Säkerhet hos YARDtwin

YARDtwin körs på Microsoft Azure med beräkning i Norway East och data, register samt hemligheter i Sweden Central. Kunddata lagras inom EU/EES; de begränsade överföringar till underbiträden utanför EES som förekommer anges nedan och omfattas av standardavtalsklausuler.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privata containrar
• Azure Key Vault — Sweden Central, RBAC-styrd
• Azure Front Door + WAF — förebyggande läge (Prevention mode), anpassade regler för hastighetsbegränsning
• Azure Monitor-aviseringar för fel, svarstid och tillgänglighet, samt Azure Service Health-aviseringar

Kunddata lagras i Microsoft Azure-regioner inom EU/EEA — Norge Öst (applikation, lagring) och Sverige Centralt (databas, hemligheter). Norge är en EES-stat där GDPR gäller, vilket innebär ett intra-EES-arrangemang som inte kräver någon överföringsmekanism enligt kapitel V. Skapande av resurser utanför godkända regioner blockeras på plattformsnivå av en Azure Policy-tilldelning av typen "Deny", vilket innebär att kunddata inte kan etableras utanför EU/EES. Vissa funktioner skickar data till de underbiträden som anges nedan (och på /subprocessors), inklusive vissa utanför EES — exempelvis Anthropic i USA för AI-funktioner och e-postleverans — under EU:s standardavtalsklausuler (och EU-US Data Privacy Framework där mottagaren är certifierad); endast nödvändig minimidata skickas.

YARDtwin använder en liten, granskad uppsättning underbiträden för att leverera tjänsten. Varje underbiträde är bundet av ett personuppgiftsbiträdesavtal. Vi upprätthåller detta register och informerar kunder om väsentliga förändringar i enlighet med GDPR artikel 28.

Tjänster enbart för webbplatsen (ingen kundoperativ data)

Dessa körs endast på den publika webbplatsen. De tar inte emot någon kundoperativ data och är inte underbiträden för sådan data; de som sätter cookies laddas endast med samtycke.

YARDtwin använder AI för att läsa körkort och fraktdokument (OCR), för att jämföra en förares grindfoto en-till-en med körkortet eller sparat förarfoto där en anläggning aktiverar detta, för att driva den inbyggda assistenten samt för att generera röstinstruktioner. AI-bearbetning är stödjande: resultatet presenteras för en person — vid en bemannad grind bekräftar exempelvis en grindoperatör varje incheckning. Där en anläggning aktiverar automatisk incheckning från sina nummerplåtskameror eller en obemannad grind, checkas ett fordon vars bokning stämmer exakt in utan grindoperatör, och allt annat lämnas till grindpersonalen. YARDtwin fattar inga automatiserade beslut som ger rättsliga eller liknande betydande effekter för enskilda personer (GDPR artikel 22).

• Kunddata används inte för att träna tredjeparts AI-modeller — våra AI-underbiträden behandlar data enbart för att returnera ett resultat för din förfrågan.
• Uppgiftsminimering: AI-baserad OCR av dokument kan stängas av per anläggning, så att anläggningar som föredrar manuell inmatning aldrig skickar dokument till en AI-leverantör.
• Mänsklig tillsyn: extraherade fält kan granskas och redigeras innan de sparas i registret.

Strikt CSP med per-request-nonces på skript (ingen unsafe-inline). Fullständig uppsättning säkerhetsrubriker returneras vid varje svar: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Inget penetrationstest av tredje part har genomförts ännu; ett oberoende test planeras inför den första enterprise-driftsättningen. En intern white-box-kodgranskning slutfördes i oktober 2026 och alla kritiska fynd åtgärdades.

Funktionell säkerhetstestning den 11 april 2026 med 1 890+ API-anrop över 270 bokningar: 0 fel.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Säkerhetskopior: Punkt-i-tid-återställning med 7 dagars historik, plus månatliga krypterade säkerhetskopior som sparas i upp till 7 år under en tidsbaserad oföränderlighetspolicy som blockerar radering och överskrivning (policyn är ännu inte låst).
• Daglig säkerhetskopiering: en fullständig kopia av databasen tas varje natt och sparas i 35 dagar i separat krypterad lagring inom EES (Sverige Centralt, georeplikerat till Sverige Syd).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Dataintegritet (ALCOA+), granskningslogg som endast tillåter tillägg, elektroniska register, åtkomstkontroll, validerad
• 21 CFR Part 11 — Elektroniska register, granskningslogg, tillskrivning, förseglingskedja
• GDPR — Dataportabilitet (JSON + CSV), DSAR-arbetsflöde, samtyckeshantering, lagring enbart inom EU/EES
• ISO 27001 — Certifieringsprogram pågår; certifieringsrevision planerad till kvartal 1 2027; certifikat beräknas kvartal 1 2027
• SOC 2 — Innehas ej. Tillgänglig på begäran efter ISO 27001-certifiering.

• Vendor Assurance Pack v1.2 — QMS-dokumentindex, GAMP 5-kategorisering, EU GMP Annex 11 och 21 CFR Part 11 klausulmappningar, ALCOA+-deklaration, säkerhetsarkitektur, ett ifyllt CAIQ-Lite, alla korrigeringar till v1.1 samt den fullständiga listan över öppna punkter. PDF, ingen registrering krävs.
• GMP-revisionsberedskapschecklista för gårdsverksamhet — 101 kontroller inom 12 domäner för att bedöma din egen gård mot Annex 11, 21 CFR Part 11 och EU:s GDP-riktlinjer.
• Personuppgiftsbiträdesavtal — granskningskopia på begäran från dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• GDPR-policy
• Integritetspolicy
• security.txt
• Statussida för tjänsten — live självrapporterad plattformsstatus, tillgänglighetsåtaganden och incidenthistorik.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Vi välkomnar rapporter från säkerhetsforskare. Skicka e-post till admin@yardtwin.commed en beskrivning av fyndet och steg för att reproducera det. Vi bekräftar mottagandet inom 2 arbetsdagar och strävar efter att åtgärda kritiska problem inom 7 dagar. Vänligen offentliggör inte sårbarheter innan vi haft möjlighet att åtgärda dem.

Frågor om personuppgifter, DPA, underbiträden eller registrerades rättigheter skickas till dpo@yardtwin.com. Detta är en rollbrevlåda som övervakas av den person som ansvarar för dataskydd på YARDtwin Ltd. YARDtwin har inte utsett ett lagstadgat dataskyddsombud enligt GDPR artikel 37, vilket inte är obligatoriskt för dess behandling; vi publicerar kontaktadressen i stället för en enskild persons namn. Begäran från registrerade kan även skickas via DSAR-portalen. /data-request