Drošība pakalpojumā YARDtwin

YARDtwin darbojas Microsoft Azure platformā, izmantojot Norway East skaitļošanas resursus un Sweden Central datu, reģistra un noslēpumu glabāšanai. Klientu dati tiek glabāti ES/EEZ; ierobežotie datu nosūtījumi apakšapstrādātājiem ārpus EEZ ir uzskaitīti zemāk un nodrošināti ar Standarta līguma klauzulām.

• App Service (Linux Container) — Norvēģijas Austrumi
• Azure PostgreSQL Flexible Server — Zviedrijas Centrālais reģions
• Azure Blob Storage — Norvēģijas Austrumi, privāti konteineri
• Azure Key Vault — Zviedrijas Centrālais reģions, RBAC kontrolēts
• Azure Front Door + WAF — novēršanas režīms (Prevention mode), pielāgoti pieprasījumu skaita ierobežošanas noteikumi
• Azure Monitor brīdinājumi par kļūdām, latentumu un pieejamību, kā arī Azure Service Health brīdinājumi

Klientu dati tiek glabāti Microsoft Azure reģionos ES/EEZ — Norvēģijas Austrumos (lietojumprogramma, krātuve) un Zviedrijas Centrālajā reģionā (datubāze, noslēpumi). Norvēģija ir EEZ valsts, kurā piemēro GDPR, tāpēc šis ir EEZ iekšējs izvietojums, kam nav nepieciešams V nodaļas pārraides mehānisms. Resursu izveide ārpus apstiprinātajiem reģioniem ir bloķēta platformas līmenī ar Azure Policy "Deny" piešķīrumu, tādēļ klientu datus nevar nodrošināt ārpus ES/EEZ. Dažas funkcijas nosūta datus apakšapstrādātājiem, kas uzskaitīti zemāk (un /subprocessors), tostarp dažiem ārpus EEZ — piemēram, Anthropic ASV AI funkcijām un e-pasta piegādei — saskaņā ar ES standarta līguma klauzulām (un ES un ASV datu privātuma regulējumu, ja saņēmējs ir sertificēts); tiek nosūtīts tikai minimāli nepieciešamais datu apjoms.

YARDtwin izmanto nelielu, pārbaudītu apakšapstrādātāju kopu pakalpojuma sniegšanai. Katrs ir saistīts ar Datu apstrādes līgumu. Mēs uzturam šo reģistru un informējam klientus par būtiskām izmaiņām saskaņā ar GDPR 28. pantu.

Tikai vietnes pakalpojumi (bez klientu operatīvajiem datiem)

Šie pakalpojumi darbojas tikai publiskajā vietnē. Tie nesaņem klientu operatīvos datus un nav to apakšapstrādātāji; tie, kas ievieto sīkdatnes, ielādējas tikai ar piekrišanu.

YARDtwin izmanto AI, lai nolasītu vadītāju apliecības un pārvadājuma dokumentus (OCR), lai salīdzinātu vadītāja vārtiņu fotoattēlu viens pret vienu ar apliecību vai saglabāto vadītāja fotoattēlu, ja objekts to iespējo, lai darbinātu lietotnes asistentu un ģenerētu balss norādījumus. AI apstrāde ir palīgfunkcija: tās rezultāts tiek parādīts cilvēkam — piemēram, apkalpotā vārtiņā vārtiņu operators apstiprina katru reģistrāciju. Ja objekts iespējo automātisko reģistrāciju no numura zīmju kamerām vai bezpersonu vārtiņa, kravas automašīna, kuras rezervācija skaidri atbilst, tiek reģistrēta bez vārtiņu operatora, un viss pārējais tiek nodots vārtiņu darbiniekiem. YARDtwin nepieņem automatizētus lēmumus, kas rada juridiskas vai līdzvērtīgi nozīmīgas sekas personām (GDPR 22. pants).

• Klientu dati netiek izmantoti trešo pušu AI modeļu apmācībai — mūsu AI apakšapstrādātāji apstrādā datus tikai, lai atgrieztu rezultātu jūsu pieprasījumam.
• Datu minimizēšana: AI dokumentu OCR var izslēgt katrai vietnei atsevišķi, tādēļ vietnes, kas dod priekšroku manuālai ievadei, nekad nesūta dokumentus AI nodrošinātājam.
• Cilvēka uzraudzība: iegūtie lauki ir pārskatāmi un rediģējami pirms to saglabāšanas ierakstā.

Stingra Content Security Policy ar pieprasījumam specifiskiem nonces skriptiem (nav unsafe-inline). Pilns drošības galvenu komplekts katrai atbildei: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Trešās puses iespiešanās tests vēl nav veikts; neatkarīgs tests ir plānots pirms pirmā uzņēmuma darbības uzsākšanas. Iekšējais baltās kastes koda audits tika pabeigts 2026. gada oktobrī un visas Kritiskās atrades tika novērstas.

Funkcionālā drošības testēšana 2026. gada 11. aprīlī, aptverot 1 890+ API izsaukumus 270 tikšanās reizēs: 0 kļūmju.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Dublējumkopijas: 7 dienu atjaunošana uz noteiktu laika punktu, kā arī ikmēneša šifrētas dublējumkopijas, kas tiek glabātas līdz 7 gadiem saskaņā ar uz laiku balstītu nemainīguma politiku, kas bloķē dzēšanu un pārrakstīšanu (politika vēl nav bloķēta).
• Ikdienas dublējums: pilna datubāzes kopija tiek veidota katru nakti un glabāta 35 dienas atsevišķā šifrētā krātuvē EEZ (Zviedrijas Centrālajā reģionā, ģeogrāfiski replicēta uz Zviedrijas Dienvidiem).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Datu integritāte (ALCOA+), tikai pielikšanas audita pieraksts, elektroniskie ieraksti, piekļuves kontrole, validēts
• 21 CFR Part 11 — Elektroniskie ieraksti, audita pieraksts, attiecināmība, zīmoga glabāšanas ķēde
• GDPR — Datu pārnesamība (JSON + CSV), DSAR darbplūsma, piekrišanas uzskaite, tikai ES/EEZ glabāšana
• ISO 27001 — Sertifikācijas programma tiek īstenota; sertifikācijas audits plānots 2027. gada 1. ceturksnī; sertifikāta iegūšana paredzēta 2027. gada 1. ceturksnī
• SOC 2 — Nav iegūts. Pieejams pēc pieprasījuma pēc ISO 27001 sertifikācijas.

• Vendor Assurance Pack v1.2 — QMS dokumentu indekss, GAMP 5 kategorizācija, ES GMP Annex 11 un 21 CFR Part 11 klauzulu kartējumi, ALCOA+ paziņojums, drošības arhitektūra, aizpildīts CAIQ-Lite, visi labojumi līdz v1.1 un pilns atvērto jautājumu saraksts. PDF, nevajadzīga forma.
• Pagalma operāciju GMP audita gatavības kontrolsaraksts — 101 pārbaude 12 jomās jūsu pagalma novērtēšanai atbilstoši Annex 11, 21 CFR Part 11 un ES GDP vadlīnijām.
• Datu Apstrādes Līgums — pārskatīšanas kopija pēc pieprasījuma no dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• GDPR politika
• Privātuma politika
• security.txt
• Pakalpojuma statusa lapa — reāllaika pašziņotais platformas statuss, pieejamības saistības un incidentu vēsture.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Mēs laipni gaidām drošības pētnieku ziņojumus. Rakstiet uz admin@yardtwin.comar atrades aprakstu un reproducēšanas soļiem. Mēs apstiprinām saņemšanu 2 darba dienu laikā un cenšamies labot kritiskas problēmas 7 dienu laikā. Lūdzu, neizpaudiet ievainojamības publiski, pirms esam varējuši tās novērst.

Jautājumus par personas datiem, DPA, apakšapstrādātājiem vai datu subjektu tiesībām sūtiet uz dpo@yardtwin.com. Šī ir lomas pastkaste, kuru uzrauga par datu aizsardzību atbildīgā persona YARDtwin Ltd. YARDtwin nav iecēlis likumā noteiktu datu aizsardzības speciālistu saskaņā ar GDPR 37. pantu, kas nav obligāti tā apstrādes darbībām; mēs publicējam kontaktadresi fiziskas personas vārda vietā. Datu subjektu pieprasījumus var iesniegt arī DSAR portālā. /data-request