gali būti perskaityti arba pakeisti, leidimas blokuojamas
✓ CI/CD saugumo vamzdynas: npm audit + Trivy + Semgrep + gitleaks + ZAP DAST
✓ Schemos pokyčių įspėjimai naudojant Application Insights (15 minučių langas)
✓ Visapusė /health/db-write patikra tikrinamas įrašomas DB kiekvieno diegimo metu
✓ App Insights schemos pokyčių veiksmų grupė siunčia el. laišką įkūrėjo kontaktu admin@yardtwin.com, kai Postgres grąžina klaidas "column / relation does not exist"
✓ Vairuotojo pažymėjimų vaizdai ir parašai (signature_data) apsaugoti AES-256 šifravimu ramybės būsenoje Azure Storage ir Azure Database for PostgreSQL paslaugose (Microsoft valdomi raktai), prieiga ribojama pagal vaidmenį ir organizaciją
✓ Automatinis duomenų saugojimo valymas (konfigūruojama kiekvienai vietai; pii-cleanup procesas)
✓ 30 dienų bandomasis laikotarpis suderintas visur (registracija, rinkodaros svetainė, sąlygos, el. laiškai)
✓ 5 000 sunkvežimių visapusiškas regresijos testas apimant kiekvieną Site Admin galinį tašką su kiemo vaizdo tikslumo patikrinimais kiekvieno perėjimo metu (53 650/53 651 = 100%)
✓ Duomenų inventorius ir tvarkymo veiklos įrašai (str. 30) paskelbta
✓ Subtvarkytojų registras tvarkomas ir peržiūrimas kasmet
✓ Pritaikytoji ir standartizuotoji duomenų apsauga dokumentuota (str. 25)
✓ Web Application Firewall (Azure Front Door WAF, Prevention mode) apsaugo yardtwin.com taikydama pasirinktines užklausų dažnio ribojimo taisykles autentifikavimo ir paskyros atkūrimo galiniuose taškuose, taip pat platformos lygmens L7 DDoS atakų švelninimą. Valdomas OWASP taisyklių rinkinys neprijungtas; jam reikalinga Front Door Premium pakopa
✓ Automatinis pažeidimų aptikimas — pažeidimų stebėjimo darbinis procesas (nesėkmingų prisijungimų šuoliai, prisijungimo bandymai prie vienos paskyros iš daugelio IP adresų, sėkmingi prisijungimai iš IP adreso, kuris tam vartotojui nebuvo matytas 30 dienų), 5xx šuolio įspėjimas, schemos pokyčių įspėjimas ir svetainės pasiekiamumo testas
✓ Pažeidimų registras nuolatinė lentelė su pilna būsenų mašina ir DPC termino atgaline skaita, matoma SuperAdmin skydelyje
✓ Veiksmų grupė yardtwin-breach-actions siunčia el. laišką įkūrėjo kontaktu admin@yardtwin.com kiekvieno aptikimo metu

Likę patobulinimai

11.1 Pirmasis išorinis CREST įsiskverbimo testas

Trečiosios šalies įsiskverbimo testas dar nebuvo atliktas; nepriklausomas testas planuojamas prieš pirmąjį diegimą įmonėje. 2026 m. spalį buvo baigtas vidinis baltosios dėžės kodo auditas ir visi kritiniai trūkumai buvo pašalinti. Prioritetas: Aukštas. Tikslas: prieš pirmąjį diegimą įmonėje.

11.2 Duomenų apsaugos pareigūnas

YARDtwin Ltd nėra paskyręs įstatymų numatyto duomenų apsaugos pareigūno: nė viena iš 37 straipsnio 1 dalies sąlygų (valdžios institucija; pagrindinė veikla, reikalaujanti didelio masto reguliaraus ir sistemingo stebėjimo; pagrindinė veikla, susidedanti iš didelio masto ypatingų kategorijų duomenų tvarkymo) netaikoma jos vykdomam tvarkymui. Atsakomybė už duomenų apsaugą tenka konkrečiam YARDtwin Ltd darbuotojui, kuriam galima rašyti į vaidmens pašto dėžutę dpo@yardtwin.com, paskelbtą šioje politikoje, privatumo politikoje, DPA ir Patikimumo centre. Skelbiame kontaktinį adresą, o ne asmens vardą ir pavardę. Jei kliento sutartis ar tvarkymo pasikeitimas to pareikalaus, bus atlikta formali paskyrimo procedūra ir pranešta Duomenų apsaugos komisijai. Statusas: nuspręsta 2026 m. rugsėjo 26 d. Peržiūrima kiekvienos ISMS vadybos apžvalgos metu.

11.3 ISO 27001 sertifikavimas

Sertifikavimo programa vykdoma; sertifikavimo auditas planuojamas 2027 m. I ketvirtį; sertifikato tikimasi 2027 m. I ketvirtį. Prioritetas: Vidutinis. Tikslas: 2027 m. I ketvirtis.

11.4 SOC 2 Type II

Neturima. Prieinama pagal užklausą po ISO 27001 sertifikavimo. Prioritetas: Žemas. Tikslas: pagal kliento užklausą, po ISO 27001.

11.5 Geografinis pertekliškumas ir duomenų bazės aukštas prieinamumas

Įkelti failai yra geografiškai redundantiški (Norvegija Rytai → Norvegija Vakarai) nuo 2026 m. spalio; duomenų bazės aukštas pasiekiamumas planuojamas prieš pirmąjį įmonės paleistį. Iki tol duomenų bazės sutrikimas atstatomas naudojant atkūrimą pagal laiką (7 dienų langas). Prioritetas: Vidutinis. Tikslas: prieš pirmąjį įmonės paleistį.

11.6 Perdavimo poveikio vertinimai

Standartinės sutartinės sąlygos taikomos kiekvienam duomenų perdavimui už EEE ribų; perdavimo poveikio vertinimai baigiami rengti (tikslas – 2026 m. lapkritis). Prioritetas: Vidutinis. Tikslas: 2026 m. lapkritis.

11.7 Klaidų Paieškos Programa

Privati klaidų paieškos programa (HackerOne / Intigriti) planuojama po antro sėkmingo išorinio įsiskverbimo testo – ji užtikrins nuolatinę išorinę apsaugą tarp metinių testų. Prioritetas: Žemas. Tikslas: 2027 m.

12. Kontaktai ir duomenų apsauga

Duomenų apsaugos kontaktas: dpo@yardtwin.com — vaidmens pašto dėžutė, kurią stebi už duomenų apsaugą atsakingas YARDtwin Ltd asmuo (žr. 11.2). Skelbiame kontaktinį adresą, o ne asmens vardą ir pavardę.

Bendrieji klausimai: admin@yardtwin.com

Duomenų subjektų prašymai: Pateikti per mūsų DSAR portalą

Duomenų tvarkymo sutartis: Peržiūrėti ir priimti adresu /dpa

Priežiūros institucija: Duomenų apsaugos komisija (DPC), Airija · www.dataprotection.ie · +353 (0)761 104 800