Avenant de traitement des données Marzipan

Les termes en majuscules non définis dans les présentes ont le sens qui leur est attribué dans le DPA.

La présente Annexe A décrit les mesures techniques et organisationnelles, notamment les garanties pratiques et les mesures de sécurité technique, que Marzipan maintient afin de (a) protéger les Données du Client contre toute perte, tout accès ou toute divulgation accidentels ou illicites ; (b) identifier les risques raisonnablement prévisibles et les risques internes pesant sur la sécurité et l'accès non autorisé aux Services, y compris le compte Marzipan du Client ; et (c) minimiser les risques de sécurité, notamment par l'évaluation des risques et des tests réguliers. Marzipan désignera un ou plusieurs employés chargés de répondre à toute question relative aux pratiques et mesures de sécurité de l'information décrites ci-dessous.

1. Modèle de responsabilité partagée

   Marzipan exploite des applications cloud sur marzipan.co, labls.co et labls.io respectivement, dont l'infrastructure et les données associées sont hébergées sur des serveurs exploités par les fournisseurs de services cloud suivants : (1) UpCloud Oy ("UpCloud") dans son centre de données DE-FRA1 à Francfort, Allemagne ; (2) Hetzner Online GmbH ("Hetzner Online") dans ses centres de données de Nuremberg et Falkenstein, Allemagne ; (3) Scaleway SAS ("Scaleway") dans son centre de données à Paris. Cela signifie que le Service Marzipan est fourni via Internet selon un modèle de Software as a Service ("SaaS").

   Entre UpCloud, Hetzner Online et Scaleway, UpCloud héberge la version de production en ligne des applications Marzipan et leurs données associées, et fournit la puissance de calcul permettant au Client d'accéder aux Services sans avoir à installer physiquement une copie des applications. Scaleway fournit des services d'e-mails transactionnels. De son côté, Hetzner Online met à la disposition de Marzipan un serveur dédié sur lequel Marzipan héberge des versions de préproduction (c'est-à-dire de test) des applications, afin de tester les nouveaux codes, fonctionnalités et mises à jour dans un environnement contrôlé avant leur mise en production.

   Le modèle SaaS établit une division du travail en ce qui concerne la mise en œuvre des garanties techniques et organisationnelles nécessaires à la protection des Données du Client. En tant que responsable du traitement des données, Marzipan est responsable de la conception des outils de gestion des accès et des outils de sécurité réseau selon lesquels les Données du Client sont stockées dans le cloud — la sécurité dans le cloud. En tant que fournisseurs de services cloud et sous-traitants des données, UpCloud, Hetzner Online et Scaleway sont responsables, selon le cas, du maintien de la sécurité de l'environnement cloud sous-jacent et des serveurs physiques dans lesquels les Données du Client sont stockées, notamment de la mise en œuvre de mesures techniques et physiques visant à protéger leurs centres de données et leur architecture réseau contre tout accès non autorisé — la sécurité du cloud.

   En termes plus détaillés, cela signifie que Marzipan est responsable de la gestion de la sécurité du logiciel d'application Marzipan (y compris les mises à jour et les correctifs de sécurité des applications Marzipan et Labls), ainsi que de la configuration de toutes les fonctionnalités liées à la sécurité qu'UpCloud, Hetzner Online et Scaleway proposent dans le cadre de leurs offres de services cloud. En contrepartie, UpCloud, Hetzner Online et Scaleway exploitent, gèrent et contrôlent (selon le cas) les composants du système d'application Marzipan et de la couche de virtualisation, jusqu'à la sécurité physique des installations dans lesquelles le service d'application Marzipan opère et où les données associées sont stockées.

   Nous appelons cela un « Modèle de Responsabilité Partagée », car cela signifie qu'en plus de mettre en œuvre des mesures techniques et organisationnelles substantielles de notre propre chef, nous nous appuyons sur les mécanismes de sécurité étendus d'UpCloud, Hetzner Online et Scaleway.

   De plus amples informations sur les mesures de sécurité physique, réseau et système qu'UpCloud, Hetzner Online et Scaleway déploient respectivement pour protéger leurs centres de données et les données qui y sont stockées peuvent être consultées ici pour UpCloud, ici pour Hetzner et ici pour Scaleway.

2. Serveurs UpCloud et Hetzner Online

   UpCloud

   Conformément à l'article 28(3)(c) du UK GDPR, Marzipan est tenu de choisir un prestataire de cloud computing qui offre des garanties suffisantes quant à sa capacité à satisfaire aux mesures de sécurité des données énoncées à l'article 32 du UK GDPR.¹

   We have selected UpCloud to be our principal hosting provider, infrastructure partner and cloud computing processor for the production versions of the Marzipan and Labls applications based on a careful selection process, considering legal, organisation and technical measures. We chose UpCloud because their IT architecture and infrastructure has been certified as being designed and managed in accordance with industry-leading best practises and security standards including:

   • ISO 9001 Management de la qualité
   • ISO 14001 Management environnemental
   • ISO 22301 Sécurité et résilience
   • ISO 27001 Management de la sécurité de l'information
   • ISO 50001 Management de l'énergie
   • SOC 2 Type II Sécurité et confidentialité des données
   • PCI-DSS Sécurité de l'information

   Afin de garantir la conformité avec l'arrêt « Schrems II » rendu par la Cour de justice de l'UE (CJUE) en juillet 2020, toutes les données clients hébergées chez UpCloud le sont dans le centre de données DE-FRA1 d'UpCloud, situé à Francfort, en Allemagne.

   Hetzner

   Marzipan a choisi Hetzner Online comme partenaire fiable pour lui fournir de l'espace serveur dédié supplémentaire. Hetzner Online est certifiée conformément aux normes DIN ISO/IEC 27001. De plus, cette norme internationalement reconnue en matière de sécurité de l'information atteste qu'Hetzner Online a établi et mis en œuvre un Système de Management de la Sécurité de l'Information ("SMSI") approprié.

   Hetzner Online utilise le SMSI dans son infrastructure et ses opérations dans les deux centres de données allemands où Marzipan loue de l'espace serveur dédié, à savoir les parcs de centres de données de Nuremberg et de Falkenstein. FOX certification, un organisme de certification tiers, a audité et certifié les processus SMSI des parcs de centres de données d'Hetzner Online.

   Scaleway

   Marzipan utilise Scaleway pour héberger les services d'e-mail transactionnel de l'application Marzipan. Scaleway est certifiée conformément aux normes ISO/IEC 27001:2022. Scaleway est certifiée « Hébergeur de Données de Santé » (HDS) depuis juillet 2024. Géré par l'Agence du Numérique en Santé (ANS), sous la supervision du ministère de la Santé, le référentiel de certification HDS est l'un des plus exigeants auxquels les prestataires de services numériques doivent se conformer pour héberger et gérer des données de santé en France. La certification de Scaleway confirme la mise en œuvre de mesures techniques et organisationnelles rigoureuses pour protéger les données de santé, la conformité aux exigences légales et réglementaires, ainsi que la soumission à des audits réguliers garantissant un niveau élevé de sécurité pour les données de santé.

3. Chiffrement

   Le chiffrement des données au repos et en transit constitue un élément central essentiel des mesures de sécurité de Marzipan. Toutes les communications réseau externes entre les clients et l'application Marzipan sur les réseaux publics utilisent le protocole Transport Layer Security ("TLS") 1.2 ou supérieur. Les données client stockées sur les serveurs UpCloud, Scaleway et Hetzner Online de Marzipan sont chiffrées à l'aide d'AES 256 ou supérieur.

   Marzipan utilise respectivement les services de chiffrement d'UpCloud, de Scaleway et d'Hetzner Online pour chiffrer les données client.

   Le système de chiffrement d'UpCloud est conçu de telle sorte que personne, y compris le personnel de Marzipan ou d'UpCloud, ne peut accéder aux clés de chiffrement en clair. UpCloud utilise des modules de sécurité matériels ("HMS") qui ont été ou sont actuellement validés conformément à la norme FIPS 140-2 afin de protéger la confidentialité des clés en clair utilisées pour chiffrer les données client. Toutes les clés cryptographiques sont automatiquement renouvelées une fois par an.

   Le chiffrement intégral du disque d'Hetzner Online utilise des algorithmes de chiffrement AES 256 et des processus d'authentification obligatoires pour chiffrer l'ensemble des disques logiciels et matériels stockés sur ses serveurs dédiés. Cela minimise le risque de perte de données et d'accès non autorisé aux données client.

   Les systèmes de Marzipan utilisent le chiffrement des données en transit chaque fois que des données doivent être transférées sur un réseau non sécurisé ou public. L'interface web et toutes les API connectées à l'application Marzipan sont uniquement accessibles via des connexions HTTPS, et les systèmes clients doivent utiliser au minimum TLS 1.2 pour accéder au système Marzipan.

4. Restriction des emplacements des serveurs à l'EEE/UE

   Marzipan stocke les données exclusivement dans l'EEE, notamment dans les centres de données d'UpCloud à Francfort, en Allemagne, dans les centres de données d'Hetzner Online à Nuremberg et Falkenstein, en Allemagne, et dans le centre de données de Scaleway à Paris.

   Cela vise à garantir au mieux que les données des clients ne puissent être utilisées ou divulguées sans autorisation, notamment à la lumière de l'arrêt Schrems II de la Cour de justice de l'Union européenne du 16 juillet 2020, ainsi que des préoccupations des experts en protection des données concernant l'émergence de lois sur la remise de données aux États-Unis et dans d'autres juridictions hors EEE.

5. Journalisation / Piste d'audit

   Marzipan utilise la journalisation dans ses environnements UpCloud pour plusieurs domaines. Ceux-ci comprennent :

   • Événements système ;
   • Journalisation des erreurs ;
   • Activité des utilisateurs ;
   • Connexions et requêtes vers les systèmes de bases de données ;
   • Autres événements liés à la sécurité / journalisation d'audit.

6. Surveillance

   Marzipan utilise divers outils de surveillance pour garantir une disponibilité et des performances maximales des systèmes et de l'application Marzipan. Ces outils surveillent au minimum les paramètres suivants :

   Disponibilité

   • Accessibilité de l'application
   • Accessibilité des systèmes et services back-end

   Ressources

   • Utilisation du CPU
   • Utilisation des interfaces réseau
   • Utilisation des interfaces persistantes et volatiles

   Performance

   • Temps de réponse de l'application
   • Temps de réponse des systèmes back-end
   • Temps de requête pour le contenu de la base de données MySQL

   Sécurité

   • Performance DS
   • État des mises à jour des systèmes

   Surveillance

   • Journaux d'erreurs
   • Journaux d'accès

   En plus de cette surveillance automatisée, les employés de Marzipan surveillent les médias en ligne et les blogs pertinents (y compris les mises à jour OWASP référencées ci-dessus) afin de pouvoir y réagir rapidement.

7. Contrôle d'accès

   Marzipan attribue à ses employés et prestataires différents niveaux de contrôle d'accès à ses systèmes et services sur les serveurs d'UpCloud et d'Hetzner Online. Ceux-ci sont gérés via les systèmes respectifs de gestion des identités et des accès (IAM) d'UpCloud et d'Hetzner Online, qui permettent une granularité fine de l'accès aux différents services.

   Le principe directeur de Marzipan lors de l'attribution des droits à son personnel est le « besoin d'en connaître ». En pratique, cela signifie que les membres du personnel de Marzipan n'ont accès qu'aux fonctions nécessaires à l'exercice de leurs fonctions. L'accès aux systèmes dorsaux n'est possible que via des connexions sécurisées et authentifiées. La mise à disposition publique des systèmes dorsaux est interdite. Seul un nombre strictement limité de membres du personnel de Marzipan a accès au système qui stocke les données clients. Cet accès direct est exclusivement réservé à l'analyse des erreurs et fait l'objet d'une surveillance.