Saugumas YARDtwin platformoje

„YARDtwin“ veikia „Microsoft Azure“ platformoje: skaičiavimo pajėgumai – Norway East regione, duomenys, registras ir slaptieji raktai – Sweden Central regione. Klientų duomenys saugomi ES/EEE teritorijoje; riboti duomenų perdavimai subtvarkytojams už EEE ribų išvardyti žemiau ir yra reglamentuojami Standartinėmis sutarčių sąlygomis.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privatūs konteineriai
• Azure Key Vault — Sweden Central, valdoma RBAC
• Azure Front Door + WAF — prevencijos režimas (Prevention mode), pasirinktinės užklausų dažnio ribojimo taisyklės
• „Azure Monitor" įspėjimai dėl klaidų, vėlavimų ir prieinamumo, taip pat „Azure Service Health" įspėjimai

Klientų duomenys saugomi „Microsoft Azure“ regionuose ES/EEE – Norvegijos rytuose (programa, saugykla) ir Švedijos centre (duomenų bazė, slaptieji raktai). Norvegija yra EEE valstybė, kurioje taikomas GDPR, todėl tai yra EEE vidaus sprendimas, kuriam nereikalingas V skyriaus perdavimo mechanizmas. Išteklių kūrimas ne patvirtintuose regionuose yra blokuojamas platformos lygiu naudojant „Azure Policy“ „Deny“ priskyrimą, todėl klientų duomenų saugojimo ištekliai negali būti sukurti už ES/EEE ribų. Kai kurios funkcijos perduoda duomenis toliau nurodytiems subtvarkytojams (taip pat nurodytiems adresu /subprocessors), įskaitant esančius už EEE ribų – pavyzdžiui, „Anthropic“ JAV dirbtinio intelekto funkcijoms ir el. pašto pristatymui – pagal ES standartines sutarčių sąlygas (ir ES ir JAV Duomenų privatumo sistemą, kai gavėjas yra sertifikuotas); perduodamas tik būtinas minimalus duomenų kiekis.

YARDtwin paslaugai teikti pasitelkia nedidelį, patikrintą subtvarkytojų ratą. Kiekvienas iš jų yra saistomas Duomenų tvarkymo sutartimi. Mes tvarkome šį registrą ir informuojame klientus apie esminius pokyčius pagal GDPR 28 straipsnį.

Tik svetainės paslaugos (jokių kliento operacinių duomenų)

Šios paslaugos veikia tik viešoje svetainėje. Jos negauna jokių kliento operacinių duomenų ir nėra jų papildomieji tvarkytojai; tos, kurios nustato slapukus, įkeliamos tik gavus sutikimą.

YARDtwin naudoja dirbtinį intelektą vairuotojų pažymėjimų ir gabenimo dokumentų skaitymui (OCR), vairuotojo vartų nuotraukos palyginimui su pažymėjimu ar saugoma vairuotojo nuotrauka ten, kur tai įjungta, vidiniam asistentui bei balso navigacijai generuoti. DI apdorojimas yra pagalbinis: jo rezultatas pateikiamas žmogui — pavyzdžiui, aptarnaujamų vartų operatorius patvirtina kiekvieną įvažiavimą. Ten, kur įjungtas automatinis įvažiavimas pagal valstybinių numerių kameras arba neaptarnaujami vartai, sunkvežimis, kurio rezervacija atitinka aiškiai, įregistruojamas be vartų operatoriaus, o visi kiti atvejai perduodami vartų darbuotojams. YARDtwin nepriima automatizuotų sprendimų, turinčių teisinių ar panašiai reikšmingų padarinių asmenims (GDPR 22 straipsnis).

• Kliento duomenys nenaudojami trečiųjų šalių AI modeliams mokyti — mūsų AI subtvarkytojai tvarko duomenis tik tam, kad grąžintų rezultatą pagal jūsų užklausą.
• Duomenų minimizavimas: AI dokumentų OCR gali būti išjungtas kiekvienoje vietoje atskirai, todėl vietos, teikiančios pirmenybę rankiniams įrašams, niekada nesiunčia dokumentų AI teikėjui.
• Žmogaus priežiūra: ištraukti laukai yra peržiūrimi ir redaguojami prieš įrašant juos į įrašą.

Griežta CSP su vienkartiniais nonce kiekvienos užklausos scenarijams (ne unsafe-inline). Visas saugumo antraščių rinkinys, grąžinamas kiekviename atsakyme: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Trečiųjų šalių įsiskverbimo testas dar nebuvo atliktas; nepriklausomas testas planuojamas prieš pirmąjį įmonės paleidimą. 2026 m. spalį buvo baigtas vidinis „white-box" kodo auditas ir visi kritiniai trūkumai pašalinti.

Funkcinis saugumo testavimas 2026 m. balandžio 11 d., apimantis daugiau nei 1 890 API iškvietimų per 270 susitikimų: 0 klaidų.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Atsarginės kopijos: 7 dienų atkūrimas konkrečiu laiko momentu, taip pat mėnesinės šifruotos atsarginės kopijos, saugomos iki 7 metų pagal laiko pagrindu veikiančią nekintamumo politiką, kuri blokuoja ištrynimą ir perrašymą (politika dar neužrakinta).
• Kasdienė atsarginė kopija: pilna duomenų bazės kopija, daroma kiekvieną naktį ir saugoma 35 dienas atskiroje šifruotoje saugykloje EEE (Švedija – Centras, geografiškai replikuota į Švediją – Pietūs).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Duomenų vientisumas (ALCOA+), tik papildomas audito žurnalas, elektroniniai įrašai, prieigos kontrolė, patvirtinta
• 21 CFR Part 11 — Elektroniniai įrašai, audito sekimas, priskyrimas, antspaudų grandinės valdymas
• GDPR — Duomenų perkeliamumas (JSON + CSV), DSAR darbo eiga, sutikimo stebėjimas, buveinė tik ES/EEE
• ISO 27001 — Sertifikavimo programa vykdoma; sertifikavimo auditas planuojamas 2027 m. I ketvirtį; sertifikato gavimas numatomas 2027 m. I ketvirtį
• SOC 2 — Neturima. Prieinama pagal užklausą po ISO 27001 sertifikavimo.

• Vendor Assurance Pack v1.2 — QMS dokumentų indeksas, GAMP 5 kategorizavimas, ES GMP Annex 11 ir 21 CFR Part 11 sąlygų atitikmenys, ALCOA+ pareiškimas, saugumo architektūra, užpildytas CAIQ-Lite, visi v1.1 pataisymai ir išsamus atvirų klausimų sąrašas. PDF, forma nereikalinga.
• Kiemo operacijų GMP audito pasirengimo kontrolinis sąrašas — 101 patikrinimas 12 sričių, skirtas įvertinti savo kiemą pagal Annex 11, 21 CFR Part 11 ir ES GDP gaires.
• Duomenų tvarkymo sutartis — peržiūros kopiją galima gauti pagal užklausą iš dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• GDPR politika
• Privatumo politika
• security.txt
• Paslaugos būsenos puslapis — tiesioginė pačios platformos pateikiama būsenos informacija, prieinamumo įsipareigojimai ir incidentų istorija.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Laukiame saugumo tyrinėtojų pranešimų. Rašykite el. paštu admin@yardtwin.comsu radinio aprašymu ir atkūrimo žingsniais. Patvirtinimą apie gavimą išsiunčiame per 2 darbo dienas ir siekiame kritines problemas ištaisyti per 7 dienas. Prašome viešai neatskleidžiati pažeidžiamumų, kol neturėjome galimybės jų pašalinti.

Klausimai apie asmens duomenis, DPA, subtvarkytojus ar duomenų subjektų teises siunčiami adresu dpo@yardtwin.com. Tai yra vaidmens pašto dėžutė, kurią stebi už duomenų apsaugą atsakingas YARDtwin Ltd asmuo. YARDtwin nėra paskyręs teisės aktų numatyto duomenų apsaugos pareigūno pagal GDPR 37 straipsnį, kuris jų vykdomam tvarkymui nėra privalomas; vietoj asmens vardo skelbiame kontaktinį adresą. Duomenų subjektų prašymai taip pat gali būti teikiami per DSAR portalą. /data-request