Integritetspolicy

Senast uppdaterad: 9 maj 2026 · v3.0 · Gäller omedelbart

1. Vilka vi är

YARDtwin™ är en plattform för gårdshantering som drivs av YARDtwin Ltd ("vi", "oss", "vår"), registrerat i Irland. Vi tillhandahåller molnbaserad programvara för hantering av gårdsoperationer, inklusive dockschemaläggning, portautomation, trailerspårning och analys.

Kontakt till personuppgiftsansvarig: admin@yardtwin.com. Du kan också skicka in en begäran via vår Portal för registrerades begäranden

2. Uppgifter vi samlar in

Vi samlar in följande kategorier av personuppgifter:

Kontouppgifter: Namn, e-postadress, telefonnummer, befattning/jobbtitel, företagsnamn och adress (gatuadress, stad, land) — anges vid kontoregistrering.

Autentiseringsuppgifter: Hashade lösenord (bcrypt, 12 rundor), sessionstokens, JWT-uppdateringstokens, inloggningstidsstämplar och IP-adresser. SSO-identifierare från Google och Microsoft för användare som loggar in med dessa leverantörer.

Driftsdata: Bokningsinformation, transportöruppgifter, docktilldelningar, trailorrörelser, inspektionsprotokoll, dokument och uppgiftstilldelningar som skapas vid normal användning av plattformen.

Förardata: Namn, telefonnummer, e-postadresser, körkortsnummer, körkortsfotografier och (där kunden aktiverar det) ansiktsbilder för biometrisk verifiering vid grinden. Särskild kategori av data enligt GDPR Art. 9 — insamlas med uttryckligt samtycke vid grinden. Lagringstid 30 dagar för biometrisk data, 90 dagar för allmänna personuppgifter, konfigurerbart per anläggning.

Revisionsdata: Användaråtgärder, tidsstämplar, IP-adresser och user-agent-strängar för efterlevnads- och säkerhetsändamål. Sparas i 6 år efter händelsen för GMP/Part 11-efterlevnad.

Nyhetsbrevdata: E-postadress och företagsnamn vid prenumeration på vårt nyhetsbrev, tillsammans med tidsstämpel för samtycke och IP-adress.

Teknisk data: Webbläsartyp, enhetsinformation och åtkomstloggar som samlas in automatiskt för säkerhets- och prestandaändamål.

3. Hur vi använder dina uppgifter

Tjänsteleverans: Hantering av bokningar, dockadministration, trailerspårning, generering av analyser samt tillhandahållande av alla plattformsfunktioner som du har prenumererat på.

Smart Slots-rekommendationer: För att generera bokningsrekommendationer via Smart Slots behandlar vi operativa data inklusive bokningstider, transportöridentitet, docktilldelningar, konfigurerade pausfönster och historiska ankomstmönster. Denna behandling utförs enbart inom din klientmiljö och används inte för någon korskundsmodellträning i fas 1. Förarens personuppgifter (namn, telefon, foto) används aldrig som indata i Smart Slots — motorn använder transportöridentitet, inte föraridentitet. Fas 2-omskolning (när den introduceras) sker per klientmiljö som standard; korskundsträning kräver uttryckligt opt-in via webbplatskonfigurationen och ett separat DPA-tillägg. Se sidan Smart Slots för mer information.

Kontohantering: Användarautentisering, rollbaserad åtkomstkontroll, prenumerationsfakturering och klientisolering.

Säkerhet och efterlevnad: Underhåll av revisionsloggar för GMP-efterlevnad (21 CFR Part 11, EU Annex 11), bedrägeridetektering och säkerhetsövervakning.

Kommunikation: Utskick av månatliga nyhetsbrev (med uttryckligt opt-in-samtycke), systemnotifieringar och tjänsteuppdateringar.

Förbättring: Aggregerad, anonymiserad analys för att förbättra plattformens prestanda och funktioner.

4. Rättsliga grunder för behandling

Avtalsnödvändighet (Art. 6(1)(b) GDPR): Behandling som är nödvändig för att tillhandahålla YARDtwin-tjänsten i enlighet med ditt prenumerationsavtal.

Berättigat intresse (Art. 6(1)(f) GDPR): Säkerhetsloggning, bedrägeriförebyggande och plattformsförbättring där vårt intresse inte åsidosätter dina rättigheter.

Samtycke (Art. 6(1)(a) GDPR): Nyhetsbrevsprenumerationer och marknadsföringskommunikation, som du när som helst kan återkalla.

Rättslig förpliktelse (Art. 6(1)(c) GDPR): Lagring av revisionsdata för att uppfylla regulatoriska krav inom läkemedelsindustrin (GMP/GDP).

5. Datasäkerhet

Kryptering under överföring: All data överförs via TLS 1.2+ (HTTPS). TLS-certifikat hanteras av Microsoft Azure (DigiCert).

Kryptering i vila: Azure PostgreSQL Flexible Server med transparent datakryptering. Azure Blob Storage-kryptering för dokument och bilder. Fältnivåkryptering (AES-256-GCM) för biometrisk data (körkortsfotografier, signaturer) med nycklar lagrade i Azure Key Vault. Lösenord hashade med bcrypt (12 rundor).

Isolering i flerklientsmiljö: Varje kunds data är logiskt isolerad med hjälp av klient-ID:n. API-mellanprogramvara upprätthåller klientgränser vid varje förfrågan. Verifieras av en automatiserad korskundsgranskning med 25 tester vid varje release.

Rollbaserad åtkomstkontroll: Sex distinkta användarroller (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin) med behörigheter på ruttsnivå. Enkel inloggning stöds via Google och Microsoft.

Hastighetsbegränsning: API-hastighetsbegränsning på alla rutter; striktare gränser för autentiseringsändpunkter. Helmet-liknande säkerhetsrubriker på alla svar.

Sessionssäkerhet: JWT-åtkomsttokens med 1 timmes giltighetstid. Uppdateringstokens med 7 dagars giltighetstid och rotation vid användning. IP-förankrad sessionsspårning.

Revisionsloggning: Varje betydelsefull åtgärd loggas med användare, tidsstämpel, IP-adress och gamla/nya värden. GMP-relevanta händelser flaggas separat. Endast tillägg på applikationsnivå; 6 års lagringstid.

Kontinuerlig övervakning: Azure Application Insights med schema-driftsavisering (Postgres "column / relation does not exist" → utlöses inom 15 min). End-to-end /health/db-write-sond verifierar att applikationen kan skriva och läsa vid varje driftsättning.

Infrastruktur: Driftas på Microsoft Azure i Sweden Central + Norway East (EEA). Containeriserad driftsättning via Azure Container Registry med staging-slot-then-swap-mönster. Hemligheter lagras i Azure Key Vault och nås via hanterad identitet. Dagliga säkerhetskopior + 7-dagars point-in-time-återställning på Postgres.

Mjukvaruleveranskedja: Varje pull request genomsöks av npm audit, Trivy (container-CVE:er), Semgrep (SAST OWASP topp-tio + Node.js + React + regler för hemligheter), gitleaks (hemlig historik) och OWASP ZAP (dynamisk skanning mot staging enligt schema).

6. Datalagring

Kontodata: Lagras under prenumerationens löptid plus 6 år (revisionslagring). Pseudonymiseras vid begäran om radering enligt Art. 17.

Operativ data: Lagras under prenumerationens löptid. Exporteras till dig på begäran innan radering. Vid prenumerationens slut lagras eller återlämnas data enligt kundens dataskyddsavtal (DPA).

Förares biometriska data (körkortsfoto, ansiktsbilder): 30 dagar efter utcheckning. Raderas automatiskt via schemalagd rensningsprocess.

Allmän personuppgifter för förare (namn, telefon, e-post, körkortsnummer): 90 dagar efter utcheckning, konfigurerbart per anläggning.

Revisionsdata: Lagras i 6 år efter händelsen för att uppfylla läkemedelsbranschens regulatoriska krav (GMP / 21 CFR Part 11). Pseudonymiseras — raderas inte — vid registrerades begäran om radering (Art. 17(3)(b) lagstadgad skyldighet).

Nyhetsbrevdata: Lagras tills du avslutar prenumerationen. Samtyckesregistreringar lagras i 3 år efter återkallelse.

Sessionsdata: Åtkomsttokens upphör efter 1 timme. Uppdateringstokens upphör efter 7 dagar. Sessionsrader hårdraderas vid utloggning eller radering.

7. Datadelning och underbiträden

Vi säljer inte dina personuppgifter. Vi delar data med följande underbiträden, var och en verksam under ett dataskyddsavtal (DPA) och (där tillämpligt) standardavtalsklausuler:

Microsoft Azure (Sweden Central + Norway East, EEA) — molnhosting, lagring, Key Vault, Application Insights. Microsoft Online Services DPA + EU SCCs.

Stripe (Stripe Ireland, EEA) — prenumerationsfakturering. Stripe hanterar betalningsdata direkt; vi lagrar inga kortnummer. Stripe DPA + SCCs för eventuell vidareöverföring till USA.

Resend (USA) — transaktionell e-post (välkomstmeddelanden, påminnelser om testperiod, DSAR-svar). Resend DPA + SCCs.

Google Cloud Vision (EU-regioner) — OCR för körkort när kunden aktiverar verifiering av körkortsfoto vid grinden.

Google Workspace / Microsoft Entra ID — OAuth enkel inloggning (SSO) för användare som väljer att logga in med sitt Google- eller Microsoft-konto.

Anthropic (USA) — Claude API för produktens AI-assistent och textanalys vid körkorts-OCR. Anthropic DPA + nolllagringspolicy + SCCs.

Kundreferat: Vi kan visa ditt företagsnamn och logotyp som kund hos YARDtwin i marknadsföringsmaterial, kundlistor, fallstudier och på vår webbplats. Du kan avböja detta genom att skicka e-post till admin@yardtwin.com — se Användarvillkoren §6a.

Din organisation: Tenant-administratörer kan se användaraktivitet inom sin egen organisation som en del av plattformens normala funktionalitet.

Rättsliga krav: Vi kan komma att lämna ut data om det krävs enligt lag, domstolsbeslut eller för att skydda våra juridiska rättigheter.

8. Dina rättigheter

Enligt GDPR (och irländsk dataskyddslag från 2018) har du rätt att:

✓Få tillgång till dina personuppgifter (Art. 15)

✓Rätta felaktiga uppgifter (Art. 16)

✓Radera dina uppgifter (Art. 17)

✓Begränsa behandlingen (Art. 18)

✓Dataportabilitet (Art. 20)

✓Invända mot behandling (Art. 21)

✓Återkalla samtycke när som helst

✓Lämna in ett klagomål till DPC

För att utöva en rättighet, skicka en begäran via portal för registrerades begäranden eller e-posta admin@yardtwin.com. Vi svarar inom 30 dagar.

Internt hanteras begäranden av vårt administrationsteam via två ändpunkter: POST /api/v1/dsar/export/by-email genererar ett maskinläsbart JSON-dokument med alla uppgifter vi lagrar för en e-postadress (Art. 15 / 20); POST /api/v1/dsar/erase/by-email pseudonymiserar den registrerade i samtliga PII-tabeller och bevarar revisionsloggens integritet enligt Art. 17(3)(b) (Art. 17).

9. Cookies

YARDtwin använder nödvändiga cookies och localStorage för sessionsautentisering (JWT-tokens). Cookiesamtyckesbannern erbjuder fyra kategorier: nödvändiga (alltid aktiva), funktionella (inställningar), analys (används ej för närvarande) och marknadsföring (används ej för närvarande). Besökare kan välja Avvisa icke-nödvändiga / Anpassa / Acceptera alla. Inställningar sparas lokalt med en versionsstämpel; bannern visas igen om kategorier ändras. Detaljerad cookie-inventering finns på Cookiepolicy sidan.

10. Internationella överföringar

Dina operativa uppgifter lagras inom Europeiska ekonomiska samarbetsområdet (EES) på Microsoft Azure (Sverige, centrala + Norge, östra). Vidareöverföringar till underleverantörer utanför EES:

Stripe: Stripe Ireland är avtalspart (EES). Vissa supportfunktioner i USA under standardavtalsklausuler.
Resend: Baserat i USA. Överföringar under standardavtalsklausuler 2021.
Anthropic: Baserat i USA. Standardavtalsklausuler finns på plats; Anthropics noll-lagringspolicy gäller. Chatbot-förfrågningar utesluter avsiktligt operativ personuppgifter; licens-OCR JSON-tolkaren skickar dock OCR-text.
Google: EU-regioner för Vision OCR; Google Workspace globalt för OAuth-identitetstokens. Google Cloud DPA + EU-standardavtalsklausuler.

En konsekvensbedömning för överföring upprätthålls för varje överföring till USA.

11. Barns integritet

YARDtwin är en plattform för företag-till-företag. Vi samlar inte medvetet in uppgifter från personer under 16 år.

12. Ändringar i denna policy

Vi kan komma att uppdatera denna integritetspolicy från tid till annan. Väsentliga ändringar kommuniceras via e-post till kontoadministratörer samt genom ett meddelande inom plattformen. Fortsatt användning av YARDtwin efter ändringar innebär ett godkännande.

13. Kontakt och tillsynsmyndighet

Personuppgiftsansvarig: YARDtwin Ltd · E-post: admin@yardtwin.com

Tillsynsmyndighet: Data Protection Commission (DPC), Irland · www.dataprotection.ie