Безопасность в YARDtwin

YARDtwin работает на Microsoft Azure: вычисления — регион Norway East, данные, реестр и секреты — Sweden Central. Все данные клиентов хранятся в пределах ЕС/ЕЭЗ в соответствии со статьями 44–49 GDPR.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, приватные контейнеры
• Azure Key Vault — Sweden Central, управление доступом RBAC
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — хранение 90 дней

Все данные клиентов хранятся и обрабатываются в пределах ЕС/ЕЭП — на платформе Microsoft Azure в регионах Норвегия-Восток (приложение, хранилище) и Швеция-Центр (база данных, секреты). Норвегия является государством ЕЭП, на которое распространяется GDPR, поэтому данная схема представляет собой внутреннюю передачу данных в рамках ЕЭП, не требующую механизмов передачи по Главе V. Создание ресурсов за пределами утверждённых регионов заблокировано на уровне платформы назначением правила Azure Policy «Запретить», что исключает возможность размещения данных клиентов за пределами ЕС/ЕЭП. В случаях, когда субпроцессор с ограниченным объёмом задач работает за пределами ЕЭП (например, AI OCR или доставка электронной почты), передача данных регулируется стандартными договорными положениями ЕС, и передаётся лишь минимально необходимый объём данных.

YARDtwin использует ограниченный, проверенный набор субобработчиков для предоставления сервиса. С каждым из них заключено Соглашение об обработке данных. Мы ведём этот реестр и уведомляем клиентов о существенных изменениях в соответствии со статьёй 28 GDPR.

YARDtwin использует ИИ для считывания водительских удостоверений и товаросопроводительных документов (OCR), работы встроенного ассистента и генерации голосового сопровождения. Обработка с помощью ИИ носит вспомогательный характер: результат представляется оператору — например, оператор ворот подтверждает каждый въезд — и YARDtwin не принимает автоматизированных решений, влекущих юридически значимые или аналогичные последствия для физических лиц (статья 22 GDPR).

• Данные клиентов не используются для обучения сторонних моделей ИИ — субобработчики ИИ обрабатывают данные исключительно для возврата результата по вашему запросу.
• Минимизация данных: OCR документов с помощью ИИ можно отключить для каждого объекта, чтобы объекты, предпочитающие ручной ввод, никогда не передавали документы поставщику ИИ.
• Контроль человека: извлечённые поля доступны для проверки и редактирования до их сохранения в записи.

Строгая CSP с одноразовыми nonce-токенами для каждого запроса к скриптам (без unsafe-inline). Полный набор заголовков безопасности в каждом ответе: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Независимое тестирование на проникновение 17–18 апреля 2026 г. (10 категорий OWASP, 36 векторов атак): 0 уязвимостей.Функциональное тестирование безопасности 11 апреля 2026 г.: более 1 890 API-вызовов по 270 заявкам: 0 ошибок.Ежегодный сторонний пентест запланирован; аудит SOC 2 Type II в процессе.

• EU GMP Annex 11 — Целостность данных (ALCOA+), журнал аудита только для добавления, электронные записи, контроль доступа, валидация
• 21 CFR Part 11 — Электронные записи, журнал аудита, атрибуция, цепочка хранения пломб
• GDPR — Переносимость данных (JSON + CSV), рабочий процесс DSAR, отслеживание согласий, хранение только в ЕС/ЕЭЗ
• SOC 2 Type II — Аудит в процессе

• Пакет гарантий поставщика (PDF) — Индекс документов QMS, категоризация по GAMP 5, сопоставление положений Annex 11 и 21 CFR Part 11, заявление ALCOA+, архитектура безопасности, заполненный CAIQ-Lite и полный перечень того, чего у нас пока нет. Заполнение формы не требуется.
• Контрольный список готовности к GMP-аудиту складских операций на территории предприятия — 101 проверка по 12 областям для оценки соответствия вашей территории требованиям Annex 11, 21 CFR Part 11 и руководства ЕС по GDP.
• Шаблон Соглашения об обработке данных (DPA) — для проверки и подписания предприятием
• Политика GDPR
• Политика конфиденциальности
• security.txt
• Страница статуса сервиса — актуальный статус платформы, обязательства по доступности и история инцидентов.

Мы приветствуем сообщения от исследователей безопасности. Отправьте письмо на адрес admin@yardtwin.comс описанием обнаруженной проблемы и шагами для её воспроизведения. Мы подтверждаем получение в течение 2 рабочих дней и стремимся устранить критические уязвимости в течение 7 дней. Просим не раскрывать уязвимости публично до того, как мы получим возможность их устранить.