Beveiliging bij YARDtwin

YARDtwin draait op Microsoft Azure met Norway East voor rekenkracht en Sweden Central voor data, registry en secrets. Alle klantgegevens blijven binnen de EU/EEA, conform GDPR-artikelen 44–49.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privécontainers
• Azure Key Vault — Sweden Central, RBAC-beheerd
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — 90 dagen retentie

Alle klantgegevens worden opgeslagen en verwerkt binnen de EU/EER — gehost in de Microsoft Azure-regio's Norway East (applicatie, opslag) en Sweden Central (database, secrets). Noorwegen is een EER-staat waarop de GDPR van toepassing is, waardoor dit een intra-EER-regeling betreft waarvoor geen overdrachtsmechanisme op grond van Hoofdstuk V vereist is. Het aanmaken van resources buiten de goedgekeurde regio's wordt op platformniveau geblokkeerd via een Azure Policy "Deny"-toewijzing, zodat klantgegevens niet buiten de EU/EER kunnen worden ingericht. Waar een subverwerker met beperkte reikwijdte buiten de EER actief is (bijvoorbeeld AI OCR of e-mailbezorging), worden overdrachten beheerst door EU-standaardcontractbepalingen en wordt uitsluitend de strikt noodzakelijke data verstuurd.

YARDtwin maakt gebruik van een beperkte, zorgvuldig geselecteerde set subverwerkers om de dienst te leveren. Elke subverwerker is gebonden aan een verwerkersovereenkomst (DPA). Wij houden dit register bij en informeren klanten over wezenlijke wijzigingen conform GDPR Artikel 28.

YARDtwin gebruikt AI voor het uitlezen van rijbewijzen en verzenddocumenten (OCR), voor de in-app assistent en voor het genereren van spraakbegeleiding. AI-verwerking is ondersteunend: de uitvoer wordt voorgelegd aan een persoon — zo bevestigt een gate-operator elke check-in — en YARDtwin neemt geen geautomatiseerde beslissingen met juridische of vergelijkbare significante gevolgen voor personen (GDPR Artikel 22).

• Klantgegevens worden niet gebruikt voor het trainen van AI-modellen van derden — onze AI-subverwerkers verwerken gegevens uitsluitend om een resultaat te retourneren voor uw verzoek.
• Dataminimalisatie: AI-document OCR kan per site worden uitgeschakeld, zodat sites die de voorkeur geven aan handmatige invoer nooit documenten naar een AI-aanbieder sturen.
• Menselijk toezicht: geëxtraheerde velden zijn controleerbaar en bewerkbaar voordat ze worden vastgelegd in het dossier.

Strikte CSP met per-verzoek nonces op scripts (geen unsafe-inline). Volledige set beveiligingsheaders bij elk antwoord: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Onafhankelijke penetratietest op 17–18 april 2026 (10 OWASP-categorieën, 36 payloads): 0 kwetsbaarheden.Functionele beveiligingstesting op 11 april 2026 met meer dan 1.890 API-aanroepen over 270 afspraken: 0 fouten.Jaarlijkse externe pentest gepland en SOC 2 Type II-audit in uitvoering.

• EU GMP Annex 11 — Gegevensintegriteit (ALCOA+), append-only audittrail, elektronische records, toegangsbeheer, gevalideerd
• 21 CFR Part 11 — Elektronische records, audittrail, toewijzing, verzegelde bewakingsketen
• GDPR — Gegevensoverdraagbaarheid (JSON + CSV), DSAR-workflow, toestemmingsbeheer, uitsluitend EU/EEA-opslag
• SOC 2 Type II — Audit in uitvoering

• Vendor Assurance Pack (PDF) — QMS-documentenindex, GAMP 5-categorisering, clausulemappings voor Annex 11 en 21 CFR Part 11, ALCOA+-verklaring, beveiligingsarchitectuur, een ingevulde CAIQ-Lite en een volledige lijst van wat wij nog niet in bezit hebben. Geen formulier vereist.
• GMP Auditgereedheidscontrolelijst voor Yardoperaties — 101 controles verdeeld over 12 domeinen voor het beoordelen van uw eigen yard aan de hand van Annex 11, 21 CFR Part 11 en de EU GDP-richtlijnen.
• Verwerkersovereenkomst (DPA) sjabloon — voor bedrijfsreview & ondertekening
• GDPR-beleid
• Privacybeleid
• security.txt
• Servicestatuspagina — live zelfgerapporteerde platformstatus, beschikbaarheidsverplichtingen en incidentgeschiedenis.

Wij verwelkomen meldingen van beveiligingsonderzoekers. Stuur een e-mail naar admin@yardtwin.commet een beschrijving van de bevinding en stappen om deze te reproduceren. Wij bevestigen ontvangst binnen 2 werkdagen en streven ernaar kritieke problemen binnen 7 dagen te verhelpen. Gelieve kwetsbaarheden niet openbaar te maken voordat wij de kans hebben gehad deze te verhelpen.