Databehandleravtale

1. Parter

Denne Databehandleravtalen ("DPA") inngås mellom Kunden ("Behandlingsansvarlig") og YARDtwin Ltd, registrert i Irland ("Databehandler"), samlet omtalt som "Partene". Denne DPA er en del av, og underlagt, YARDtwin Vilkår for bruk.

2. Omfang og formål

Databehandleren behandler personopplysninger på vegne av den Behandlingsansvarlige utelukkende for å levere YARDtwin-plattformen for gårdsplassadministrasjon: dokksplanlegging, portoperasjoner, digital tvilling-visualisering av gårdsplassen, administrasjon av transportører og sjåfører, GMP-kompatibelt revisjonslogg, analyser og integrasjoner. Behandlingen utføres i løpet av den Behandlingsansvarliges abonnementsperiode og eventuell oppbevaringsperiode som kreves av punkt 11.

3. Kategorier av registrerte

• Den Behandlingsansvarliges ansatte og administratorer (navngitte brukere av plattformen)
• Sjåfører og logistikkpersonell innsjekket ved den Behandlingsansvarliges porter
• Transportørrepresentanter og ekspedisjonskontakter
• Portvakt- og lagerpersonell

4. Typer personopplysninger

• Identitetsopplysninger: navn, e-postadresser, telefonnumre, stilling/jobbtittel, firmanavn og -adresse
• Autentiseringsdata: bcrypt-hashede passord (12 runder), JWT tilgangs- og oppdateringstokener, økt-tidsstempler, IP-adresser, SSO-identifikatorer (Google, Microsoft)
• Operasjonelle data: avtaler, dokkallokeringer, tilhengerbevegelser, inspeksjonsregistreringer, dokumenter, oppgavetildelinger, kjøretøyregistreringer
• Sjåførdata: førerkortsnumre, bilder av førerkort, valgfrie ansiktsbilder for biometrisk portverifisering (særlig kategori av data, art. 9 GDPR — behandles kun der den Behandlingsansvarlige har aktivert biometrisk verifisering ved porten og har innhentet eksplisitt samtykke på innsamlingstidspunktet)
• Revisjonsdata: brukerhandlinger, tidsstempler, IP-adresser, brukeragent-strenger, differanser mellom gamle/nye verdier, GMP-merkede poster

5. Databehandlerens forpliktelser

• Behandle personopplysninger kun i henhold til dokumenterte instruksjoner fra behandlingsansvarlig (plattformens brukergrensesnitt og API utgjør dokumenterte instruksjoner)
• Sikre at personer autorisert til å behandle data er bundet av taushetspliktavtaler
• Gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak (art. 32) — se avsnitt 7 nedenfor
• Ikke benytte underdatabehandlere uten forutgående skriftlig godkjenning; gi 30 dagers forhåndsvarsel ved ny underdatabehandler (rett til å protestere)
• Bistå behandlingsansvarlig med registrertes rettigheter (art. 15–22) via DSAR-endepunktene beskrevet i avsnitt 9
• Varsle behandlingsansvarlig om brudd på personopplysningssikkerheten uten unødig opphold og innen 72 timer (avsnitt 8)
• Slette eller tilbakelevere alle personopplysninger ved opphør av tjenestene (avsnitt 11)
• Gjøre tilgjengelig all informasjon som er nødvendig for å dokumentere etterlevelse og støtte revisjoner (avsnitt 12)

6. Underdatabehandlere

Databehandleren benytter for tiden følgende underdatabehandlere, som hver opererer under en databehandleravtale og (der det er aktuelt) Standard Contractual Clauses 2021:

Kunder varsles minst 30 dager før en ny underdatabehandler legges til, med rett til å protestere og avslutte avtalen uten sanksjoner.

7. Sikkerhetstiltak (art. 32)

• Kryptering under overføring: TLS 1.2+ på alle endepunkter; sertifikater administrert av Microsoft Azure (DigiCert)
• Kryptering i hvile: Azure Postgres Flexible Server transparent datakryptering; Azure Blob Storage-kryptering
• Kryptering på feltnivå: AES-256-GCM for biometriske data (førerkortbilder, signaturbilder), nøkler oppbevart i Azure Key Vault
• Passordhashing: bcrypt, 12 runder
• Autentisering: JWT-tilgangstokener (1 times utløp) + oppdateringstokener (7 dagers utløp, rotasjon ved bruk); SSO via Google og Microsoft tilsvarende MFA
• Leietakerisolasjon: håndhevet på alle API-ruter, regresjonstestet med 25-vektors kryssleietakerrevisjon ved hver utgivelse
• Rollebasert tilgangskontroll: seks roller (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin), minste-privilegium-mellomvare
• Web Application Firewall: Azure Front Door + administrert WAF (OWASP Core Rule Set, bot-beskyttelse, L7 DDoS)
• Hastighetsbegrensning: rute-spesifikke grenser, strengere på autentiseringsendepunkter; sporing av forsøk i minne og persistent lagring
• Revisjonsspor: append-only på applikasjonslaget, 6 års oppbevaring, GMP-relevante oppføringer flagget separat, pseudonymisert (ikke slettet) ved Art. 17-slettingsforespørsler under Art. 17(3)(b)
• Kontinuerlig overvåking: Azure Application Insights, skjema-drift-varsling (15-minutters vindu), ende-til-ende /health/db-write-probe, bruddovervåkings-anomaliarbeider (topper i mislykkede innlogginger, multi-IP-angrep, innlogginger fra nytt land, 5xx-rate)
• Programvareforsyningskjede: npm audit, Trivy, Semgrep, gitleaks, OWASP ZAP på hver PR. Hemmeligheter: Azure Key Vault tilgjengelig via App Service managed identity; ingen hemmeligheter i kode, env-filer eller container-images

8. Varsling om personopplysningsbrudd

Databehandleren skal varsle den behandlingsansvarlige uten ugrunnet opphold og senest 72 timer etter å ha fått kjennskap til et personopplysningsbrudd som berører den behandlingsansvarligens data (Art. 33). Varslingen skal inneholde bruddets art, kategorier og omtrentlig antall berørte registrerte, sannsynlige konsekvenser, iverksatte eller foreslåtte tiltak, samt referanse til bruddregisteret. Oppdagede anomalier rutes til Azure Monitor Action Group yardtwin-breach-actions; bekreftede hendelser spores i bruddregistertabellen med en 72-timers DPC-nedtelling.

9. De registrertes rettigheter

Databehandleren gir den behandlingsansvarlige følgende endepunkter for å oppfylle de registrertes rettigheter innen 30-dagers fristen i Art. 12(3):

• POST /api/v1/dsar/export/by-email — maskinlesbar eksport som dekker Art. 15 (innsyn) og Art. 20 (dataportabilitet)
• POST /api/v1/dsar/erase/by-email — pseudonymisering på tvers av alle PII-tabeller, med bevaring av revisjonslogg i henhold til Art. 17(3)(b)
• Selvbetjeningsportal for forespørsler på /data-request

10. Internasjonale overføringer

Driftsdata lagres innenfor Det europeiske økonomiske samarbeidsområdet (Microsoft Azure, Sweden Central + Norway East). Videreoverføringer til underbehandlere utenfor EØS (Resend, Anthropic) er regulert av Standard Contractual Clauses 2021 med dokumenterte overføringskonsekvensanalyser. Stripe inngår kontrakter via Stripe Ireland (primær EØS).

11. Varighet, opphør og tilbakelevering av data

Denne DPA gjelder for hele varigheten av tjenesteavtalen. Ved opphør:

• Den behandlingsansvarlige kan eksportere alle sine data innen 30 dager via produktets eksportfunksjoner eller på forespørsel
• Etter 30 dager vil databehandleren slette alle den behandlingsansvarligens operasjonelle personopplysninger
• Revisjonslogger oppbevares i 6 år etter hendelsen i pseudonymisert tilstand, som kreves av 21 CFR Part 11 / EU GMP Annex 11 (Art. 17(3)(b) overstyring for rettslig forpliktelse)
• Sikkerhetskopier slettes innen 7 dager etter operasjonell sletting, i tråd med vinduet for gjenoppretting til et tidspunkt

12. Revisjonsrettigheter

Databehandleren skal gjøre tilgjengelig for den behandlingsansvarlige all informasjon som er nødvendig for å dokumentere samsvar med Art. 28 GDPR. Kunder kan be om: kopier av relevante sikkerhetssertifiseringer og revisjonsrapporter (der disse foreligger), det gjeldende underbehandlerregisteret, siste rapport om regresjonstesting av leietakerisolasjon, siste sammendrag av ekstern penetrasjonstest (når utstedt, se GDPR-policy 11.1), samt svar på et leverandørsikkerhetsspørreskjema. Rimelige stedlige eller eksterne revisjoner kan avtales med minst 30 dagers varsel, gjennomført av den behandlingsansvarlige eller en uavhengig tredjepart underlagt konfidensialitetsplikt. Databehandleren vil prioritere ISO 27001 / SOC 2 Type II-rapporter som erstatningsdokumentasjon når disse sertifiseringene er på plass.

13. Ansvar og lovvalg

Ansvar under denne DPA er underlagt begrensningene fastsatt i YARDtwin Vilkår for bruk. Denne DPA er underlagt irsk lov og EUs personvernforordning (GDPR). Eventuelle tvister er underlagt eksklusiv domsmyndighet ved irske domstoler.

14. Kontakt

For spørsmål om denne DPA, for å be om en kontrasignert kopi, eller for å utøve noen av rettighetene beskrevet ovenfor, kontakt admin@yardtwin.com eller personvernombudet på dpo@yardtwin.com. Et eksternt deltids-DPO er under kontrahering (GDPR-policy 11.2); inntil ansettelse vil e-post sendt til dpo@yardtwin.com rutes til admin@yardtwin.com.