GDPR-beleid

Laatst bijgewerkt: 9 mei 2026 · v3.0 · Per direct van kracht

Toepasselijke regelgeving: EU Algemene Verordening Gegevensbescherming (2016/679), Ierse Data Protection Act 2018

1. Onze Toewijding

YARDtwin Ltd streeft naar volledige naleving van de Algemene Verordening Gegevensbescherming (AVG/GDPR). Als zowel verwerkingsverantwoordelijke (voor onze eigen klantgegevens) als verwerker (die operationele gegevens namens onze klanten verwerkt), treffen wij passende technische en organisatorische maatregelen om persoonsgegevens in elke fase te beschermen.

2. Rollen & Verantwoordelijkheden

YARDtwin als Verwerkingsverantwoordelijke: Wij bepalen de doeleinden en middelen voor de verwerking van persoonsgegevens ten behoeve van accountbeheer, facturering, nieuwsbriefabonnementen en websiteanalyse.

YARDtwin als Verwerker: Wanneer onze klanten operationele gegevens (afspraken, vervoerdersgegevens, namen van chauffeurs, inspectieprestaties) in het platform invoeren, treedt YARDtwin op als verwerker namens hen. Elke klant (tenant) is de verwerkingsverantwoordelijke voor zijn operationele gegevens.

Verantwoordelijkheden van de Klant: Klanten zijn verantwoordelijk voor het waarborgen dat zij over rechtsgeldige grondslagen beschikken voor de persoonsgegevens die zij in YARDtwin invoeren (bijv. namen van chauffeurs, contactgegevens van vervoerders, voertuigregistraties). Klanten dienen hun eigen betrokkenen te informeren over de gegevensverwerking via YARDtwin.

3. Verwerkersovereenkomst (DPA)

Alle klanten kunnen onze Verwerkersovereenkomst inzien en accepteren via de self-service DPA-pagina. Klanten met een Standard- of Founder-abonnement ontvangen ook een door beide partijen ondertekende Verwerkersovereenkomst die betrekking heeft op: de reikwijdte en het doel van de verwerking, soorten verwerkte persoonsgegevens, categorieën betrokkenen, verplichtingen van beide partijen, beheer van sub-verwerkers, melding van datalekken, internationale doorgiften en auditrechten. Voor uitvoering van de DPA kunt u mailen naar admin@yardtwin.com (cc de Functionaris voor Gegevensbescherming op dpo@yardtwin.com).

4. Technische Maatregelen (Art. 32 AVG/GDPR)

4.1 Versleuteling

Alle gegevens zijn versleuteld tijdens transport (TLS 1.2+). Wachtwoorden gehasht met bcrypt (12 rondes). PostgreSQL Flexible Server maakt gebruik van transparante gegevensversleuteling in rust. Azure Blob Storage versleuteld in rust. Versleuteling op toepassingsniveau (AES-256-GCM) voor biometrische gegevens (afbeeldingen rijbewijs, handtekeningafbeeldingen) met sleutels in Azure Key Vault. JWT-tokens cryptografisch ondertekend (HS256). Geheimen beheerd via Azure Key Vault, benaderd via de beheerde identiteit van App Service — geen geheimen in code, omgevingsbestanden of containerimages.

4.2 Toegangsbeheer

Rolgebaseerde toegangscontrole (RBAC) met zes gedefinieerde rollen (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin). Het principe van minimale bevoegdheden wordt afgedwongen via middleware op elke geverifieerde route. Tenantisolatie wordt geverifieerd door een geautomatiseerde 25-test cross-tenant audit bij elke release. SSO wordt ondersteund via Google en Microsoft voor meervoudige authenticatie.

4.3 Auditsporen

Volledige auditregistratie van gebruikersacties: gebruikersidentiteit, tijdstempel, IP-adres, actiewerkwoord, betrokken entiteit, oude en nieuwe waarden. GMP-relevante acties afzonderlijk gemarkeerd (is_gmp_relevant=1). Alleen toevoegen op de toepassingslaag; bewaartermijn van 6 jaar. Gepseudonimiseerd maar niet verwijderd bij verzoek tot wissing op grond van Art. 17 (uitzondering wettelijke verplichting Art. 17(3)(b)).

4.4 Infrastructuurbeveiliging

Gehost op Microsoft Azure (Zweden Centraal + Noorwegen Oost, EER). Gecontaineriseerde App Service uitgerold via Azure Container Registry met staging-slot-en-wissel. Alleen poorten 80/443 blootgesteld; PostgreSQL niet rechtstreeks bereikbaar via internet. Azure NSG en Front Door (gepland). Application Insights met schema-drift-melding bij PostgreSQL-fouten "column / relation does not exist" (venster van 15 minuten). End-to-end /health/db-write-probe verifieert bij elke implementatie of de applicatie de database kan beschrijven en uitlezen.

4.5 Gegevensminimalisatie

Wij verzamelen alleen gegevens die noodzakelijk zijn voor de dienstverlening. Optionele chauffeursvelden (telefoon, e-mail) kunnen leeg worden gelaten waar het proces van de klant dit toelaat. Biometrische verificatie is standaard uitgeschakeld per locatie; de locatiebeheerder schakelt dit in. De nieuwsbrief verzamelt alleen e-mailadres en optionele bedrijfsnaam.

4.6 Softwareleveranciersketen

Elk pull-verzoek doorloopt geautomatiseerde beveiligingscontroles: npm audit (afhankelijkheids-CVE's op HIGH+ blokkeren de deploy), Trivy (container CVE-scan), Semgrep SAST (OWASP top-tien + Node.js + React + secretsregels), gitleaks (geheimenscan over volledige git-geschiedenis), en OWASP ZAP (DAST tegen staging op schema). Dependabot opent PR's voor nieuwe CVE's zodra deze bekend worden.

5. Rechten van betrokkenen (Hoofdstuk III GDPR)

Wij faciliteren de uitoefening van alle rechten van betrokkenen:

Recht op inzage (Art. 15): Gebruikers kunnen een kopie opvragen van alle persoonsgegevens die wij bewaren. Tenantbeheerders kunnen de gegevens van hun organisatie exporteren. Alle overige betrokkenen (chauffeurs, nieuwsbriefabonnees, potentiële klanten) kunnen een verzoek indienen via de DSAR Portal.

Recht op rectificatie (Art. 16): Gebruikers kunnen hun profielgegevens bijwerken via de pagina Instellingen. Tenantbeheerders kunnen gegevens van elke gebruiker binnen hun organisatie bijwerken.

Recht op wissing (Art. 17): Verzoeken tot accountverwijdering worden binnen 30 dagen verwerkt. Dien een verzoek in via de DSAR Portal. Intern uitgevoerd door POST /api/v1/dsar/erase/by-email die pseudonimisering toepast in alle PII-tabellen. Let op: auditgegevens worden 6 jaar bewaard op grond van de wettelijke verplichting van Art. 17(3)(b).

Recht op beperking van de verwerking (Art. 18): Gebruikers kunnen beperking van verwerking aanvragen. Wij zullen de gegevens markeren en de verwerking staken, met uitzondering van opslag.

Recht op gegevensoverdraagbaarheid (Art. 20): Gegevens kunnen worden geëxporteerd in CSV- en JSON-formaat. Afspraakgegevens, vervoerdersgegevens en auditlogboeken zijn allemaal exporteerbaar.

Recht van bezwaar (Art. 21): Gebruikers kunnen bezwaar maken tegen verwerking op basis van gerechtvaardigde belangen. Uitschrijven voor de nieuwsbrief is mogelijk via een one-click-link in elke e-mail.

Recht inzake geautomatiseerde besluitvorming (Art. 22): YARDtwin neemt geen uitsluitend geautomatiseerde beslissingen die personen wezenlijk beïnvloeden.

6. Toestemmingsbeheer

Nieuwsbrief: Expliciete opt-in toestemming vereist. Tijdstip van toestemming en IP-adres worden geregistreerd. Afmeldlink in elke communicatie. Toestemming kan op elk moment worden ingetrokken zonder dat dit gevolgen heeft voor de toegang tot de dienst.

Servicevoorwaarden: Accountaanmaak geldt als aanvaarding van de Servicevoorwaarden (contractuele grondslag). Gebruikers worden tijdens de registratie geïnformeerd over de gegevensverwerking.

Cookies: Bij het eerste bezoek wordt een cookietoestemmingsbanner weergegeven, in overeenstemming met de ePrivacy-richtlijn. Gebruikers kunnen kiezen voor alleen essentiële cookies of alle cookies. Voorkeuren worden lokaal opgeslagen en kunnen op elk moment worden gewijzigd.

7. Procedures bij datalekken (Art. 33-34)

Geautomatiseerde detectie: Een breach-monitor-worker draait elke 5 minuten tegen het auditlogboek en markeert afwijkingen als potentiële incidenten:

≥10 mislukte inlogpogingen voor één e-mailadres binnen 1 uur
≥5 verschillende bron-IP's gericht op één e-mailadres binnen 24 uur
Succesvolle inlog vanaf een bron-IP die voor die gebruiker niet eerder is gezien in de afgelopen 30 dagen
HTTP 5xx-foutpercentage > 5% over een venster van 5 minuten
Postgres-fouten "column / relation does not exist" (schemadrift, App Insights)
/health/db-write probe-storing (lees+schrijfcontrole bij elke deploy en doorlopend)

Datalekregister: Elke gedetecteerde afwijking wordt weggeschreven naar de breach_register tabel met een toestandsmachine (gedetecteerd → onderzoek → bevestigd → gemeld → gesloten), ernst, omvang, betrokken betrokkenen, DPC-deadline-countdown en auditgeschiedenis. Zichtbaar in het SuperAdmin-paneel "Datalekregister".

Waarschuwingsroutering: Detectie-events worden doorgestuurd naar Azure Monitor Action Group yardtwin-breach-actions, die een e-mail stuurt naar admin@yardtwin.com en de dienstdoende adressen op bestand. Schemadrift-events gebruiken de bestaande yardtwin-schema-drift-actions groep.

Beoordeling: Binnen 24 uur na detectie triageert het technisch team het incident in het datalekregisterpaneel: omvang, betrokken betrokkenen, ernst (criterium Art. 33(1) "risico voor rechten en vrijheden") en grondoorzaak.

Melding aan de DPC (Art. 33): Binnen 72 uur na het bekend worden van een datalek dat een risico vormt. Het datalekregisterpaneel toont een live afteltimer van 72 uur zodra het incident is gemarkeerd als bevestigd.

Melding aan betrokkenen (Art. 34): Zonder onnodige vertraging indien het datalek een hoog risico inhoudt voor hun rechten en vrijheden.

Melding aan klanten: Getroffen tenantbeheerders worden binnen 48 uur na bevestiging van een inbreuk die hun tenantgegevens betreft, op de hoogte gesteld.

Documentatie: Elke vermelding in het inbreukregister wordt bewaard voor de levensduur van het platform plus 6 jaar (auditbewaring), ongeacht of externe melding vereist was.

8. Sub-verwerkers

Sub-verwerker	Doel	Locatie	Waarborgen
Microsoft Azure	Cloudinfrastructuur (App Service, Postgres, Blob, Key Vault, App Insights)	EEA (Sweden Central + Norway East)	Microsoft Online Services DPA + EU SCCs, ISO 27001, SOC 2 Type II
Stripe	Abonnementsfacturering & betalingsverwerking	Stripe Ierland (EEA), beperkte VS-ondersteuning	Stripe DPA + SCCs + PCI DSS
Resend	Transactionele e-mail (welkomst, herinneringen proefperiode, DSAR-reacties)	VS (Delaware)	DPA + SCCs (verificatie lopende)
Google Cloud Vision	OCR rijbewijs (wanneer klant rijbewijsverificatie inschakelt)	EU-regio's	Google Cloud DPA + EU SCCs, ISO 27001, SOC 2
Google / Microsoft (OAuth SSO)	Single sign-on identiteitstokens voor gebruikers die kiezen voor SSO	EEA (Microsoft Entra ID), wereldwijd (Google Workspace)	Microsoft / Google Cloud DPA's
Anthropic	Claude API voor in-product AI-assistent + tekstverwerking rijbewijs-OCR	VS (Californië)	Anthropic DPA + zero-retention-claim + SCCs

Klanten worden 30 dagen van tevoren geïnformeerd voordat een nieuwe sub-verwerker wordt toegevoegd.

9. Gegevensbeschermingseffectbeoordeling (DPIA)

Wij voeren DPIA's uit voor verwerkingsactiviteiten die hoge risico's voor betrokkenen met zich meebrengen. Aangezien YARDtwin voornamelijk operationele bedrijfsgegevens verwerkt (dockschema's, namen van vervoerders, voertuigregistraties) in plaats van gevoelige persoonsgegevens, is het risicoprofiel gematigd. DPIA's zijn afgerond voor: verwerking van audittrails, cross-tenant-analyse (platformbeheermodule) en beheer van nieuwsbriefabonnees.

10. Gegevensbescherming door ontwerp & standaard (Art. 25)

Door ontwerp: Multi-tenantarchitectuur met verplichte tenantscheiding. RBAC ingebouwd in elk API-eindpunt. Wachtwoorden worden nooit in leesbare tekst opgeslagen. Minimale gegevensverzameling in elke fase.

Standaard: Nieuwe accounts hebben minimale rechten. Optionele velden zijn werkelijk optioneel. Nieuwsbrief vereist actieve opt-in. Gegevensweergave beperkt op basis van rol.

11. Nalevingsstatus & Continue verbetering

Opgelost (per mei 2026)

✓ Migratie naar PostgreSQL Flexible Server (Azure-beheerd, transparante gegevensversleuteling in rust, point-in-time herstel van 7 dagen)
✓ Migratie naar Microsoft Azure (Sweden Central + Norway East, EEA) met App Service + ACR + Key Vault
✓ Secretenbeheer via Azure Key Vault (geen geheimen in .env of containerimages; toegang via managed identity)
✓ Geautomatiseerde DSAR auto-export (POST /api/v1/dsar/export/by-email — Art. 15 / 20)
✓ Geautomatiseerde DSAR auto-verwijdering (POST /api/v1/dsar/erase/by-email — Art. 17 met naleving auditbewaring)
✓ Cookiebanner v2 met vier categorieën (essentieel / functioneel / analyse / marketing) en Weigeren / Aanpassen / Alles accepteren
✓ Cross-tenant isolatieaudit geautomatiseerd; 25/25 cross-tenant toegangsvectoren geblokkeerd, regressiegetest bij elke release
✓ CI/CD beveiligingspijplijn: npm audit + Trivy + Semgrep + gitleaks + ZAP DAST
✓ Schema-drift waarschuwingen op Application Insights (venster van 15 minuten)
✓ End-to-end /health/db-write probe verifieert schrijfbare DB bij elke deploy
✓ App Insights schema-drift Action Group stuurt e-mail naar het piketadres bij Postgres "column / relation does not exist"-fouten
✓ Versleuteling op veldniveau (AES-256-GCM) voor biometrische gegevens (rijbewijsafbeeldingen, signature_data)
✓ Geautomatiseerde gegevensbewaring-opruiming (configureerbaar per locatie; pii-cleanup worker)
✓ 30-daagse proefperiode overal geharmoniseerd (registratie, marketingsite, voorwaarden, e-mails)
✓ End-to-end regressietest met 5.000 vrachtwagens dekt elk Site Admin-eindpunt met yard-view getrouwheidscontroles bij elke overgang (53.650/53.651 = 100%)
✓ Gegevensinventaris en Verwerkingsactiviteitenregister (Art. 30) gepubliceerd
✓ Register van sub-verwerkers bijgehouden en jaarlijks beoordeeld
✓ Privacy by design en by default gedocumenteerd (Art. 25)
✓ Web Application Firewall (Azure Front Door + beheerde WAF) beschermt yardtwin.com met OWASP Core Rule Set, botbeveiliging en L7 DDoS-mitigatie
✓ Geautomatiseerde inbreukdetectie — auth-anomalie worker (pieken in mislukte aanmeldingen, multi-IP-aanvallen, inloggen vanuit ander land), 5xx-snelheidswaarschuwingen, schema-drift waarschuwingen en /health/db-write probe
✓ Inbreukregister permanente tabel met volledige toestandsmachine en DPC-deadline-aftelling, zichtbaar in het SuperAdmin-paneel
✓ Action Group yardtwin-breach-actions stuurt e-mail naar admin@yardtwin.com en piketadressen bij elke detectie

Resterende verbeterpunten

11.1 Eerste externe CREST-penetratietest

Er is nog geen penetratietest door een derde partij uitgevoerd. Opdracht is ingekaderd (Cobalt.io, ~€6–8k voor web-app + geauthenticeerde test). Intern testen heeft tot nu toe 27 bevindingen opgelost. Prioriteit: Hoog. Streefdatum: Q3 2026.

11.2 Aanstelling Functionaris voor Gegevensbescherming

Een externe fractie-FG wordt gecontracteerd vóór de eerste betalende farmaceutische zakelijke klant. Vereist voor geloofwaardige leveranciersinschrijving, ook waar niet strikt verplicht door Art. 37. Prioriteit: Hoog. Streefdatum: Vóór de eerste betalende zakelijke klant.

11.3 ISO 27001-certificering

Skelet van de toepasselijkheidsverklaring volledig, met mapping van alle 93 Annex A-beheersmaatregelen (~32 AANWEZIG, ~25 GEDEELTELIJK, ~22 HIAAT, ~14 N.V.T.). Inschakeling van een externe hoofdauditor is de volgende stap; het volledige certificeringstraject duurt 9–12 maanden. Prioriteit: Gemiddeld. Streefdatum: Q4 2026 — certificeringsaudit Q1 2027.

11.4 SOC 2 Type II

Vereist voor Amerikaanse zakelijke klanten. Kan het beste worden nagestreefd nadat ISO 27001 is behaald — de meeste beheersmaatregelen overlappen. Prioriteit: Gemiddeld. Streefdatum: 2027.

11.5 Geo-redundante secundaire regio

YARDtwin draait op Azure App Service met point-in-time back-upherstel (venster van 7 dagen), maar is single-region. Een geo-redundante secundaire locatie in een andere EEA-regio kan de RTO bij regionale storingen terugbrengen van uren naar minuten. Prioriteit: Gemiddeld. Streefdatum: Q4 2026.

11.6 Resend & Anthropic SCC-verificatie

Beide sub-verwerkers dragen gegevens over naar de VS op basis van SCC's. Schriftelijke bevestiging van aanvullende maatregelen voor FISA 702 wordt verzameld als onderdeel van de jaarlijkse beoordeling van sub-verwerkers. Prioriteit: Gemiddeld. Streefdatum: Q3 2026.

11.7 Bug Bounty-programma

Een privé bug bounty-programma (HackerOne / Intigriti) is gepland na de tweede succesvolle externe penetratietest, voor continue externe dekking tussen jaarlijkse tests. Prioriteit: Laag. Streefdatum: 2027.

12. Contact & Functionaris voor Gegevensbescherming

Functionaris voor Gegevensbescherming: dpo@yardtwin.com — een externe fractional FG wordt gecontracteerd (zie 11.2); tot de aanstelling wordt e-mail naar dit adres doorgestuurd naar admin@yardtwin.com voor afhandeling.

Algemene vragen: admin@yardtwin.com

Verzoeken van betrokkenen: Dien in via ons DSAR-portaal

Verwerkersovereenkomst: Bekijk en accepteer op /dpa

Toezichthoudende autoriteit: Data Protection Commission (DPC), Ierland · www.dataprotection.ie · +353 (0)761 104 800