Анекс за обработка на данни на Marzipan

Термините с главна буква, които не са определени по друг начин в настоящия документ, имат значенията, посочени им в DPA.

Настоящото Приложение А разглежда техническите и организационните мерки, включително практическите предпазни мерки и техническите мерки за сигурност, които Marzipan поддържа с цел: (a) защита на данните на клиента срещу случайна или незаконна загуба, достъп или разкриване; (b) идентифициране на разумно предвидими вътрешни рискове за сигурността и неоторизиран достъп до Услугите, включително акаунта на клиента в Marzipan; и (c) минимизиране на рисковете за сигурността, включително чрез оценка на риска и редовно тестване. Marzipan ще определи един или повече служители, отговорни за практиките и мерките за информационна сигурност, описани по-долу, и за отговаряне на въпроси, свързани с тях.

1. Модел на споделена отговорност

   Marzipan експлоатира облачни приложения на marzipan.co, labls.co и labls.io съответно, чиято инфраструктура и свързаните с нея данни се съхраняват на сървъри, управлявани от доставчиците на облачни услуги: (1) UpCloud Oy ("UpCloud") в нейния център за данни DE-FRA1 във Франкфурт, Германия; (2) Hetzner Online GmbH ("Hetzner Online") в нейните центрове за данни в Нюрнберг и Фалкенщайн, Германия; (3) Scaleway SAS ("Scaleway") в нейния център за данни в Париж. Това означава, че Услугата Marzipan се предоставя чрез интернет съгласно модела Софтуер като услуга ("SaaS").

   От UpCloud, Hetzner Online и Scaleway, UpCloud хоства работната производствена версия на приложенията Marzipan и свързаните с тях данни и осигурява изчислителната мощност, която позволява на Клиента да получи достъп до Услугите без необходимост от физическо инсталиране на копие от приложенията. Scaleway предоставя транзакционни имейл услуги. От своя страна Hetzner Online предоставя на Marzipan dedicated сървър, на който Marzipan хоства staging (т.е. тестови) версии на приложенията с цел тестване на нов код, функции и актуализации в контролирана среда преди пускането им в производство.

   Моделът SaaS установява разделение на задълженията по отношение на прилагането на техническите и организационните мерки за защита на данните на Клиента. Като администратор на данни, Marzipan отговаря за проектирането на инструментите за управление на достъпа и инструментите за мрежова сигурност, съгласно които данните на Клиента се съхраняват в облака — сигурност в облака. Като доставчици на облачни услуги и обработващи лични данни, UpCloud, Hetzner Online и Scaleway отговарят, в приложимата им степен, за поддържането на сигурността на основната облачна среда и физическите сървъри, в които се съхраняват данните на Клиента, включително прилагането на технически и физически мерки за защита срещу неоторизиран достъп до техните центрове за данни и мрежова архитектура — сигурност на облака.

   По-конкретно, това означава, че Marzipan отговаря за управлението на сигурността на софтуера на приложението Marzipan (включително актуализации и пачове за сигурност на приложенията Marzipan и Labls), както и за конфигурирането на всички функции, свързани със сигурността, които UpCloud, Hetzner Online и Scaleway предоставят като част от своите облачни услуги. От своя страна, UpCloud, Hetzner Online и Scaleway оперират, управляват и контролират (в приложимата степен) компонентите от системата на приложението Marzipan и слоя за виртуализация, чак до физическата сигурност на съоръженията, в които функционира услугата на приложението Marzipan и в които се съхраняват свързаните с нея данни.

   Ние го наричаме "Модел на споделена отговорност", защото това означава, че в допълнение към прилагането на значителни технически и организационни мерки от наша страна, разчитаме на обширните механизми за сигурност на UpCloud, Hetzner Online и Scaleway.

   Допълнителна информация относно физическите, мрежовите и системните мерки за сигурност, прилагани от UpCloud, Hetzner Online и Scaleway за защита на техните центрове за данни и съхраняваните в тях данни, може да бъде намерена тук за UpCloud, тук за Hetzner и тук за Scaleway.

2. Сървъри на UpCloud и Hetzner Online

   UpCloud

   Съгласно член 28, параграф 3, буква (в) от UK GDPR, Marzipan е длъжен да избере доставчик на облачни изчислителни услуги, който предоставя достатъчни гаранции за способността си да изпълни мерките за сигурност на данните, предвидени в член 32 от UK GDPR.¹

   We have selected UpCloud to be our principal hosting provider, infrastructure partner and cloud computing processor for the production versions of the Marzipan and Labls applications based on a careful selection process, considering legal, organisation and technical measures. We chose UpCloud because their IT architecture and infrastructure has been certified as being designed and managed in accordance with industry-leading best practises and security standards including:

   • ISO 9001 Управление на качеството
   • ISO 14001 Управление на околната среда
   • ISO 22301 Сигурност и устойчивост
   • ISO 27001 Управление на информационната сигурност
   • ISO 50001 Управление на енергията
   • SOC 2 Type II Сигурност на данните и поверителност
   • PCI-DSS Информационна сигурност

   За да се гарантира съответствие с определението на "Schrems II" от Съда на правосъдието на ЕС (CJEU) през юли 2020 г., всички данни на клиентите, хостирани с UpCloud, са хостирани в центъра за данни DE-FRA1 на UpCloud във Франкфурт, Германия.

   Hetzner

   Marzipan е избрал Hetzner Online за надежден партньор, предоставящ допълнително пространство на dedicated сървъри. Hetzner Online е сертифициран в съответствие със стандартите DIN ISO/IEC 27001. Освен това международно признатият стандарт за информационна сигурност удостоверява, че Hetzner Online е разработил и внедрил подходяща Система за управление на информационната сигурност ("СУИС").

   Hetzner Online прилага СУИС в своята инфраструктура и операции в двете германски центрове за данни, в които Marzipan наема dedicated сървърно пространство — а именно центровете за данни в Нюрнберг и Фалкенщайн. FOX certification, независим сертификационен орган, е проверил и сертифицирал процесите на СУИС в центровете за данни на Hetzner Online.

   Scaleway

   Marzipan използва Scaleway за хостване на услуги за транзакционна електронна поща за приложението Marzipan. Scaleway е сертифициран в съответствие със стандартите ISO/IEC 27001:2022. Scaleway е сертифициран като „Hébergeur de Données de Santé" (доставчик на хостинг на здравни данни) от юли 2024 г. Управляван от Френската национална агенция за цифрово здраве (ANS), под надзора на Министерството на здравеопазването, сертификационната рамка HDS е една от най-взискателните, с които доставчиците на цифрови услуги трябва да се съобразяват, за да хостват и управляват здравни данни във Франция. Сертификацията на Scaleway потвърждава прилагането на строги технически и организационни мерки за защита на здравните данни; спазването на законовите и регулаторните изисквания; и подлагането на редовни одити за осигуряване на високо ниво на сигурност на здравните данни.

3. Криптиране

   Основен елемент на мерките за сигурност на Marzipan е криптирането на данните както в покой, така и при пренос. Цялата външна мрежова комуникация между клиентите и приложението Marzipan през публични мрежи се осъществява чрез Transport Layer Security ("TLS") версия 1.2 или по-висока. Клиентските данни, съхранявани на сървърите на UpCloud, Scaleway и Hetzner Online на Marzipan, са криптирани с AES 256 или по-висок стандарт.

   Marzipan използва съответните услуги за криптиране на UpCloud, Scaleway и Hetzner Online за защита на клиентските данни.

   Системата за криптиране на UpCloud е проектирана така, че никой, включително служителите на Marzipan или UpCloud, да няма достъп до ключовете за криптиране в открит текст. UpCloud използва хардуерни модули за сигурност ("HMS"), които са валидирани или се валидират в съответствие с FIPS 140-2, за да защити поверителността на ключовете в открит текст, използвани за криптиране на клиентските данни. Всички криптографски ключове се ротират автоматично веднъж годишно.

   Пълното дисково криптиране на Hetzner Online използва алгоритми за криптиране AES 256 и задължителни процеси за удостоверяване, за да криптира всички базирани на софтуер и хардуер дискове, съхранявани на нейните специализирани сървъри. Това свежда до минимум риска от загуба на данни и неоторизиран достъп до клиентски данни.

   Системите на Marzipan използват транспортно криптиране при всяко прехвърляне на данни през несигурна или публична мрежа. Уеб интерфейсът и всички API, свързани с приложението Marzipan, са достъпни само чрез HTTPS връзки, а клиентските системи трябва да използват поне TLS 1.2 за достъп до системата Marzipan.

4. Ограничаване на местоположенията на сървърите до ЕИП/ЕС

   Marzipan съхранява данни единствено в ЕИП, а именно в центровете за данни на UpCloud във Франкфурт, Германия, центровете за данни на Hetzner Online в Нюрнберг и Фалкенщайн, Германия, и центъра за данни на Scaleway в Париж.

   Това е с цел да се гарантира в максимална степен, че клиентските данни не могат да бъдат използвани или разкривани без разрешение, особено предвид решението на Съда на Европейския съюз по делото Schrems II от 16 юли 2020 г. и опасенията на експертите по защита на данните относно въвеждането на закони за задължително предоставяне на данни в Съединените щати и други държави извън ЕИП.

5. Регистриране/одитна пътека

   Marzipan използва регистриране в своите среди в UpCloud за няколко области. Те включват:

   • Системни събития;
   • Регистриране на грешки;
   • Потребителска активност;
   • Влизания и заявки към бази данни;
   • Други събития, свързани със сигурността/одитно регистриране.

6. Мониторинг

   Marzipan използва различни инструменти за мониторинг, за да осигури максимална наличност и производителност на системите и приложението на Marzipan. Те наблюдават най-малко следните параметри:

   Наличност

   • Достъпност на приложението
   • Достъпност на бекенд системи и услуги

   Ресурси

   • Използване на процесора
   • Използване на мрежови интерфейси
   • Използване на постоянни и временни интерфейси

   Производителност

   • Времена за отговор на приложението
   • Времена за отговор на бекенд системи
   • Времена за изпълнение на заявки към съдържанието на MySQL база данни

   Сигурност

   • Производителност на DS
   • Статус на актуализациите на системите

   Мониторинг

   • Журнали за грешки
   • Журнали за достъп

   В допълнение към това автоматизирано наблюдение, служителите на Marzipan следят релевантни онлайн медии и блогове (включително актуализираните справки на OWASP, посочени по-горе), за да могат да реагират своевременно.

7. Контрол на достъпа

   Marzipan предоставя на своите служители и изпълнители различни нива на контрол на достъпа до системите и услугите си на сървърите на UpCloud и Hetzner Online. Те се управляват чрез съответните системи за управление на идентичността и достъпа (IAM) на UpCloud и Hetzner Online, които осигуряват прецизно разграничаване на достъпа до различните услуги.

   Преобладаващ принцип за Marzipan при разпределяне на права на персонала си е "необходимост да се знае". На практика това означава, че персоналът на Marzipan получава достъп само до функциите, които трябва да изпълнява, за да работи. Достъпът до back-end системи е възможен само чрез защитени и удостоверени връзки. Публично освобождаване на back-end системи е забранено. Само строго ограничен брой персонал на Marzipan имат достъп до системата, която съхранява данни на клиентите. Този преки достъп е изключително за анализ на грешки и се следи.