Saugumas YARDtwin platformoje

YARDtwin runs on Microsoft Azure with Norway East compute and Sweden Central for data, registry, and secrets. All customer data stays within the EU/EEA, compliant with GDPR Articles 44–49.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privatūs konteineriai
• Azure Key Vault — Sweden Central, valdoma RBAC
• Azure Front Door + WAF — prevencijos režimas
• Log Analytics + Microsoft Sentinel — 90 dienų saugojimas

All customer data is stored and processed within the EU/EEA — hosted in Microsoft Azure’s Ireland and West/North Europe regions. Creation of resources outside the approved EU regions is blocked at the platform level by an Azure Policy “Deny” rule, so customer data cannot be provisioned outside the EU/EEA. Where a limited-scope sub-processor operates outside the EU (for example AI OCR or email delivery), transfers are governed by EU Standard Contractual Clauses and only the minimum data necessary is sent.

YARDtwin uses a small, vetted set of sub-processors to deliver the service. Each is bound by a Data Processing Agreement. We maintain this register and notify customers of material changes in line with GDPR Article 28.

YARDtwin uses AI to read driver licences and shipping documents (OCR), to power the in-app assistant, and to generate voice guidance. AI processing is assistive: its output is presented to a person — for example a gate operator confirms every check-in — and YARDtwin does not make automated decisions producing legal or similarly significant effects on individuals (GDPR Article 22).

• Customer data is not used to train third-party AI models — our AI sub-processors process data only to return a result for your request.
• Data minimisation: AI document OCR can be switched off per site, so sites that prefer manual entry never send documents to an AI provider.
• Human oversight: extracted fields are reviewable and editable before they are committed to the record.

Griežta CSP su vienkartiniais nonce kiekvienos užklausos scenarijams (ne unsafe-inline). Visas saugumo antraščių rinkinys, grąžinamas kiekviename atsakyme: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Nepriklausomas įsiskverbimo testavimas 2026 m. balandžio 17–18 d. (10 OWASP kategorijų, 36 naudingosios apkrovos): 0 pažeidžiamumų.Funkcinis saugumo testavimas 2026 m. balandžio 11 d., apimantis daugiau nei 1 890 API iškvietimų per 270 susitikimų: 0 klaidų.Metinis trečiosios šalies įsiskverbimo testavimas suplanuotas, SOC 2 Type II auditas vykdomas.

• EU GMP Annex 11 — Duomenų vientisumas (ALCOA+), tik papildomas audito žurnalas, elektroniniai įrašai, prieigos kontrolė, patvirtinta
• 21 CFR Part 11 — Elektroniniai įrašai, audito sekimas, priskyrimas, antspaudų grandinės valdymas
• GDPR — Duomenų perkeliamumas (JSON + CSV), DSAR darbo eiga, sutikimo stebėjimas, buveinė tik ES/EEE
• SOC 2 Type II — Auditas vykdomas

• Duomenų tvarkymo sutarties (DPA) šablonas — įmonės peržiūrai ir pasirašymui
• GDPR politika
• Privatumo politika
• security.txt

Laukiame saugumo tyrinėtojų pranešimų. Rašykite el. paštu admin@yardtwin.comsu radinio aprašymu ir atkūrimo žingsniais. Patvirtinimą apie gavimą išsiunčiame per 2 darbo dienas ir siekiame kritines problemas ištaisyti per 7 dienas. Prašome viešai neatskleidžiati pažeidžiamumų, kol neturėjome galimybės jų pašalinti.