Securitate la YARDtwin

YARDtwin rulează pe Microsoft Azure cu calcul în Norway East și date, registru și secrete în Sweden Central. Datele clienților sunt stocate în UE/SEE; transferurile limitate către sub-procesatori din afara SEE sunt enumerate mai jos și acoperite de Clauze Contractuale Standard.

• App Service (Container Linux) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, containere private
• Azure Key Vault — Sweden Central, controlat prin RBAC
• Azure Front Door + WAF — modul Prevenire, reguli personalizate de limitare a ratei
• Azure Monitor cu alerte pentru erori, latență și disponibilitate, plus alerte Azure Service Health

Datele clienților sunt găzduite în regiunile Microsoft Azure din UE/SEE — Norway East (aplicație, stocare) și Sweden Central (bază de date, secrete). Norvegia este un stat SEE în care se aplică GDPR, astfel că aceasta este o configurație intra-SEE care nu necesită niciun mecanism de transfer conform Capitolului V. Crearea de resurse în afara regiunilor aprobate este blocată la nivel de platformă printr-o atribuire de politică Azure „Deny", astfel că datele clienților nu pot fi furnizate în afara UE/SEE. Unele funcționalități transmit date către subprocesatorii enumerați mai jos (și la /subprocessors), inclusiv unii din afara SEE — de exemplu Anthropic în SUA pentru funcțiile AI și livrarea e-mailurilor — în temeiul Clauzelor Contractuale Standard ale UE (și al Cadrului de confidențialitate a datelor UE-SUA, acolo unde destinatarul este certificat); sunt transmise doar datele strict necesare.

YARDtwin utilizează un set restrâns și verificat de sub-procesatori pentru furnizarea serviciului. Fiecare este legat printr-un Acord de prelucrare a datelor. Menținem acest registru și notificăm clienții cu privire la modificările semnificative în conformitate cu Articolul 28 din GDPR.

Servicii exclusiv pentru website (fără date operaționale ale clienților)

Acestea funcționează doar pe site-ul web public. Nu primesc date operaționale ale clienților și nu sunt sub-procesatori ai acestora; cele care setează cookie-uri se încarcă doar cu consimțământ.

YARDtwin utilizează AI pentru a citi permisele de conducere și documentele de transport (OCR), pentru a compara fotografia șoferului de la poartă unu-la-unu cu permisul sau fotografia stocată a șoferului acolo unde un site activează această funcție, pentru a alimenta asistentul din aplicație și pentru a genera ghidaj vocal. Procesarea prin AI este asistivă: rezultatul este prezentat unei persoane — la o poartă cu personal, de exemplu, un operator de poartă confirmă fiecare check-in. Acolo unde un site activează check-in-ul automat prin camerele de citire a numărului de înmatriculare sau o poartă fără personal, un camion a cărui rezervare corespunde clar este înregistrat fără operator de poartă, iar orice altceva este transmis personalului de la poartă. YARDtwin nu ia decizii automate care produc efecte juridice sau efecte semnificative similare asupra persoanelor (GDPR Articolul 22).

• Datele clienților nu sunt utilizate pentru antrenarea modelelor AI ale terților — sub-procesatorii noștri AI procesează datele doar pentru a returna un rezultat la solicitarea dvs.
• Minimizarea datelor: OCR-ul AI pentru documente poate fi dezactivat per site, astfel încât site-urile care preferă introducerea manuală nu trimit niciodată documente către un furnizor AI.
• Supraveghere umană: câmpurile extrase pot fi revizuite și editate înainte de a fi salvate în înregistrare.

CSP strict cu nonce-uri per-cerere pe scripturi (fără unsafe-inline). Set complet de anteturi de securitate returnate la fiecare răspuns: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Nu a fost efectuat încă niciun test de penetrare de către terți; un test independent este planificat înainte de primul go-live enterprise. Un audit intern de tip white-box al codului a fost finalizat în octombrie 2026 și toate constatările Critice au fost remediate.

Testare funcțională de securitate pe 11 aprilie 2026, acoperind peste 1.890 de apeluri API pentru 270 de programări: 0 eșecuri.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Copii de rezervă: restaurare punctuală pe 7 zile, plus copii de rezervă lunare criptate păstrate până la 7 ani în baza unei politici de imuabilitate temporală care blochează ștergerea și suprascrierea (politică neancorată încă).
• Backup zilnic: o copie completă a bazei de date realizată în fiecare noapte și păstrată timp de 35 de zile în spațiu de stocare criptat separat în SEE (Sweden Central, georeplicated în Sweden South).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Integritatea datelor (ALCOA+), jurnal de audit doar-adăugare, înregistrări electronice, control al accesului, validat
• 21 CFR Part 11 — Înregistrări electronice, jurnal de audit, atribuire, lanț de custodie al sigiliului
• GDPR — Portabilitatea datelor (JSON + CSV), flux de lucru DSAR, urmărirea consimțământului, reședință exclusiv UE/SEE
• ISO 27001 — Program de certificare în desfășurare; auditul de certificare planificat pentru T1 2027; certificat vizat pentru T1 2027
• SOC 2 — Necertificat. Disponibil la cerere după obținerea certificării ISO 27001.

• Vendor Assurance Pack v1.2 — Index de documente QMS, categorizare GAMP 5, mapări de clauze EU GMP Annex 11 și 21 CFR Part 11, declarație ALCOA+, arhitectură de securitate, un CAIQ-Lite completat, toate corecțiile față de v1.1 și lista completă a punctelor deschise. PDF, fără formular necesar.
• Listă de Verificare GMP pentru Pregătirea Auditului Operațiunilor de Yard — 101 verificări în 12 domenii pentru evaluarea propriului yard în raport cu Annex 11, 21 CFR Part 11 și ghidurile EU GDP.
• Acord de Prelucrare a Datelor — copie pentru examinare la cerere de la dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• Politică GDPR
• Politică de confidențialitate
• security.txt
• Pagina de stare a serviciului — starea platformei raportată în timp real, angajamentele privind disponibilitatea și istoricul incidentelor.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Apreciem rapoartele cercetătorilor de securitate. Trimiteți un e-mail la admin@yardtwin.comcu o descriere a constatării și pașii de reproducere. Confirmăm primirea în termen de 2 zile lucrătoare și urmărim remedierea problemelor critice în 7 zile. Vă rugăm să nu dezvăluiți public vulnerabilitățile înainte ca noi să fi avut posibilitatea de a le remedia.

Întrebările privind datele cu caracter personal, DPA, subprocesatorii sau drepturile persoanelor vizate se adresează la dpo@yardtwin.com. Aceasta este o cutie poștală de rol monitorizată de persoana responsabilă cu protecția datelor la YARDtwin Ltd. YARDtwin nu a desemnat un Responsabil cu Protecția Datelor statutar în temeiul Articolului 37 GDPR, ceea ce nu este obligatoriu pentru activitățile sale de prelucrare; publicăm adresa de contact în locul numelui unei persoane fizice. Cererile persoanelor vizate pot fi transmise și prin portalul DSAR. /data-request