Marzipan Dodatak o obradi podataka

Pojmovi pisani velikim početnim slovom koji ovdje nisu drugačije definirani imaju značenja koja su im dodijeljena u DPA.

Ovaj Prilog A bavi se tehničkim i organizacijskim mjerama, uključujući praktične zaštitne mjere i tehničke sigurnosne mjere, koje Marzipan primjenjuje kako bi (a) zaštitio Podatke kupca od slučajnog ili nezakonitog gubitka, pristupa ili otkrivanja; (b) identificirao razumno predvidive i interne rizike za sigurnost i neovlašteni pristup Uslugama, uključujući Marzipan račun Kupca; te (c) minimizirao sigurnosne rizike, između ostalog putem procjene rizika i redovitog testiranja. Marzipan će odrediti jednog ili više zaposlenika koji će biti odgovorni za prakse i mjere informacijske sigurnosti opisane u nastavku te odgovarati na sva pitanja koja se na njih odnose.

1. Model podijeljene odgovornosti

   Marzipan upravlja aplikacijama temeljenim na oblaku na domenama marzipan.co, labls.co i labls.io, čija je infrastruktura i s njom povezani podaci smješteni na poslužiteljima koje upravljaju pružatelji usluga oblaka: (1) UpCloud Oy ("UpCloud") u podatkovnom centru DE-FRA1 u Frankfurtu, Njemačka; (2) Hetzner Online GmbH ("Hetzner Online") u podatkovnim centrima u Nürnbergu i Falkensteinu, Njemačka; (3) Scaleway SAS ("Scaleway") u podatkovnom centru u Parizu. To znači da se Marzipan usluga isporučuje putem interneta prema modelu Softvera kao usluge ("SaaS").

   Od navedenih pružatelja, UpCloud, Hetzner Online i Scaleway, UpCloud je domaćin živoj produkcijskoj verziji Marzipan aplikacija i njima pridruženih podataka te osigurava računalnu snagu koja Kupcu omogućuje pristup Uslugama bez potrebe za fizičkim instaliranjem kopije bilo koje od aplikacija. Scaleway pruža usluge transakcijske e-pošte. Hetzner Online pak Marzipanu pruža namjenski poslužitelj na kojemu Marzipan ugošćuje probne (tj. testne) verzije aplikacija u svrhu testiranja novog koda, funkcionalnosti i ažuriranja u kontroliranom okruženju prije nego što postanu dostupni uživo.

   SaaS model uspostavlja podjelu rada u pogledu provedbe tehničkih i organizacijskih zaštitnih mjera potrebnih za zaštitu Podataka kupca. Kao voditelj obrade podataka, Marzipan je odgovoran za oblikovanje alata za upravljanje pristupom i alata za mrežnu sigurnost prema kojima se Podaci kupca pohranjuju u oblaku – sigurnost u oblaku. Kao pružatelji usluga oblaka i izvršitelji obrade, UpCloud, Hetzner Online i Scaleway odgovorni su, u mjeri u kojoj je primjenjivo, za održavanje sigurnosti temeljnog okruženja oblaka i fizičkih poslužitelja u kojima su pohranjeni Podaci kupca, uključujući provedbu tehničkih i fizičkih mjera zaštite od neovlaštenog pristupa njihovim podatkovnim centrima i mrežnoj arhitekturi – sigurnost oblaka.

   Detaljnije rečeno, to znači da je Marzipan odgovoran za upravljanje sigurnošću softvera aplikacije Marzipan (uključujući ažuriranja i sigurnosne zakrpe za aplikacije Marzipan i Labls), kao i za konfiguraciju svih sigurnosnih značajki koje UpCloud, Hetzner Online i Scaleway pružaju u sklopu svojih usluga u oblaku. Zauzvrat, UpCloud, Hetzner Online i Scaleway upravljaju, administriraju i kontroliraju (prema potrebi) komponente sustava aplikacije Marzipan i sloj virtualizacije sve do fizičke sigurnosti objekata u kojima usluga aplikacije Marzipan radi i u kojima se pohranjuju s njom povezani podaci.

   Ovo nazivamo 'Modelom zajedničke odgovornosti', što znači da se, uz provedbu vlastitih opsežnih tehničkih i organizacijskih mjera, oslanjamo i na sveobuhvatne sigurnosne mehanizme UpClouda, Hetzner Onlinea i Scalewaya.

   Dodatne informacije o fizičkim, mrežnim i sustavnim sigurnosnim mjerama koje UpCloud, Hetzner Online i Scaleway primjenjuju kako bi zaštitili svoje podatkovne centre i u njima pohranjene podatke mogu se pronaći ovdje za UpCloud, ovdje za Hetzner i ovdje za Scaleway.

2. Poslužitelji UpCloud i Hetzner Online

   UpCloud

   Sukladno članku 28. stavku 3. točki (c) UK GDPR-a, Marzipan je obvezan odabrati pružatelja usluge računalstva u oblaku koji pruža dovoljna jamstva sposobnosti ispunjavanja mjera sigurnosti podataka iz članka 32. UK GDPR-a.¹

   We have selected UpCloud to be our principal hosting provider, infrastructure partner and cloud computing processor for the production versions of the Marzipan and Labls applications based on a careful selection process, considering legal, organisation and technical measures. We chose UpCloud because their IT architecture and infrastructure has been certified as being designed and managed in accordance with industry-leading best practises and security standards including:

   • ISO 9001 Upravljanje kvalitetom
   • ISO 14001 Upravljanje okolišem
   • ISO 22301 Sigurnost i otpornost
   • ISO 27001 Upravljanje informacijskom sigurnošću
   • ISO 50001 Upravljanje energijom
   • SOC 2 Type II Sigurnost podataka i privatnost
   • PCI-DSS Informacijska sigurnost

   Kako bi se osigurala usklađenost s presudom 'Schrems II' Suda pravde EU (CJEU) iz srpnja 2020., svi Podaci kupaca pohranjeni u UpCloudu nalaze se u UpCloudovom podatkovnom centru DE-FRA1 u Frankfurtu, Njemačka.

   Hetzner

   Marzipan je odabrao Hetzner Online kao pouzdanog partnera za pružanje dodatnog prostora na namjenskim poslužiteljima. Hetzner Online je certificiran u skladu s normom DIN ISO/IEC 27001. Nadalje, ovaj međunarodno priznat standard za informacijsku sigurnost potvrđuje da je Hetzner Online uspostavio i implementirao odgovarajući Sustav upravljanja informacijskom sigurnošću ("ISMS").

   Hetzner Online primjenjuje ISMS u svojoj infrastrukturi i poslovanju na objema njemačkim lokacijama podatkovnih centara u kojima Marzipan iznajmljuje prostor na namjenskim poslužiteljima, točnije u podatkovnim centrima u Nürnbergu i Falkensteinu. FOX certification, neovisno certifikacijsko tijelo, provelo je reviziju i certificiralo ISMS procese podatkovnih centara Hetzner Onlinea.

   Scaleway

   Marzipan koristi Scaleway za hosting usluga transakcijske e-pošte za aplikaciju Marzipan. Scaleway je certificiran u skladu s normom ISO/IEC 27001:2022. Scaleway je od srpnja 2024. certificiran kao "Hébergeur de Données de Santé" (host zdravstvenih podataka). Certifikacijski okvir HDS, kojim upravlja Francuska nacionalna agencija za digitalno zdravstvo (ANS) pod nadzorom Ministarstva zdravstva, jedan je od najzahtjevnijih koje pružatelji digitalnih usluga moraju ispuniti kako bi mogli hostati i upravljati zdravstvenim podacima u Francuskoj. Scalewayjeva certifikacija potvrđuje provedbu rigoroznih tehničkih i organizacijskih mjera zaštite zdravstvenih podataka, usklađenost s pravnim i regulatornim zahtjevima te podvrgavanje redovitim revizijama radi osiguranja visoke razine sigurnosti zdravstvenih podataka.

3. Enkripcija

   Ključni temeljni element sigurnosnih mjera Marzipana jest enkripcija podataka u mirovanju i u prijenosu. Sva vanjska mrežna komunikacija između korisnika i aplikacije Marzipan odvija se putem javnih mreža uz korištenje Transport Layer Security ("TLS") verzije 1.2 ili više. Korisnički podaci pohranjeni na UpCloud, Scaleway i Hetzner Online poslužiteljima Marzipana enkriptirani su korištenjem AES 256 ili višeg standarda.

   Marzipan koristi odgovarajuće usluge enkripcije UpClouda, Scalewaya i Hetzner Onlinea za enkripciju korisničkih podataka.

   Sustav enkripcije UpClouda osmišljen je tako da nitko, uključujući zaposlenike Marzipana ili UpClouda, ne može pristupiti ključevima enkripcije u obliku otvorenog teksta. UpCloud koristi hardverske sigurnosne module ("HMS") koji su bili ili su trenutačno validirani u skladu s FIPS 140-2 standardom radi zaštite ključeva otvorenog teksta koji se koriste za enkripciju korisničkih podataka. Svi kriptografski ključevi automatski se rotiraju jednom godišnje.

   Hetzner Onlineova enkripcija cijelog diska koristi AES 256 algoritme enkripcije i obvezne procese autentifikacije za enkripciju svih softverski i hardverski temeljenih pogona pohranjenih na namjenskim poslužiteljima. Time se minimizira rizik od gubitka podataka i neovlaštenog pristupa korisničkim podacima.

   Sustavi Marzipana koriste transportnu enkripciju uvijek kada je potrebno prenijeti podatke putem nesigurne ili javne mreže. Web-sučelje i svi API-ji povezani s aplikacijom Marzipan dostupni su isključivo putem HTTPS veza, a klijentski sustavi moraju koristiti najmanje TLS 1.2 za pristup sustavu Marzipan.

4. Ograničenje lokacija poslužitelja na EEA/EU

   Marzipan pohranjuje podatke isključivo unutar EGP-a, konkretno u podatkovnim centrima UpCloud u Frankfurtu, Njemačka, podatkovnim centrima Hetzner Online u Nürnbergu i Falkensteinu, Njemačka, te podatkovnom centru Scaleway u Parizu.

   To je kako bi se na najbolji mogući način osiguralo da se podaci korisnika ne mogu koristiti niti otkrivati bez ovlaštenja, posebno u svjetlu presude Europskog suda pravde Schrems II od 16. srpnja 2020. te zabrinutosti stručnjaka za zaštitu podataka u vezi s pojavom zakona o prisilnoj predaji podataka u Sjedinjenim Američkim Državama i drugim opravdanjima izvan EGP-a.

5. Zapisivanje/Revizijski trag

   Marzipan koristi zapisivanje u svojim UpCloud okruženjima u nekoliko područja. To uključuje:

   • Sistemske događaje;
   • Zapisivanje pogrešaka;
   • Aktivnost korisnika;
   • Prijave i zahtjeve prema sustavima baze podataka;
   • Ostale sigurnosne događaje/revizijsko zapisivanje.

6. Nadzor

   Marzipan koristi razne alate za nadzor kako bi osigurao maksimalnu dostupnost i performanse Marzipan sustava i aplikacije. Ovi alati prate najmanje sljedeće parametre:

   Dostupnost

   • Pristupačnost aplikacije
   • Pristupačnost pozadinskih sustava i usluga

   Resursi

   • Iskorištenost procesora
   • Iskorištenost mrežnih sučelja
   • Iskorištenost trajnih i privremenih sučelja

   Performanse

   • Vremena odgovora aplikacije
   • Vremena odgovora pozadinskih sustava
   • Vremena upita za sadržaj MySQL baze podataka

   Sigurnost

   • Performanse DS-a
   • Status ažuriranja sustava

   Nadzor

   • Evidencija pogrešaka
   • Evidencija pristupa

   Uz ovo automatizirano praćenje, zaposlenici Marzipana prate relevantne online medije i blogove (uključujući gore navedene OWASP ažuriranja) kako bi mogli brzo reagirati.

7. Kontrola pristupa

   Marzipan dodjeljuje svojim zaposlenicima i suradnicima različite razine kontrole pristupa za svoje sustave i usluge na poslužiteljima UpCloud i Hetzner Online. Upravljanje tim pristupom provodi se putem zasebnih sustava upravljanja identitetima i pristupom (IAM) pružatelja UpCloud i Hetzner Online, koji omogućuju preciznu granulaciju pristupa različitim uslugama.

   Temeljno načelo koje Marzipan primjenjuje pri dodjeli prava svojem osoblju jest načelo "potrebe za znanjem" (eng. need-to-know). U praksi to znači da zaposlenici Marzipana dobivaju pristup isključivo onim funkcijama koje su im potrebne za obavljanje radnih zadataka. Pristup pozadinskim sustavima moguć je jedino putem sigurnih i autenticiranih veza. Javno izlaganje pozadinskih sustava strogo je zabranjeno. Samo strogo ograničen broj zaposlenika Marzipana ima pristup sustavu u kojemu se pohranjuju podaci klijenata. Taj izravni pristup namijenjen je isključivo analizi pogrešaka i podliježe nadzoru.