Säkerhet hos YARDtwin

YARDtwin körs på Microsoft Azure med beräkning i Norway East och data, register samt hemligheter i Sweden Central. All kunddata stannar inom EU/EES, i enlighet med GDPR artiklarna 44–49.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, privata containrar
• Azure Key Vault — Sweden Central, RBAC-styrd
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — 90 dagars lagring

All kunddata lagras och behandlas inom EU/EES — hostad i Microsoft Azures regioner Norway East (applikation, lagring) och Sweden Central (databas, hemligheter). Norge är en EES-stat där GDPR gäller, vilket innebär att detta är ett intra-EES-arrangemang som inte kräver någon överföringsmekanism enligt kapitel V. Skapande av resurser utanför godkända regioner blockeras på plattformsnivå genom en Azure Policy-tilldelning av typen "Deny", vilket innebär att kunddata inte kan etableras utanför EU/EES. I de fall en delprocessor med begränsat omfång verkar utanför EES (till exempel AI OCR eller e-postleverans) regleras överföringar av EU:s standardavtalsklausuler och endast nödvändig minimidata skickas.

YARDtwin använder en liten, granskad uppsättning underbiträden för att leverera tjänsten. Varje underbiträde är bundet av ett personuppgiftsbiträdesavtal. Vi upprätthåller detta register och informerar kunder om väsentliga förändringar i enlighet med GDPR artikel 28.

YARDtwin använder AI för att läsa körkort och fraktdokument (OCR), för att driva assistenten i appen och för att generera röstvägledning. AI-bearbetningen är stödjande: resultatet presenteras för en person — exempelvis bekräftar en grindoperatör varje incheckning — och YARDtwin fattar inte automatiserade beslut som ger rättsliga eller liknande betydande effekter för enskilda personer (GDPR artikel 22).

• Kunddata används inte för att träna tredjeparts AI-modeller — våra AI-underbiträden behandlar data enbart för att returnera ett resultat för din förfrågan.
• Databehandlingsminimering: AI-dokumentets OCR kan stängas av per anläggning, så att anläggningar som föredrar manuell inmatning aldrig skickar dokument till en AI-leverantör.
• Mänsklig tillsyn: extraherade fält kan granskas och redigeras innan de sparas i registret.

Strikt CSP med per-request-nonces på skript (ingen unsafe-inline). Fullständig uppsättning säkerhetsrubriker returneras vid varje svar: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Oberoende penetrationstestning den 17–18 april 2026 (10 OWASP-kategorier, 36 nyttolaster): 0 sårbarheter.Funktionell säkerhetstestning den 11 april 2026 med 1 890+ API-anrop över 270 bokningar: 0 fel.Årligt tredjepartspentest planerat och SOC 2 Type II-revision pågår.

• EU GMP Annex 11 — Dataintegritet (ALCOA+), tilläggsbar granskningslogg, elektroniska register, åtkomstkontroll, validerad
• 21 CFR Part 11 — Elektroniska register, granskningslogg, tillskrivning, förseglingskedja
• GDPR — Dataportabilitet (JSON + CSV), DSAR-arbetsflöde, samtyckeshantering, lagring enbart inom EU/EES
• SOC 2 Type II — Revision pågår

• Leverantörspaket för säkerhetsgranskning (PDF) — QMS-dokumentindex, GAMP 5-kategorisering, klausulmappningar för Annex 11 och 21 CFR Part 11, ALCOA+-utlåtande, säkerhetsarkitektur, ett ifyllt CAIQ-Lite samt en fullständig förteckning över vad vi ännu inte innehar. Ingen blankett krävs.
• GMP-revisionsberedskapschecklista för gårdsverksamhet — 101 kontroller inom 12 domäner för att bedöma din egen gård mot Annex 11, 21 CFR Part 11 och EU:s GDP-riktlinjer.
• Mall för databehandlingsavtal (DPA) — för granskning och signering av företag
• GDPR-policy
• Integritetspolicy
• security.txt
• Statussida för tjänsten — live självrapporterad plattformsstatus, tillgänglighetsåtaganden och incidenthistorik.

Vi välkomnar rapporter från säkerhetsforskare. Skicka e-post till admin@yardtwin.commed en beskrivning av fyndet och steg för att reproducera det. Vi bekräftar mottagandet inom 2 arbetsdagar och strävar efter att åtgärda kritiska problem inom 7 dagar. Vänligen offentliggör inte sårbarheter innan vi haft möjlighet att åtgärda dem.