Marzipan Verwerkersovereenkomst

Met een hoofdletter geschreven begrippen die hierin niet anderszins zijn gedefinieerd, hebben de betekenis die daaraan is toegekend in de DPA.

Deze Bijlage A behandelt de technische en organisatorische maatregelen, waaronder praktische beveiligingsmaatregelen en technische beveiligingsmaatregelen, die Marzipan treft om (a) de Klantgegevens te beschermen tegen onopzettelijk of onrechtmatig verlies, toegang of openbaarmaking; (b) redelijkerwijs voorzienbare en interne risico's voor de beveiliging en ongeautoriseerde toegang tot de Diensten, inclusief het Marzipan-account van de Klant, te identificeren; en (c) beveiligingsrisico's te minimaliseren, onder meer door middel van risicobeoordeling en regelmatig testen. Marzipan wijst een of meer medewerkers aan die verantwoordelijk zijn voor de hieronder beschreven informatiebeveiligingspraktijken en -maatregelen en die vragen hierover beantwoorden.

1. Gedeeld verantwoordelijkheidsmodel

   Marzipan exploiteert cloudgebaseerde applicaties op respectievelijk marzipan.co, labls.co en labls.io, waarvan de infrastructuur en bijbehorende gegevens worden gehost op servers die worden beheerd door de cloudserviceproviders (1) UpCloud Oy ("UpCloud") in haar datacentrum DE-FRA1 in Frankfurt, Duitsland, (2) Hetzner Online GmbH ("Hetzner Online") in haar datacentra in Neurenberg en Falkenstein, Duitsland, en (3) Scaleway SAS ("Scaleway") in haar datacentrum in Parijs. Dit betekent dat de Marzipan-dienst via internet wordt geleverd volgens een Software as a Service ("SaaS")-model.

   Tussen UpCloud, Hetzner Online en Scaleway onderling geldt dat UpCloud de live productieversie van de Marzipan-applicaties en de bijbehorende gegevens host en de rekenkracht levert waarmee de Klant toegang kan krijgen tot de Diensten zonder dat er een kopie van een van de applicaties fysiek hoeft te worden geïnstalleerd. Scaleway levert transactionele e-maildiensten. Hetzner Online stelt Marzipan op haar beurt een dedicated server ter beschikking waarop Marzipan staging- (d.w.z. test)versies van de applicaties host, met als doel nieuwe code, functies en updates in een gecontroleerde omgeving te testen voordat deze live worden gezet.

   Het SaaS-model brengt een taakverdeling met zich mee met betrekking tot de implementatie van de technische en organisatorische beveiligingsmaatregelen die nodig zijn om de Klantgegevens te beschermen. Als verwerkingsverantwoordelijke is Marzipan verantwoordelijk voor het ontwerpen van de toegangsbeheertools en netwerkbeveiligingstools op grond waarvan Klantgegevens in de cloud worden opgeslagen – beveiliging ín de cloud. Als cloudserviceproviders en verwerkers zijn UpCloud, Hetzner Online en Scaleway, elk voor zover van toepassing, verantwoordelijk voor het handhaven van de beveiliging van de onderliggende cloudomgeving en fysieke servers waarin de Klantgegevens zijn opgeslagen, waaronder het treffen van technische en fysieke maatregelen ter bescherming tegen ongeautoriseerde toegang tot hun datacentra en netwerkarchitectuur – beveiliging van de cloud.

   In meer gedetailleerde bewoordingen betekent dit dat Marzipan verantwoordelijk is voor het beheer van de beveiliging van de Marzipan-applicatiesoftware (inclusief updates en beveiligingspatches voor Marzipan- en Labls-applicaties), alsmede voor de configuratie van beveiligingsgerelateerde functies die UpCloud, Hetzner Online en Scaleway aanbieden als onderdeel van hun clouddiensten. Op hun beurt exploiteren, beheren en controleren UpCloud, Hetzner Online en Scaleway (waar van toepassing) de componenten van het Marzipan-applicatiesysteem en de virtualisatielaag tot aan de fysieke beveiliging van de faciliteiten waarin de Marzipan-applicatiedienst actief is en de bijbehorende gegevens worden opgeslagen.

   Wij noemen dit een 'Gedeeld Verantwoordelijkheidsmodel' ('Shared Responsibility Model'), omdat het betekent dat wij, naast het implementeren van uitgebreide eigen technische en organisatorische maatregelen, vertrouwen op de uitgebreide beveiligingsmechanismen van UpCloud, Hetzner Online en Scaleway.

   Meer informatie over de fysieke, netwerk- en systeembeveiligingsmaatregelen die UpCloud, Hetzner Online en Scaleway respectievelijk toepassen om hun datacenters en de daarin opgeslagen gegevens te beschermen, vindt u hier voor UpCloud, hier voor Hetzner en hier voor Scaleway.

2. UpCloud- en Hetzner Online-servers

   UpCloud

   Overeenkomstig artikel 28, lid 3, onder c), van de UK GDPR is Marzipan verplicht een cloudverwerkingsverantwoordelijke te kiezen die voldoende garanties biedt ten aanzien van zijn vermogen om te voldoen aan de in artikel 32 UK GDPR beschreven gegevensbeveiligingsmaatregelen.¹

   We have selected UpCloud to be our principal hosting provider, infrastructure partner and cloud computing processor for the production versions of the Marzipan and Labls applications based on a careful selection process, considering legal, organisation and technical measures. We chose UpCloud because their IT architecture and infrastructure has been certified as being designed and managed in accordance with industry-leading best practises and security standards including:

   • ISO 9001 Kwaliteitsmanagement
   • ISO 14001 Milieumanagement
   • ISO 22301 Beveiliging en weerbaarheid
   • ISO 27001 Informatiebeveiligingsmanagement
   • ISO 50001 Energiemanagement
   • SOC 2 Type II Gegevensbeveiliging en privacy
   • PCI-DSS Informatiebeveiliging

   Om te voldoen aan het 'Schrems II'-arrest van het Hof van Justitie van de EU (HvJ-EU) van juli 2020, worden alle Klantgegevens die bij UpCloud worden gehost, opgeslagen in het DE-FRA1-datacentrum van UpCloud in Frankfurt, Duitsland.

   Hetzner

   Marzipan heeft Hetzner Online gekozen als betrouwbare partner voor aanvullende dedicated serverruimte. Hetzner Online is gecertificeerd conform de DIN ISO/IEC 27001-norm. Deze internationaal erkende standaard voor informatiebeveiliging certificeert dat Hetzner Online een adequaat Information Security Management System ("ISMS") heeft opgezet en geïmplementeerd.

   Hetzner Online past het ISMS toe in zijn infrastructuur en bedrijfsvoering op beide Duitse datacenterlocaties waar Marzipan dedicated serverruimte huurt, te weten de datacenterparken in Neurenberg en Falkenstein. FOX Certification, een onafhankelijke certificeringsinstantie, heeft de ISMS-processen van de datacenterparken van Hetzner Online geauditeerd en gecertificeerd.

   Scaleway

   Marzipan maakt gebruik van Scaleway voor het hosten van transactionele e-maildiensten voor de Marzipan-applicatie. Scaleway is gecertificeerd conform de ISO/IEC 27001:2022-norm. Scaleway is sinds juli 2024 gecertificeerd als "Hébergeur de Données de Santé" (aanbieder van gezondheidsdatahosting). Het HDS-certificeringsraamwerk, beheerd door het Franse Nationale Agentschap voor Digitale Gezondheid (ANS) onder toezicht van het Ministerie van Volksgezondheid, behoort tot de meest veeleisende kaders waaraan digitale dienstverleners moeten voldoen om gezondheidsgegevens in Frankrijk te hosten en te beheren. De certificering van Scaleway bevestigt de implementatie van rigoureuze technische en organisatorische maatregelen ter bescherming van gezondheidsgegevens, de naleving van wettelijke en regelgevende vereisten, en de onderwerping aan regelmatige audits om een hoog beveiligingsniveau voor gezondheidsgegevens te waarborgen.

3. Versleuteling

   Een essentieel kernelement van de beveiligingsmaatregelen van Marzipan is de versleuteling van gegevens, zowel in rust als in transit. Alle externe netwerkcommunicatie tussen klanten en de Marzipan-applicatie via openbare netwerken verloopt via Transport Layer Security ("TLS") 1.2 of hoger. Klantgegevens opgeslagen op de UpCloud-, Scaleway- en Hetzner Online-servers van Marzipan worden versleuteld met AES 256 of hoger.

   Marzipan maakt gebruik van de respectieve versleutelingsdiensten van UpCloud, Scaleway en Hetzner Online om klantgegevens te versleutelen.

   Het versleutelingssysteem van UpCloud is zodanig ontworpen dat niemand, inclusief medewerkers van Marzipan of UpCloud, toegang kan krijgen tot de onversleutelde coderingssleutels. UpCloud maakt gebruik van hardware security modules ("HSM") die zijn of worden gevalideerd conform FIPS 140-2 om de vertrouwelijkheid van de onversleutelde sleutels waarmee de klantgegevens worden versleuteld te beschermen. Alle cryptografische sleutels worden automatisch eenmaal per jaar geroteerd.

   De volledige schijfversleuteling van Hetzner Online maakt gebruik van AES 256-versleutelingsalgoritmen en verplichte authenticatieprocessen om alle software- en hardwarematige schijven op de dedicated servers te versleutelen. Dit minimaliseert het risico op gegevensverlies en ongeautoriseerde toegang tot klantgegevens.

   De systemen van Marzipan maken gebruik van transportversleuteling wanneer gegevens via een onbeveiligd of openbaar netwerk worden overgedragen. De webinterface en alle API's die zijn verbonden met de Marzipan-applicatie zijn uitsluitend toegankelijk via HTTPS-verbindingen, en clientsystemen moeten minimaal TLS 1.2 gebruiken om toegang te krijgen tot het Marzipan-systeem.

4. Beperking van serverlocaties tot de EER/EU

   Marzipan slaat gegevens uitsluitend op in de EER, namelijk in de datacenters van UpCloud in Frankfurt, Duitsland, de datacenters van Hetzner Online in Neurenberg en Falkenstein, Duitsland, en het datacenter van Scaleway in Parijs.

   Dit is om zo goed mogelijk te waarborgen dat klantgegevens niet zonder toestemming kunnen worden gebruikt of openbaar gemaakt, mede in het licht van het Schrems II-arrest van het Europees Hof van Justitie van 16 juli 2020 en de zorgen van gegevensbeschermingsexperts over de opkomst van wetgeving inzake gedwongen gegevensoverdracht in de Verenigde Staten en andere niet-EER-jurisdicties.

5. Logboekregistratie/audittrail

   Marzipan maakt gebruik van logboekregistratie in zijn UpCloud-omgevingen voor verschillende gebieden. Dit omvat:

   • Systeemgebeurtenissen;
   • Foutregistratie;
   • Gebruikersactiviteit;
   • Aanmeldingen en verzoeken aan databasesystemen;
   • Overige beveiligingsgerelateerde gebeurtenissen/auditregistratie.

6. Monitoring

   Marzipan gebruikt verschillende monitoringtools om maximale beschikbaarheid en prestaties van de Marzipan-systemen en -applicatie te garanderen. Deze bewaken ten minste de volgende parameters:

   Beschikbaarheid

   • Toegankelijkheid van de applicatie
   • Toegankelijkheid van backendsystemen en -diensten

   Resources

   • CPU-gebruik
   • Gebruik van netwerkinterfaces
   • Gebruik van persistente en vluchtige interfaces

   Prestaties

   • Responstijden van de applicatie
   • Responstijden van backendsystemen
   • Querytijden voor MySQL-database-inhoud

   Beveiliging

   • DS-prestaties
   • Updatestatus van systemen

   Monitoring

   • Foutlogboeken
   • Toegangslogboeken

   Naast deze geautomatiseerde monitoring houden Marzipan-medewerkers relevante online media en blogs in de gaten (waaronder de hierboven genoemde OWASP-updates) om hier snel op te kunnen reageren.

7. Toegangsbeheer

   Marzipan kent zijn medewerkers en contractors verschillende toegangsniveaus toe voor zijn systemen en diensten op de servers van UpCloud en Hetzner Online. Deze worden beheerd via de respectieve Identity and Access Management (IAM)-systemen van UpCloud en Hetzner Online, die een fijnmazige toegangsverdeling tot verschillende diensten mogelijk maken.

   Het leidende principe van Marzipan bij het toewijzen van rechten aan personeel is 'need-to-know'. In de praktijk betekent dit dat medewerkers van Marzipan alleen toegang krijgen tot de functies die zij nodig hebben om hun werk uit te voeren. Toegang tot back-endsystemen is uitsluitend mogelijk via beveiligde en geauthenticeerde verbindingen. Publieke ontsluiting van back-endsystemen is verboden. Slechts een strikt beperkt aantal medewerkers van Marzipan heeft toegang tot het systeem waarin klantgegevens worden opgeslagen. Deze directe toegang is uitsluitend bestemd voor foutanalyse en wordt gemonitord.