Bezpieczeństwo w YARDtwin

YARDtwin działa na Microsoft Azure z obliczeniami w regionie Norway East oraz Sweden Central dla danych, rejestru i sekretów. Wszystkie dane klientów pozostają w obrębie EU/EEA, zgodnie z artykułami 44–49 GDPR.

• App Service (Linux Container) — Norwegia Wschodnia
• Azure PostgreSQL Flexible Server — Szwecja Centralna
• Azure Blob Storage — Norwegia Wschodnia, prywatne kontenery
• Azure Key Vault — Szwecja Centralna, kontrola dostępu RBAC
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — retencja 90 dni

Wszystkie dane klientów są przechowywane i przetwarzane w UE/EOG — hostowane w regionach Microsoft Azure Norway East (aplikacja, storage) i Sweden Central (baza danych, sekrety). Norwegia jest państwem EOG, w którym obowiązuje GDPR, w związku z czym jest to aranżacja wewnątrz EOG niewymagająca mechanizmu transferu z Rozdziału V. Tworzenie zasobów poza zatwierdzonymi regionami jest zablokowane na poziomie platformy przez przypisanie zasady Azure Policy „Deny", dzięki czemu dane klientów nie mogą być udostępniane poza UE/EOG. Jeżeli podmiot przetwarzający o ograniczonym zakresie działa poza EOG (na przykład AI OCR lub dostarczanie poczty e-mail), transfery są regulowane przez standardowe klauzule umowne UE i przesyłane są wyłącznie niezbędne minimum danych.

YARDtwin korzysta z niewielkiego, zweryfikowanego zestawu podprzetwarzających w celu świadczenia usługi. Każdy z nich jest związany Umową o przetwarzaniu danych. Prowadzimy niniejszy rejestr i informujemy klientów o istotnych zmianach zgodnie z art. 28 GDPR.

YARDtwin wykorzystuje AI do odczytu praw jazdy i dokumentów przewozowych (OCR), obsługi asystenta w aplikacji oraz generowania wskazówek głosowych. Przetwarzanie AI ma charakter wspierający: jego wynik jest prezentowany osobie — na przykład operator bramy potwierdza każdą odprawę wjazdową — a YARDtwin nie podejmuje zautomatyzowanych decyzji wywołujących skutki prawne lub podobnie istotne dla osób fizycznych (art. 22 GDPR).

• Dane klientów nie są wykorzystywane do trenowania modeli AI firm trzecich — nasi podprzetwarzający AI przetwarzają dane wyłącznie w celu zwrócenia wyniku dla Twojego żądania.
• Minimalizacja danych: OCR dokumentów AI można wyłączyć dla poszczególnych obiektów, dzięki czemu obiekty preferujące ręczne wprowadzanie danych nigdy nie przesyłają dokumentów do dostawcy AI.
• Nadzór ludzki: wyodrębnione pola można przeglądać i edytować przed zapisaniem ich w rejestrze.

Rygorystyczna CSP z jednorazowymi nonces per żądanie dla skryptów (bez unsafe-inline). Pełny zestaw nagłówków bezpieczeństwa zwracanych przy każdej odpowiedzi: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Niezależny test penetracyjny przeprowadzony 17–18 kwietnia 2026 (10 kategorii OWASP, 36 ładunków testowych): 0 podatności.Funkcjonalne testy bezpieczeństwa z 11 kwietnia 2026 obejmujące ponad 1 890 wywołań API dla 270 awizacji: 0 błędów.Coroczny pentest przez zewnętrzną firmę zaplanowany; audyt SOC 2 Type II w toku.

• EU GMP Annex 11 — Integralność danych (ALCOA+), niemodyfikowalny dziennik audytu, zapisy elektroniczne, kontrola dostępu, walidacja
• 21 CFR Part 11 — Zapisy elektroniczne, dziennik audytu, atrybucja, łańcuch nadzoru nad plombami
• GDPR — Przenoszalność danych (JSON + CSV), procedura DSAR, śledzenie zgód, przechowywanie danych wyłącznie w UE/EOG
• SOC 2 Type II — Audyt w toku

• Vendor Assurance Pack (PDF) — Indeks dokumentów QMS, kategoryzacja GAMP 5, mapowania klauzul Annex 11 i 21 CFR Part 11, oświadczenie ALCOA+, architektura bezpieczeństwa, wypełniony CAIQ-Lite oraz pełna lista tego, czego jeszcze nie posiadamy. Bez konieczności wypełniania formularza.
• Lista kontrolna gotowości do audytu GMP operacji yardowych — 101 punktów kontrolnych w 12 obszarach do oceny własnego yardu pod kątem Annex 11, 21 CFR Part 11 oraz wytycznych EU GDP.
• Szablon umowy powierzenia przetwarzania danych (DPA) — do przeglądu i podpisu przez klienta enterprise
• Polityka GDPR
• Polityka prywatności
• security.txt
• Strona statusu usługi — aktualny, samodzielnie raportowany status platformy, zobowiązania dotyczące dostępności oraz historia incydentów.

Zachęcamy badaczy bezpieczeństwa do zgłaszania znalezisk. Wyślij wiadomość na adres admin@yardtwin.comz opisem znaleziska i krokami reprodukcji. Potwierdzamy odbiór w ciągu 2 dni roboczych i dążymy do usunięcia krytycznych problemów w ciągu 7 dni. Prosimy o nieujawnianie podatności publicznie przed uzyskaniem przez nas możliwości ich naprawienia.