Sikkerhet i YARDtwin

YARDtwin kjører på Microsoft Azure med beregning i Norway East og Sweden Central for data, register og hemmeligheter. Alle kundedata forblir innenfor EU/EØS, i samsvar med GDPR artikkel 44–49.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, private containere
• Azure Key Vault — Sweden Central, RBAC-kontrollert
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — 90 dagers oppbevaring

Alle kundedata lagres og behandles innenfor EU/EØS – driftet i Microsoft Azures regioner Norway East (applikasjon, lagring) og Sweden Central (database, hemmeligheter). Norge er en EØS-stat der GDPR gjelder, slik at dette er en intra-EØS-ordning som ikke krever noen overføringsmekanisme etter kapittel V. Opprettelse av ressurser utenfor godkjente regioner er blokkert på plattformnivå av en Azure Policy «Deny»-tilordning, slik at kundedata ikke kan klargjøres utenfor EU/EØS. Der en underleverandør med begrenset omfang opererer utenfor EØS (for eksempel AI OCR eller e-postlevering), reguleres overføringene av EUs standardkontraktklausuler, og kun minimum nødvendige data oversendes.

YARDtwin benytter et lite, godkjent sett med underbehandlere for å levere tjenesten. Hver enkelt er bundet av en databehandleravtale. Vi vedlikeholder dette registeret og varsler kunder om vesentlige endringer i tråd med GDPR artikkel 28.

YARDtwin bruker AI til å lese førerkort og fraktdokumenter (OCR), drive den innebygde assistenten og generere taleveiledning. AI-behandlingen er hjelpende: resultatet presenteres for en person — for eksempel bekrefter en portoperatør hvert innsjekk — og YARDtwin treffer ikke automatiserte beslutninger som har rettslig eller tilsvarende betydelig virkning på enkeltpersoner (GDPR artikkel 22).

• Kundedata brukes ikke til å trene tredjeparts AI-modeller — våre AI-underbehandlere behandler data kun for å returnere et resultat på din forespørsel.
• Dataminimering: AI-dokumentOCR kan slås av per anlegg, slik at anlegg som foretrekker manuell registrering aldri sender dokumenter til en AI-leverandør.
• Menneskelig tilsyn: utleste felter kan gjennomgås og redigeres før de lagres i registeret.

Streng CSP med per-forespørsel-nonces på skript (ingen unsafe-inline). Fullt sett med sikkerhetshoder returnert på hvert svar: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Uavhengig penetrasjonstesting 17.–18. april 2026 (10 OWASP-kategorier, 36 nyttelaster): 0 sårbarheter.Funksjonell sikkerhetstesting 11. april 2026 som dekker 1 890+ API-kall på tvers av 270 avtaler: 0 feil.Årlig tredjeparts penetrasjonstest planlagt og SOC 2 Type II-revisjon pågår.

• EU GMP Annex 11 — Dataintegritet (ALCOA+), append-only revisjonsspor, elektroniske poster, tilgangskontroll, validert
• 21 CFR Part 11 — Elektroniske poster, revisjonsspor, attribusjon, forseglingsvaretektskjede
• GDPR — Dataportabilitet (JSON + CSV), DSAR-arbeidsflyt, samtykkesporing, kun EU/EØS-lagring
• SOC 2 Type II — Revisjon pågår

• Vendor Assurance Pack (PDF) — QMS-dokumentindeks, GAMP 5-kategorisering, klausultilordninger for Annex 11 og 21 CFR Part 11, ALCOA+-erklæring, sikkerhetsarkitektur, et utfylt CAIQ-Lite og en fullstendig liste over hva vi ennå ikke har på plass. Ingen skjema er nødvendig.
• Sjekkliste for GMP-revisjonsberedskap i gårdsoperasjoner — 101 kontrollpunkter fordelt på 12 domener for å vurdere eget gårdsanlegg opp mot Annex 11, 21 CFR Part 11 og EUs GDP-retningslinjer.
• Mal for databehandleravtale (DPA) — for gjennomgang og signering i virksomheten
• GDPR-policy
• Personvernpolicy
• security.txt
• Tjeneststatusside — direkterapportert plattformstatus, tilgjengelighetsforpliktelser og hendelseshistorikk.

Vi ønsker rapporter fra sikkerhetsforskere velkommen. Send e-post til admin@yardtwin.commed en beskrivelse av funnet og trinn for å reprodusere det. Vi bekrefter mottak innen 2 virkedager og sikter mot å rette kritiske problemer innen 7 dager. Vennligst ikke offentliggjør sårbarheter før vi har hatt mulighet til å utbedre dem.