Databehandlingsavtal

1. Parter

Detta databehandlingsavtal ("DPA") ingås mellan kunden ("personuppgiftsansvarig") och YARDtwin Ltd, registrerat i Irland ("personuppgiftsbiträde"), gemensamt kallade "parterna". Detta DPA utgör en del av och omfattas av YARDtwin Användarvillkor.

2. Omfattning och ändamål

Biträdet behandlar personuppgifter för den ansvariges räkning uteslutande i syfte att tillhandahålla YARDtwin:s plattform för gårdshantering: dockschemaläggning, grindoperationer, digital twin-visualisering av gårdsplan, hanterings- och förarhantering, GMP-kompatibelt revisionsspår, analys och integrationer. Behandlingen utförs under den ansvariges prenumerationsperiod och eventuell lagringsperiod som krävs enligt avsnitt 11.

3. Kategorier av registrerade

• Den ansvariges anställda och administratörer (namngivna användare av plattformen)
• Förare och logistikpersonal incheckade vid den ansvariges grindar
• Transportörrepresentanter och speditionskontakter
• Grindvakter och lageroperatörer

4. Typer av personuppgifter

• Identitetsuppgifter: namn, e-postadresser, telefonnummer, befattning/jobbtitel, företagsnamn och adress
• Autentiseringsuppgifter: bcrypt-hashade lösenord (12 omgångar), JWT-åtkomst- och uppdateringstokens, sessionstidsstämplar, IP-adresser, SSO-identifierare (Google, Microsoft)
• Driftsuppgifter: bokningar, dockfördelningar, trailerrörelser, inspektionsprotokoll, dokument, uppgiftstilldelningar, fordonsregistreringar
• Föraruppgifter: körkortsnummer, körkortskopior, valfria ansiktsbilder för biometrisk grindverifiering (känsliga uppgifter, art. 9 GDPR — behandlas endast när den ansvarige har aktiverat biometrisk verifiering vid grinden och inhämtat uttryckligt samtycke vid insamlingstillfället)
• Revisionsuppgifter: användaråtgärder, tidsstämplar, IP-adresser, user-agent-strängar, diff för gamla/nya värden, GMP-flaggade poster

5. Biträdets skyldigheter

• Behandla personuppgifter endast enligt dokumenterade instruktioner från den Personuppgiftsansvarige (plattformens UI och API utgör dokumenterade instruktioner)
• Säkerställa att personer som är behöriga att behandla uppgifter är bundna av sekretessavtal
• Implementera lämpliga tekniska och organisatoriska säkerhetsåtgärder (Art. 32) — se avsnitt 7 nedan
• Inte anlita underbiträden utan föregående skriftligt godkännande; lämna 30 dagars förvarning om eventuellt nytt underbiträde (rätt att invända)
• Bistå den Personuppgiftsansvarige med registrerades begäranden (Art. 15–22) via DSAR-slutpunkterna som beskrivs i avsnitt 9
• Underrätta den Personuppgiftsansvarige om personuppgiftsincidenter utan onödigt dröjsmål och inom 72 timmar (avsnitt 8)
• Radera eller återlämna alla personuppgifter vid tjänsternas upphörande (avsnitt 11)
• Tillhandahålla all information som krävs för att påvisa efterlevnad och stödja revisioner (avsnitt 12)

6. Underbiträden

Personuppgiftsbiträdet anlitar för närvarande följande underbiträden, vart och ett verksamt under ett personuppgiftsbiträdesavtal och (där tillämpligt) standardavtalsklausuler 2021:

Kunder meddelas minst 30 dagar innan något nytt underbiträde tillkommer, med rätt att invända och avsluta avtalet utan påföljd.

7. Säkerhetsåtgärder (Art. 32)

• Kryptering under överföring: TLS 1.2+ på samtliga slutpunkter; certifikat hanterade av Microsoft Azure (DigiCert)
• Kryptering i vila: Transparent datakryptering i Azure Postgres Flexible Server; kryptering i Azure Blob Storage
• Kryptering på fältnivå: AES-256-GCM för biometriska uppgifter (körkortbilder, signaturbilder), nycklar förvarade i Azure Key Vault
• Lösenordshashning: bcrypt, 12 rundor
• Autentisering: JWT-åtkomsttokens (1 timmes giltighetstid) + uppdateringstokens (7 dagars giltighetstid, rotation vid användning); SSO via Google och Microsoft för MFA-motsvarighet
• Klientisolering: tillämpas på samtliga API-rutter, regressionstestad med 25-vektors korstenantgranskning vid varje release
• Rollbaserad åtkomstkontroll: sex roller (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin), mellanvara med lägsta behörighet
• Brandvägg för webbapplikationer: Azure Front Door + hanterad WAF (OWASP Core Rule Set, botskydd, L7 DDoS)
• Hastighetsbegränsning: per-ruttbegränsningar, striktare för autentiseringsslutpunkter; spårning av försök i minnet och persistent lagring
• Granskningslogg: append-only på applikationslagret, 6 års lagring, GMP-relevanta poster flaggas separat, pseudonymiserade (ej raderade) vid Art. 17 radering enligt Art. 17(3)(b)
• Kontinuerlig övervakning: Azure Application Insights, schema-driftsavisering (15-minutersfönster), end-to-end /health/db-write-prob, avvikelsearbetare för intrångsövervakning (toppar av misslyckade inloggningar, multi-IP-attacker, landsbytesinloggningar, 5xx-frekvens)
• Mjukvaruleveranskedja: npm audit, Trivy, Semgrep, gitleaks, OWASP ZAP på varje PR. Hemligheter: Azure Key Vault åtkomst via App Service-hanterad identitet; inga hemligheter i kod, env-filer eller containeravbildningar

8. Anmälan om personuppgiftsincident

Personuppgiftsbiträdet ska utan onödigt dröjsmål och senast 72 timmar efter att ha fått kännedom om en personuppgiftsincident som berör den personuppgiftsansvariges data underrätta den personuppgiftsansvarige (Art. 33). Anmälan ska innehålla incidentens art, kategorier och ungefärligt antal berörda registrerade, sannolika konsekvenser, vidtagna eller föreslagna åtgärder samt referens till incidentregistret. Upptäckta avvikelser dirigeras till Azure Monitor Action Group yardtwin-breach-actions; bekräftade incidenter spåras i incidentregistertabellen med en 72-timmars DPC-nedräkning.

9. De registrerades rättigheter

Personuppgiftsbiträdet tillhandahåller den personuppgiftsansvarige följande slutpunkter för att uppfylla de registrerades rättigheter inom 30-dagarsfristen enligt Art. 12(3):

• POST /api/v1/dsar/export/by-email — maskinläsbart uttag som täcker Art. 15 (tillgång) och Art. 20 (portabilitet)
• POST /api/v1/dsar/erase/by-email — pseudonymisering i alla PII-tabeller, med bevarad revision-logglagring enligt Art. 17(3)(b)
• Självbetjäningsportal för begäranden på /data-request

10. Internationella överföringar

Operativa data lagras inom Europeiska ekonomiska samarbetsområdet (Microsoft Azure, Sweden Central + Norway East). Vidareöverföringar till underbiträden utanför EES (Resend, Anthropic) regleras av standardavtalsklausuler 2021 med dokumenterade konsekvensbedömningar av överföringar. Stripe kontrakterar via Stripe Ireland (EES primärt).

11. Varaktighet, uppsägning och dataåterlämnande

Detta DPA gäller under hela tjänsteavtalets löptid. Vid uppsägning:

• Den personuppgiftsansvarige kan exportera alla sina data inom 30 dagar via inbyggda exportfunktioner eller på begäran
• Efter 30 dagar raderar personuppgiftsbiträdet all den personuppgiftsansvariges operativa personuppgifter
• Revisionsloggar lagras i 6 år efter händelsen i pseudonymiserat tillstånd, i enlighet med 21 CFR Part 11 / EU GMP Annex 11 (Art. 17(3)(b) undantag för rättslig förpliktelse)
• Säkerhetskopior rensas inom 7 dagar efter operativ radering, i linje med fönstret för återställning till tidpunkt

12. Revisionsrättigheter

Personuppgiftsbiträdet ska ge den personuppgiftsansvarige tillgång till all information som krävs för att påvisa efterlevnad av Art. 28 GDPR. Kunder kan begära: kopior av relevanta säkerhetscertifieringar och revisionsrapporter (där sådana finns), det aktuella registerförteckningen över underbiträden, den senaste rapporten om regressionstestning av tenantsisolering, den senaste externa penetrationstestssammanfattningen (när den utfärdats, se GDPR-policy 11.1) samt svar på ett leverantörssäkerhetsformulär. Skäliga platsbesök eller distansrevisioner kan arrangeras med minst 30 dagars varsel, utförda av den personuppgiftsansvarige eller en oberoende tredje part bunden av sekretess. Personuppgiftsbiträdet kommer att prioritera ISO 27001 / SOC 2 Type II-rapporter som ersättande bevis när dessa certifieringar väl finns på plats.

13. Ansvar och tillämplig lag

Ansvar enligt detta DPA omfattas av de begränsningar som anges i YARDtwin Användarvillkor. Detta DPA regleras av irländsk rätt och EU:s allmänna dataskyddsförordning (GDPR). Eventuella tvister är föremål för irländska domstolars exklusiva behörighet.

14. Kontakt

För frågor om detta DPA, för att begära en kontrasignerad kopia eller för att utöva någon av rättigheterna ovan, kontakta admin@yardtwin.com eller dataskyddsombudet på dpo@yardtwin.com. Ett externt fraktionellt dataskyddsombud håller på att upphandlas (GDPR-policy 11.2); fram till tillsättning dirigeras post skickad till dpo@yardtwin.com till admin@yardtwin.com.