YARDtwin'de Güvenlik

YARDtwin, işlem için Norway East ve veri, kayıt defteri ile gizli bilgiler için Sweden Central kullanılarak Microsoft Azure üzerinde çalışmaktadır. Müşteri verileri AB/AEA'da depolanmaktadır; AEA dışındaki alt işleyicilere yapılan sınırlı aktarımlar aşağıda listelenmiş olup Standart Sözleşme Maddeleri kapsamında gerçekleştirilmektedir.

• App Service (Linux Container) — Norveç Doğu
• Azure PostgreSQL Flexible Server — İsveç Merkezi
• Azure Blob Storage — Norveç Doğu, özel kapsayıcılar
• Azure Key Vault — İsveç Merkezi, RBAC denetimli
• Azure Front Door + WAF — Prevention modu, özel hız sınırlama kuralları
• Azure Monitor ile hata, gecikme ve kullanılabilirlik uyarıları; ayrıca Azure Hizmet Durumu uyarıları

Müşteri verileri, AB/AEA bölgesindeki Microsoft Azure veri merkezlerinde barındırılmaktadır: Norveç Doğu (uygulama, depolama) ve İsveç Orta (veritabanı, gizli anahtarlar). Norveç, GDPR'ın geçerli olduğu bir AEA üyesi devlettir; dolayısıyla bu düzenleme, herhangi bir Bölüm V aktarım mekanizması gerektirmeyen AEA içi bir düzenlemedir. Onaylanan bölgeler dışında kaynak oluşturulması, platform düzeyinde bir Azure Policy "Reddet" atamasıyla engellenmektedir; bu nedenle müşteri verileri AB/AEA dışında sağlanamamaktadır. Bazı özellikler, verileri aşağıda listelenen (ve /subprocessors adresindeki) alt işleyicilere göndermektedir; bunların bir kısmı AEA dışında yer almaktadır — örneğin, ABD'deki Anthropic'e yapay zeka özellikleri için ve e-posta iletimi için — AB Standart Sözleşme Maddeleri (ve alıcı sertifikalıysa AB-ABD Veri Gizliliği Çerçevesi) kapsamında; yalnızca gerekli olan asgari veri gönderilmektedir.

YARDtwin, hizmeti sunmak için küçük ve denetlenmiş bir alt işleyici kümesi kullanır. Her biri bir Veri İşleme Sözleşmesi ile bağlıdır. Bu kaydı güncel tutarak GDPR Madde 28 kapsamında müşterileri önemli değişiklikler hakkında bilgilendiririz.

Yalnızca web sitesi hizmetleri (müşteri operasyonel verisi yok)

Bunlar yalnızca herkese açık web sitesinde çalışır. Hiçbir müşteri operasyonel verisi almaz ve bu verinin alt işleyicisi değildir; çerez kullananlar yalnızca onay ile yüklenir.

YARDtwin, sürücü belgelerini ve sevkiyat belgelerini okumak (OCR), bir sahanın bu özelliği etkinleştirmesi durumunda sürücünün kapı fotoğrafını ehliyet veya kayıtlı sürücü fotoğrafıyla bire bir karşılaştırmak, uygulama içi asistanı çalıştırmak ve sesli yönlendirme oluşturmak için yapay zekadan yararlanır. Yapay zeka işlemi yardımcı niteliktedir: çıktısı bir kişiye sunulur — örneğin görevli personelin bulunduğu bir kapıda, kapı operatörü her girişi onaylar. Bir saha, plaka kameralarından veya insansız kapıdan otomatik giriş kaydını etkinleştirdiğinde, rezervasyonu sorunsuz eşleşen bir kamyonun girişi kapı operatörü olmadan kaydedilir; diğer durumlar kapı personeline iletilir. YARDtwin, bireyler üzerinde hukuki veya benzer önemli etkiler doğuran otomatik kararlar almaz (GDPR Madde 22).

• Müşteri verileri üçüncü taraf yapay zeka modellerini eğitmek için kullanılmaz — yapay zeka alt işleyicilerimiz verileri yalnızca talebinize yanıt döndürmek amacıyla işler.
• Veri minimizasyonu: Yapay zeka belge OCR'ı saha bazında devre dışı bırakılabilir; böylece manuel girişi tercih eden sahalar hiçbir zaman bir yapay zeka sağlayıcısına belge göndermez.
• İnsan denetimi: çıkarılan alanlar, kayda işlenmeden önce incelenebilir ve düzenlenebilir.

Betikler için istek başına nonce kullanan katı CSP ( unsafe-inlineyok). Her yanıtta döndürülen tam güvenlik başlıkları: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Henüz üçüncü taraf sızma testi gerçekleştirilmemiştir; ilk kurumsal canlıya geçişten önce bağımsız bir test planlanmaktadır. Ekim 2026'da dahili bir beyaz kutu kod denetimi tamamlanmış ve tüm Kritik bulgular giderilmiştir.

11 Nisan 2026'da 270 randevu genelinde 1.890'dan fazla API çağrısını kapsayan işlevsel güvenlik testi: 0 başarısızlık.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Yedekler: 7 günlük anlık geri yükleme, artı silme ve üzerine yazmayı engelleyen zaman tabanlı bir değiştirilemezlik politikası kapsamında 7 yıla kadar saklanan aylık şifreli yedekler (politika henüz kilitlenmedi).
• Günlük yedekleme: her gece alınan tam bir veritabanı kopyası, AEA içinde ayrı şifrelenmiş depolama alanında 35 gün boyunca saklanır (İsveç Orta, İsveç Güney'e coğrafi olarak çoğaltılır).
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Veri bütünlüğü (ALCOA+), yalnızca ekleme yapılabilir denetim izi, elektronik kayıtlar, erişim denetimi, doğrulanmış
• 21 CFR Part 11 — Elektronik kayıtlar, denetim izi, atıf, mühür gözetim zinciri
• GDPR — Veri taşınabilirliği (JSON + CSV), DSAR iş akışı, onay takibi, yalnızca AB/AEA yerleşimi
• ISO 27001 — Sertifikasyon programı devam etmektedir; sertifikasyon denetimi Q1 2027 için planlanmış olup sertifika hedefi Q1 2027'dir.
• SOC 2 — Mevcut değildir. ISO 27001 sertifikasyonunun ardından talep üzerine sunulabilir.

• Vendor Assurance Pack v1.2 — QMS belge dizini, GAMP 5 sınıflandırması, AB GMP Annex 11 ve 21 CFR Part 11 madde eşlemeleri, ALCOA+ beyanı, güvenlik mimarisi, doldurulmuş bir CAIQ-Lite, v1.1'e yapılan tüm düzeltmeler ve açık maddelerin tam listesi. PDF, form gerekmez.
• Saha Operasyonları GMP Denetim Hazırlık Kontrol Listesi — Kendi sahanızı Annex 11, 21 CFR Part 11 ve AB GDP kılavuzlarına göre değerlendirmek için 12 alan genelinde 101 kontrol.
• Veri İşleme Sözleşmesi — inceleme kopyası talep üzerine şu adresten alınabilir: dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• GDPR politikası
• Gizlilik politikası
• security.txt
• Servis durum sayfası — canlı, kendi bildirilen platform durumu, kullanılabilirlik taahhütleri ve olay geçmişi.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Güvenlik araştırmacılarının raporlarını memnuniyetle karşılıyoruz. Bulguyu ve yeniden üretme adımlarını açıklayarak admin@yardtwin.comadresine e-posta gönderin. Alındı bildirimini 2 iş günü içinde yaparız; kritik sorunları 7 gün içinde yamalamayı hedefleriz. Lütfen açıkları gidermemize fırsat tanımadan kamuoyuyla paylaşmayın.

Kişisel veriler, DPA, alt işleyiciler veya veri sahibi haklarına ilişkin sorular için lütfen şu adrese başvurun: dpo@yardtwin.com. Bu, YARDtwin Ltd bünyesinde veri korumadan sorumlu kişi tarafından takip edilen bir rol posta kutusudur. YARDtwin, kendi işleme faaliyetleri açısından zorunlu olmayan GDPR Madde 37 kapsamında yasal bir Veri Koruma Görevlisi atamamıştır; bireysel bir isim yerine iletişim adresini kamuoyuyla paylaşmaktayız. Veri sahibi talepleri DSAR portalı aracılığıyla da iletilebilir. /data-request