Sikkerhet i YARDtwin

YARDtwin kjører på Microsoft Azure med beregning i Norway East og Sweden Central for data, register og hemmeligheter. Kundedata lagres i EU/EØS; de begrensede overføringene til underdatabehandlere utenfor EØS er listet nedenfor og dekket av standardkontraktsklausuler.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, private containere
• Azure Key Vault — Sweden Central, RBAC-kontrollert
• Azure Front Door + WAF — Prevention-modus, egendefinerte regler for hastighetsbegrensning
• Azure Monitor varsler om feil, ventetid og tilgjengelighet, pluss Azure Service Health-varsler

Kundedata lagres i Microsoft Azure-regioner i EU/EØS — Norway East (applikasjon, lagring) og Sweden Central (database, hemmeligheter). Norge er en EØS-stat der GDPR gjelder, så dette er en intra-EØS-ordning som ikke krever noen overføringsmekanisme etter kapittel V. Opprettelse av ressurser utenfor godkjente regioner er blokkert på plattformnivå av en Azure Policy «Deny»-tildeling, slik at kundedata ikke kan klargjøres utenfor EU/EØS. Enkelte funksjoner sender data til underdatabehandlerne som er oppført nedenfor (og på /subprocessors), inkludert noen utenfor EØS — for eksempel Anthropic i USA for AI-funksjoner og e-postlevering — under EUs standard kontraktsbestemmelser (og EU-US Data Privacy Framework der mottakeren er sertifisert); kun et minimum av nødvendige data sendes.

YARDtwin benytter et lite, godkjent sett med underdatabehandlere for å levere tjenesten. Hver enkelt er bundet av en databehandleravtale. Vi vedlikeholder dette registeret og varsler kunder om vesentlige endringer i tråd med GDPR artikkel 28.

Kun nettstedtjenester (ingen operasjonelle kundedata)

Disse kjører kun på det offentlige nettstedet. De mottar ingen operasjonelle kundedata og er ikke underbehandlere av slike; de som setter informasjonskapsler, lastes kun med samtykke.

YARDtwin bruker AI til å lese førerkort og fraktdokumenter (OCR), til å sammenligne et bilde av sjåføren tatt ved porten én-til-én med førerkortet eller lagret sjåførfoto der et anlegg aktiverer dette, til å drive den innebygde assistenten og til å generere stemmeveiledning. AI-behandling er assisterende: resultatet presenteres for en person — ved en bemannet port bekrefter for eksempel en portoperatør hvert innsjekk. Der et anlegg aktiverer automatisk innsjekk fra kjennemerkkameraer eller en ubetjent port, sjekkes en lastebil der bestillingen stemmer klart inn uten portoperatør, og alt annet videresendes til portpersonalet. YARDtwin fatter ikke automatiserte beslutninger som medfører rettslige eller tilsvarende betydelige virkninger for enkeltpersoner (GDPR artikkel 22).

• Kundedata brukes ikke til å trene tredjeparts AI-modeller — våre AI-underdatabehandlere behandler data kun for å returnere et resultat på din forespørsel.
• Dataminimering: AI-dokumentOCR kan slås av per anlegg, slik at anlegg som foretrekker manuell registrering aldri sender dokumenter til en AI-leverandør.
• Menneskelig tilsyn: utleste felter kan gjennomgås og redigeres før de lagres i registeret.

Streng CSP med per-forespørsel-nonces på skript (ingen unsafe-inline). Fullt sett med sikkerhetshoder returnert på hvert svar: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Ingen tredjeparts penetrasjonstest er gjennomført ennå; en uavhengig test er planlagt før første enterprise-lansering. En intern white-box-kodegjennomgang ble fullført i oktober 2026, og alle kritiske funn ble utbedret.

Funksjonell sikkerhetstesting 11. april 2026 som dekker 1 890+ API-kall på tvers av 270 avtaler: 0 feil.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Sikkerhetskopier: 7-dagers point-in-time-gjenoppretting, pluss månedlige krypterte sikkerhetskopier oppbevart i opptil 7 år under en tidsbasert uforanderlighetspolicy som blokkerer sletting og overskriving (policyen er ikke låst ennå).
• Daglig sikkerhetskopiering: en fullstendig kopi av databasen tas hver natt og oppbevares i 35 dager i separat kryptert lagring i EØS (Sweden Central, geo-replikert til Sweden South).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Dataintegritet (ALCOA+), append-only revisjonsspor, elektroniske poster, tilgangskontroll, validert
• 21 CFR Part 11 — Elektroniske poster, revisjonsspor, attribusjon, forseglingsvaretektskjede
• GDPR — Dataportabilitet (JSON + CSV), DSAR-arbeidsflyt, samtykkesporing, kun EU/EØS-lagring
• ISO 27001 — Sertifiseringsprogram er i gang; sertifiseringsrevisjon planlagt for Q1 2027; sertifikat forventet Q1 2027
• SOC 2 — Ikke innhentet. Tilgjengelig på forespørsel etter ISO 27001-sertifisering.

• Vendor Assurance Pack v1.2 — QMS-dokumentindeks, GAMP 5-kategorisering, EU GMP Annex 11 og 21 CFR Part 11-klausultilordninger, ALCOA+-erklæring, sikkerhetsarkitektur, en utfylt CAIQ-Lite, alle rettelser til v1.1 og den fullstendige listen over åpne punkter. PDF, ingen skjema kreves.
• Sjekkliste for GMP-revisjonsberedskap i gårdsoperasjoner — 101 kontrollpunkter fordelt på 12 domener for å vurdere eget gårdsanlegg opp mot Annex 11, 21 CFR Part 11 og EUs GDP-retningslinjer.
• Databehandleravtale — gjennomlesingskopi på forespørsel fra dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• GDPR-policy
• Personvernpolicy
• security.txt
• Tjeneststatusside — selvrapportert plattformstatus i sanntid, tilgjengelighetsforpliktelser og hendelseshistorikk.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Vi ønsker rapporter fra sikkerhetsforskere velkommen. Send e-post til admin@yardtwin.commed en beskrivelse av funnet og trinn for å reprodusere det. Vi bekrefter mottak innen 2 virkedager og sikter mot å rette kritiske problemer innen 7 dager. Vennligst ikke offentliggjør sårbarheter før vi har hatt mulighet til å utbedre dem.

Spørsmål om personopplysninger, DPA, underdatabehandlere eller den registrertes rettigheter sendes til dpo@yardtwin.com. Dette er en rollepostkasse som overvåkes av den personvernansvarlige i YARDtwin Ltd. YARDtwin har ikke utpekt et lovpålagt personvernombud i henhold til GDPR artikkel 37, noe som ikke er obligatorisk for selskapets behandling; vi publiserer kontaktadressen i stedet for en enkeltpersons navn. Forespørsler fra registrerte kan også sendes inn via DSAR-portalen. /data-request