Databehandleravtale

1. Parter

Denne Databehandleravtalen ("DPA") inngås mellom Kunden ("Behandlingsansvarlig") og YARDtwin Ltd, registrert i Irland ("Databehandler"), samlet omtalt som "Partene". Denne DPA er en del av, og underlagt, YARDtwin Vilkår for bruk.

2. Omfang og formål

Databehandleren behandler personopplysninger på vegne av den behandlingsansvarlige utelukkende for å levere YARDtwin-plattformen for gårdstyring: dokkplanlegging, portoperasjoner, digital tvilling-visualisering av gårdsplassen, håndtering av transportører og sjåfører, en revisjonslogg bygget for GMP-miljøer, analyser og integrasjoner. Behandlingen utføres i løpet av den behandlingsansvarliges abonnementsperiode og eventuell oppbevaringsperiode i henhold til punkt 11.

3. Kategorier av registrerte

• Den Behandlingsansvarliges ansatte og administratorer (navngitte brukere av plattformen)
• Sjåfører og logistikkpersonell innsjekket ved den Behandlingsansvarliges porter
• Transportørrepresentanter og ekspedisjonskontakter
• Portvakt- og lagerpersonell

4. Typer personopplysninger

• Identitetsopplysninger: navn, e-postadresser, telefonnumre, stilling/jobbtittel, firmanavn og -adresse
• Autentiseringsdata: bcrypt-hashede passord (12 runder), JWT tilgangs- og oppdateringstokener, økt-tidsstempler, IP-adresser, SSO-identifikatorer (Google, Microsoft)
• Operasjonelle data: avtaler, dokkallokeringer, tilhengerbevegelser, inspeksjonsregistreringer, dokumenter, oppgavetildelinger, kjøretøyregistreringer
• Sjåførdata: førerkortnumre og førerkortbilder. Portpersonalet kan ta et ansiktsbilde av sjåføren som portdokumentasjon. Der et anlegg aktiverer AI-ansiktssammenligning, sammenligner vår AI-leverandør (Anthropic) bildet én-til-én med førerkortbildet eller sjåførens lagrede bilde for å hjelpe personalet med å bekrefte sjåførens identitet. Resultatet er rådgivende: portpersonalet beslutter, og kan slippe inn en sjåfør som sammenligningen ikke bekreftet ved å oppgi en begrunnelse. Hver sammenligning registreres på våre servere med sitt resultat. Der ansiktssammenligning er av (standard), sendes ingen ansiktsbilder til AI-leverandøren og personalet sammenligner sjåføren med førerkortbildet selv; førerkortbilder leses fortsatt av AI der AI-lesing er aktivert. YARDtwin lagrer ingen ansiktsmaler og utfører ingen én-til-mange-identifikasjon.
• Revisjonsdata: brukerhandlinger, tidsstempler, IP-adresser, brukeragent-strenger, differanser mellom gamle/nye verdier, GMP-merkede poster

5. Databehandlerens forpliktelser

• Behandle personopplysninger kun i henhold til dokumenterte instruksjoner fra behandlingsansvarlig (plattformens brukergrensesnitt og API utgjør dokumenterte instruksjoner)
• Sikre at personer autorisert til å behandle data er bundet av taushetspliktavtaler
• Gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak (art. 32) — se avsnitt 7 nedenfor
• Benytte kun underdatabehandlerne oppført i punkt 6, som den behandlingsansvarlige gir generell skriftlig godkjenning til; gi minst 30 dagers varsel om eventuelle nye underdatabehandlere, som den behandlingsansvarlige kan protestere mot (punkt 6)
• Bistå behandlingsansvarlig med registrertes rettigheter (art. 15–22) via DSAR-endepunktene beskrevet i avsnitt 9
• Varsle den behandlingsansvarlige uten unødig forsinkelse, og uansett innen 48 timer etter å ha fått kjennskap til et brudd på personopplysningssikkerheten; gi et innledende varsel innen 24 timer om enhver bekreftet sikkerhetshendelse som berører den behandlingsansvarliges data (punkt 8)
• Slette eller tilbakelevere alle personopplysninger ved opphør av tjenestene (avsnitt 11)
• Gjøre tilgjengelig all informasjon som er nødvendig for å dokumentere etterlevelse og støtte revisjoner (avsnitt 12)

6. Underdatabehandlere

Databehandleren benytter for tiden følgende underdatabehandlere, som hver opererer under en databehandleravtale og (der det er aktuelt) standardkontraktsklausuler 2021:

Den behandlingsansvarlige gir generell skriftlig godkjenning for underdatabehandlerne oppført ovenfor. Databehandleren vil gi minst 30 dagers varsel om eventuelle nye underdatabehandlere; den behandlingsansvarlige kan protestere på rimelig grunnlag og, dersom protesten ikke kan løses, avslutte den berørte tjenesten uten gebyr.

Kun nettstedtjenester (ingen operasjonelle kundedata)

Disse kjører kun på det offentlige nettstedet. De mottar ingen operasjonelle kundedata og er ikke underbehandlere av slike; de som setter informasjonskapsler, lastes kun med samtykke.

7. Sikkerhetstiltak (art. 32)

• Kryptering under overføring: TLS 1.2+ på alle endepunkter; sertifikater administrert av Microsoft Azure (DigiCert)
• Kryptering i hvile: Azure Postgres Flexible Server transparent datakryptering; Azure Blob Storage-kryptering
• Førerkortbilder og signaturer: Bilder av førerkort og signaturer er kryptert i hvile med AES-256 av Azure Storage og Azure Database for PostgreSQL (nøkler administrert av Microsoft), og tilgangen til dem er begrenset etter rolle og organisasjon
• Passordhashing: bcrypt, 12 runder
• Autentisering: JWT-tilgangstokener (1 times utløp) og oppdateringstokener (7 dagers utløp, rotert ved bruk, aldri gyldig utover 30 dager fra innlogging). Enkeltpålogging (SAML 2.0, Google, Microsoft); tidsbasert engangspassord-MFA, obligatorisk for plattformadministratorer og tilgjengelig for alle brukere
• Leietakerisolasjon: håndhevet server-side ved leietakerstyring, og testet automatisk før hver utgivelse: utgivelsesgates kryssleietaker-søk kaller API-et som én organisasjon med en annen organisasjons post-ID-er, og utgivelsen blokkeres hvis noen av den organisasjonens data kan leses eller endres
• Rollebasert tilgangskontroll: rollebaserte tillatelser på autentiserte ruter, med leietakerstyring håndhevet server-side
• Web Application Firewall: Azure Front Door WAF i Prevention-modus med egendefinerte regler for hastighetsbegrensning på endepunktene for autentisering, registrering, tilbakestilling av passord og forespørsler fra registrerte, pluss L7-DDoS-beskyttelse på plattformnivå. Det er ikke tilknyttet noe administrert OWASP-regelsett — det krever Front Door Premium-nivået.
• Hastighetsbegrensning: rute-spesifikke grenser, strengere på autentiseringsendepunkter; sporing av forsøk i minne og persistent lagring
• Revisjonsspor: manipulasjonsavslørende og kun tilleggsbar (håndhevet i databasen), GMP-relevante oppføringer flagget separat og oppbevart i minst 7 år mens tjenesteavtalen løper (ved kontraktslutt eksporteres det til den behandlingsansvarlige, med mindre den behandlingsansvarlige avslår eksporten skriftlig eller ikke kan nås etter rimelige forsøk, og deretter slettes — avsnitt 11), andre oppføringer i 365 dager, pseudonymisert (ikke slettet) ved Art. 17-sletting etter Art. 17(3)(b)
• Kontinuerlig overvåking: Azure Application Insights; en test av nettstedstilgjengelighet hvert 10. minutt; et varsel om skjemadrift (15-minutters vindu); et varsel når mer enn 10 serverfeil (HTTP 5xx) oppstår i løpet av 5 minutter; og en bruddovervåkingsarbeider som kontrollerer revisjonsloggen hvert 5. minutt for topper i mislykkede innloggingsforsøk (10 eller flere for én konto i løpet av en time), innloggingsforsøk på én konto fra 5 eller flere IP-adresser i løpet av 24 timer, og vellykkede innlogginger fra en IP-adresse som ikke er sett for den brukeren de siste 30 dagene
• Programvareforsyningskjede: Hver pull-forespørsel må bestå npm audit (avhengighetssårbarheter), Semgrep (statisk analyse) og gitleaks (skanning etter hemmeligheter) før den kan slås sammen, med en Trivy-containerbildeskanning som rådgivende sjekk; disse kontrollene kjøres også ved hvert push til master og nattlig, sammen med en rådgivende OWASP ZAP-grunnlinjeskanning (dynamisk testing) av produksjonsstedet. Hemmeligheter: Azure Key Vault tilgjengelig via App Service-administrert identitet; ingen hemmeligheter i kode, env-filer eller containerbilder

8. Varsling om personopplysningsbrudd

Databehandleren skal varsle den behandlingsansvarlige uten unødig forsinkelse, og uansett innen 48 timer etter å ha fått kjennskap til et brudd på personopplysningssikkerheten som berører den behandlingsansvarliges data, og skal gi et innledende varsel innen 24 timer om enhver bekreftet sikkerhetshendelse som berører den behandlingsansvarliges data. Varselet skal inneholde bruddets art, kategorier og omtrentlig antall berørte registrerte, sannsynlige konsekvenser, tiltak som er truffet eller foreslått, og referansen i bruddsregisteret. Oppdagede avvik rutes til Azure Monitor Action Group yardtwin-breach-actions; bekreftede hendelser spores i bruddregistertabellen med en 72-timers DPC-nedtelling.

9. De registrertes rettigheter

Databehandleren gir den behandlingsansvarlige følgende endepunkter for å oppfylle de registrertes rettigheter innen 30-dagers fristen i Art. 12(3):

• POST /api/v1/dsar/export/by-email — maskinlesbar eksport som dekker Art. 15 (innsyn) og Art. 20 (dataportabilitet)
• POST /api/v1/dsar/erase/by-email — sletting ved en verifisert forespørsel: personens egne brukerkontoer i de valgte kundekontoene anonymiseres, og vedkommendes økter, tokens, varsler, ventende invitasjoner, nyhetsbrev- og registreringsposter samt egen avatar slettes; driftsposter som den behandlingsansvarlige har (bestillinger, port- og besøksregistreringer, sjåførliste, kontakter), listes opp slik at den behandlingsansvarlige kan ta stilling til dem; revisjonssporet beholder en anonymisert referanse til den som handlet, av hensyn til GMP-integriteten (art. 17 nr. 3 bokstav b)
• Selvbetjeningsportal for forespørsler på /data-request

10. Internasjonale overføringer

Driftsdata lagres innenfor Det europeiske økonomiske samarbeidsområdet (Microsoft Azure, Sverige sentral og Norge øst). Standardkontraktsklausuler (2021) gjelder for enhver overføring til en underdatabehandler utenfor EØS; der en mottaker er sertifisert under EU-US Data Privacy Framework, legges dette også til grunn. Konsekvensanalyser for overføring er under utarbeidelse (mål november 2026).

11. Varighet, opphør og tilbakelevering av data

Denne DPA gjelder for hele varigheten av tjenesteavtalen. Ved opphør:

• Den behandlingsansvarlige kan eksportere alle sine data innen 30 dager via produktets eksportfunksjoner eller på forespørsel
• Etter 30 dager vil databehandleren slette alle den behandlingsansvarligens operasjonelle personopplysninger
• Mens tjenesteavtalen løper, oppbevares revisjonslogger i pseudonymisert tilstand: GMP-relevante oppføringer i minst 7 år etter hendelsen for å oppfylle GMP-krav til oppbevaring av registre (21 CFR Part 11 / EU GMP Annex 11; Art. 17(3)(b) overstyring ved rettslig forpliktelse), andre revisjonsoppføringer i 365 dager. Ved kontraktslutt, før den behandlingsansvarliges data slettes, mottar den behandlingsansvarlige en fullstendig eksport av sin revisjonslogg, med en verifiseringskvittering, for oppbevaring i sin egen oppbevaringsperiode, med mindre den avslår eksporten skriftlig eller ikke kan nås etter rimelige forsøk; databehandleren sletter deretter revisjonsloggen sammen med resten av den behandlingsansvarliges data. Bortsett fra sikkerhetskopiene beskrevet nedenfor, som utløper etter sin egen tidsplan, og databehandlerens egen registrering av overleveringen (kvitteringen, eksportens hash-verdier og tellinger, samt hvem som utførte og mottok den), oppbevares revisjonsloggen lenger kun dersom den behandlingsansvarlige gir databehandleren skriftlig instruks om dette, under en separat avtale.
• Driftsdata slettes innen 30 dager etter kontraktsslutt. Tidspunktbaserte sikkerhetskopier av databasen utløper innen 7 dager. Krypterte månedlige arkivsikkerhetskopier oppbevares i opptil 7 år utelukkende for katastrofegjenoppretting; de gjenopprettes ikke med mindre det er for å gjenopprette tjenesten, dataene i dem er utilgjengelige, og de utløper med sikkerhetskopien.
• En fullstendig databasesikkerhetskopi tas hver natt og oppbevares i 35 dager i separat kryptert lagring i EØS (Sverige sentralt, geo-replikert til Sverige sør); data slettet fra den aktive tjenesten forblir i disse sikkerhetskopiene, utilgjengelig for bruk, til de utløper.

12. Revisjonsrettigheter

Databehandleren skal gjøre tilgjengelig for den behandlingsansvarlige all informasjon som er nødvendig for å påvise overholdelse av Art. 28 GDPR. Kunder kan anmode om: det gjeldende registeret over underdatabehandlere, den siste regresjonstestrapport for leietakerisolasjon, det eksterne penetrasjonstestsammendraget etter at en test er gjennomført (se GDPR Policy 11.1), og svar på et spørreskjema om leverandørsikkerhet. Rimelige stedlige eller fjernrevisjoner kan avtales med minst 30 dagers varsel, utført av den behandlingsansvarlige eller en uavhengig tredjepart bundet av konfidensialitet. Databehandleren har ingen ISO 27001- eller SOC 2-sertifisering i dag; når ISO 27001-sertifisering er oppnådd (planlagt Q1 2027), vil databehandleren tilby sertifikatet som erstatningsdokumentasjon.

13. Ansvar og lovvalg

Ansvar under denne DPA er underlagt begrensningene fastsatt i YARDtwin Vilkår for bruk. Denne DPA er underlagt irsk lov og EUs personvernforordning (GDPR). Eventuelle tvister er underlagt eksklusiv domsmyndighet ved irske domstoler.

14. Kontakt

For spørsmål om denne DPA, for å be om en gjennomgangskopi (en kontrasignert utgave utstedes når selskapsregistreringen er fullført), eller for å utøve noen av rettighetene beskrevet ovenfor, kontakt admin@yardtwin.com eller personvernkontakten på dpo@yardtwin.com. Dette er en rollepostkasse som overvåkes av den personvernansvarlige i YARDtwin Ltd. YARDtwin har ikke utpekt et lovpålagt personvernombud i henhold til artikkel 37 GDPR, noe som ikke er obligatorisk for selskapets behandling (GDPR Policy 11.2); kontaktadressen publiseres i stedet for en enkeltpersons navn.