Saugumas YARDtwin platformoje

YARDtwin veikia Microsoft Azure platformoje – skaičiavimams naudojamas Norway East, o duomenims, registrui ir slaptoms reikšmėms – Sweden Central. Visi kliento duomenys saugomi ES/EEE ribose, laikantis GDPR 44–49 straipsnių reikalavimų.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privatūs konteineriai
• Azure Key Vault — Sweden Central, valdoma RBAC
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — 90 dienų saugojimas

Visi klientų duomenys saugomi ir tvarkomi ES/EEE ribose — talpinami „Microsoft Azure" Norvegijos Rytų (programa, saugykla) ir Švedijos Centriniame (duomenų bazė, slaptieji raktai) regionuose. Norvegija yra EEE valstybė, kurioje taikomas GDPR, todėl tai yra vidinis EEE susitarimas, nereikalaujantis jokio V skyriaus perdavimo mechanizmo. Išteklių kūrimas už patvirtintų regionų ribų yra blokuojamas platformos lygmeniu naudojant „Azure Policy" „Deny" priskyrimą, todėl klientų duomenys negali būti tvarkomi už ES/EEE ribų. Tais atvejais, kai riboto masto duomenų tvarkytojas veikia už EEE ribų (pavyzdžiui, AI OCR arba el. pašto pristatymas), perdavimai reglamentuojami ES standartinėmis sutarčių sąlygomis ir siunčiami tik būtiniausi duomenys.

YARDtwin naudoja nedidelį, patikrintą subduomenų tvarkytojų sąrašą paslaugai teikti. Kiekvienas iš jų yra saistomas Duomenų tvarkymo sutartimi. Mes tvarkome šį registrą ir informuojame klientus apie esminius pokyčius pagal GDPR 28 straipsnį.

YARDtwin naudoja AI vairuotojo pažymėjimams ir gabenimo dokumentams skaityti (OCR), programos vidaus asistentui ir balso gidui generuoti. AI apdorojimas yra pagalbinis: jo rezultatai pateikiami žmogui — pavyzdžiui, vartų operatorius patvirtina kiekvieną atvykimą — ir YARDtwin nepriima automatizuotų sprendimų, turinčių teisinių ar panašiai reikšmingų pasekmių asmenims (GDPR 22 straipsnis).

• Kliento duomenys nenaudojami trečiųjų šalių AI modelių mokymui — mūsų AI subduomenų tvarkytojai tvarko duomenis tik tam, kad grąžintų rezultatą pagal jūsų užklausą.
• Duomenų minimizavimas: AI dokumentų OCR gali būti išjungtas kiekvienoje vietoje atskirai, todėl vietos, teikiančios pirmenybę rankiniams įrašams, niekada nesiunčia dokumentų AI teikėjui.
• Žmogaus priežiūra: ištraukti laukai yra peržiūrimi ir redaguojami prieš įrašant juos į įrašą.

Griežta CSP su vienkartiniais nonce kiekvienos užklausos scenarijams (ne unsafe-inline). Visas saugumo antraščių rinkinys, grąžinamas kiekviename atsakyme: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Nepriklausomas įsiskverbimo testavimas 2026 m. balandžio 17–18 d. (10 OWASP kategorijų, 36 naudingosios apkrovos): 0 pažeidžiamumų.Funkcinis saugumo testavimas 2026 m. balandžio 11 d., apimantis daugiau nei 1 890 API iškvietimų per 270 susitikimų: 0 klaidų.Metinis trečiosios šalies įsiskverbimo testavimas suplanuotas, SOC 2 Type II auditas vykdomas.

• EU GMP Annex 11 — Duomenų vientisumas (ALCOA+), tik papildomas audito žurnalas, elektroniniai įrašai, prieigos kontrolė, patvirtinta
• 21 CFR Part 11 — Elektroniniai įrašai, audito sekimas, priskyrimas, antspaudų grandinės valdymas
• GDPR — Duomenų perkeliamumas (JSON + CSV), DSAR darbo eiga, sutikimo stebėjimas, buveinė tik ES/EEE
• SOC 2 Type II — Auditas vykdomas

• Tiekėjo užtikrinimo paketas (PDF) — QMS dokumentų indeksas, GAMP 5 kategorization, Annex 11 ir 21 CFR Part 11 sąlygų susiejimai, ALCOA+ pareiškimas, saugumo architektūra, užpildytas CAIQ-Lite ir išsamus sąrašas to, ko mes dar neturime. Forma nereikalinga.
• Kiemo operacijų GMP audito pasirengimo kontrolinis sąrašas — 101 patikrinimas 12 sričių, skirtas įvertinti savo kiemą pagal Annex 11, 21 CFR Part 11 ir ES GDP gaires.
• Duomenų tvarkymo sutarties (DPA) šablonas — įmonės peržiūrai ir pasirašymui
• GDPR politika
• Privatumo politika
• security.txt
• Paslaugos būsenos puslapis — tiesioginė pačios platformos pateikiama būsenos informacija, prieinamumo įsipareigojimai ir incidentų istorija.

Laukiame saugumo tyrinėtojų pranešimų. Rašykite el. paštu admin@yardtwin.comsu radinio aprašymu ir atkūrimo žingsniais. Patvirtinimą apie gavimą išsiunčiame per 2 darbo dienas ir siekiame kritines problemas ištaisyti per 7 dienas. Prašome viešai neatskleidžiati pažeidžiamumų, kol neturėjome galimybės jų pašalinti.