Securitate la YARDtwin

YARDtwin rulează pe Microsoft Azure cu procesare în Norway East și Sweden Central pentru date, registru și secrete. Toate datele clienților rămân în UE/SEE, conform articolelor 44–49 din GDPR.

• App Service (Container Linux) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, containere private
• Azure Key Vault — Sweden Central, controlat prin RBAC
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — retenție 90 de zile

Toate datele clienților sunt stocate și procesate în cadrul UE/SEE — găzduite în regiunile Microsoft Azure Norway East (aplicație, stocare) și Sweden Central (bază de date, secrete). Norvegia este un stat SEE în care se aplică GDPR, astfel că aceasta este un aranjament intra-SEE care nu necesită niciun mecanism de transfer conform Capitolului V. Crearea de resurse în afara regiunilor aprobate este blocată la nivel de platformă printr-o atribuire de politică Azure de tip "Deny", astfel încât datele clienților nu pot fi provizionate în afara UE/SEE. Acolo unde un sub-procesator cu domeniu de activitate limitat operează în afara SEE (de exemplu AI OCR sau livrarea de e-mailuri), transferurile sunt reglementate de Clauzele Contractuale Standard ale UE și se transmit doar datele strict necesare.

YARDtwin utilizează un set restrâns și verificat de sub-procesatori pentru furnizarea serviciului. Fiecare este legat printr-un Acord de prelucrare a datelor. Menținem acest registru și notificăm clienții cu privire la modificările semnificative în conformitate cu Articolul 28 din GDPR.

YARDtwin utilizează AI pentru a citi permisele de conducere și documentele de expediere (OCR), pentru a alimenta asistentul din aplicație și pentru a genera ghidaj vocal. Prelucrarea AI este asistivă: rezultatul este prezentat unei persoane — de exemplu, un operator de poartă confirmă fiecare check-in — iar YARDtwin nu ia decizii automate care produc efecte juridice sau semnificativ similare asupra persoanelor (Articolul 22 din GDPR).

• Datele clienților nu sunt utilizate pentru antrenarea modelelor AI ale terților — sub-procesatorii noștri AI procesează datele doar pentru a returna un rezultat la solicitarea dvs.
• Minimizarea datelor: OCR-ul AI pentru documente poate fi dezactivat per site, astfel încât site-urile care preferă introducerea manuală nu trimit niciodată documente către un furnizor AI.
• Supraveghere umană: câmpurile extrase pot fi revizuite și editate înainte de a fi salvate în înregistrare.

CSP strict cu nonce-uri per-cerere pe scripturi (fără unsafe-inline). Set complet de anteturi de securitate returnate la fiecare răspuns: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Testare de penetrare independentă în 17–18 aprilie 2026 (10 categorii OWASP, 36 de payload-uri): 0 vulnerabilități.Testare funcțională de securitate pe 11 aprilie 2026, acoperind peste 1.890 de apeluri API pentru 270 de programări: 0 eșecuri.Pentest anual de terță parte planificat și audit SOC 2 Type II în curs.

• EU GMP Annex 11 — Integritatea datelor (ALCOA+), jurnal de audit doar-adăugare, înregistrări electronice, control al accesului, validat
• 21 CFR Part 11 — Înregistrări electronice, jurnal de audit, atribuire, lanț de custodie al sigiliului
• GDPR — Portabilitatea datelor (JSON + CSV), flux de lucru DSAR, urmărirea consimțământului, reședință exclusiv UE/SEE
• SOC 2 Type II — Audit în curs

• Pachet de Asigurare Furnizor (PDF) — Index documente QMS, categorizare GAMP 5, mapări clauze Annex 11 și 21 CFR Part 11, declarație ALCOA+, arhitectură de securitate, un CAIQ-Lite completat și o listă completă a ceea ce nu deținem încă. Nu este necesar niciun formular.
• Listă de Verificare GMP pentru Pregătirea Auditului Operațiunilor de Yard — 101 verificări în 12 domenii pentru evaluarea propriului yard în raport cu Annex 11, 21 CFR Part 11 și ghidurile EU GDP.
• Șablon Acord de Prelucrare a Datelor (DPA) — pentru revizuire și semnătură la nivel enterprise
• Politică GDPR
• Politică de confidențialitate
• security.txt
• Pagina de stare a serviciului — starea platformei raportată în timp real, angajamentele privind disponibilitatea și istoricul incidentelor.

Apreciem rapoartele cercetătorilor de securitate. Trimiteți un e-mail la admin@yardtwin.comcu o descriere a constatării și pașii de reproducere. Confirmăm primirea în termen de 2 zile lucrătoare și urmărim remedierea problemelor critice în 7 zile. Vă rugăm să nu dezvăluiți public vulnerabilitățile înainte ca noi să fi avut posibilitatea de a le remedia.