Personuppgiftsbiträdesavtal

1. Parter

Detta personuppgiftsbiträdesavtal ("DPA") ingås mellan kunden ("personuppgiftsansvarig") och YARDtwin Ltd, registrerat i Irland ("personuppgiftsbiträde"), gemensamt kallade "parterna". Detta DPA utgör en del av och omfattas av YARDtwin Användarvillkor.

2. Omfattning och ändamål

Personuppgiftsbiträdet behandlar personuppgifter för den personuppgiftsansvariges räkning uteslutande i syfte att tillhandahålla YARDtwin-plattformen för gårdshantering: dockningsschemaläggning, grindoperationer, digital tvilling-visualisering av gårdsytan, hantering av transportörer och förare, en granskningslogg byggd för GMP-miljöer, analys och integrationer. Behandlingen utförs under den personuppgiftsansvariges prenumerationstid och eventuell lagringsperiod som krävs enligt avsnitt 11.

3. Kategorier av registrerade

• Den ansvariges anställda och administratörer (namngivna användare av plattformen)
• Förare och logistikpersonal incheckade vid den ansvariges grindar
• Transportörrepresentanter och speditionskontakter
• Grindvakter och lageroperatörer

4. Typer av personuppgifter

• Identitetsuppgifter: namn, e-postadresser, telefonnummer, befattning/jobbtitel, företagsnamn och adress
• Autentiseringsuppgifter: bcrypt-hashade lösenord (12 omgångar), JWT-åtkomst- och uppdateringstokens, sessionstidsstämplar, IP-adresser, SSO-identifierare (Google, Microsoft)
• Driftsuppgifter: bokningar, dockfördelningar, trailerrörelser, inspektionsprotokoll, dokument, uppgiftstilldelningar, fordonsregistreringar
• Föraruppgifter: körkortsnummer och körkortsbilder. Grindpersonal kan ta ett ansiktsfoto av föraren som grindbevis. Om en anläggning aktiverar AI-ansiktsjämförelse jämför vår AI-leverantör (Anthropic) det fotot en-till-en med körkortsbilden eller förarens lagrade foto för att hjälpa personalen att bekräfta förarens identitet. Resultatet är rådgivande: grindpersonalen beslutar och kan släppa in en förare som jämförelsen inte bekräftade genom att ange ett skäl. Varje jämförelse registreras på våra servrar med sitt resultat. Om ansiktsjämförelse är inaktiverat (standard) skickas inget ansiktsfoto till AI-leverantören och personalen jämför föraren med körkortsbilden själv; körkortsbilder läses fortfarande av AI där AI-avläsning är aktiverat. YARDtwin lagrar inga ansiktsmallar och utför ingen en-till-många-identifiering.
• Revisionsuppgifter: användaråtgärder, tidsstämplar, IP-adresser, user-agent-strängar, diff för gamla/nya värden, GMP-flaggade poster

5. Biträdets skyldigheter

• Behandla personuppgifter endast enligt dokumenterade instruktioner från den Personuppgiftsansvarige (plattformens UI och API utgör dokumenterade instruktioner)
• Säkerställa att personer som är behöriga att behandla uppgifter är bundna av sekretessavtal
• Implementera lämpliga tekniska och organisatoriska säkerhetsåtgärder (Art. 32) — se avsnitt 7 nedan
• Anlita endast de underbiträden som anges i avsnitt 6, för vilka den personuppgiftsansvarige ger ett generellt skriftligt godkännande; ge minst 30 dagars varsel om eventuella nya underbiträden, mot vilka den personuppgiftsansvarige har rätt att invända (avsnitt 6)
• Bistå den Personuppgiftsansvarige med registrerades begäranden (Art. 15–22) via DSAR-slutpunkterna som beskrivs i avsnitt 9
• Underrätta den personuppgiftsansvarige utan onödigt dröjsmål, och i vart fall inom 48 timmar efter att ha fått kännedom om ett personuppgiftsincident; lämna ett inledande meddelande inom 24 timmar efter varje bekräftad säkerhetsincident som påverkar den personuppgiftsansvariges uppgifter (avsnitt 8)
• Radera eller återlämna alla personuppgifter vid tjänsternas upphörande (avsnitt 11)
• Tillhandahålla all information som krävs för att påvisa efterlevnad och stödja revisioner (avsnitt 12)

6. Underbiträden

Personuppgiftsbiträdet anlitar för närvarande följande underbiträden, vart och ett verksamt under ett personuppgiftsbiträdesavtal och (där tillämpligt) standardavtalsklausuler 2021:

Den personuppgiftsansvarige ger ett generellt skriftligt godkännande för de underbiträden som anges ovan. Personuppgiftsbiträdet ger minst 30 dagars varsel om eventuella nya underbiträden; den personuppgiftsansvarige kan invända på rimliga grunder och, om invändningen inte kan lösas, avsluta den berörda tjänsten utan påföljd.

Tjänster enbart för webbplatsen (ingen kundoperativ data)

Dessa körs endast på den publika webbplatsen. De tar inte emot någon kundoperativ data och är inte underbiträden för sådan data; de som sätter cookies laddas endast med samtycke.

7. Säkerhetsåtgärder (Art. 32)

• Kryptering under överföring: TLS 1.2+ på samtliga slutpunkter; certifikat hanterade av Microsoft Azure (DigiCert)
• Kryptering i vila: Transparent datakryptering i Azure Postgres Flexible Server; kryptering i Azure Blob Storage
• Körkortsbilder och signaturer: Körkortsbilder och signaturer krypteras i vila med AES-256 av Azure Storage och Azure Database for PostgreSQL (nycklar som hanteras av Microsoft), och åtkomsten till dem begränsas efter roll och organisation
• Lösenordshashning: bcrypt, 12 rundor
• Autentisering: JWT-åtkomsttoken (1 timmes giltighetstid) och uppdateringstoken (7 dagars giltighetstid, roteras vid användning, aldrig giltiga mer än 30 dagar efter inloggning). Enkel inloggning (SAML 2.0, Google, Microsoft); tidsbaserad engångslösenords-MFA, obligatorisk för plattformsadministratörer och tillgänglig för alla användare
• Klientisolering: tillämpas server-sidan via klientbegränsning och testas automatiskt inför varje release: releasegrindets korsade klientgenomsökning anropar API:et som en organisation med en annan organisations post-ID:n, och releasen blockeras om någon av den organisationens data kan läsas eller ändras
• Rollbaserad åtkomstkontroll: rollbaserade behörigheter på autentiserade rutter, med klientbegränsning tillämpad server-sidan
• Brandvägg för webbapplikationer: Azure Front Door WAF i förebyggande läge (Prevention mode) med anpassade regler för hastighetsbegränsning på slutpunkterna för autentisering, registrering, lösenordsåterställning och registrerades begäranden, samt L7-DDoS-skydd på plattformsnivå. Ingen hanterad OWASP-regeluppsättning är kopplad — det kräver Front Door Premium-nivån.
• Hastighetsbegränsning: per-ruttbegränsningar, striktare för autentiseringsslutpunkter; spårning av försök i minnet och persistent lagring
• Granskningslogg: där manipulering kan upptäckas och med endast tillägg (upprätthålls i databasen), GMP-relevanta poster flaggade separat och bevarade i minst 7 år medan tjänsteavtalet löper (vid kontraktets slut exporteras de till den personuppgiftsansvarige, såvida den personuppgiftsansvarige inte avböjer exporten skriftligen eller inte kan nås efter rimliga försök, och raderas sedan — avsnitt 11), övriga poster i 365 dagar, pseudonymiserade (inte raderade) vid radering enligt Art. 17 med stöd av Art. 17(3)(b)
• Kontinuerlig övervakning: Azure Application Insights; ett tillgänglighetstest för webbplatsen var 10:e minut; en schemaavvikelsevarning (15-minutersfönster); en varning när mer än 10 serverfel (HTTP 5xx) inträffar inom 5 minuter; och en intrångsövervakningsprocess som kontrollerar granskningsloggen var 5:e minut för toppar av misslyckade inloggningar (10 eller fler för ett konto på en timme), inloggningsförsök på ett konto från 5 eller fler IP-adresser inom 24 timmar, och lyckade inloggningar från en IP-adress som inte setts för den användaren de senaste 30 dagarna
• Mjukvaruleveranskedja: Varje pull request måste klara npm audit (sårbarheter i beroenden), Semgrep (statisk analys) och gitleaks (hemlighetsscanning) innan den kan slås samman, med en Trivy-containerbildskanningsom ett rådgivande kontroll; dessa kontroller körs även vid varje push till master och varje natt, tillsammans med en rådgivande OWASP ZAP-baslinjeskanning (dynamisk testning) av produktionssajten. Hemligheter: Azure Key Vault åtkomst via App Service-hanterad identitet; inga hemligheter i kod, env-filer eller containerbilder

8. Anmälan om personuppgiftsincident

Personuppgiftsbiträdet ska underrätta den personuppgiftsansvarige utan onödigt dröjsmål, och i vart fall inom 48 timmar efter att ha fått kännedom om en personuppgiftsincident som påverkar den personuppgiftsansvariges uppgifter, och ska lämna ett inledande meddelande inom 24 timmar efter varje bekräftad säkerhetsincident som påverkar den personuppgiftsansvariges uppgifter. Meddelandet ska innehålla incidentens art, kategorier och ungefärligt antal berörda registrerade, sannolika konsekvenser, vidtagna eller planerade åtgärder samt referensen i incidentregistret. Detekterade avvikelser dirigeras till Azure Monitor Action Group yardtwin-breach-actions; bekräftade incidenter spåras i incidentregistertabellen med en 72-timmars DPC-nedräkning.

9. De registrerades rättigheter

Personuppgiftsbiträdet tillhandahåller den personuppgiftsansvarige följande slutpunkter för att uppfylla de registrerades rättigheter inom 30-dagarsfristen enligt Art. 12(3):

• POST /api/v1/dsar/export/by-email — maskinläsbart uttag som täcker Art. 15 (tillgång) och Art. 20 (portabilitet)
• POST /api/v1/dsar/erase/by-email — radering vid en verifierad begäran: personens egna användarkonton i de valda kundkontona anonymiseras och personens sessioner, tokens, aviseringar, väntande inbjudningar, nyhetsbrevs- och registreringsposter samt egen avatar raderas; driftsposter som den personuppgiftsansvarige har (bokningar, grind- och besöksregistreringar, förarlista, kontakter) listas så att den personuppgiftsansvarige kan vidta åtgärder; granskningsloggen behåller en anonymiserad referens till den som utförde åtgärden av hänsyn till GMP-integriteten (art. 17.3 b)
• Självbetjäningsportal för begäranden på /data-request

10. Internationella överföringar

Operativa uppgifter lagras inom det europeiska ekonomiska samarbetsområdet (Microsoft Azure, Sverige centralt och Norge öst). Standardavtalsklausuler (2021) gäller för varje överföring till ett underbiträde utanför EES; där en mottagare är certifierad enligt EU-US Data Privacy Framework tillämpas även detta. Konsekvensbedömningar av överföringar håller på att slutföras (målsatt till november 2026).

11. Varaktighet, uppsägning och dataåterlämnande

Detta DPA gäller under hela tjänsteavtalets löptid. Vid uppsägning:

• Den personuppgiftsansvarige kan exportera alla sina data inom 30 dagar via inbyggda exportfunktioner eller på begäran
• Efter 30 dagar raderar personuppgiftsbiträdet all den personuppgiftsansvariges operativa personuppgifter
• Medan tjänsteavtalet löper bevaras revisionsloggar i pseudonymiserat skick: GMP-relevanta poster i minst 7 år efter händelsen för att uppfylla GMP:s krav på dokumentationsbevarande (21 CFR Part 11 / EU GMP Annex 11; undantaget för rättslig förpliktelse Art. 17(3)(b)), övriga revisionsposter i 365 dagar. Vid kontraktets slut, innan den personuppgiftsansvariges uppgifter raderas, ges den personuppgiftsansvarige en fullständig export av sin revisionslogg, med ett verifikationskvitto, att spara under sin egen dokumentationsperiod, såvida den inte avböjer exporten skriftligen eller inte kan nås efter rimliga försök; personuppgiftsbiträdet raderar därefter revisionsloggen tillsammans med övriga uppgifter som tillhör den personuppgiftsansvarige. Förutom de säkerhetskopior som beskrivs nedan, vilka upphör enligt sitt eget schema, och personuppgiftsbiträdets eget underlag om överlämningen (kvittot, exportens hashvärden och antal samt vem som genomförde och tog emot den), bevaras revisionsloggen längre endast om den personuppgiftsansvarige skriftligen instruerar personuppgiftsbiträdet om detta, inom ramen för ett separat avtal.
• Operativa uppgifter raderas inom 30 dagar efter kontraktets upphörande. Point-in-time-databassäkerhetskopior upphör att gälla inom 7 dagar. Krypterade månatliga arkivsäkerhetskopior bevaras i upp till 7 år enbart för katastrofåterställning; de återställs inte utom för att återställa tjänsten, uppgifterna i dem är otillgängliga och de upphör att gälla med säkerhetskopian.
• En fullständig databassäkerhetskopia tas varje natt och sparas i 35 dagar i separat krypterad lagring inom EES (Sverige centralt, geo-replikerat till Sverige södra); data som raderats från den aktiva tjänsten finns kvar i dessa säkerhetskopior, utom räckhåll, tills de löper ut.

12. Revisionsrättigheter

Personuppgiftsbiträdet ska göra all information tillgänglig för den personuppgiftsansvarige som är nödvändig för att påvisa efterlevnad av art. 28 GDPR. Kunder kan begära: det aktuella underbiträdesregistret, den senaste rapporten om regressionstestning av klientisolering, sammanfattningen av extern penetrationstestning när ett test har genomförts (se GDPR Policy 11.1) samt svar på en leverantörssäkerhetsenkät. Rimliga revisioner på plats eller på distans kan arrangeras med minst 30 dagars varsel, genomförda av den personuppgiftsansvarige eller en oberoende tredje part som är bunden av konfidentialitet. Personuppgiftsbiträdet innehar i dagsläget ingen ISO 27001- eller SOC 2-certifiering; när ISO 27001-certifiering uppnås (målsatt till Q1 2027) kommer personuppgiftsbiträdet att erbjuda certifikatet som ersättningsbevis.

13. Ansvar och tillämplig lag

Ansvar enligt detta DPA omfattas av de begränsningar som anges i YARDtwin Användarvillkor. Detta DPA regleras av irländsk rätt och EU:s allmänna dataskyddsförordning (GDPR). Eventuella tvister är föremål för irländska domstolars exklusiva behörighet.

14. Kontakt

För frågor om detta DPA, för att begära en granskningskopia (en motundertecknad upplaga utfärdas när företagsregistreringen är klar), eller för att utöva någon av de rättigheter som anges ovan, kontakta admin@yardtwin.com eller dataskyddskontakten på dpo@yardtwin.com. Detta är en rollbrevlåda som övervakas av den person som ansvarar för dataskydd på YARDtwin Ltd. YARDtwin har inte utsett ett lagstadgat dataskyddsombud enligt artikel 37 GDPR, vilket inte är obligatoriskt för dess behandling (GDPR Policy 11.2); kontaktadressen publiceras i stället för en enskild persons namn.