GDPR-policy

Senast uppdaterad: 9 maj 2026 · v3.0 · Gäller omedelbart

Tillämpliga förordningar: EU:s allmänna dataskyddsförordning (2016/679), irländsk dataskyddslag 2018

1. Vårt åtagande

YARDtwin Ltd är engagerat i full efterlevnad av den allmänna dataskyddsförordningen (GDPR). Som både personuppgiftsansvarig (för våra egna kunddata) och personuppgiftsbiträde (som hanterar operativa uppgifter på uppdrag av våra kunder) implementerar vi lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter i varje steg.

2. Roller och ansvar

YARDtwin som personuppgiftsansvarig: Vi fastställer ändamålen och medlen för behandling av personuppgifter för kontohantering, fakturering, nyhetsbrevsprenumerationer och webbplatsanalys.

YARDtwin som personuppgiftsbiträde: När våra kunder registrerar operativa uppgifter (bokningar, transportörsuppgifter, förarnamn, inspektionsprotokoll) i plattformen agerar YARDtwin som personuppgiftsbiträde på deras uppdrag. Varje kund (klientorganisation) är personuppgiftsansvarig för sina operativa uppgifter.

Kundens ansvar: Kunder ansvarar för att säkerställa att de har laglig grund för de personuppgifter de registrerar i YARDtwin (t.ex. förarnamn, kontaktuppgifter till transportörer, fordonsregistreringar). Kunder måste informera sina egna registrerade om behandling av personuppgifter via YARDtwin.

3. Personuppgiftsbiträdesavtal (DPA)

Alla kunder kan granska och godkänna vårt personuppgiftsbiträdesavtal via den självbetjänade DPA-sidan. Kunder med Standard- och Founder-abonnemang får även ett kontrasignerat personuppgiftsbiträdesavtal som omfattar: behandlingens omfattning och ändamål, typer av personuppgifter som behandlas, kategorier av registrerade, bägge parters skyldigheter, hantering av underleverantörer, anmälan av personuppgiftsincidenter, internationella överföringar och revisionsrättigheter. För utförande av DPA, kontakta admin@yardtwin.com (med kopia till dataskyddsombudet på dpo@yardtwin.com).

4. Tekniska åtgärder (Art. 32 GDPR)

4.1 Kryptering

Alla data krypteras under överföring (TLS 1.2+). Lösenord hashas med bcrypt (12 rundor). PostgreSQL Flexible Server använder transparent datakryptering i vila. Azure Blob Storage krypteras i vila. Kryptering på applikationsnivå (AES-256-GCM) för biometriska data (körkortsbild, signaturbilder) med nycklar lagrade i Azure Key Vault. JWT-tokens kryptografiskt signerade (HS256). Hemligheter hanteras via Azure Key Vault som nås av App Service-hanterad identitet — inga hemligheter i kod, miljöfiler eller containeravbildningar.

4.2 Åtkomstkontroll

Rollbaserad åtkomstkontroll (RBAC) med sex definierade roller (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin). Principen om minsta privilegium tillämpas via middleware på varje autentiserad rutt. Klientisolering verifieras genom en automatiserad revision med 25 testfall för korsande klienter vid varje release. SSO stöds via Google och Microsoft för multifaktorautentisering.

4.3 Granskningsloggar

Fullständig granskningsloggning av användaråtgärder: användaridentitet, tidsstämpel, IP-adress, åtgärdsverb, berörd enhet, gamla och nya värden. GMP-relevanta åtgärder flaggas separat (is_gmp_relevant=1). Endast tillägg på applikationsnivå; 6 års lagringstid. Pseudonymiseras men raderas inte vid begäran om radering enligt Art. 17 (undantag för rättslig förpliktelse enligt Art. 17(3)(b)).

4.4 Infrastruktursäkerhet

Driftas på Microsoft Azure (Sverige, centrala + Norge, östra, EES). Containerbaserad App Service driftsätts via Azure Container Registry med mellanlagringsplats och byte. Endast portarna 80/443 exponerade; PostgreSQL är inte direkt åtkomlig via internet. Azure NSG och Front Door (planerat). Application Insights med schema-avvikelsevarning på Postgres-fel av typen "column / relation does not exist" (15-minutersfönster). Komplett /health/db-write-kontroll verifierar att applikationen kan skriva och läsa databasen vid varje driftsättning.

4.5 Datamanering

Vi samlar endast in data som är nödvändiga för tjänsteleveransen. Valfria förarfält (telefon, e-post) kan lämnas tomma om kundens process tillåter det. Biometrisk verifiering är inaktiverad som standard per anläggning; anläggningsadministratören aktiverar det vid behov. Nyhetsbrev samlar endast in e-postadress och valfritt företagsnamn.

4.6 Mjukvarans försörjningskedja

Varje pull request genomgår automatiserade säkerhetskontroller: npm audit (beroende-CVE:er på HIGH+ blockerar driftsättning), Trivy (CVE-skanning av container), Semgrep SAST (OWASP topp-tio + Node.js + React + regler för hemligheter), gitleaks (hemlighetsgenomsökning av hela git-historiken) samt OWASP ZAP (DAST mot staging enligt schema). Dependabot öppnar PR:er för nya CVE:er i takt med att de offentliggörs.

5. Registrerades rättigheter (kapitel III GDPR)

Vi underlättar utövandet av alla registrerades rättigheter:

Rätt till tillgång (art. 15): Användare kan begära en kopia av alla personuppgifter vi lagrar. Klientadministratörer kan exportera sin organisations data. Alla övriga registrerade (chaufförer, nyhetsbrevsprenumeranter, potentiella kunder) kan skicka in en begäran via DSAR-portal.

Rätt till rättelse (art. 16): Användare kan uppdatera sina profiluppgifter via inställningssidan. Klientadministratörer kan uppdatera alla användare inom sin organisation.

Rätt till radering (art. 17): Begäran om kontoradering behandlas inom 30 dagar. Skicka in via DSAR-portal. Internt hanteras detta av POST /api/v1/dsar/erase/by-email som pseudonymiserar data i samtliga PII-tabeller. Observera: revisionsdata bevaras i 6 år enligt den rättsliga skyldigheten i art. 17(3)(b).

Rätt till begränsning av behandling (art. 18): Användare kan begära begränsning. Vi kommer att markera uppgifterna och upphöra med behandlingen utom för lagring.

Rätt till dataportabilitet (art. 20): Data kan exporteras i CSV- och JSON-format. Bokningsdata, transportördata och revisionsloggar kan alla exporteras.

Rätt att göra invändningar (art. 21): Användare kan invända mot behandling som grundar sig på berättigat intresse. Avregistrering från nyhetsbrev sker via en-klicks-länk i varje e-postmeddelande.

Rätt avseende automatiserat beslutsfattande (art. 22): YARDtwin fattar inte enbart automatiserade beslut som väsentligt påverkar enskilda individer.

6. Samtyckeshantering

Nyhetsbrev: Uttryckligt opt-in-samtycke krävs. Tidsstämpel och IP-adress för samtycke registreras. Avregistreringslänk finns i varje utskick. Samtycket kan återkallas när som helst utan att det påverkar åtkomsten till tjänsten.

Tjänstevillkor: Skapande av konto innebär godkännande av användarvillkoren (avtalsmässig grund). Användare informeras vid registrering om behandlingen av personuppgifter.

Cookies: En cookiebanner visas vid första besöket i enlighet med ePrivacy-direktivet. Användare kan välja enbart nödvändiga cookies eller alla cookies. Inställningar lagras lokalt och kan ändras när som helst.

7. Rutiner vid dataintrång (art. 33–34)

Automatiserad detektering: En övervakningsprocess för intrång körs var 5:e minut mot revisionsloggen och flaggar avvikelser som potentiella incidenter:

≥10 misslyckade inloggningar för en e-postadress inom 1 timme
≥5 distinkta käll-IP:er riktade mot en e-postadress inom 24 timmar
Lyckad inloggning från en käll-IP som inte tidigare setts för den användaren under de senaste 30 dagarna
HTTP 5xx-felfrekvens > 5 % under ett 5-minutersfönster
Postgres-fel av typen "column / relation does not exist" (schemadrift, App Insights)
/health/db-write-probfel (läs+skriv-kontroll vid varje driftsättning och kontinuerligt)

Intrångsregister: Varje detekterad avvikelse skrivs till breach_register tabellen med en tillståndsmaskin (detekterad → under utredning → bekräftad → notifierad → avslutad), allvarlighetsgrad, omfattning, berörda registrerade, nedräkning mot DPC-deadline samt revisionshistorik. Visas i SuperAdmin-panelen "Intrångsregister".

Larividarebefordran: Detekteringshändelser dirigeras till Azure Monitor Action Group yardtwin-breach-actions, som skickar e-post till admin@yardtwin.com samt de beredskapsadresser som finns registrerade. Schemadrifthändelser använder den befintliga yardtwin-schema-drift-actions gruppen.

Bedömning: Inom 24 timmar efter detektering triagerar det tekniska teamet incidenten i intrångsregisterpanelen: omfattning, berörda registrerade, allvarlighetsgrad (kriteriet "risk för rättigheter och friheter" enligt art. 33(1)) samt grundorsak.

Anmälan till tillsynsmyndigheten (art. 33): Inom 72 timmar från det att man blivit medveten om ett intrång som innebär en risk. Intrångsregisterpanelen visar en löpande 72-timmars nedräkningstimer när incidenten markeras som bekräftad.

Underrättelse till registrerade (art. 34): Utan onödigt dröjsmål om intrånget innebär en hög risk för de registrerades rättigheter och friheter.

Meddelande till kunder: Berörda tenant-administratörer meddelas inom 48 timmar efter att ett intrång som påverkar deras tenants data har bekräftats.

Dokumentation: Varje post i intrångsregistret bevaras under plattformens livstid plus 6 år (revisionslagring), oavsett om extern anmälan krävdes.

8. Underbiträden

Underleverantör	Ändamål	Plats	Skyddsåtgärder
Microsoft Azure	Molninfrastruktur (App Service, Postgres, Blob, Key Vault, App Insights)	EEA (Sverige, centrala + Norge, östra)	Microsoft Online Services DPA + EU SCCs, ISO 27001, SOC 2 Type II
Stripe	Prenumerationsfakturering och betalningshantering	Stripe Irland (EEA), viss support i USA	Stripe DPA + SCCs + PCI DSS
Resend	Transaktionsbaserad e-post (välkomstmeddelanden, påminnelser om provperiod, DSAR-svar)	USA (Delaware)	DPA + SCCs (verifiering pågår)
Google Cloud Vision	OCR för körkort (när kunden aktiverar körkortsverifiering)	EU-regioner	Google Cloud DPA + EU SCCs, ISO 27001, SOC 2
Google / Microsoft (OAuth SSO)	Single sign-on-identitetstokens för användare som väljer SSO	EEA (Microsoft Entra ID), globalt (Google Workspace)	Microsoft / Google Cloud DPAs
Anthropic	Claude API för AI-assistent i produkten samt textanalys vid körkorts-OCR	USA (Kalifornien)	Anthropic DPA + nollretentionsåtagande + SCCs

Kunder meddelas 30 dagar innan ett nytt underbiträde läggs till.

9. Konsekvensbedömning avseende dataskydd (DPIA)

Vi genomför DPIA:er för behandlingsaktiviteter som innebär höga risker för registrerade. Eftersom YARDtwin huvudsakligen behandlar operativ verksamhetsdata (dockningsscheman, transportörnamn, fordonsregistreringar) snarare än känsliga personuppgifter är riskprofilen måttlig. DPIA:er har genomförts för: behandling av revisionsloggar, korstenantbaserad analys (plattformsadminmodul) och hantering av nyhetsbrevsprenumeranter.

10. Inbyggt och förvalt dataskydd (Art. 25)

Inbyggt dataskydd: Multitenantarkitektur med obligatorisk tenantisолering. RBAC inbyggt i varje API-endpoint. Lösenord lagras aldrig i klartext. Minimal datainsamling i varje steg.

Förvalt dataskydd: Nya konton har minimala behörigheter. Valfria fält är verkligt valfria. Nyhetsbrev kräver aktivt samtycke. Datasynlighet begränsas av roll.

11. Efterlevnadsstatus och kontinuerlig förbättring

Åtgärdat (per maj 2026)

✓ Migrering till PostgreSQL Flexible Server (Azure-hanterad, transparent datakryptering i vila, 7-dagars återställning till valfri tidpunkt)
✓ Migrering till Microsoft Azure (Sverige, centrala + Norge, östra, EEA) med App Service + ACR + Key Vault
✓ Hemlighetshantering via Azure Key Vault (inga hemligheter i .env eller containeravbildningar; åtkomst via hanterad identitet)
✓ Automatiserad DSAR-export (POST /api/v1/dsar/export/by-email — Art. 15 / 20)
✓ Automatiserad DSAR-radering (POST /api/v1/dsar/erase/by-email — Art. 17 med efterlevnad av revisionslagring)
✓ Cookie-banner v2 med fyra kategorier (nödvändiga / funktionella / analys / marknadsföring) samt Avvisa / Anpassa / Acceptera alla
✓ Revision av korstenantisолering automatiserad; 25/25 korstenantbaserade åtkomstvektorer blockerade, regressionstestad vid varje release
✓ CI/CD-säkerhetspipeline: npm audit + Trivy + Semgrep + gitleaks + ZAP DAST
✓ Schema-drift-avisering via Application Insights (15-minutersfönster)
✓ End-to-end /health/db-write-sond verifierar skrivbar databas vid varje driftsättning
✓ App Insights schema-drift Action Group skickar e-post till jourtjänstadress vid Postgres-fel av typen "column / relation does not exist"
✓ Fältnivåkryptering (AES-256-GCM) för biometriska uppgifter (körkortbilder, signature_data)
✓ Automatiserad rensning för datalagring (konfigurerbar per anläggning; pii-cleanup-worker)
✓ 30-dagars provperiod harmoniserad överallt (registrering, marknadsföringssajt, villkor, e-post)
✓ End-to-end regressionstest med 5 000 lastbilar täcker samtliga Site Admin-endpoints med gårdsvy-kontroller vid varje övergång (53 650/53 651 = 100 %)
✓ Datainventering och register över behandlingsaktiviteter (Art. 30) publicerat
✓ Register över underbiträden upprätthålls och granskas årligen
✓ Inbyggt dataskydd och dataskydd som standard dokumenterat (Art. 25)
✓ Brandvägg för webbapplikationer (Azure Front Door + hanterad WAF) skyddar yardtwin.com med OWASP Core Rule Set, botskydd och L7 DDoS-begränsning
✓ Automatiserad intrångsdetektering — auth-anomaly-worker (toppar av misslyckade inloggningar, multi-IP-attacker, inloggningar från nytt land), 5xx-frekvensaviseringar, schema-drift-aviseringar och /health/db-write-sond
✓ Intrångsregister beständig tabell med fullständig tillståndsmaskin och nedräkning till DPC-deadline, synlig i SuperAdmin-panelen
✓ Action Group yardtwin-breach-actions skickar e-post till admin@yardtwin.com och jourtjänstadresser vid varje detektering

Återstående förbättringar

11.1 Första externa CREST-penetrationstest

Inget penetrationstest av tredje part har genomförts. Uppdrag är definierat (Cobalt.io, ~€6–8k för webbapp + autentiserat test). Intern testning har åtgärdat 27 fynd hittills. Prioritet: Hög. Mål: Q3 2026.

11.2 Utnämning av dataskyddsombud

Ett externt, deltidsengagerat dataskyddsombud (DPO) ska kontrakteras innan den första betalande företagskunden inom läkemedelsbranschen. Krävs för trovärdig leverantörsonboarding även där det inte är strikt obligatoriskt enligt Art. 37. Prioritet: Hög. Mål: Innan första betalande företagskund.

11.3 ISO 27001-certifiering

Skelett för tillämpbarhetsförklaring färdigställt, med kartläggning av alla 93 kontroller i Annex A (~32 PÅ PLATS, ~25 PARTIELLA, ~22 SAKNAS, ~14 EJ TILLÄMPLIGA). Engagemang av extern huvudrevisor är nästa steg; fullständig certifieringsprocess tar 9–12 månader. Prioritet: Medel. Mål: Q4 2026 — certifieringsrevision Q1 2027.

11.4 SOC 2 Typ II

Krävs för amerikanska företagskunder. Bäst att genomföra efter att ISO 27001 är på plats — de flesta kontroller överlappar. Prioritet: Medel. Mål: 2027.

11.5 Geo-redundant sekundär region

YARDtwin körs på Azure App Service med point-in-time-säkerhetskopieringsåterställning (7-dagarsfönster) men är en enda region. En geo-redundant sekundär i en annan EES-region kan reducera RTO från timmar till minuter vid regionövergripande fel. Prioritet: Medel. Mål: Q4 2026.

11.6 Resend & Anthropic SCC-verifiering

Båda underbiträdena överför data till USA under SCCs. Skriftlig bekräftelse av kompletterande åtgärder för FISA 702 samlas in som en del av den årliga granskningen av underbiträden. Prioritet: Medel. Mål: Q3 2026.

11.7 Bug Bounty-program

Ett privat bug bounty-program (HackerOne / Intigriti) planeras efter det andra godkända externa penetrationstestet, vilket ger kontinuerlig extern täckning mellan de årliga testerna. Prioritet: Låg. Mål: 2027.

12. Kontakt & Dataskyddsombud

Dataskyddsombud: dpo@yardtwin.com — ett externt deltids-DPO håller på att upphandlas (se 11.2); fram till utnämning vidarebefordras e-post till denna adress till admin@yardtwin.com för hantering.

Allmänna frågor: admin@yardtwin.com

Registrerades begäranden: Skicka via vår DSAR-portal

Databehandlingsavtal: Granska och godkänn på /dpa

Tillsynsmyndighet: Data Protection Commission (DPC), Irland · www.dataprotection.ie · +353 (0)761 104 800