Угода про обробку даних

1. Сторони

Ця Угода про обробку даних («DPA») укладається між Замовником («Контролер даних») та YARDtwin Ltd, зареєстрованою в Ірландії («Процесор даних»), разом іменованими «Сторони». Ця DPA є частиною та регулюється умовами YARDtwin Умови використання.

2. Обсяг і мета

Процесор обробляє персональні дані від імені Контролера виключно з метою надання платформи управління майданчиком YARDtwin: планування доків, операції на воротах, цифровий двійник візуалізації майданчика, управління перевізниками та водіями, GMP-сумісний журнал аудиту, аналітика та інтеграції. Обробка здійснюється протягом терміну підписки Контролера та будь-якого строку зберігання, передбаченого Розділом 11.

3. Категорії суб'єктів даних

• Співробітники та адміністратори Контролера (іменовані користувачі платформи)
• Водії та логістичний персонал, що проходять реєстрацію на воротах Контролера
• Представники перевізників і диспетчерські контакти
• Персонал воротної охорони та операторів складу

4. Типи персональних даних

• Ідентифікаційні дані: імена, адреси електронної пошти, номери телефонів, посада/назва посади, назва та адреса компанії
• Дані автентифікації: паролі, хешовані за bcrypt (12 раундів), токени доступу та оновлення JWT, мітки часу сесій, IP-адреси, ідентифікатори SSO (Google, Microsoft)
• Операційні дані: заявки, розподіл доків, переміщення причепів, записи про огляди, документи, призначення завдань, реєстраційні номери транспортних засобів
• Дані водія: номери посвідчень, зображення посвідчень, необов'язкові зображення обличчя для біометричної верифікації на воротах (дані спеціальної категорії, ст. 9 GDPR — обробляються лише там, де Контролер увімкнув біометричну верифікацію на воротах і отримав явну згоду в момент збору даних)
• Дані аудиту: дії користувачів, мітки часу, IP-адреси, рядки user-agent, різниця старих/нових значень, записи з позначкою GMP

5. Зобов'язання процесора

• Обробляти персональні дані лише відповідно до задокументованих інструкцій Контролера (інтерфейс платформи та API є такими інструкціями)
• Забезпечувати, щоб особи, уповноважені обробляти дані, були пов'язані угодами про конфіденційність
• Впроваджувати відповідні технічні та організаційні заходи безпеки (ст. 32) — див. Розділ 7 нижче
• Не залучати субпроцесорів без попереднього письмового дозволу; надавати повідомлення про будь-якого нового субпроцесора не менше ніж за 30 днів (право на заперечення)
• Допомагати Контролеру у виконанні запитів суб'єктів даних (ст. 15–22) через DSAR-ендпоінти, описані в Розділі 9
• Повідомляти Контролера про порушення захисту персональних даних без невиправданої затримки та не пізніше ніж протягом 72 годин (Розділ 8)
• Видаляти або повертати всі персональні дані після припинення надання послуг (Розділ 11)
• Надавати всю інформацію, необхідну для підтвердження відповідності, та підтримувати проведення аудитів (Розділ 12)

6. Субпроцесори

Процесор наразі залучає наступних субпроцесорів, кожен з яких діє на підставі Угоди про обробку даних і (де застосовно) Стандартних договірних положень 2021:

Клієнти отримують повідомлення не менше ніж за 30 днів до підключення будь-якого нового субпроцесора з правом на заперечення та розірвання договору без штрафних санкцій.

7. Заходи безпеки (ст. 32)

• Шифрування при передачі: TLS 1.2+ на кожному ендпоінті; сертифікати керуються Microsoft Azure (DigiCert)
• Шифрування в стані спокою: Прозоре шифрування даних Azure Postgres Flexible Server; шифрування Azure Blob Storage
• Шифрування на рівні полів: AES-256-GCM для біометричних даних (зображення водійських посвідчень, зображення підписів), ключі зберігаються в Azure Key Vault
• Хешування паролів: bcrypt, 12 раундів
• Автентифікація: JWT токени доступу (термін дії 1 година) + токени оновлення (термін дії 7 днів, ротація при використанні); SSO через Google та Microsoft як еквівалент MFA
• Ізоляція клієнтів: застосовується на кожному маршруті API, регресійне тестування за допомогою 25-векторного міжклієнтського аудиту при кожному релізі
• Контроль доступу на основі ролей: шість ролей (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin), проміжне ПЗ з принципом мінімальних привілеїв
• Брандмауер веб-застосунків: Azure Front Door + керований WAF (OWASP Core Rule Set, захист від ботів, L7 DDoS)
• Обмеження частоти запитів: обмеження на кожен маршрут, жорсткіші для ендпоінтів автентифікації; відстеження спроб у пам'яті та в постійному сховищі
• Журнал аудиту: лише для додавання на рівні застосунку, зберігання протягом 6 років, записи, що стосуються GMP, позначені окремо, псевдонімізовані (не видалені) при виконанні Art. 17 щодо стирання відповідно до Art. 17(3)(b)
• Безперервний моніторинг: Azure Application Insights, сповіщення про зміну схеми (вікно 15 хвилин), наскрізний зонд /health/db-write, воркер моніторингу порушень (сплески невдалих входів, атаки з кількох IP, входи зі зміною країни, частота 5xx)
• Ланцюжок постачання програмного забезпечення: npm audit, Trivy, Semgrep, gitleaks, OWASP ZAP для кожного PR. Секрети: Azure Key Vault доступний через керовану ідентичність App Service; жодних секретів у коді, файлах env або образах контейнерів

8. Повідомлення про порушення захисту персональних даних

Обробник повинен повідомити Контролера без невиправданої затримки і не пізніше ніж через 72 години після того, як стало відомо про порушення захисту персональних даних, що стосується даних Контролера (Art. 33). Повідомлення має містити характер порушення, категорії та приблизну кількість постраждалих суб'єктів даних, ймовірні наслідки, вжиті або запропоновані заходи, а також посилання на реєстр порушень. Виявлені аномалії направляються до Azure Monitor Action Group yardtwin-breach-actions; підтверджені інциденти відстежуються в таблиці реєстру порушень із зворотним відліком 72 години до DPC.

9. Права суб'єктів даних

Обробник надає Контролеру такі кінцеві точки для реалізації прав суб'єктів даних у межах 30-денного терміну згідно з Art. 12(3):

• POST /api/v1/dsar/export/by-email — машинозчитуваний експорт відповідно до Art. 15 (доступ) та Art. 20 (портативність)
• POST /api/v1/dsar/erase/by-email — псевдонімізація в усіх таблицях персональних даних зі збереженням журналів аудиту відповідно до Art. 17(3)(b)
• Портал для самостійного подання запитів за адресою /data-request

10. Міжнародні передачі

Операційні дані зберігаються в межах Європейського економічного простору (Microsoft Azure, Швеція — центральний регіон + Норвегія — східний регіон). Подальші передачі до субобробників поза ЄЕП (Resend, Anthropic) регулюються Стандартними договірними положеннями 2021 року з документально підтвердженими оцінками впливу передачі. Stripe діє через Stripe Ireland (основний суб'єкт ЄЕП).

11. Тривалість, припинення та повернення даних

Цей DPA залишається чинним протягом усього строку дії угоди про надання послуг. Після припинення:

• Контролер може експортувати всі свої дані протягом 30 днів за допомогою вбудованих функцій експорту або за запитом
• Після 30 днів Обробник видаляє всі операційні персональні дані Контролера
• Журнали аудиту зберігаються протягом 6 років після події в псевдонімізованому стані відповідно до вимог 21 CFR Part 11 / EU GMP Annex 11 (пріоритет законодавчого зобов'язання згідно з Art. 17(3)(b))
• Резервні копії видаляються протягом 7 днів після операційного видалення відповідно до вікна відновлення на певний момент часу

12. Права на проведення аудиту

Обробник надає Контролеру всю інформацію, необхідну для підтвердження відповідності Art. 28 GDPR. Клієнти можуть запросити: копії відповідних сертифікатів безпеки та звітів аудиту (за наявності), поточний реєстр субобробників, останній звіт про регресійне тестування ізоляції орендарів, останній підсумок зовнішнього тесту на проникнення (після видачі, див. Політику GDPR 11.1), а також відповіді на опитувальник щодо безпеки постачальника. Розумні перевірки на місці або дистанційно можуть бути організовані за умови повідомлення не менш ніж за 30 днів, проведені Контролером або незалежною третьою стороною, зобов'язаною зберігати конфіденційність. Обробник надаватиме пріоритет звітам ISO 27001 / SOC 2 Type II як замінній доказовій базі після отримання відповідних сертифікатів.

13. Відповідальність та застосовне право

Відповідальність за цим DPA підпадає під обмеження, викладені в YARDtwin Умови використання. Цей DPA регулюється законодавством Ірландії та Загальним регламентом ЄС про захист даних (GDPR). Будь-які спори підлягають виключній юрисдикції судів Ірландії.

14. Контактна інформація

З питань щодо цього DPA, для запиту підписаної копії або для реалізації будь-яких із зазначених вище прав звертайтесь до admin@yardtwin.com або до Спеціаліста із захисту даних за адресою dpo@yardtwin.com. Залучення зовнішнього часткового DPO перебуває в процесі оформлення (Політика GDPR 11.2); до призначення пошта, надіслана на dpo@yardtwin.com, перенаправляється на admin@yardtwin.com.