Угода про обробку даних

1. Сторони

Ця Угода про обробку даних («DPA») укладається між Замовником («Контролер даних») та YARDtwin Ltd, зареєстрованою в Ірландії («Обробник даних»), разом іменованими «Сторони». Ця DPA є частиною та регулюється умовами YARDtwin Умови використання.

2. Обсяг і мета

Обробник обробляє персональні дані від імені Контролера виключно з метою надання платформи управління двором YARDtwin: планування доків, управління воротами, візуалізація цифрового двійника двору, управління перевізниками та водіями, журнал аудиту для GMP-середовищ, аналітика та інтеграції. Обробка здійснюється протягом строку дії підписки Контролера та будь-якого терміну зберігання, передбаченого Розділом 11.

3. Категорії суб'єктів даних

• Співробітники та адміністратори Контролера (іменовані користувачі платформи)
• Водії та логістичний персонал, що проходять реєстрацію на воротах Контролера
• Представники перевізників і диспетчерські контакти
• Персонал воротної охорони та операторів складу

4. Типи персональних даних

• Ідентифікаційні дані: імена, адреси електронної пошти, номери телефонів, посада/назва посади, назва та адреса компанії
• Дані автентифікації: паролі, хешовані за bcrypt (12 раундів), токени доступу та оновлення JWT, мітки часу сесій, IP-адреси, ідентифікатори SSO (Google, Microsoft)
• Операційні дані: заявки, розподіл доків, переміщення причепів, записи про огляди, документи, призначення завдань, реєстраційні номери транспортних засобів
• Дані водія: номери посвідчень та зображення посвідчень. Персонал КПП може зробити фото обличчя водія як доказ при в'їзді. Якщо на майданчику увімкнено AI-порівняння облич, наш AI-провайдер (Anthropic) порівнює це фото один до одного з фото на посвідченні або збереженим фото водія, щоб допомогти персоналу підтвердити особу водія. Результат є рекомендацією: рішення приймає персонал КПП, який може пропустити водія, якого порівняння не підтвердило, вказавши причину. Кожне порівняння реєструється на наших серверах з його результатом. Якщо порівняння облич вимкнено (за замовчуванням), жодне фото обличчя не надсилається AI-провайдеру, а персонал самостійно порівнює водія з фото на посвідченні; зображення посвідчень все одно зчитуються AI там, де AI-зчитування увімкнено. YARDtwin не зберігає шаблонів облич і не виконує ідентифікацію «один до багатьох».
• Дані аудиту: дії користувачів, мітки часу, IP-адреси, рядки user-agent, різниця старих/нових значень, записи з позначкою GMP

5. Зобов'язання Обробника

• Обробляти персональні дані лише відповідно до задокументованих інструкцій Контролера (інтерфейс платформи та API є такими інструкціями)
• Забезпечувати, щоб особи, уповноважені обробляти дані, були пов'язані угодами про конфіденційність
• Впроваджувати відповідні технічні та організаційні заходи безпеки (ст. 32) — див. Розділ 7 нижче
• Залучати лише субпроцесорів, зазначених у Розділі 6, на залучення яких Контролер надає загальний письмовий дозвіл; повідомляти не менш ніж за 30 днів про будь-якого нового субпроцесора, проти якого Контролер може заперечити (Розділ 6)
• Допомагати Контролеру у виконанні запитів суб'єктів даних (ст. 15–22) через DSAR-ендпоінти, описані в Розділі 9
• Повідомляти Контролера без невиправданих затримок, і в будь-якому разі протягом 48 годин з моменту, коли стало відомо про порушення безпеки персональних даних; надавати первинне повідомлення протягом 24 годин після підтвердження будь-якого інциденту безпеки, що стосується даних Контролера (Розділ 8)
• Видаляти або повертати всі персональні дані після припинення надання послуг (Розділ 11)
• Надавати всю інформацію, необхідну для підтвердження відповідності, та підтримувати проведення аудитів (Розділ 12)

6. Субпроцесори

Обробник наразі залучає наступних субпроцесорів, кожен з яких діє на підставі Угоди про обробку даних і (де застосовно) Стандартних договірних положень 2021:

Контролер надає загальний письмовий дозвіл на залучення субпроцесорів, зазначених вище. Обробник повідомлятиме не менш ніж за 30 днів про будь-якого нового субпроцесора; Контролер може заперечити на обґрунтованих підставах, і якщо заперечення не вдається вирішити, розірвати договір щодо відповідної послуги без штрафних санкцій.

Сервіси лише для вебсайту (без операційних даних клієнтів)

Ці сервіси працюють лише на публічному вебсайті. Вони не отримують операційних даних клієнтів і не є їх субобробниками; ті з них, що встановлюють файли cookie, завантажуються лише за згодою.

7. Заходи безпеки (ст. 32)

• Шифрування при передачі: TLS 1.2+ на кожному ендпоінті; сертифікати керуються Microsoft Azure (DigiCert)
• Шифрування в стані спокою: Прозоре шифрування даних Azure Postgres Flexible Server; шифрування Azure Blob Storage
• Зображення водійських посвідчень і підписи: Зображення водійських посвідчень і підписи шифруються у стані спокою за допомогою AES-256 засобами Azure Storage та Azure Database for PostgreSQL (ключі, керовані Microsoft), а доступ до них обмежено відповідно до ролі та організації
• Хешування паролів: bcrypt, 12 раундів
• Автентифікація: JWT-токени доступу (термін дії 1 година) та токени оновлення (термін дії 7 днів, ротація при використанні, не дійсні понад 30 днів з моменту входу). Єдиний вхід (SAML 2.0, Google, Microsoft); багатофакторна автентифікація на основі одноразових часових паролів — обов'язкова для адміністраторів платформи та доступна всім користувачам
• Ізоляція клієнтів: забезпечується на стороні сервера за допомогою обмеження доступу до даних орендаря та автоматично тестується перед кожним релізом: перевірка релізу здійснює крос-тенантне сканування, викликаючи API від імені однієї організації з ідентифікаторами записів іншої організації, і реліз блокується, якщо будь-які дані тієї організації можуть бути прочитані або змінені
• Контроль доступу на основі ролей: рольові дозволи на автентифікованих маршрутах з обмеженням доступу до даних орендаря на стороні сервера
• Брандмауер веб-застосунків: Azure Front Door WAF у режимі Prevention з власними правилами обмеження частоти запитів на кінцевих точках автентифікації, реєстрації, скидання пароля та запитів суб'єктів даних, а також захист від DDoS-атак рівня L7 на рівні платформи. Керований набір правил OWASP не підключено — для цього потрібен рівень Front Door Premium.
• Обмеження частоти запитів: обмеження на кожен маршрут, жорсткіші для ендпоінтів автентифікації; відстеження спроб у пам'яті та в постійному сховищі
• Журнал аудиту: з виявленням несанкціонованих змін та лише для додавання (забезпечено на рівні бази даних), записи, що стосуються GMP, позначаються окремо та зберігаються щонайменше 7 років протягом дії угоди про надання послуг (після закінчення контракту експортуються Контролеру, якщо Контролер не відмовляється від експорту у письмовій формі або з ним не вдається зв'язатися після розумних спроб, а потім видаляються — Розділ 11), інші записи — протягом 365 днів, псевдонімізуються (не видаляються) на підставі запиту про видалення відповідно до Art. 17 з урахуванням Art. 17(3)(b)
• Безперервний моніторинг: Azure Application Insights; перевірка доступності сайту кожні 10 хвилин; сповіщення про дрейф схеми (вікно 15 хвилин); сповіщення при виникненні більше 10 серверних помилок (HTTP 5xx) за 5 хвилин; та фоновий процес моніторингу порушень, який перевіряє журнал аудиту кожні 5 хвилин на наявність сплесків невдалих входів (10 або більше для одного облікового запису за годину), спроб входу до одного облікового запису з 5 або більше IP-адрес за 24 години, а також успішних входів з IP-адреси, яка не спостерігалася для цього користувача протягом останніх 30 днів
• Ланцюжок постачання програмного забезпечення: Кожен pull request повинен пройти npm audit (вразливості залежностей), Semgrep (статичний аналіз) та gitleaks (сканування секретів) перед злиттям, а також перевірку образу контейнера Trivy як допоміжну; ці перевірки також запускаються при кожному push до master та вночі, разом із допоміжним базовим скануванням OWASP ZAP (динамічне тестування) виробничого сайту. Секрети: Azure Key Vault з доступом через керовану ідентичність App Service; жодних секретів у коді, env-файлах або образах контейнерів

8. Повідомлення про порушення захисту персональних даних

Обробник повідомляє Контролера без невиправданих затримок, і в будь-якому разі протягом 48 годин з моменту, коли йому стало відомо про порушення безпеки персональних даних, що стосується даних Контролера, та надає первинне повідомлення протягом 24 годин після підтвердження будь-якого інциденту безпеки, що стосується даних Контролера. Повідомлення включає характер порушення, категорії та приблизну кількість постраждалих суб'єктів даних, ймовірні наслідки, вжиті або заплановані заходи, а також посилання на реєстр порушень. Виявлені аномалії маршрутизуються до групи дій Azure Monitor yardtwin-breach-actions; підтверджені інциденти відстежуються в таблиці реєстру порушень із зворотним відліком 72 години до DPC.

9. Права суб'єктів даних

Обробник надає Контролеру такі кінцеві точки для реалізації прав суб'єктів даних у межах 30-денного терміну згідно з Art. 12(3):

• POST /api/v1/dsar/export/by-email — машинозчитуваний експорт відповідно до Art. 15 (доступ) та Art. 20 (портативність)
• POST /api/v1/dsar/erase/by-email — видалення за перевіреним запитом: власні облікові записи користувача цієї особи у вибраних клієнтських акаунтах анонімізуються, а її сеанси, токени, сповіщення, очікувані запрошення, записи про розсилку й реєстрацію та власний аватар видаляються; операційні записи, які зберігає Контролер (бронювання, записи воріт і візитів, список водіїв, контакти), перелічуються, щоб Контролер міг ужити заходів; журнал аудиту зберігає анонімізоване посилання на виконавця для цілісності GMP (ст. 17(3)(b))
• Портал для самостійного подання запитів за адресою /data-request

10. Міжнародні передачі

Операційні дані зберігаються в межах Європейського економічного простору (Microsoft Azure, Sweden Central та Norway East). Стандартні договірні положення (2021) застосовуються до кожної передачі субпроцесору за межі ЄЕП; якщо одержувач сертифікований за Рамкою конфіденційності даних ЄС–США, на неї також посилаються. Оцінки впливу передачі даних перебувають у процесі завершення (цільовий термін — листопад 2026 р.).

11. Тривалість, припинення та повернення даних

Цей DPA залишається чинним протягом усього строку дії угоди про надання послуг. Після припинення:

• Контролер може експортувати всі свої дані протягом 30 днів за допомогою вбудованих функцій експорту або за запитом
• Після 30 днів Обробник видаляє всі операційні персональні дані Контролера
• Протягом дії угоди про надання послуг журнали аудиту зберігаються у псевдонімізованому стані: записи, що стосуються GMP, — щонайменше 7 років після події з метою виконання вимог GMP щодо зберігання записів (21 CFR Part 11 / EU GMP Annex 11; правова підстава для збереження даних відповідно до Art. 17(3)(b)), інші записи аудиту — 365 днів. Після закінчення контракту, до видалення даних Контролера, Контролеру надається повний експорт журналу аудиту з верифікаційною квитанцією для зберігання протягом власного строку зберігання записів, якщо Контролер не відмовляється від експорту в письмовій формі або з ним не вдається зв'язатися після обґрунтованих спроб; після цього Обробник видаляє журнал аудиту разом з іншими даними Контролера. За винятком резервних копій, описаних нижче, що видаляються відповідно до власного графіка, та власного запису Обробника про передачу (квитанції, хешів та кількості записів експорту, а також відомостей про те, хто здійснив і отримав передачу), журнал аудиту зберігається довше лише у разі, якщо Контролер надає Обробнику відповідну інструкцію в письмовій формі в рамках окремої угоди.
• Операційні дані видаляються протягом 30 днів після закінчення дії договору. Резервні копії бази даних на основі відновлення до певного моменту часу зберігаються 7 днів. Зашифровані щомісячні архівні резервні копії зберігаються до 7 років виключно для цілей аварійного відновлення; вони не відновлюються, за винятком відновлення сервісу, дані в них є недоступними для використання і вони видаляються разом із резервною копією.
• Повна резервна копія бази даних створюється щоночі та зберігається 35 днів в окремому зашифрованому сховищі в межах ЄЕП (Sweden Central, з георезервуванням у Sweden South); дані, видалені з основного сервісу, залишаються в цих резервних копіях, недоступними для використання, до їх закінчення.

12. Права на проведення аудиту

Обробник надає Контролеру всю інформацію, необхідну для підтвердження відповідності ст. 28 GDPR. Клієнти можуть запросити: актуальний реєстр субпроцесорів, останній звіт регресійного тестування ізоляції тенантів, зведений звіт про зовнішнє тестування на проникнення після його проведення (див. Політику GDPR 11.1), а також відповіді на анкету безпеки постачальника. Обґрунтовані очні або дистанційні аудити можуть бути організовані з повідомленням не менш ніж за 30 днів і проводитися Контролером або незалежною третьою стороною, зобов'язаною дотримуватися конфіденційності. Обробник наразі не має сертифікації ISO 27001 або SOC 2; після отримання сертифікації ISO 27001 (запланована на Q1 2027) Обробник надаватиме сертифікат як замінний доказ.

13. Відповідальність та застосовне право

Відповідальність за цим DPA підпадає під обмеження, викладені в YARDtwin Умови використання. Цей DPA регулюється законодавством Ірландії та Загальним регламентом ЄС про захист даних (GDPR). Будь-які спори підлягають виключній юрисдикції судів Ірландії.

14. Контактна інформація

З питань щодо цієї DPA, для запиту копії для ознайомлення (примірник, підписаний обома сторонами, надається після завершення реєстрації компанії) або для реалізації будь-якого з прав, зазначених вище, зверніться до admin@yardtwin.com або до контакту з питань захисту даних за адресою dpo@yardtwin.com. Це функціональна поштова скринька, яку веде особа, відповідальна за захист даних у YARDtwin Ltd. YARDtwin не призначив статутного Уповноваженого із захисту даних відповідно до Статті 37 GDPR, що не є обов'язковим для його обробки (Політика GDPR 11.2); контактна адреса публікується замість імені конкретної особи.