Bezpieczeństwo w YARDtwin

YARDtwin działa na platformie Microsoft Azure z centrum obliczeniowym Norway East oraz Sweden Central do przechowywania danych, rejestru i sekretów. Dane klientów są przechowywane w UE/EOG; ograniczone transfery do podprzetwarzających spoza EOG są wymienione poniżej i objęte Standardowymi Klauzulami Umownymi.

• App Service (Linux Container) — Norwegia Wschodnia
• Azure PostgreSQL Flexible Server — Szwecja Centralna
• Azure Blob Storage — Norwegia Wschodnia, prywatne kontenery
• Azure Key Vault — Szwecja Centralna, kontrola dostępu RBAC
• Azure Front Door + WAF — tryb zapobiegania, niestandardowe reguły ograniczania liczby żądań
• Azure Monitor – alerty dotyczące błędów, opóźnień i dostępności, a także alerty Azure Service Health

Dane klientów są przechowywane w regionach Microsoft Azure w UE/EOG — Norway East (aplikacja, pamięć masowa) i Sweden Central (baza danych, wpisy tajne). Norwegia jest państwem EOG, w którym obowiązuje GDPR, dlatego jest to rozwiązanie wewnątrz EOG niewymagające mechanizmu przekazywania danych na podstawie Rozdziału V. Tworzenie zasobów poza zatwierdzonymi regionami jest zablokowane na poziomie platformy przez przypisanie zasady Azure Policy „Deny", co uniemożliwia przechowywanie danych klientów poza UE/EOG. Niektóre funkcje przesyłają dane do podprzetwarzających wymienionych poniżej (oraz pod adresem /subprocessors), w tym niektórych spoza EOG — na przykład do Anthropic w USA na potrzeby funkcji AI oraz do usług dostarczania poczty elektronicznej — na podstawie standardowych klauzul umownych UE (oraz unijno-amerykańskich ram ochrony prywatności danych, jeśli odbiorca jest certyfikowany); przesyłane jest wyłącznie niezbędne minimum danych.

YARDtwin korzysta z niewielkiego, zweryfikowanego zestawu podprzetwarzających w celu świadczenia usługi. Każdy z nich jest związany Umową o przetwarzaniu danych. Prowadzimy niniejszy rejestr i informujemy klientów o istotnych zmianach zgodnie z art. 28 GDPR.

Usługi wyłącznie na stronie internetowej (bez operacyjnych danych klientów)

Działają wyłącznie na publicznej stronie internetowej. Nie otrzymują żadnych operacyjnych danych klientów i nie są ich podmiotami przetwarzającymi; te, które ustawiają pliki cookie, ładują się tylko po wyrażeniu zgody.

YARDtwin wykorzystuje AI do odczytywania praw jazdy i dokumentów przewozowych (OCR), do porównywania zdjęcia kierowcy z bramy jeden do jednego z prawem jazdy lub zapisanym zdjęciem kierowcy, jeśli dana lokalizacja ma tę funkcję włączoną, do obsługi asystenta w aplikacji oraz do generowania wskazówek głosowych. Przetwarzanie AI ma charakter pomocniczy: jego wynik jest przedstawiany osobie — na przykład na obsługiwanej bramie operator bramy zatwierdza każde odprawienie. Jeśli lokalizacja włącza automatyczne odprawienie na podstawie kamer rejestrujących tablice rejestracyjne lub bramy bez obsługi, ciężarówka, której rezerwacja pasuje jednoznacznie, jest odprawiana bez udziału operatora bramy, a wszystkie pozostałe przypadki są przekazywane pracownikom bramy. YARDtwin nie podejmuje zautomatyzowanych decyzji wywołujących skutki prawne lub podobnie istotne skutki dla osób fizycznych (RODO art. 22).

• Dane klientów nie są wykorzystywane do trenowania modeli AI firm trzecich — nasi podprzetwarzający AI przetwarzają dane wyłącznie w celu zwrócenia wyniku dla Twojego żądania.
• Minimalizacja danych: OCR dokumentów AI można wyłączyć dla poszczególnych obiektów, dzięki czemu obiekty preferujące ręczne wprowadzanie danych nigdy nie przesyłają dokumentów do dostawcy AI.
• Nadzór ludzki: wyodrębnione pola można przeglądać i edytować przed zapisaniem ich w rejestrze.

Rygorystyczna CSP z jednorazowymi nonces per żądanie dla skryptów (bez unsafe-inline). Pełny zestaw nagłówków bezpieczeństwa zwracanych przy każdej odpowiedzi: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Zewnętrzny test penetracyjny nie został jeszcze przeprowadzony; niezależny test jest planowany przed pierwszym wdrożeniem produkcyjnym dla klienta enterprise. Wewnętrzny audyt kodu typu white-box został zakończony w październiku 2026 r., a wszystkie krytyczne ustalenia zostały usunięte.

Funkcjonalne testy bezpieczeństwa z 11 kwietnia 2026 obejmujące ponad 1 890 wywołań API dla 270 awizacji: 0 błędów.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Kopie zapasowe: przywracanie do punktu w czasie z ostatnich 7 dni oraz miesięczne szyfrowane kopie zapasowe przechowywane przez maksymalnie 7 lat w ramach zasady niezmienności czasowej blokującej usuwanie i nadpisywanie (zasada jeszcze niezablokowana).
• Codzienna kopia zapasowa: pełna kopia bazy danych wykonywana każdej nocy i przechowywana przez 35 dni w oddzielnym, zaszyfrowanym magazynie na terenie EOG (Sweden Central, z replikacją geograficzną do Sweden South).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Integralność danych (ALCOA+), ścieżka audytu wyłącznie do dołączania, dokumentacja elektroniczna, kontrola dostępu, walidacja
• 21 CFR Part 11 — Zapisy elektroniczne, dziennik audytu, atrybucja, łańcuch nadzoru nad plombami
• GDPR — Przenoszalność danych (JSON + CSV), procedura DSAR, śledzenie zgód, przechowywanie danych wyłącznie w UE/EOG
• ISO 27001 — Program certyfikacji w toku; audyt certyfikacyjny zaplanowany na Q1 2027; uzyskanie certyfikatu przewidywane w Q1 2027
• SOC 2 — Nie posiada. Dostępny na żądanie po uzyskaniu certyfikatu ISO 27001.

• Vendor Assurance Pack v1.2 — Indeks dokumentów QMS, kategoryzacja GAMP 5, mapowania klauzul EU GMP Annex 11 i 21 CFR Part 11, oświadczenie ALCOA+, architektura bezpieczeństwa, wypełniony CAIQ-Lite, wszystkie poprawki do wersji 1.1 oraz kompletna lista otwartych zagadnień. PDF, bez konieczności wypełniania formularza.
• Lista kontrolna gotowości do audytu GMP operacji yardowych — 101 punktów kontrolnych w 12 obszarach do oceny własnego yardu pod kątem Annex 11, 21 CFR Part 11 oraz wytycznych EU GDP.
• Umowa powierzenia przetwarzania danych — egzemplarz do wglądu na żądanie od dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• Polityka GDPR
• Polityka prywatności
• security.txt
• Strona statusu usługi — aktualny, samodzielnie raportowany status platformy, zobowiązania dotyczące dostępności oraz historia incydentów.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Zachęcamy badaczy bezpieczeństwa do zgłaszania znalezisk. Wyślij wiadomość na adres admin@yardtwin.comz opisem znaleziska i krokami reprodukcji. Potwierdzamy odbiór w ciągu 2 dni roboczych i dążymy do usunięcia krytycznych problemów w ciągu 7 dni. Prosimy o nieujawnianie podatności publicznie przed uzyskaniem przez nas możliwości ich naprawienia.

Pytania dotyczące danych osobowych, DPA, podprzetwarzających lub praw osób, których dane dotyczą, należy kierować do dpo@yardtwin.com. Jest to skrzynka funkcyjna monitorowana przez osobę odpowiedzialną za ochronę danych w YARDtwin Ltd. YARDtwin nie wyznaczyło ustawowego Inspektora Ochrony Danych zgodnie z art. 37 GDPR, co nie jest obowiązkowe w przypadku prowadzonego przez nią przetwarzania; publikujemy adres kontaktowy zamiast imienia i nazwiska konkretnej osoby. Wnioski osób, których dane dotyczą, można również składać za pośrednictwem portalu DSAR. /data-request