Безпека в YARDtwin

YARDtwin працює на Microsoft Azure з обчислювальними ресурсами в регіоні Norway East та сховищем даних, реєстром і секретами в Sweden Central. Усі дані клієнтів зберігаються в межах ЄС/ЄЕЗ відповідно до статей 44–49 GDPR.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, приватні контейнери
• Azure Key Vault — Sweden Central, керування доступом через RBAC
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — зберігання даних 90 днів

Усі дані клієнтів зберігаються та обробляються в межах ЄС/ЄЕЗ — розміщені в регіонах Microsoft Azure Норвегія Схід (застосунок, сховище) та Швеція Центральна (база даних, секрети). Норвегія є державою ЄЕЗ, в якій застосовується GDPR, тому це внутрішньоєезівське передавання, яке не потребує механізму передавання за Розділом V. Створення ресурсів поза затвердженими регіонами заблоковано на рівні платформи призначенням Azure Policy «Deny», тому дані клієнтів не можуть бути розміщені за межами ЄС/ЄЕЗ. Якщо субпроцесор з обмеженою областю дії працює поза ЄЕЗ (наприклад, AI OCR або доставка електронної пошти), передавання регулюється Стандартними договірними положеннями ЄС і надсилається лише мінімально необхідний обсяг даних.

YARDtwin використовує невеликий перевірений набір субпроцесорів для надання послуги. З кожним укладено Угоду про обробку даних. Ми ведемо цей реєстр і повідомляємо клієнтів про суттєві зміни відповідно до Статті 28 GDPR.

YARDtwin використовує ШІ для зчитування водійських посвідчень і відвантажувальних документів (OCR), роботи внутрішнього асистента та генерації голосових підказок. Обробка ШІ є допоміжною: її результат надається людині — наприклад, оператор воріт підтверджує кожен в'їзд — і YARDtwin не приймає автоматизованих рішень, що мають юридичні або аналогічно значущі наслідки для осіб (Стаття 22 GDPR).

• Дані клієнтів не використовуються для навчання сторонніх моделей ШІ — наші субпроцесори ШІ обробляють дані лише для повернення результату на ваш запит.
• Мінімізація даних: OCR документів за допомогою ШІ можна вимкнути для окремого майданчика, тому майданчики, що надають перевагу ручному введенню, ніколи не надсилають документи постачальнику ШІ.
• Людський контроль: витягнуті поля можна переглянути та відредагувати перед збереженням у записі.

Сувора CSP з одноразовими nonce для кожного запиту на скрипти (без unsafe-inline). Повний набір заголовків безпеки повертається у кожній відповіді: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Незалежне тестування на проникнення 17–18 квітня 2026 р. (10 категорій OWASP, 36 навантажень): 0 вразливостей.Функціональне тестування безпеки 11 квітня 2026 р., що охопило понад 1 890 API-викликів у 270 призначеннях: 0 збоїв.Щорічний сторонній пентест заплановано; аудит SOC 2 Type II триває.

• EU GMP Annex 11 — Цілісність даних (ALCOA+), журнал аудиту лише з дозаписом, електронні записи, контроль доступу, валідація
• 21 CFR Part 11 — Електронні записи, журнал аудиту, атрибуція, ланцюг зберігання печатки
• GDPR — Портативність даних (JSON + CSV), робочий процес DSAR, відстеження згоди, зберігання виключно в ЄС/ЄЕЗ
• SOC 2 Type II — Аудит триває

• Пакет гарантій постачальника (PDF) — Індекс документів QMS, категоризація GAMP 5, відповідність положень Annex 11 та 21 CFR Part 11, заява ALCOA+, архітектура безпеки, заповнений CAIQ-Lite та повний перелік того, чого ми ще не маємо. Заповнення форми не потрібне.
• Контрольний список готовності до GMP-аудиту операцій на майданчику — 101 перевірка в 12 областях для оцінки власного майданчика відповідно до Annex 11, 21 CFR Part 11 та настанов ЄС GDP.
• Шаблон угоди про обробку даних (DPA) — для корпоративного розгляду та підписання
• Політика GDPR
• Політика конфіденційності
• security.txt
• Сторінка статусу сервісу — актуальний самозвітний статус платформи, зобов'язання щодо доступності та історія інцидентів.

Ми вітаємо повідомлення від дослідників безпеки. Надішліть листа на адресу admin@yardtwin.comз описом знахідки та кроками для відтворення. Ми підтверджуємо отримання протягом 2 робочих днів і прагнемо усувати критичні проблеми протягом 7 днів. Будь ласка, не розкривайте вразливості публічно до того, як ми матимемо можливість їх усунути.