Drošība pakalpojumā YARDtwin

YARDtwin darbojas uz Microsoft Azure ar aprēķinu resursu Norvēģijas Austrumos un datiem, reģistru un noslēpumiem Zviedrijas Centrālajā reģionā. Visi klientu dati paliek ES/EEZ robežās, atbilstoši GDPR 44.–49. pantam.

• App Service (Linux Container) — Norvēģijas Austrumi
• Azure PostgreSQL Flexible Server — Zviedrijas Centrālais reģions
• Azure Blob Storage — Norvēģijas Austrumi, privāti konteineri
• Azure Key Vault — Zviedrijas Centrālais reģions, RBAC kontrolēts
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — 90 dienu glabāšana

Visi klientu dati tiek glabāti un apstrādāti ES/EEZ ietvaros — mitināti Microsoft Azure reģionos: Norvēģija Austrumi (lietojumprogramma, krātuve) un Zviedrija Centrālā (datubāze, noslēpumi). Norvēģija ir EEZ valsts, kurā piemēro GDPR, tāpēc šis ir EEZ iekšējs līgums, kuram nav nepieciešams V nodaļas datu nosūtīšanas mehānisms. Resursu izveide ārpus apstiprinātajiem reģioniem ir bloķēta platformas līmenī, izmantojot Azure Policy "Deny" piešķīrumu, tāpēc klientu datus nevar nodrošināt ārpus ES/EEZ. Ja ierobežota apjoma apakšapstrādātājs darbojas ārpus EEZ (piemēram, AI OCR vai e-pasta piegāde), datu nosūtīšanu reglamentē ES standarta līguma klauzulas un tiek nosūtīts tikai minimāli nepieciešamais datu apjoms.

YARDtwin izmanto nelielu, pārbaudītu apakšprocesoru kopu pakalpojuma sniegšanai. Katrs ir saistīts ar Datu apstrādes līgumu. Mēs uztunam šo reģistru un informējam klientus par būtiskām izmaiņām saskaņā ar GDPR 28. pantu.

YARDtwin izmanto AI, lai nolasītu vadītāju apliecības un pārvadājumu dokumentus (OCR), nodrošinātu lietotnes asistentu un ģenerētu balss norādes. AI apstrāde ir palīgfunkcija: tās izvade tiek parādīta personai — piemēram, vārtu operators apstiprina katru reģistrāciju — un YARDtwin neveic automatizētus lēmumus, kas rada juridiskas vai līdzvērtīgi būtiskas sekas personām (GDPR 22. pants).

• Klientu dati netiek izmantoti trešo pušu AI modeļu apmācībai — mūsu AI apakšprocesori apstrādā datus tikai, lai atgrieztu rezultātu jūsu pieprasījumam.
• Datu minimizēšana: AI dokumentu OCR var izslēgt katrai vietnei atsevišķi, tādēļ vietnes, kas dod priekšroku manuālai ievadei, nekad nesūta dokumentus AI nodrošinātājam.
• Cilvēka uzraudzība: iegūtie lauki ir pārskatāmi un rediģējami pirms to saglabāšanas ierakstā.

Stingra Content Security Policy ar pieprasījumam specifiskiem nonces skriptiem (nav unsafe-inline). Pilns drošības galvenu komplekts katrai atbildei: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Neatkarīga iespiešanās testēšana 2026. gada 17.–18. aprīlī (10 OWASP kategorijas, 36 slodzes): 0 ievainojamību.Funkcionālā drošības testēšana 2026. gada 11. aprīlī, aptverot 1 890+ API izsaukumus 270 tikšanās reizēs: 0 kļūmju.Ikgadēja trešās puses iespiešanās testēšana plānota, SOC 2 Type II revīzija notiek.

• EU GMP Annex 11 — Datu integritāte (ALCOA+), tikai pielikšanas audita pieraksts, elektroniskie ieraksti, piekļuves kontrole, validēts
• 21 CFR Part 11 — Elektroniskie ieraksti, audita pieraksts, attiecināmība, zīmoga glabāšanas ķēde
• GDPR — Datu pārnesamība (JSON + CSV), DSAR darbplūsma, piekrišanas uzskaite, tikai ES/EEZ glabāšana
• SOC 2 Type II — Revīzija notiek

• Piegādātāja nodrošinājuma pakotne (PDF) — QMS dokumentu indekss, GAMP 5 kategorija, Annex 11 un 21 CFR Part 11 klauzulu kartējumi, ALCOA+ paziņojums, drošības arhitektūra, aizpildīta CAIQ-Lite anketa un pilns saraksts ar to, ko mēs vēl neesam ieguvuši. Forma nav nepieciešama.
• Pagalma operāciju GMP audita gatavības kontrolsaraksts — 101 pārbaude 12 jomās jūsu pagalma novērtēšanai atbilstoši Annex 11, 21 CFR Part 11 un ES GDP vadlīnijām.
• Datu apstrādes līguma (DPA) veidne — uzņēmuma pārskatīšanai un parakstīšanai
• GDPR politika
• Privātuma politika
• security.txt
• Pakalpojuma statusa lapa — reāllaika pašziņotais platformas statuss, pieejamības saistības un incidentu vēsture.

Mēs laipni gaidām drošības pētnieku ziņojumus. Rakstiet uz admin@yardtwin.comar atrades aprakstu un reproducēšanas soļiem. Mēs apstiprinām saņemšanu 2 darba dienu laikā un cenšamies labot kritiskas problēmas 7 dienu laikā. Lūdzu, neizpaudiet ievainojamības publiski, pirms esam varējuši tās novērst.