YARDtwin'de Güvenlik

YARDtwin, Norveç Doğu işlem ve İsveç Merkezi veri, kayıt defteri ve gizli dizi depolama ile Microsoft Azure üzerinde çalışır. Tüm müşteri verileri GDPR Madde 44–49 uyumlu olarak AB/AEA sınırları içinde kalır.

• App Service (Linux Container) — Norveç Doğu
• Azure PostgreSQL Flexible Server — İsveç Merkezi
• Azure Blob Storage — Norveç Doğu, özel kapsayıcılar
• Azure Key Vault — İsveç Merkezi, RBAC denetimli
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — 90 günlük saklama

Tüm müşteri verileri AB/AEA sınırları içinde depolanır ve işlenir — Microsoft Azure'un Norveç Doğu (uygulama, depolama) ve İsveç Orta (veritabanı, gizli anahtarlar) bölgelerinde barındırılır. Norveç, GDPR'ın geçerli olduğu bir AEA üyesi devlet olduğundan bu düzenleme, herhangi bir Bölüm V aktarım mekanizması gerektirmeyen AEA içi bir yapıdır. Onaylı bölgeler dışında kaynak oluşturulması, Azure Policy "Deny" ataması aracılığıyla platform düzeyinde engellenmektedir; dolayısıyla müşteri verileri AB/AEA dışında sağlanamaz. Sınırlı kapsamlı bir alt işleyicinin AEA dışında faaliyet gösterdiği durumlarda (örneğin AI OCR veya e-posta iletimi), aktarımlar AB Standart Sözleşme Maddeleri kapsamında yürütülür ve yalnızca gerekli minimum veri iletilir.

YARDtwin, hizmeti sunmak için küçük ve denetlenmiş bir alt işleyici kümesi kullanır. Her biri bir Veri İşleme Sözleşmesi ile bağlıdır. Bu kaydı güncel tutarak GDPR Madde 28 kapsamında müşterileri önemli değişiklikler hakkında bilgilendiririz.

YARDtwin; sürücü belgelerini ve sevkiyat belgelerini okumak (OCR), uygulama içi asistanı çalıştırmak ve sesli yönlendirme oluşturmak için yapay zekadan yararlanır. Yapay zeka işleme destekleyici niteliktedir: çıktı bir kişiye sunulur — örneğin bir kapı operatörü her girişi onaylar — ve YARDtwin, bireyler üzerinde hukuki veya benzer şekilde önemli etkiler doğuran otomatik kararlar almaz (GDPR Madde 22).

• Müşteri verileri üçüncü taraf yapay zeka modellerini eğitmek için kullanılmaz — yapay zeka alt işleyicilerimiz verileri yalnızca talebinize yanıt döndürmek amacıyla işler.
• Veri minimizasyonu: Yapay zeka belge OCR'ı site bazında devre dışı bırakılabilir; manuel girişi tercih eden siteler hiçbir zaman belge göndermez.
• İnsan denetimi: çıkarılan alanlar, kayda işlenmeden önce incelenebilir ve düzenlenebilir.

Betikler için istek başına nonce kullanan katı CSP ( unsafe-inlineyok). Her yanıtta döndürülen tam güvenlik başlıkları: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

17–18 Nisan 2026 tarihinde bağımsız sızma testi (10 OWASP kategorisi, 36 yük): 0 güvenlik açığı.11 Nisan 2026'da 270 randevu genelinde 1.890'dan fazla API çağrısını kapsayan işlevsel güvenlik testi: 0 başarısızlık.Yıllık üçüncü taraf sızma testi planlandı ve SOC 2 Tip II denetimi devam etmektedir.

• EU GMP Annex 11 — Veri bütünlüğü (ALCOA+), yalnızca ekleme yapılabilir denetim izi, elektronik kayıtlar, erişim denetimi, doğrulanmış
• 21 CFR Part 11 — Elektronik kayıtlar, denetim izi, atıf, mühür gözetim zinciri
• GDPR — Veri taşınabilirliği (JSON + CSV), DSAR iş akışı, onay takibi, yalnızca AB/AEA yerleşimi
• SOC 2 Type II — Denetim devam ediyor

• Tedarikçi Güvence Paketi (PDF) — QMS belge dizini, GAMP 5 kategorilendirmesi, Annex 11 ve 21 CFR Part 11 madde eşleşmeleri, ALCOA+ beyanı, güvenlik mimarisi, doldurulmuş bir CAIQ-Lite ve henüz sahip olmadıklarımızın tam listesi. Form gerekmez.
• Saha Operasyonları GMP Denetim Hazırlık Kontrol Listesi — Kendi sahanızı Annex 11, 21 CFR Part 11 ve AB GDP kılavuzlarına göre değerlendirmek için 12 alan genelinde 101 kontrol.
• Veri İşleme Sözleşmesi (DPA) şablonu — kurumsal inceleme ve imza için
• GDPR politikası
• Gizlilik politikası
• security.txt
• Servis durum sayfası — canlı, kendi bildirilen platform durumu, kullanılabilirlik taahhütleri ve olay geçmişi.

Güvenlik araştırmacılarının raporlarını memnuniyetle karşılıyoruz. Bulguyu ve yeniden üretme adımlarını açıklayarak admin@yardtwin.comadresine e-posta gönderin. Alındı bildirimini 2 iş günü içinde yaparız; kritik sorunları 7 gün içinde yamalamayı hedefleriz. Lütfen açıkları gidermemize fırsat tanımadan kamuoyuyla paylaşmayın.