Beveiliging bij YARDtwin

YARDtwin draait op Microsoft Azure met Norway East voor compute en Sweden Central voor data, registry en secrets. Klantgegevens worden opgeslagen in de EU/EEA; de beperkte overdrachten naar subverwerkers buiten de EEA staan hieronder vermeld en worden gedekt door Standaard Contractuele Clausules.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privécontainers
• Azure Key Vault — Sweden Central, RBAC-beheerd
• Azure Front Door + WAF — preventiemodus, aangepaste rate-limitregels
• Azure Monitor-waarschuwingen voor fouten, latentie en beschikbaarheid, plus Azure Service Health-waarschuwingen

Klantgegevens worden gehost in Microsoft Azure-regio's in de EU/EEA — Norway East (applicatie, opslag) en Sweden Central (database, geheimen). Noorwegen is een EEA-staat waarop de AVG van toepassing is, waardoor dit een intra-EEA-regeling betreft waarvoor geen hoofdstuk V-overdrachtsmechanisme vereist is. Het aanmaken van resources buiten de goedgekeurde regio's wordt op platformniveau geblokkeerd door een Azure Policy "Deny"-toewijzing, zodat klantgegevens niet buiten de EU/EEA kunnen worden ingericht. Sommige functies sturen gegevens naar de hieronder genoemde subverwerkers (en op /subprocessors), waaronder enkele buiten de EEA — bijvoorbeeld Anthropic in de VS voor AI-functies, en e-mailbezorging — onder EU-Standaard Contractuele Clausules (en het EU-VS Data Privacy Framework waar de ontvanger gecertificeerd is); alleen de minimaal noodzakelijke gegevens worden verzonden.

YARDtwin maakt gebruik van een beperkte, zorgvuldig geselecteerde set subverwerkers om de dienst te leveren. Elke subverwerker is gebonden aan een verwerkersovereenkomst (DPA). Wij houden dit register bij en informeren klanten over wezenlijke wijzigingen conform artikel 28 AVG.

Uitsluitend website-services (geen operationele klantgegevens)

Deze draaien uitsluitend op de openbare website. Ze ontvangen geen operationele klantgegevens en zijn daarvoor geen subverwerker; eventuele cookies worden alleen met toestemming geladen.

YARDtwin gebruikt AI om rijbewijzen en verzenddocumenten te lezen (OCR), om een poortfoto van een chauffeur één-op-één te vergelijken met het rijbewijs of de opgeslagen chauffeurfoto waar een site dit activeert, om de in-app assistent aan te sturen en om spraakbegeleiding te genereren. AI-verwerking is ondersteunend: de uitvoer wordt aan een persoon gepresenteerd — bij een bemande poort bevestigt een poortoperator bijvoorbeeld elke incheck. Waar een site automatische incheck vanuit nummerplaatcamera's of een onbemande poort activeert, wordt een vrachtwagen waarvan de boeking eenduidig overeenkomt, ingecheckt zonder poortoperator; al het overige wordt doorgegeven aan het poortpersoneel. YARDtwin neemt geen geautomatiseerde beslissingen die juridische of vergelijkbaar ingrijpende gevolgen voor personen hebben (artikel 22 AVG).

• Klantgegevens worden niet gebruikt voor het trainen van AI-modellen van derden — onze AI-subverwerkers verwerken gegevens uitsluitend om een resultaat te retourneren voor uw verzoek.
• Dataminimalisatie: AI-document OCR kan per site worden uitgeschakeld, zodat sites die de voorkeur geven aan handmatige invoer nooit documenten naar een AI-aanbieder sturen.
• Menselijk toezicht: geëxtraheerde velden zijn controleerbaar en bewerkbaar voordat ze worden vastgelegd in het dossier.

Strikte CSP met per-verzoek nonces op scripts (geen unsafe-inline). Volledige set beveiligingsheaders bij elk antwoord: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Er is nog geen penetratietest door een derde partij uitgevoerd; een onafhankelijke test is gepland vóór de eerste enterprise go-live. Een interne white-box codeaudit werd afgerond in oktober 2026 en alle kritieke bevindingen zijn verholpen.

Functionele beveiligingstesting op 11 april 2026 met meer dan 1.890 API-aanroepen over 270 afspraken: 0 fouten.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Back-ups: herstel naar een willekeurig punt in de afgelopen 7 dagen, plus maandelijkse versleutelde back-ups bewaard tot 7 jaar onder een tijdgebonden onveranderlijkheidsbeleid dat verwijdering en overschrijving blokkeert (beleid nog niet vergrendeld).
• Dagelijkse back-up: elke nacht wordt een volledige kopie van de database gemaakt en 35 dagen bewaard in afzonderlijke versleutelde opslag in de EEA (Sweden Central, geo-gerepliceerd naar Sweden South).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Gegevensintegriteit (ALCOA+), append-only audittrail, elektronische records, toegangsbeheer, gevalideerd
• 21 CFR Part 11 — Elektronische records, audittrail, toewijzing, chain of custody van zegels
• GDPR — Gegevensoverdraagbaarheid (JSON + CSV), DSAR-workflow, toestemmingsbeheer, uitsluitend EU/EEA-opslag
• ISO 27001 — Certificeringsprogramma in uitvoering; certificeringsaudit gepland voor Q1 2027; certificaat beoogd Q1 2027
• SOC 2 — Niet in bezit. Beschikbaar op verzoek na ISO 27001-certificering.

• Vendor Assurance Pack v1.2 — QMS-documentenindex, GAMP 5-categorisering, EU GMP Annex 11 en 21 CFR Part 11 clausulemappings, ALCOA+-verklaring, beveiligingsarchitectuur, een ingevulde CAIQ-Lite, alle correcties op v1.1 en de volledige lijst van openstaande punten. PDF, geen formulier vereist.
• GMP Auditgereedheidscontrolelijst voor Yardoperaties — 101 controles verdeeld over 12 domeinen voor het beoordelen van uw eigen yard aan de hand van Annex 11, 21 CFR Part 11 en de EU GDP-richtlijnen.
• Verwerkersovereenkomst — versie ter beoordeling op verzoek verkrijgbaar via dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• AVG-beleid
• Privacybeleid
• security.txt
• Servicestatuspagina — live zelfgerapporteerde platformstatus, beschikbaarheidsverplichtingen en incidentgeschiedenis.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Wij verwelkomen meldingen van beveiligingsonderzoekers. Stuur een e-mail naar admin@yardtwin.commet een beschrijving van de bevinding en stappen om deze te reproduceren. Wij bevestigen ontvangst binnen 2 werkdagen en streven ernaar kritieke problemen binnen 7 dagen te verhelpen. Gelieve kwetsbaarheden niet openbaar te maken voordat wij de kans hebben gehad deze te verhelpen.

Vragen over persoonsgegevens, de DPA, subverwerkers of rechten van betrokkenen kunnen worden gericht aan dpo@yardtwin.com. Dit is een rolmailbox die wordt bewaakt door de persoon die verantwoordelijk is voor gegevensbescherming bij YARDtwin Ltd. YARDtwin heeft geen wettelijke Functionaris voor Gegevensbescherming aangewezen op grond van artikel 37 AVG, wat niet verplicht is voor de verwerkingen die het uitvoert; wij publiceren het contactadres in plaats van de naam van een individu. Verzoeken van betrokkenen kunnen ook worden ingediend via de DSAR-portal. /data-request