Segurança no YARDtwin

O YARDtwin funciona no Microsoft Azure com computação na Noruega (East) e Suécia Central para dados, registo e segredos. Todos os dados dos clientes permanecem dentro da EU/EEA, em conformidade com os Artigos 44–49 do GDPR.

• App Service (Contentor Linux) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, contentores privados
• Azure Key Vault — Sweden Central, controlado por RBAC
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — Retenção de 90 dias

Todos os dados dos clientes são armazenados e processados dentro da UE/EEE — alojados nas regiões Microsoft Azure Noruega Leste (aplicação, armazenamento) e Suécia Central (base de dados, segredos). A Noruega é um Estado do EEE onde o GDPR se aplica, pelo que se trata de um arranjo intra-EEE que não requer qualquer mecanismo de transferência ao abrigo do Capítulo V. A criação de recursos fora das regiões aprovadas é bloqueada ao nível da plataforma por uma atribuição "Deny" da Azure Policy, pelo que os dados dos clientes não podem ser provisionados fora da UE/EEE. Quando um subprocessador de âmbito limitado opera fora do EEE (por exemplo, AI OCR ou entrega de e-mail), as transferências são regidas por Cláusulas Contratuais Padrão da UE e apenas os dados estritamente necessários são enviados.

O YARDtwin utiliza um conjunto reduzido e verificado de subprocessadores para prestar o serviço. Cada um está vinculado por um Acordo de Processamento de Dados. Mantemos este registo e notificamos os clientes de alterações relevantes em conformidade com o Artigo 28.º do GDPR.

O YARDtwin utiliza IA para ler cartas de condução e documentos de expedição (OCR), para alimentar o assistente integrado e para gerar orientação por voz. O processamento por IA é assistivo: o seu resultado é apresentado a uma pessoa — por exemplo, um operador de portão confirma cada entrada — e o YARDtwin não toma decisões automatizadas com efeitos jurídicos ou igualmente significativos sobre os indivíduos (Artigo 22.º do GDPR).

• Os dados dos clientes não são utilizados para treinar modelos de IA de terceiros — os nossos subprocessadores de IA processam os dados apenas para devolver um resultado ao seu pedido.
• Minimização de dados: o OCR de documentos por IA pode ser desativado por instalação, para que as instalações que preferem introdução manual nunca enviem documentos a um fornecedor de IA.
• Supervisão humana: os campos extraídos podem ser revistos e editados antes de serem guardados no registo.

CSP restrita com nonces por pedido nos scripts (sem unsafe-inline). Conjunto completo de cabeçalhos de segurança devolvidos em cada resposta: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Teste de intrusão independente a 17–18 de abril de 2026 (10 categorias OWASP, 36 payloads): 0 vulnerabilidades.Testes de segurança funcional a 11 de abril de 2026, abrangendo mais de 1.890 chamadas API em 270 agendamentos: 0 falhas.Pentest anual de terceiros agendado e auditoria SOC 2 Type II em curso.

• EU GMP Annex 11 — Integridade de dados (ALCOA+), registo de auditoria append-only, registos eletrónicos, controlo de acesso, validado
• 21 CFR Part 11 — Registos eletrónicos, registo de auditoria, atribuição, cadeia de custódia do selo
• GDPR — Portabilidade de dados (JSON + CSV), fluxo de trabalho DSAR, rastreio de consentimento, residência exclusiva na UE/EEE
• SOC 2 Type II — Auditoria em curso

• Vendor Assurance Pack (PDF) — Índice de documentos QMS, categorização GAMP 5, mapeamento de cláusulas Annex 11 e 21 CFR Part 11, declaração ALCOA+, arquitetura de segurança, um CAIQ-Lite preenchido e uma lista completa do que ainda não possuímos. Sem formulários necessários.
• Checklist de Prontidão para Auditoria GMP em Operações de Pátio — 101 verificações em 12 domínios para avaliar o seu próprio pátio face ao Annex 11, 21 CFR Part 11 e às diretrizes GDP da UE.
• Modelo de Acordo de Processamento de Dados (DPA) — para revisão e assinatura empresarial
• Política GDPR
• Política de privacidade
• security.txt
• Página de estado do serviço — estado da plataforma em tempo real autodeclarado, compromissos de disponibilidade e histórico de incidentes.

Agradecemos relatórios de investigadores de segurança. Envie um e-mail para admin@yardtwin.comcom uma descrição da descoberta e os passos para reproduzi-la. Confirmamos a receção no prazo de 2 dias úteis e procuramos corrigir problemas críticos em 7 dias. Por favor, não divulgue publicamente vulnerabilidades antes de termos tido a oportunidade de as remediar.