Polityka GDPR

Ostatnia aktualizacja: 9 maja 2026 · v3.0 · Obowiązuje natychmiast

Obowiązujące przepisy: Ogólne Rozporządzenie UE o Ochronie Danych (2016/679), irlandzka ustawa o ochronie danych z 2018 r.

1. Nasze zobowiązanie

YARDtwin Ltd jest w pełni zaangażowana w przestrzeganie Ogólnego Rozporządzenia o Ochronie Danych (GDPR). Działając zarówno jako administrator danych (w zakresie własnych danych klientów), jak i podmiot przetwarzający dane (obsługujący dane operacyjne w imieniu klientów), wdrażamy odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych na każdym etapie przetwarzania.

2. Role i odpowiedzialności

YARDtwin jako administrator danych: Określamy cele i sposoby przetwarzania danych osobowych w zakresie zarządzania kontami, rozliczeń, subskrypcji newslettera oraz analityki witryny.

YARDtwin jako podmiot przetwarzający: Gdy klienci wprowadzają dane operacyjne (rezerwacje, dane przewoźników, imiona i nazwiska kierowców, protokoły kontroli) do platformy, YARDtwin działa jako podmiot przetwarzający dane w ich imieniu. Każdy klient (najemca) jest administratorem swoich danych operacyjnych.

Obowiązki klientów: Klienci są odpowiedzialni za zapewnienie podstawy prawnej dla danych osobowych wprowadzanych do YARDtwin (np. imiona i nazwiska kierowców, dane kontaktowe przewoźników, numery rejestracyjne pojazdów). Klienci zobowiązani są do informowania swoich podmiotów danych o przetwarzaniu danych za pośrednictwem YARDtwin.

3. Umowa o przetwarzaniu danych (DPA)

Wszyscy klienci mogą zapoznać się z naszą Umową o Przetwarzaniu Danych i zaakceptować ją za pośrednictwem samoobsługowej strony DPA. Klienci planów Standard i Founder otrzymują ponadto podpisaną obustronnie Umowę o Przetwarzaniu Danych obejmującą: zakres i cel przetwarzania, rodzaje przetwarzanych danych osobowych, kategorie podmiotów danych, obowiązki obu stron, zarządzanie podmiotami przetwarzającymi, zgłaszanie naruszeń ochrony danych, transfery międzynarodowe oraz prawa do audytu. W celu zawarcia DPA prosimy o kontakt e-mail admin@yardtwin.com (w kopii Inspektor Ochrony Danych pod adresem dpo@yardtwin.com).

4. Środki techniczne (art. 32 GDPR)

4.1 Szyfrowanie

Wszystkie dane szyfrowane podczas transmisji (TLS 1.2+). Hasła haszowane algorytmem bcrypt (12 rund). PostgreSQL Flexible Server stosuje przezroczyste szyfrowanie danych w spoczynku. Azure Blob Storage szyfrowany w spoczynku. Szyfrowanie na poziomie aplikacji (AES-256-GCM) dla danych biometrycznych (zdjęcia prawa jazdy, obrazy podpisów) z kluczami przechowywanymi w Azure Key Vault. Tokeny JWT kryptograficznie podpisane (HS256). Sekrety zarządzane przez Azure Key Vault, do którego dostęp ma tożsamość zarządzana App Service — żadnych sekretów w kodzie, plikach środowiskowych ani obrazach kontenerów.

4.2 Kontrola dostępu

Kontrola dostępu oparta na rolach (RBAC) z sześcioma zdefiniowanymi rolami (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin). Zasada minimalnych uprawnień egzekwowana przez middleware na każdej uwierzytelnionej trasie. Izolacja tenantów weryfikowana przez automatyczny audyt 25 testów między tenantami przy każdym wydaniu. SSO obsługiwane przez Google i Microsoft z uwierzytelnianiem wieloskładnikowym.

4.3 Ścieżki audytu

Kompletne rejestrowanie działań użytkowników: tożsamość użytkownika, znacznik czasu, adres IP, rodzaj działania, obiekt, którego dotyczy, stare i nowe wartości. Działania istotne z perspektywy GMP oznaczane oddzielnie (is_gmp_relevant=1). Wyłącznie dopisywalne na poziomie aplikacji; retencja przez 6 lat. Pseudonimizowane, ale nie usuwane przy realizacji prawa do usunięcia na podstawie art. 17 (nadrzędny obowiązek prawny z art. 17 ust. 3 lit. b).

4.4 Bezpieczeństwo infrastruktury

Hostowane na platformie Microsoft Azure (Sweden Central + Norway East, EOG). App Service w kontenerach wdrażany przez Azure Container Registry z mechanizmem staging-slot-then-swap. Dostępne wyłącznie porty 80/443; PostgreSQL niedostępny bezpośrednio z internetu. Azure NSG i Front Door (planowane). Application Insights z alertem o dryfcie schematu dla błędów Postgres "column / relation does not exist" (okno 15 minut). Sonda /health/db-write weryfikuje możliwość zapisu i odczytu bazy danych przy każdym wdrożeniu.

4.5 Minimalizacja danych

Gromadzimy wyłącznie dane niezbędne do świadczenia usług. Opcjonalne pola danych kierowcy (telefon, e-mail) mogą pozostać puste, jeśli proces klienta na to pozwala. Weryfikacja biometryczna jest domyślnie wyłączona dla każdej lokalizacji; administrator lokalizacji musi ją aktywować. Newsletter zbiera jedynie adres e-mail i opcjonalnie nazwę firmy.

4.6 Łańcuch dostaw oprogramowania

Każde żądanie scalenia (pull request) przechodzi automatyczne kontrole bezpieczeństwa: npm audit (luki CVE w zależnościach na poziomie HIGH+ blokują wdrożenie), Trivy (skanowanie CVE kontenerów), Semgrep SAST (OWASP top-ten + Node.js + React + reguły sekretów), gitleaks (skanowanie sekretów w pełnej historii git) oraz OWASP ZAP (DAST wobec środowiska staging zgodnie z harmonogramem). Dependabot otwiera PR dla nowo ujawnionych luk CVE.

5. Prawa podmiotów danych (Rozdział III GDPR)

Umożliwiamy realizację wszystkich praw podmiotów danych:

Prawo dostępu (art. 15): Użytkownicy mogą złożyć wniosek o kopię wszystkich przechowywanych przez nas danych osobowych. Administratorzy najemcy mogą eksportować dane swojej organizacji. Pozostałe podmioty danych (kierowcy, subskrybenci newslettera, potencjalni klienci) mogą złożyć wniosek za pośrednictwem Portal DSAR.

Prawo do sprostowania danych (art. 16): Użytkownicy mogą aktualizować dane swojego profilu na stronie Ustawienia. Administratorzy najemców mogą aktualizować dane dowolnego użytkownika w swojej organizacji.

Prawo do usunięcia danych (art. 17): Wnioski o usunięcie konta są realizowane w ciągu 30 dni. Wniosek należy złożyć przez Portal DSAR. Realizowane wewnętrznie przez POST /api/v1/dsar/erase/by-email , które pseudonimizuje dane we wszystkich tabelach zawierających dane osobowe. Uwaga: dane audytowe są przechowywane przez 6 lat zgodnie z wyjątkiem wynikającym z obowiązku prawnego na podstawie art. 17 ust. 3 lit. b).

Prawo do ograniczenia przetwarzania (art. 18): Użytkownicy mogą złożyć wniosek o ograniczenie przetwarzania. Dane zostaną oznaczone, a przetwarzanie zostanie wstrzymane z wyjątkiem ich przechowywania.

Prawo do przenoszenia danych (art. 20): Dane można eksportować w formatach CSV i JSON. Eksport obejmuje dane dotyczące wizyt, dane przewoźników oraz dzienniki audytu.

Prawo do sprzeciwu (art. 21): Użytkownicy mogą wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionych interesach. Rezygnacja z newslettera jest możliwa za pomocą linku jednym kliknięciem w każdej wiadomości e-mail.

Prawo w zakresie zautomatyzowanego podejmowania decyzji (art. 22): YARDtwin nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które w istotny sposób wpływają na osoby fizyczne.

6. Zarządzanie zgodami

Newsletter: Wymagana jest wyraźna zgoda (opt-in). Rejestrowany jest znacznik czasu zgody oraz adres IP. W każdej wiadomości znajduje się link do rezygnacji z subskrypcji. Zgoda może zostać wycofana w dowolnym momencie bez wpływu na dostęp do usługi.

Warunki korzystania z usługi: Utworzenie konta jest równoznaczne z akceptacją Warunków korzystania z usługi (podstawa umowna). Użytkownicy są informowani o przetwarzaniu danych podczas rejestracji.

Pliki cookie: Baner zgody na pliki cookie jest wyświetlany podczas pierwszej wizyty zgodnie z dyrektywą ePrivacy. Użytkownicy mogą wybrać wyłącznie niezbędne pliki cookie lub wszystkie pliki cookie. Preferencje są przechowywane lokalnie i można je zmienić w dowolnym momencie.

7. Procedury w przypadku naruszenia danych (art. 33–34)

Automatyczne wykrywanie: Proces monitorowania naruszeń uruchamiany jest co 5 minut na podstawie dziennika audytu i oznacza anomalie jako potencjalne incydenty:

≥10 nieudanych logowań dla jednego adresu e-mail w ciągu 1 godziny
≥5 różnych źródłowych adresów IP atakujących jeden adres e-mail w ciągu 24 godzin
Pomyślne logowanie z adresu IP, który nie był wcześniej obserwowany dla danego użytkownika w ciągu ostatnich 30 dni
Współczynnik błędów HTTP 5xx > 5% w oknie czasowym 5 minut
Błędy Postgres "column / relation does not exist" (dryfowanie schematu, App Insights)
Awaria sondy /health/db-write (sprawdzenie odczytu i zapisu przy każdym wdrożeniu oraz ciągłe monitorowanie)

Rejestr Naruszeń: Każda wykryta anomalia jest zapisywana do tabeli breach_register z maszyną stanów (wykryto → w trakcie badania → potwierdzone → zgłoszone → zamknięte), poziomem ważności, zakresem, podmiotami danych, odliczaniem terminu dla organu ochrony danych oraz historią audytu. Widoczne w panelu SuperAdmin "Rejestr Naruszeń".

Routing Alertów: Zdarzenia wykrycia są kierowane do grupy Azure Monitor Action Group yardtwin-breach-actions, która wysyła e-maile na adres admin@yardtwin.com oraz do dyżurnych adresów kontaktowych. Zdarzenia dryfowania schematu korzystają z istniejącej grupy yardtwin-schema-drift-actions .

Ocena: W ciągu 24 godzin od wykrycia zespół techniczny dokonuje oceny incydentu w panelu rejestru naruszeń: zakres, podmioty danych, poziom ważności (kryterium "ryzyka dla praw i wolności" z art. 33 ust. 1) oraz przyczyna źródłowa.

Zgłoszenie do organu ochrony danych (art. 33): W ciągu 72 godzin od stwierdzenia naruszenia stwarzającego ryzyko. Panel rejestru naruszeń wyświetla aktywny licznik 72-godzinny od momentu oznaczenia incydentu jako potwierdzone.

Powiadomienie Podmiotów Danych (art. 34): Bez zbędnej zwłoki, jeżeli naruszenie stwarza wysokie ryzyko dla praw i wolności tych osób.

Powiadomienie Klientów: Administratorzy dotkniętych dzierżaw są powiadamiani w ciągu 48 godzin od potwierdzenia naruszenia dotyczącego danych ich dzierżawy.

Dokumentacja: Każdy wpis w rejestrze naruszeń jest przechowywany przez cały okres działania platformy plus 6 lat (retencja audytowa), niezależnie od tego, czy wymagane było powiadomienie zewnętrzne.

8. Podprzetwarzający

Podmiot przetwarzający	Cel	Lokalizacja	Zabezpieczenia
Microsoft Azure	Infrastruktura chmurowa (App Service, Postgres, Blob, Key Vault, App Insights)	EOG (Szwecja Środkowa + Norwegia Wschodnia)	Microsoft Online Services DPA + standardowe klauzule umowne UE, ISO 27001, SOC 2 Type II
Stripe	Rozliczanie subskrypcji i przetwarzanie płatności	Stripe Ireland (EOG), częściowe wsparcie w USA	Stripe DPA + SCC + PCI DSS
Resend	Transakcyjne wiadomości e-mail (powitalne, przypomnienia o okresie próbnym, odpowiedzi DSAR)	USA (Delaware)	DPA + SCC (weryfikacja w toku)
Google Cloud Vision	OCR prawa jazdy (gdy klient włączy weryfikację dokumentów)	Regiony UE	Google Cloud DPA + standardowe klauzule umowne UE, ISO 27001, SOC 2
Google / Microsoft (OAuth SSO)	Tokeny tożsamości SSO dla użytkowników korzystających z logowania SSO	EOG (Microsoft Entra ID), globalnie (Google Workspace)	Microsoft / Google Cloud DPA
Anthropic	Claude API dla wbudowanego asystenta AI oraz parsowania tekstu OCR dokumentów	USA (Kalifornia)	Anthropic DPA + deklaracja zerowej retencji + SCC

Klienci zostaną powiadomieni 30 dni przed dodaniem nowego podprzetwarzającego.

9. Ocena skutków dla ochrony danych (DPIA)

Przeprowadzamy DPIA dla operacji przetwarzania stwarzających wysokie ryzyko dla osób, których dane dotyczą. Biorąc pod uwagę, że YARDtwin przetwarza przede wszystkim operacyjne dane biznesowe (harmonogramy doków, nazwy przewoźników, rejestracje pojazdów), a nie wrażliwe dane osobowe, profil ryzyka jest umiarkowany. DPIA zostały przeprowadzone dla: przetwarzania ścieżki audytu, analityki międzydzierżawczej (moduł administratora platformy) oraz zarządzania subskrybentami newslettera.

10. Ochrona danych w fazie projektowania i domyślna ochrona danych (Art. 25)

W fazie projektowania: Architektura wielodostępna z obowiązkową izolacją dzierżawców. RBAC wbudowany w każdy punkt końcowy API. Hasła nigdy nie są przechowywane w postaci jawnego tekstu. Minimalne zbieranie danych na każdym etapie.

Domyślnie: Nowe konta mają minimalne uprawnienia. Pola opcjonalne są naprawdę opcjonalne. Newsletter wymaga aktywnego wyrażenia zgody. Widoczność danych ograniczona według roli.

11. Status zgodności i ciągłe doskonalenie

Zrealizowane (stan na maj 2026)

✓ Migracja do PostgreSQL Flexible Server (zarządzane przez Azure, szyfrowanie danych w spoczynku, odtwarzanie do punktu w czasie z 7-dniowym oknem)
✓ Migracja do Microsoft Azure (Szwecja Środkowa + Norwegia Wschodnia, EOG) z App Service + ACR + Key Vault
✓ Zarządzanie sekretami przez Azure Key Vault (brak sekretów w plikach .env lub obrazach kontenerów; dostęp przez tożsamość zarządzaną)
✓ Automatyczny eksport DSAR (POST /api/v1/dsar/export/by-email — Art. 15 / 20)
✓ Automatyczne usuwanie danych DSAR (POST /api/v1/dsar/erase/by-email — Art. 17 z zachowaniem zgodności retencji audytu)
✓ Baner cookies v2 z czterema kategoriami (niezbędne / funkcjonalne / analityczne / marketingowe) oraz opcjami Odrzuć / Dostosuj / Zaakceptuj wszystkie
✓ Audyt izolacji międzydzierżawczej zautomatyzowany; 25/25 wektorów dostępu międzydzierżawczego zablokowanych, testy regresji przy każdym wydaniu
✓ Pipeline bezpieczeństwa CI/CD: npm audit + Trivy + Semgrep + gitleaks + ZAP DAST
✓ Alerty dryftu schematu w Application Insights (okno 15-minutowe)
✓ Kompleksowa sonda /health/db-write weryfikująca możliwość zapisu do bazy danych przy każdym wdrożeniu
✓ Grupa akcji dryftu schematu App Insights wysyła wiadomość e-mail na adres dyżurny w przypadku błędów Postgres "column / relation does not exist"
✓ Szyfrowanie na poziomie pola (AES-256-GCM) dla danych biometrycznych (zdjęcia prawa jazdy, signature_data)
✓ Automatyczne usuwanie danych zgodnie z polityką retencji (konfigurowalnie per lokalizacja; worker pii-cleanup)
✓ 30-dniowy okres próbny ujednolicony w całym systemie (rejestracja, strona marketingowa, regulaminy, e-maile)
✓ Test regresji end-to-end dla 5 000 ciężarówek obejmujący wszystkie punkty końcowe Administratora Lokalizacji z asercjami wierności widoku placu na każdym przejściu (53 650/53 651 = 100%)
✓ Inwentaryzacja danych i Rejestr Czynności Przetwarzania (art. 30) opublikowany
✓ Rejestr podprzetwarzających prowadzony i przeglądany corocznie
✓ Ochrona danych w fazie projektowania i domyślna ochrona danych udokumentowane (art. 25)
✓ Zapora aplikacji internetowych (Azure Front Door + zarządzany WAF) chroniąca yardtwin.com za pomocą zestawu reguł OWASP Core Rule Set, ochrony przed botami oraz mitygacji DDoS warstwy L7
✓ Automatyczne wykrywanie naruszeń — worker wykrywający anomalie uwierzytelniania (skoki błędnych logowań, ataki z wielu adresów IP, logowania ze zmienionych krajów), alerty o wskaźniku błędów 5xx, alerty dryftu schematu oraz sonda /health/db-write
✓ Rejestr naruszeń trwała tabela z pełnym automatem stanów i odliczaniem terminu DPC, widoczna w panelu SuperAdmin
✓ Grupa akcji yardtwin-breach-actions wysyła e-maile na adresy admin@yardtwin.com i dyżurny przy każdym wykryciu

Pozostałe usprawnienia

11.1 Pierwsze zewnętrzne testy penetracyjne CREST

Nie przeprowadzono zewnętrznych testów penetracyjnych. Zakres zlecenia określony (Cobalt.io, ~€6–8k za aplikację webową + test uwierzytelniony). Testy wewnętrzne pozwoliły dotychczas wyeliminować 27 znalezisk. Priorytet: Wysoki. Termin: Q3 2026.

11.2 Powołanie Inspektora Ochrony Danych

Zewnętrzny cząstkowy IOD zostanie zakontraktowany przed pozyskaniem pierwszego płacącego klienta korporacyjnego z branży farmaceutycznej. Wymagany dla wiarygodnego onboardingu dostawcy, nawet jeśli art. 37 nie nakłada tego obowiązku wprost. Priorytet: Wysoki. Termin: przed pozyskaniem pierwszego płacącego klienta korporacyjnego.

11.3 Certyfikacja ISO 27001

Szkielet Deklaracji Stosowania gotowy, obejmujący wszystkie 93 zabezpieczenia Załącznika A (~32 WDROŻONE, ~25 CZĘŚCIOWE, ~22 LUKI, ~14 NIE DOTYCZY). Kolejnym krokiem jest zaangażowanie zewnętrznego audytora wiodącego; pełna ścieżka certyfikacji trwa 9–12 miesięcy. Priorytet: Średni. Termin: Q4 2026 — audyt certyfikacyjny Q1 2027.

11.4 SOC 2 Type II

Wymagany dla klientów korporacyjnych w USA. Najlepiej realizować po uzyskaniu certyfikacji ISO 27001 — większość zabezpieczeń się pokrywa. Priorytet: Średni. Termin: 2027.

11.5 Geograficznie redundantny region pomocniczy

YARDtwin działa na Azure App Service z odtwarzaniem z kopii zapasowej w trybie point-in-time (okno 7-dniowe), ale w jednym regionie. Geograficznie redundantny region pomocniczy w innym regionie EOG może skrócić RTO z godzin do minut w przypadku awarii na poziomie regionu. Priorytet: Średni. Termin: Q4 2026.

11.6 Weryfikacja SCC dla Resend i Anthropic

Obaj podprzetwarzający przekazują dane do USA na podstawie SCC. Pisemne potwierdzenie dodatkowych środków dotyczących FISA 702 jest zbierane w ramach corocznego przeglądu podprzetwarzających. Priorytet: Średni. Termin: Q3 2026.

11.7 Program Bug Bounty

Prywatny program bug bounty (HackerOne / Intigriti) jest planowany po drugim pomyślnym zewnętrznym teście penetracyjnym, zapewniając ciągłe pokrycie zewnętrzne między rocznymi testami. Priorytet: Niski. Termin: 2027.

12. Kontakt i Inspektor Ochrony Danych

Inspektor Ochrony Danych: dpo@yardtwin.com — trwa proces kontraktowania zewnętrznego cząstkowego IOD (patrz 11.2); do czasu powołania wiadomości kierowane na ten adres są przekazywane do admin@yardtwin.com w celu obsługi.

Zapytania ogólne: admin@yardtwin.com

Żądania osób, których dane dotyczą: Prześlij przez nasz Portal DSAR

Umowa o przetwarzaniu danych: Przejrzyj i zaakceptuj pod adresem /dpa

Organ nadzorczy: Data Protection Commission (DPC), Irlandia · www.dataprotection.ie · +353 (0)761 104 800