Dodatek Marzipan o zpracování údajů

Pojmy s velkým počátečním písmenem, které nejsou jinak definovány v tomto dokumentu, mají význam přiřazený jim v DPA.

Tato příloha A popisuje technická a organizační opatření, včetně praktických záruk a technických bezpečnostních opatření, která Marzipan uplatňuje za účelem: (a) ochrany zákaznických dat před náhodnou nebo protiprávní ztrátou, přístupem či zpřístupněním; (b) identifikace rozumně předvídatelných a interních bezpečnostních rizik a rizik neoprávněného přístupu ke službám, včetně účtu zákazníka u Marzipan; a (c) minimalizace bezpečnostních rizik, mimo jiné prostřednictvím hodnocení rizik a pravidelného testování. Marzipan určí jednoho nebo více zaměstnanců odpovědných za níže popsané postupy a opatření v oblasti informační bezpečnosti a za odpovídání na dotazy s nimi spojené.

1. Model sdílené odpovědnosti

   Marzipan provozuje cloudové aplikace na marzipan.co, labls.co a labls.io, jejichž infrastruktura a s ní spojená data jsou hostována na serverech provozovaných těmito poskytovateli cloudových služeb: (1) UpCloud Oy ("UpCloud") v datovém centru DE-FRA1 ve Frankfurtu nad Mohanem, Německo; (2) Hetzner Online GmbH ("Hetzner Online") v datových centrech v Norimberku a Falkensteinu, Německo; (3) Scaleway SAS ("Scaleway") v datovém centru v Paříži. Služba Marzipan je tedy poskytována prostřednictvím internetu podle modelu Software jako služba ("SaaS").

   Z poskytovatelů UpCloud, Hetzner Online a Scaleway hostuje UpCloud živou produkční verzi aplikací Marzipan a jejich příslušná data a poskytuje výpočetní výkon umožňující zákazníkovi přistupovat ke službám bez nutnosti fyzické instalace kopie aplikací. Scaleway zajišťuje transakční e-mailové služby. Hetzner Online poskytuje Marzipan dedikovaný server, na němž Marzipan hostuje staging (tj. testovací) verze aplikací za účelem testování nového kódu, funkcí a aktualizací v řízeném prostředí před jejich nasazením do produkce.

   Model SaaS zakládá dělbu odpovědnosti při zavádění technických a organizačních záruk nezbytných k ochraně zákaznických dat. Marzipan jakožto správce dat odpovídá za navržení nástrojů pro správu přístupu a nástrojů pro zabezpečení sítě, podle nichž jsou zákaznická data ukládána v cloudu – tj. za bezpečnost v cloudu. Poskytovatelé cloudových služeb a zpracovatelé dat, tedy UpCloud, Hetzner Online a Scaleway, odpovídají v příslušném rozsahu za udržování bezpečnosti základního cloudového prostředí a fyzických serverů, na nichž jsou zákaznická data uložena, včetně zavádění technických a fyzických opatření na ochranu před neoprávněným přístupem do jejich datových center a síťové architektury – tj. za bezpečnost cloudu samotného.

   V podrobnějším vyjádření to znamená, že Marzipan odpovídá za správu zabezpečení softwarové aplikace Marzipan (včetně aktualizací a bezpečnostních záplat aplikací Marzipan a Labls), jakož i za konfiguraci funkcí souvisejících se zabezpečením, které UpCloud, Hetzner Online a Scaleway poskytují v rámci svých nabídek cloudových služeb. UpCloud, Hetzner Online a Scaleway zároveň provozují, spravují a řídí (v příslušném rozsahu) komponenty aplikačního systému Marzipan a virtualizační vrstvu až po fyzické zabezpečení zařízení, ve kterých je provozována aplikační služba Marzipan a ve kterých jsou uložena příslušná data.

   Nazýváme to „Shared Responsibility Model" (Model sdílené odpovědnosti), protože to znamená, že kromě implementace podstatných technických a organizačních opatření vlastní strany se spoléháme na rozsáhlé bezpečnostní mechanismy společností UpCloud, Hetzner Online a Scaleway.

   Další informace o fyzických, síťových a systémových bezpečnostních opatřeních, která UpCloud, Hetzner Online a Scaleway přijímají k ochraně svých datových center a dat v nich uložených, naleznete zde pro UpCloud, zde pro Hetzner a zde pro Scaleway.

2. Servery UpCloud a Hetzner Online

   UpCloud

   V souladu s článkem 28 odst. 3 písm. c) UK GDPR je společnost Marzipan povinna zvolit poskytovatele cloudových výpočetních služeb, který poskytuje dostatečné záruky ohledně své schopnosti plnit bezpečnostní opatření pro ochranu osobních údajů stanovená v článku 32 UK GDPR.¹

   We have selected UpCloud to be our principal hosting provider, infrastructure partner and cloud computing processor for the production versions of the Marzipan and Labls applications based on a careful selection process, considering legal, organisation and technical measures. We chose UpCloud because their IT architecture and infrastructure has been certified as being designed and managed in accordance with industry-leading best practises and security standards including:

   • ISO 9001 Řízení kvality
   • ISO 14001 Environmentální management
   • ISO 22301 Bezpečnost a odolnost
   • ISO 27001 Management bezpečnosti informací
   • ISO 50001 Energetický management
   • SOC 2 Type II Bezpečnost dat a ochrana soukromí
   • PCI-DSS Informační bezpečnost

   Za účelem zajištění souladu s rozsudkem Soudního dvora EU (SDEU) ve věci "Schrems II" z července 2020 jsou veškerá zákaznická data hostovaná u UpCloud uložena v datovém centru UpCloud DE-FRA1 ve Frankfurtu v Německu.

   Hetzner

   Marzipan zvolil Hetzner Online jako spolehlivého partnera pro poskytování dalšího prostoru na dedikovaných serverech. Hetzner Online je certifikován v souladu s normami DIN ISO/IEC 27001. Tento mezinárodně uznávaný standard informační bezpečnosti potvrzuje, že Hetzner Online zavedl a implementoval odpovídající systém řízení informační bezpečnosti ("ISMS").

   Hetzner Online využívá ISMS ve své infrastruktuře a provozu na obou německých lokalitách datových center, kde Marzipan pronajímá prostor na dedikovaných serverech – konkrétně v datových parcích v Norimberku a Falkensteinu. Certifikační autorita třetí strany FOX auditovala a certifikovala procesy ISMS datových parků Hetzner Online.

   Scaleway

   Marzipan využívá Scaleway k hostování transakčních e-mailových služeb pro aplikaci Marzipan. Scaleway je certifikován podle standardů ISO/IEC 27001:2022. Scaleway je od července 2024 certifikován jako "Hébergeur de Données de Santé" (poskytovatel hostingu zdravotních dat). Certifikační rámec HDS, spravovaný francouzskou Národní agenturou pro digitální zdraví (ANS) pod dohledem Ministerstva zdravotnictví, patří k nejnáročnějším požadavkům, které musí poskytovatelé digitálních služeb splňovat, aby mohli v Francii hostovat a spravovat zdravotní data. Certifikace Scaleway potvrzuje zavedení přísných technických a organizačních opatření na ochranu zdravotních dat, soulad s právními a regulatorními požadavky a podrobení se pravidelným auditům zajišťujícím vysokou úroveň zabezpečení zdravotních dat.

3. Šifrování

   Základním prvkem bezpečnostních opatření Marzipan je šifrování dat v klidovém stavu i při přenosu. Veškerá externí síťová komunikace mezi zákazníky a aplikací Marzipan přes veřejné sítě probíhá prostřednictvím protokolu Transport Layer Security ("TLS") verze 1.2 nebo vyšší. Zákaznická data uložená na serverech UpCloud, Scaleway a Hetzner Online společnosti Marzipan jsou šifrována pomocí algoritmu AES 256 nebo vyššího.

   Marzipan využívá šifrovací služby společností UpCloud, Scaleway a Hetzner Online k šifrování zákaznických dat.

   Šifrovací systém UpCloud je navržen tak, aby nikdo – včetně zaměstnanců Marzipan nebo UpCloud – nemohl přistupovat k šifrovacím klíčům v čitelné podobě. UpCloud používá hardwarové bezpečnostní moduly ("HMS"), které byly nebo jsou v současné době validovány v souladu s normou FIPS 140-2, aby chránil plaintext klíče používané k šifrování zákaznických dat. Všechny kryptografické klíče jsou automaticky obměňovány jednou ročně.

   Šifrování celého disku společnosti Hetzner Online využívá šifrovací algoritmy AES 256 a povinné ověřovací procesy k zašifrování všech softwarových i hardwarových disků uložených na jejích dedikovaných serverech. Tím se minimalizuje riziko ztráty dat a neoprávněného přístupu k zákaznickým datům.

   Systémy Marzipan používají transportní šifrování vždy, když je třeba přenášet data přes nezabezpečenou nebo veřejnou síť. Webové rozhraní a všechna rozhraní API připojená k aplikaci Marzipan jsou přístupná pouze prostřednictvím připojení HTTPS a klientské systémy musí pro přístup k systému Marzipan používat alespoň TLS 1.2.

4. Omezení umístění serverů na území EEA/EU

   Marzipan ukládá data výhradně v EHP, konkrétně v datových centrech společnosti UpCloud ve Frankfurtu v Německu, v datových centrech společnosti Hetzner Online v Norimberku a Falkensteinu v Německu a v datovém centru společnosti Scaleway v Paříži.

   Cílem je co nejlépe zajistit, aby zákaznická data nemohla být bez oprávnění použita nebo zpřístupněna, a to zejména s ohledem na rozsudek Soudního dvora Evropské unie ve věci Schrems II ze dne 16. července 2020 a obavy odborníků na ochranu dat týkající se přijímání zákonů o předávání dat ve Spojených státech a v jiných zemích mimo EHP.

5. Protokolování / záznam auditní stopy

   Marzipan využívá protokolování ve svých prostředích UpCloud v několika oblastech. Patří mezi ně:

   • Systémové události;
   • Protokolování chyb;
   • Aktivita uživatelů;
   • Přihlášení a požadavky na databázové systémy;
   • Další události související s bezpečností / auditní protokolování.

6. Monitoring

   Marzipan využívá různé monitorovací nástroje k zajištění maximální dostupnosti a výkonu systémů a aplikace Marzipan. Tyto nástroje sledují přinejmenším následující parametry:

   Dostupnost

   • Přístupnost aplikace
   • Přístupnost backendových systémů a služeb

   Prostředky

   • Využití CPU
   • Využití síťových rozhraní
   • Využití perzistentních a volatilních rozhraní

   Výkon

   • Doby odezvy aplikace
   • Doby odezvy backendových systémů
   • Doby dotazů pro obsah databáze MySQL

   Zabezpečení

   • Výkon DS
   • Stav aktualizací systémů

   Monitoring

   • Protokoly chyb
   • Protokoly přístupu

   Kromě tohoto automatického monitorování sledují zaměstnanci Marzipan relevantní online média a blogy (včetně výše uvedených aktualizovaných referencí OWASP), aby na ně mohli rychle reagovat.

7. Řízení přístupu

   Marzipan přiděluje svým zaměstnancům a dodavatelům různé úrovně řízení přístupu k systémům a službám na serverech UpCloud a Hetzner Online. Tyto úrovně jsou spravovány prostřednictvím příslušných systémů správy identit a přístupu (IAM) společností UpCloud a Hetzner Online, které umožňují jemnou granularitu přístupu k různým službám.

   Základním principem společnosti Marzipan při přidělování práv zaměstnancům je zásada "potřeby vědět" (need-to-know). V praxi to znamená, že zaměstnanci Marzipan mají přístup pouze k těm funkcím, které potřebují k výkonu své práce. Přístup k back-endovým systémům je možný pouze prostřednictvím zabezpečených a ověřených připojení. Veřejné zpřístupnění back-endových systémů je zakázáno. Pouze přísně omezený počet zaměstnanců Marzipan má přístup k systému, který ukládá zákaznická data. Tento přímý přístup slouží výhradně k analýze chyb a je monitorován.