Polityka GDPR

Ostatnia aktualizacja: 17 października 2026 r. · v3.4 · Zmiany w v3.4: sekcje 4.3 i 5 — po zakończeniu umowy klient otrzymuje pełny eksport swojego dziennika audytu przed jego usunięciem, chyba że odmówi eksportu na piśmie lub nie będzie możliwe skontaktowanie się z nim po podjęciu uzasadnionych prób; YARDtwin przechowuje następnie dane dziennika audytu wyłącznie na podstawie pisemnej instrukcji klienta, z wyjątkiem kopii zapasowych do czasu ich wygaśnięcia oraz własnego zapisu przekazania.

Obowiązujące przepisy: Ogólne Rozporządzenie UE o Ochronie Danych (2016/679), irlandzka ustawa o ochronie danych z 2018 r.

1. Nasze zobowiązanie

YARDtwin Ltd jest w pełni zaangażowana w przestrzeganie Ogólnego Rozporządzenia o Ochronie Danych (GDPR). Działając zarówno jako administrator danych (w zakresie własnych danych klientów), jak i podmiot przetwarzający dane (obsługujący dane operacyjne w imieniu klientów), wdrażamy odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych na każdym etapie przetwarzania.

2. Role i odpowiedzialności

YARDtwin jako administrator danych: Określamy cele i środki przetwarzania danych osobowych w zakresie zarządzania kontem, rozliczeń, subskrypcji newslettera oraz pomiaru działań marketingowych na naszej publicznej witrynie (LinkedIn Insight Tag ładowany wyłącznie za zgodą na pliki cookie marketingowe). Obecnie nie używamy analitycznych plików cookie.

YARDtwin jako podmiot przetwarzający: Gdy klienci wprowadzają dane operacyjne (rezerwacje, dane przewoźników, imiona i nazwiska kierowców, protokoły kontroli) do platformy, YARDtwin działa jako podmiot przetwarzający dane w ich imieniu. Każdy klient (najemca) jest administratorem swoich danych operacyjnych.

Obowiązki klientów: Klienci są odpowiedzialni za zapewnienie podstawy prawnej dla danych osobowych wprowadzanych do YARDtwin (np. imiona i nazwiska kierowców, dane kontaktowe przewoźników, numery rejestracyjne pojazdów). Klienci zobowiązani są do informowania swoich podmiotów danych o przetwarzaniu danych za pośrednictwem YARDtwin.

3. Umowa o przetwarzaniu danych (DPA)

Wszyscy klienci mogą zapoznać się z naszą Umową o Przetwarzaniu Danych i zaakceptować ją za pośrednictwem samoobsługowej strony DPA. Klienci planów płatnych mogą poprosić o Umowę o Przetwarzaniu Danych do wglądu pod adresem dpo@yardtwin.com; egzemplarz podpisany obustronnie zostanie wydany po zakończeniu rejestracji spółki.

4. Środki techniczne (art. 32 GDPR)

4.1 Szyfrowanie

Wszystkie dane szyfrowane podczas transmisji (TLS 1.2+). Hasła haszowane algorytmem bcrypt (12 rund). PostgreSQL Flexible Server stosuje przezroczyste szyfrowanie danych w spoczynku. Azure Blob Storage szyfrowany w spoczynku. Zdjęcia praw jazdy i podpisy są szyfrowane w spoczynku algorytmem AES-256 przez Azure Storage i Azure Database for PostgreSQL (klucze zarządzane przez Microsoft), a dostęp do nich jest ograniczony według roli i organizacji. Tokeny JWT kryptograficznie podpisane (HS256). Sekrety zarządzane przez Azure Key Vault, do którego dostęp ma tożsamość zarządzana App Service — żadnych sekretów w kodzie, plikach środowiskowych ani obrazach kontenerów.

4.2 Kontrola dostępu

Kontrola dostępu oparta na rolach (RBAC) na uwierzytelnionych trasach, z wymuszaniem zakresu najemcy po stronie serwera. Izolacja najemców jest testowana automatycznie przed każdym wydaniem: kontrola bramkowa wykonuje przegląd krzyżowy między najemcami, wywołując API jako jedna organizacja z identyfikatorami rekordów innej organizacji; wydanie zostaje zablokowane, jeśli jakiekolwiek dane tej organizacji mogą zostać odczytane lub zmienione. Jednokrotne logowanie (SAML 2.0, Google, Microsoft); MFA oparte na jednorazowych hasłach czasowych — obowiązkowe dla administratorów platformy, dostępne dla wszystkich użytkowników.

4.3 Ścieżki audytu

Pełne rejestrowanie działań użytkowników w dzienniku audytu: tożsamość użytkownika, znacznik czasu, adres IP, rodzaj działania, podmiot, którego działanie dotyczy, stare i nowe wartości. Działania istotne z punktu widzenia GMP są oznaczane oddzielnie (is_gmp_relevant=1). Z wykrywaniem manipulacji i wyłącznie do dołączania, wymuszane na poziomie bazy danych za pomocą łańcucha skrótów; wpisy istotne z punktu widzenia GMP przechowywane przez co najmniej 7 lat w okresie obowiązywania umowy o świadczenie usług, pozostałe wpisy audytu — przez 365 dni. Pseudonimizowane, lecz nie usuwane w przypadku żądania usunięcia na podstawie Art. 17 (nadrzędny obowiązek prawny na podstawie Art. 17(3)(b)). Po zakończeniu umowy klient otrzymuje pełny eksport swojego dziennika audytu przed jego usunięciem, chyba że odmówi eksportu na piśmie lub nie będzie możliwe skontaktowanie się z nim po podjęciu uzasadnionych prób; YARDtwin przechowuje dane dłużej wyłącznie na podstawie pisemnej instrukcji klienta, z wyjątkiem kopii zapasowych do czasu ich wygaśnięcia oraz własnego zapisu przekazania.

4.4 Bezpieczeństwo infrastruktury

Hostowane na Microsoft Azure (Sweden Central + Norway East, EOG). Konteneryzowana usługa App Service wdrażana przez Azure Container Registry z użyciem slotu przejściowego i zamiany. Ruch dociera do aplikacji przez Azure Front Door z zaporą aplikacji internetowych (WAF) w trybie zapobiegania; baza danych akceptuje połączenia wyłącznie z usług Azure oraz z listy dozwolonych adresów IP administratorów. Application Insights z alertem o dryfie schematu dotyczącym błędów Postgres "column / relation does not exist" (okno 15 minut). Kompleksowa sonda /health/db-write weryfikuje zdolność aplikacji do zapisu i odczytu bazy danych przy każdym wdrożeniu.

4.5 Minimalizacja danych

Zbieramy wyłącznie dane niezbędne do świadczenia usług. Opcjonalne pola kierowcy (telefon, e-mail) mogą pozostać puste, jeśli pozwala na to proces klienta. Pracownicy bramy mogą wykonać zdjęcie twarzy kierowcy jako dowód przy wjeździe. Jeśli dany obiekt włączy porównywanie twarzy z wykorzystaniem AI, nasz dostawca AI (Anthropic) porównuje to zdjęcie jeden do jednego ze zdjęciem z prawa jazdy lub zapisanym zdjęciem kierowcy, aby pomóc pracownikom potwierdzić tożsamość kierowcy. Wynik jest wskazówką: decyzję podejmuje pracownik bramy, który może wpuścić kierowcę niepotwierdzanego przez porównanie, podając powód. Każde porównanie jest rejestrowane na naszych serwerach wraz z jego wynikiem. Gdy porównywanie twarzy jest wyłączone (ustawienie domyślne), żadne zdjęcie twarzy nie jest wysyłane do dostawcy AI, a pracownicy samodzielnie porównują kierowcę ze zdjęciem z prawa jazdy; zdjęcia praw jazdy są nadal odczytywane przez AI, jeśli funkcja odczytu AI jest włączona. YARDtwin nie przechowuje szablonów twarzy i nie przeprowadza identyfikacji jeden-do-wielu. Newsletter zbiera wyłącznie adres e-mail i opcjonalną nazwę firmy.

4.6 Łańcuch dostaw oprogramowania

Każdy pull request musi przejść kontrolę npm audit (podatności zależności), Semgrep (analiza statyczna) i gitleaks (skanowanie sekretów), zanim zostanie scalony; dodatkowo wykonywane jest doradcze skanowanie obrazu kontenera przez Trivy. Testy te są również uruchamiane przy każdym wypchnięciu do gałęzi master oraz nocą, wraz z doradczym skanowaniem OWASP ZAP (testy dynamiczne) środowiska produkcyjnego. Alerty Dependabot informują o nowo ujawnionych podatnościach w używanych zależnościach.

5. Prawa osób, których dane dotyczą (Rozdział III GDPR)

Umożliwiamy realizację wszystkich praw podmiotów danych:

Prawo dostępu (art. 15): Użytkownicy mogą złożyć wniosek o kopię wszystkich przechowywanych przez nas danych osobowych. Administratorzy najemcy mogą eksportować dane swojej organizacji. Pozostałe podmioty danych (kierowcy, subskrybenci newslettera, potencjalni klienci) mogą złożyć wniosek za pośrednictwem Portal DSAR.

Prawo do sprostowania danych (art. 16): Użytkownicy mogą aktualizować dane swojego profilu na stronie Ustawienia. Administratorzy najemców mogą aktualizować dane dowolnego użytkownika w swojej organizacji.

Prawo do usunięcia danych (art. 17): Wnioski o usunięcie konta są realizowane w ciągu 30 dni. Wniosek należy złożyć przez Portal DSAR. Realizowane wewnętrznie przez POST /api/v1/dsar/erase/by-email które na zweryfikowany wniosek anonimizuje własne konta użytkownika danej osoby w wybranych kontach klientów i usuwa jej sesje, tokeny, powiadomienia, oczekujące zaproszenia, zapisy dotyczące newslettera i rejestracji oraz własny awatar. Rekordy operacyjne przechowywane przez klienta (rezerwacje, zapisy bramkowe i wizytowe, rejestr kierowców, kontakty) stanowią rekordy klienta jako administratora i są wymienione, aby klient mógł podjąć stosowne działania. Dziennik audytu przechowuje anonimizowane odwołanie do aktora dla zachowania integralności GMP; dane audytu istotne dla GMP są przechowywane przez co najmniej 7 lat w trakcie obowiązywania umowy o świadczenie usług, zgodnie z nadrzędną zasadą obowiązku prawnego Art. 17(3)(b), a po zakończeniu umowy eksportowane do klienta (chyba że klient odmówi na piśmie lub nie będzie można się z nim skontaktować po podjęciu uzasadnionych prób) i następnie usuwane.

Prawo do ograniczenia przetwarzania (art. 18): Użytkownicy mogą złożyć wniosek o ograniczenie przetwarzania. Dane zostaną oznaczone, a przetwarzanie zostanie wstrzymane z wyjątkiem ich przechowywania.

Prawo do przenoszenia danych (art. 20): Dane można eksportować w formatach CSV i JSON. Eksport obejmuje dane dotyczące wizyt, dane przewoźników oraz dzienniki audytu.

Prawo do sprzeciwu (art. 21): Użytkownicy mogą wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionych interesach. Rezygnacja z newslettera jest możliwa za pomocą linku jednym kliknięciem w każdej wiadomości e-mail.

Prawo w zakresie zautomatyzowanego podejmowania decyzji (art. 22): YARDtwin nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które w istotny sposób wpływają na osoby fizyczne.

6. Zarządzanie zgodami

Newsletter: Wymagana jest wyraźna zgoda (opt-in). Rejestrowany jest znacznik czasu zgody oraz adres IP. W każdej wiadomości znajduje się link do rezygnacji z subskrypcji. Zgoda może zostać wycofana w dowolnym momencie bez wpływu na dostęp do usługi.

Warunki korzystania z usługi: Utworzenie konta jest równoznaczne z akceptacją Warunków korzystania z usługi (podstawa umowna). Użytkownicy są informowani o przetwarzaniu danych podczas rejestracji.

Pliki cookie: Baner zgody na pliki cookie jest wyświetlany podczas pierwszej wizyty zgodnie z dyrektywą ePrivacy. Użytkownicy mogą wybrać wyłącznie niezbędne pliki cookie lub wszystkie pliki cookie. Preferencje są przechowywane lokalnie i można je zmienić w dowolnym momencie.

7. Procedury w przypadku naruszenia danych (art. 33–34)

Automatyczne wykrywanie: Usługa monitorowania naruszeń sprawdza dziennik audytu co 5 minut i rejestruje trzy pierwsze poniższe anomalie jako potencjalne incydenty; pozostałe trzy stanowią oddzielne alerty monitorowania Azure:

≥10 nieudanych logowań dla jednego adresu e-mail w ciągu 1 godziny
≥5 różnych źródłowych adresów IP atakujących jeden adres e-mail w ciągu 24 godzin
Pomyślne logowanie z adresu IP, który nie był wcześniej obserwowany dla danego użytkownika w ciągu ostatnich 30 dni
Więcej niż 10 błędów serwera (HTTP 5xx) w ciągu 5 minut
Błędy Postgres "column / relation does not exist" (dryfowanie schematu, App Insights)
Test dostępności witryny (uruchamiany co 10 minut) zakończony niepowodzeniem lub wolną odpowiedzią

Rejestr Naruszeń: Każda wykryta anomalia jest zapisywana do tabeli breach_register z maszyną stanów (wykryto → w trakcie badania → potwierdzone → zgłoszone → zamknięte), poziomem ważności, zakresem, podmiotami danych, odliczaniem terminu dla organu ochrony danych oraz historią audytu. Widoczne w panelu SuperAdmin "Rejestr Naruszeń".

Routing Alertów: Zdarzenia wykrycia są kierowane do grupy Azure Monitor Action Group yardtwin-breach-actions, która wysyła e-maile na kontakt założyciela admin@yardtwin.com. Zdarzenia dryfowania schematu korzystają z istniejącej grupy yardtwin-schema-drift-actions .

Ocena: W ciągu 24 godzin od wykrycia zespół techniczny dokonuje oceny incydentu w panelu rejestru naruszeń: zakres, podmioty danych, poziom ważności (kryterium "ryzyka dla praw i wolności" z art. 33 ust. 1) oraz przyczyna źródłowa.

Zgłoszenie do organu ochrony danych (art. 33): W ciągu 72 godzin od stwierdzenia naruszenia stwarzającego ryzyko. Panel rejestru naruszeń wyświetla aktywny licznik 72-godzinny od momentu oznaczenia incydentu jako potwierdzone.

Powiadomienie Podmiotów Danych (art. 34): Bez zbędnej zwłoki, jeżeli naruszenie stwarza wysokie ryzyko dla praw i wolności tych osób.

Powiadomienie Klientów: Administratorzy dotkniętego najemcy są powiadamiani bez zbędnej zwłoki, a w każdym przypadku w ciągu 48 godzin od uzyskania przez nas informacji o naruszeniu danych osobowych dotyczącym danych tego najemcy; wstępne powiadomienie jest przekazywane w ciągu 24 godzin od każdego potwierdzonego incydentu bezpieczeństwa wpływającego na te dane.

Dokumentacja: Każdy wpis w rejestrze naruszeń jest przechowywany bez automatycznego usuwania, niezależnie od tego, czy wymagane było zewnętrzne powiadomienie.

8. Podprzetwarzający

Podprzetwarzający	Cel	Lokalizacja	Zabezpieczenia
Microsoft Azure	Hosting, baza danych i przechowywanie plików	EOG — Sweden Central i Norway East (geograficznie nadmiarowa kopia przesłanych plików w Norway West)	Microsoft Products and Services DPA; dane pozostają w EOG
Anthropic	Odczyt AI prawa jazdy i dokumentów kierowcy (domyślnie włączony; administrator witryny może go wyłączyć), porównanie jeden do jednego zdjęcia kierowcy z bramy z prawem jazdy lub zapisanym zdjęciem kierowcy (domyślnie wyłączone; administrator witryny może je włączyć lub wyłączyć) oraz asystent w aplikacji	USA	Standardowe klauzule umowne i ocena skutków transferu (nie certyfikowany w ramach Ramowych Zasad Ochrony Danych UE–USA); dane API nie są wykorzystywane do trenowania modeli i są usuwane w ciągu 30 dni zgodnie ze standardowymi warunkami handlowymi Anthropic
Resend	Transakcyjna poczta e-mail	USA	Standardowe klauzule umowne (ponowna certyfikacja w ramach Ramowych Zasad Ochrony Danych UE–USA jest w trakcie przeglądu)
Stripe	Dane kontaktowe do rozliczeń i dane płatności (YARDtwin nie przechowuje numerów kart)	UE / USA	Standardowe klauzule umowne; PCI DSS Level 1
Twilio	Powiadomienia SMS i WhatsApp (tylko jeśli klient je włączy)	USA	Standardowe klauzule umowne
Google and Microsoft	Dane tożsamości logowania (tylko jeśli klient korzysta z tych opcji logowania)	UE / USA	Standardowe klauzule umowne / EU-US Data Privacy Framework
ElevenLabs	Opcjonalna synteza mowy: odczytuje głosem odpowiedzi asystenta w aplikacji, które mogą zawierać szczegóły operacyjne, takie jak numery rejestracyjne pojazdów, oraz głos na stronach publicznych	USA	Ramowe Zasady Ochrony Danych UE–USA + Standardowe klauzule umowne

Klienci udzielają ogólnej pisemnej zgody na korzystanie z podprzetwarzających wymienionych powyżej. O każdym nowym podprzetwarzającym informujemy z co najmniej 30-dniowym wyprzedzeniem; klient może zgłosić sprzeciw z uzasadnionych powodów, a jeśli sprzeciwu nie można rozwiązać, ma prawo rozwiązać umowę na daną usługę bez ponoszenia kar.

Usługi wyłącznie na stronie internetowej (bez operacyjnych danych klientów)

Działają wyłącznie na publicznej stronie internetowej. Nie otrzymują żadnych operacyjnych danych klientów i nie są ich podmiotami przetwarzającymi; te, które ustawiają pliki cookie, ładują się tylko po wyrażeniu zgody.

Dostawca	Cel	Lokalizacja	Zabezpieczenie transferu
LinkedIn Insight Tag	Pomiar skuteczności marketingu na stronach publicznych — ładuje się tylko po wyrażeniu zgody na pliki cookie marketingowe, nigdy wewnątrz aplikacji ani dla zalogowanych użytkowników	UE / USA	Zgoda; LinkedIn DPA ze standardowymi klauzulami umownymi

9. Ocena skutków dla ochrony danych (DPIA)

Klienci, jako administratorzy danych, decydują, czy ich przetwarzanie w YARDtwin wymaga DPIA. Pakiet danych wejściowych do DPIA jest dostępny dla klientów na potrzeby ich własnej oceny. YARDtwin przetwarza głównie biznesowe dane operacyjne (harmonogramy doków, nazwy przewoźników, numery rejestracyjne pojazdów), a nie wrażliwe dane osobowe.

10. Ochrona danych w fazie projektowania i domyślna ochrona danych (Art. 25)

W fazie projektowania: Architektura wielodostępna z obowiązkową izolacją dzierżawców. RBAC wbudowany w każdy punkt końcowy API. Hasła nigdy nie są przechowywane w postaci jawnego tekstu. Minimalne zbieranie danych na każdym etapie.

Domyślnie: Nowe konta mają minimalne uprawnienia. Pola opcjonalne są naprawdę opcjonalne. Newsletter wymaga aktywnego wyrażenia zgody. Widoczność danych ograniczona według roli.

11. Status zgodności i ciągłe doskonalenie

Zrealizowane (stan na maj 2026)

✓ Migracja do PostgreSQL Flexible Server (zarządzane przez Azure, szyfrowanie danych w spoczynku, odtwarzanie do punktu w czasie z 7-dniowym oknem)
✓ Migracja do Microsoft Azure (Szwecja Środkowa + Norwegia Wschodnia, EOG) z App Service + ACR + Key Vault
✓ Zarządzanie sekretami przez Azure Key Vault (brak sekretów w plikach .env lub obrazach kontenerów; dostęp przez tożsamość zarządzaną)
✓ Automatyczny eksport DSAR (POST /api/v1/dsar/export/by-email — Art. 15 / 20)
✓ Automatyczne usuwanie danych DSAR (POST /api/v1/dsar/erase/by-email — Art. 17 z zachowaniem zgodności retencji audytu)
✓ Baner cookies v2 z czterema kategoriami (niezbędne / funkcjonalne / analityczne / marketingowe) oraz opcjami Odrzuć / Dostosuj / Zaakceptuj wszystkie
✓ Audyt izolacji międzydzierżawczej automatyczny przegląd krzyżowy między najemcami w bramce wydania, przed każdym wydaniem: wywołuje API jako jedna organizacja z identyfikatorami rekordów innej organizacji, a wydanie zostaje zablokowane, jeśli jakiekolwiek dane tej organizacji mogą zostać odczytane lub zmienione
✓ Pipeline bezpieczeństwa CI/CD: npm audit + Trivy + Semgrep + gitleaks + ZAP DAST
✓ Alerty dryftu schematu w Application Insights (okno 15-minutowe)
✓ Kompleksowa sonda /health/db-write weryfikująca możliwość zapisu do bazy danych przy każdym wdrożeniu
✓ Grupa akcji dryftu schematu App Insights wysyła wiadomość e-mail na kontakt założyciela admin@yardtwin.com w przypadku błędów Postgres "column / relation does not exist"
✓ Zdjęcia praw jazdy i podpisy (signature_data) chronione szyfrowaniem AES-256 w spoczynku w Azure Storage i Azure Database for PostgreSQL (klucze zarządzane przez Microsoft), z dostępem ograniczonym według roli i organizacji
✓ Automatyczne usuwanie danych zgodnie z polityką retencji (konfigurowalnie per lokalizacja; worker pii-cleanup)
✓ 30-dniowy okres próbny ujednolicony w całym systemie (rejestracja, strona marketingowa, regulaminy, e-maile)
✓ Test regresji end-to-end dla 5 000 ciężarówek obejmujący wszystkie punkty końcowe Administratora Lokalizacji z asercjami wierności widoku placu na każdym przejściu (53 650/53 651 = 100%)
✓ Inwentaryzacja danych i Rejestr Czynności Przetwarzania (art. 30) opublikowany
✓ Rejestr podprzetwarzających prowadzony i przeglądany corocznie
✓ Ochrona danych w fazie projektowania i domyślna ochrona danych udokumentowane (art. 25)
✓ Web Application Firewall (Azure Front Door WAF, Prevention mode) chroniąca yardtwin.com za pomocą niestandardowych reguł ograniczania liczby żądań na punktach końcowych uwierzytelniania i odzyskiwania konta oraz ochrony przed atakami DDoS w warstwie L7 na poziomie platformy. Zarządzany zestaw reguł OWASP nie jest dołączony; wymaga to warstwy Front Door Premium
✓ Automatyczne wykrywanie naruszeń — usługa monitorowania naruszeń (skoki nieudanych logowań, próby logowania na jedno konto z wielu adresów IP, pomyślne logowania z adresu IP niewidzianego dla danego użytkownika przez 30 dni), alert skoku błędów 5xx, alert dryftu schematu oraz test dostępności witryny
✓ Rejestr naruszeń trwała tabela z pełnym automatem stanów i odliczaniem terminu DPC, widoczna w panelu SuperAdmin
✓ Grupa akcji yardtwin-breach-actions wysyła e-mail na kontakt założyciela admin@yardtwin.com przy każdym wykryciu

Pozostałe usprawnienia

11.1 Pierwsze zewnętrzne testy penetracyjne CREST

Zewnętrzny test penetracyjny nie został jeszcze przeprowadzony; niezależny test jest planowany przed pierwszym wdrożeniem produkcyjnym dla klienta enterprise. Wewnętrzny audyt kodu metodą white-box został ukończony w październiku 2026 r., a wszystkie ustalenia o statusie Krytycznym zostały usunięte. Priorytet: Wysoki. Cel: przed pierwszym wdrożeniem produkcyjnym dla klienta enterprise.

11.2 Inspektor Ochrony Danych

YARDtwin Ltd nie wyznaczyło ustawowego Inspektora Ochrony Danych: żaden z warunków określonych w art. 37 ust. 1 (organ publiczny; działalność podstawowa wymagająca regularnego i systematycznego monitorowania osób na dużą skalę; działalność podstawowa polegająca na przetwarzaniu na dużą skalę szczególnych kategorii danych) nie ma zastosowania do jej przetwarzania. Odpowiedzialność za ochronę danych spoczywa na wyznaczonej osobie wewnątrz YARDtwin Ltd, dostępnej za pośrednictwem skrzynki funkcyjnej dpo@yardtwin.com, która jest publikowana w niniejszej polityce, polityce prywatności, DPA oraz w Centrum Zaufania. Publikujemy adres kontaktowy zamiast imienia i nazwiska tej osoby. Formalne wyznaczenie, wraz z powiadomieniem Komisji Ochrony Danych, nastąpi, jeśli będzie tego wymagać umowa z klientem lub zmiana w przetwarzaniu. Status: decyzja z 26 września 2026 r. Przeglądana podczas każdego przeglądu zarządzania ISMS.

11.3 Certyfikacja ISO 27001

Program certyfikacji w toku; audyt certyfikacyjny planowany na Q1 2027; uzyskanie certyfikatu przewidziane na Q1 2027. Priorytet: Średni. Cel: Q1 2027.

11.4 SOC 2 Type II

Niedostępne. Udostępniane na żądanie po uzyskaniu certyfikatu ISO 27001. Priorytet: Niski. Cel: na żądanie klienta, po uzyskaniu ISO 27001.

11.5 Georedundancja i wysoka dostępność bazy danych

Przesłane pliki są geograficznie nadmiarowe (Norway East → Norway West) od października 2026 r.; wysoka dostępność bazy danych jest planowana przed pierwszym uruchomieniem produkcyjnym dla klientów enterprise. Do tego czasu awaria bazy danych jest usuwana przez przywracanie do punktu w czasie (okno 7 dni). Priorytet: Średni. Cel: przed pierwszym uruchomieniem produkcyjnym dla klientów enterprise.

11.6 Oceny wpływu transferów

Standardowe klauzule umowne obowiązują dla każdego transferu poza EOG; oceny wpływu transferów są w trakcie realizacji (cel: listopad 2026 r.). Priorytet: Średni. Cel: listopad 2026 r.

11.7 Program Bug Bounty

Prywatny program bug bounty (HackerOne / Intigriti) jest planowany po drugim pomyślnym zewnętrznym teście penetracyjnym, zapewniając ciągłe pokrycie zewnętrzne między rocznymi testami. Priorytet: Niski. Termin: 2027.

12. Kontakt i ochrona danych

Kontakt ds. ochrony danych: dpo@yardtwin.com — skrzynka funkcyjna monitorowana przez osobę odpowiedzialną za ochronę danych w YARDtwin Ltd (zob. 11.2). Publikujemy adres kontaktowy zamiast imienia i nazwiska konkretnej osoby.

Zapytania ogólne: admin@yardtwin.com

Żądania osób, których dane dotyczą: Prześlij przez nasz Portal DSAR

Umowa o przetwarzaniu danych: Przejrzyj i zaakceptuj pod adresem /dpa

Organ nadzorczy: Data Protection Commission (DPC), Irlandia · www.dataprotection.ie · +353 (0)761 104 800