Aneks do umowy o przetwarzaniu danych Marzipan

Terminy pisane wielką literą, które nie zostały zdefiniowane w niniejszym dokumencie, mają znaczenia przypisane im w DPA.

Niniejszy Załącznik A opisuje środki techniczne i organizacyjne, w tym praktyczne zabezpieczenia i techniczne środki bezpieczeństwa, które Marzipan stosuje w celu: (a) ochrony Danych Klienta przed przypadkową lub bezprawną utratą, dostępem lub ujawnieniem; (b) identyfikacji przewidywalnych i wewnętrznych zagrożeń dla bezpieczeństwa oraz nieautoryzowanego dostępu do Usług, w tym do konta Marzipan Klienta; oraz (c) minimalizacji ryzyk bezpieczeństwa, m.in. poprzez ocenę ryzyka i regularne testy. Marzipan wyznaczy jednego lub więcej pracowników odpowiedzialnych za reagowanie na wszelkie pytania dotyczące opisanych poniżej praktyk i środków bezpieczeństwa informacji.

1. Model współdzielonej odpowiedzialności

   Marzipan prowadzi aplikacje w chmurze dostępne odpowiednio pod adresami marzipan.co, labls.co, labls.io, których infrastruktura i powiązane dane są hostowane na serwerach operowanych przez dostawców usług chmurowych: (1) UpCloud Oy ("UpCloud") w centrum danych DE-FRA1 we Frankfurcie, Niemcy; (2) Hetzner Online GmbH ("Hetzner Online") w centrach danych w Norymberdze i Falkensteinie, Niemcy; (3) Scaleway SAS ("Scaleway") w centrum danych w Paryżu. Oznacza to, że Usługa Marzipan jest świadczona przez internet zgodnie z modelem Software as a Service ("SaaS").

   Spośród UpCloud, Hetzner Online i Scaleway, to UpCloud hostuje działającą wersję produkcyjną aplikacji Marzipan wraz z powiązanymi danymi i zapewnia moc obliczeniową umożliwiającą Klientowi korzystanie z Usług bez konieczności fizycznego instalowania kopii aplikacji. Scaleway świadczy usługi transakcyjnej poczty elektronicznej. Z kolei Hetzner Online udostępnia Marzipan dedykowany serwer, na którym Marzipan hostuje wersje testowe (staging) aplikacji, służące do testowania nowego kodu, funkcji i aktualizacji w kontrolowanym środowisku przed ich uruchomieniem na środowisku produkcyjnym.

   Model SaaS ustanawia podział obowiązków w zakresie wdrażania technicznych i organizacyjnych zabezpieczeń niezbędnych do ochrony Danych Klienta. Jako administrator danych, Marzipan odpowiada za projektowanie narzędzi zarządzania dostępem i narzędzi bezpieczeństwa sieciowego, zgodnie z którymi Dane Klienta są przechowywane w chmurze – bezpieczeństwo w chmurze. Jako dostawcy usług chmurowych i podmioty przetwarzające dane, UpCloud, Hetzner Online i Scaleway odpowiadają odpowiednio za utrzymanie bezpieczeństwa bazowego środowiska chmurowego i fizycznych serwerów, na których przechowywane są Dane Klienta, w tym za wdrażanie technicznych i fizycznych środków ochrony przed nieautoryzowanym dostępem do swoich centrów danych i architektury sieciowej – bezpieczeństwo samej chmury.

   Mówiąc bardziej szczegółowo, oznacza to, że Marzipan jest odpowiedzialny za zarządzanie bezpieczeństwem oprogramowania aplikacji Marzipan (w tym aktualizacji i poprawek bezpieczeństwa aplikacji Marzipan i Labls), jak również za konfigurację wszelkich funkcji związanych z bezpieczeństwem, które UpCloud, Hetzner Online i Scaleway udostępniają w ramach swoich usług chmurowych. Z kolei UpCloud, Hetzner Online i Scaleway obsługują, zarządzają i kontrolują (w stosownych przypadkach) komponenty systemu aplikacji Marzipan i warstwy wirtualizacji aż do fizycznego bezpieczeństwa obiektów, w których działa usługa aplikacji Marzipan i przechowywane są powiązane z nią dane.

   Nazywamy to "Modelem Odpowiedzialności Dzielonej", ponieważ oznacza to, że oprócz wdrażania istotnych środków technicznych i organizacyjnych z naszej strony, polegamy na rozbudowanych mechanizmach bezpieczeństwa UpCloud, Hetzner Online i Scaleway.

   Dalsze informacje na temat fizycznych, sieciowych i systemowych środków bezpieczeństwa stosowanych odpowiednio przez UpCloud, Hetzner Online i Scaleway w celu ochrony ich centrów danych oraz przechowywanych w nich danych można znaleźć tutaj dla UpCloud, tutaj dla Hetzner i tutaj dla Scaleway.

2. Serwery UpCloud i Hetzner Online

   UpCloud

   Zgodnie z Artykułem 28(3)(c) UK GDPR, Marzipan jest zobowiązany do wyboru podmiotu przetwarzającego dane w chmurze, który zapewnia wystarczające gwarancje spełnienia środków bezpieczeństwa danych określonych w Artykule 32 UK GDPR.¹

   We have selected UpCloud to be our principal hosting provider, infrastructure partner and cloud computing processor for the production versions of the Marzipan and Labls applications based on a careful selection process, considering legal, organisation and technical measures. We chose UpCloud because their IT architecture and infrastructure has been certified as being designed and managed in accordance with industry-leading best practises and security standards including:

   • ISO 9001 Zarządzanie jakością
   • ISO 14001 Zarządzanie środowiskowe
   • ISO 22301 Bezpieczeństwo i odporność
   • ISO 27001 Zarządzanie bezpieczeństwem informacji
   • ISO 50001 Zarządzanie energią
   • SOC 2 Type II Bezpieczeństwo danych i prywatność
   • PCI-DSS Bezpieczeństwo informacji

   Aby zapewnić zgodność z wyrokiem "Schrems II" Trybunału Sprawiedliwości UE (TSUE) z lipca 2020 roku, wszystkie Dane Klientów przechowywane w ramach UpCloud są hostowane w centrum danych UpCloud DE-FRA1 we Frankfurcie w Niemczech.

   Hetzner

   Marzipan wybrało Hetzner Online jako niezawodnego partnera zapewniającego dodatkową przestrzeń na dedykowanych serwerach. Hetzner Online posiada certyfikat zgodności z normą DIN ISO/IEC 27001. Ponadto ten uznany na arenie międzynarodowej standard bezpieczeństwa informacji potwierdza, że Hetzner Online wdrożył i utrzymuje odpowiedni System Zarządzania Bezpieczeństwem Informacji ("ISMS").

   Hetzner Online stosuje ISMS w swojej infrastrukturze i operacjach w obu niemieckich lokalizacjach centrów danych, w których Marzipan dzierżawi przestrzeń na dedykowanych serwerach – a mianowicie w parkach centrów danych w Norymberdze i Falkenstein. FOX certification, niezależna jednostka certyfikująca, przeprowadziła audyt i certyfikację procesów ISMS w parkach centrów danych Hetzner Online.

   Scaleway

   Marzipan wykorzystuje Scaleway do hostowania usług poczty transakcyjnej dla aplikacji Marzipan. Scaleway posiada certyfikat zgodności z normami ISO/IEC 27001:2022. Scaleway jest certyfikowany jako "Hébergeur de Données de Santé" (Host Danych Zdrowotnych) od lipca 2024 roku. Zarządzany przez Francuską Narodową Agencję ds. Zdrowia Cyfrowego (ANS), pod nadzorem Ministerstwa Zdrowia, framework certyfikacji HDS jest jednym z najbardziej wymagających, z którymi muszą się dostosować dostawcy usług cyfrowych, aby hostować i zarządzać danymi zdrowotnymi we Francji. Certyfikacja Scaleway potwierdza wdrożenie rygorystycznych środków technicznych i organizacyjnych w celu ochrony danych zdrowotnych; zgodność z wymogami prawnymi i regulacyjnymi; oraz poddawanie się regularnym audytom w celu zapewnienia wysokiego poziomu bezpieczeństwa danych zdrowotnych.

3. Szyfrowanie

   Podstawowym elementem zabezpieczeń Marzipan jest szyfrowanie danych zarówno w spoczynku, jak i podczas przesyłania. Cała zewnętrzna komunikacja sieciowa między klientami a aplikacją Marzipan odbywa się przez sieci publiczne z wykorzystaniem protokołu Transport Layer Security ("TLS") w wersji 1.2 lub wyższej. Dane klientów przechowywane na serwerach UpCloud, Scaleway i Hetzner Online należących do Marzipan są szyfrowane przy użyciu algorytmu AES 256 lub wyższego.

   Marzipan wykorzystuje odpowiednie usługi szyfrowania oferowane przez UpCloud, Scaleway i Hetzner Online w celu szyfrowania Danych Klientów.

   System szyfrowania UpCloud jest zaprojektowany w taki sposób, że nikt – w tym pracownicy Marzipan ani UpCloud – nie ma dostępu do kluczy szyfrowania w postaci jawnej. UpCloud stosuje sprzętowe moduły zabezpieczeń ("HMS"), które zostały lub są aktualnie walidowane zgodnie ze standardem FIPS 140-2, w celu ochrony kluczy szyfrowania w postaci jawnej używanych do szyfrowania Danych Klientów. Wszystkie klucze kryptograficzne są automatycznie rotowane raz w roku.

   Pełne szyfrowanie dysku stosowane przez Hetzner Online wykorzystuje algorytmy szyfrowania AES 256 oraz obowiązkowe procesy uwierzytelniania w celu zaszyfrowania wszystkich programowych i sprzętowych dysków przechowywanych na serwerach dedykowanych. Minimalizuje to ryzyko utraty danych oraz nieautoryzowanego dostępu do Danych Klientów.

   Systemy Marzipan stosują szyfrowanie transportu zawsze, gdy dane muszą być przesyłane przez niezabezpieczoną lub publiczną sieć. Interfejs webowy oraz wszystkie interfejsy API połączone z aplikacją Marzipan są dostępne wyłącznie przez połączenia HTTPS, a systemy klientów muszą używać co najmniej TLS 1.2, aby uzyskać dostęp do systemu Marzipan.

4. Ograniczenie lokalizacji serwerów do obszaru EOG/UE

   Marzipan przechowuje dane wyłącznie w EOG, a mianowicie w centrach danych UpCloud we Frankfurcie w Niemczech, centrach danych Hetzner Online w Norymberdze i Falkenstein w Niemczech oraz centrum danych Scaleway w Paryżu.

   Ma to na celu jak najlepsze zapewnienie, że dane klientów nie będą mogły być wykorzystywane ani ujawniane bez upoważnienia, w szczególności w świetle wyroku Europejskiego Trybunału Sprawiedliwości w sprawie Schrems II z dnia 16 lipca 2020 r. oraz obaw ekspertów ds. ochrony danych związanych z pojawieniem się przepisów nakazujących przekazywanie danych w Stanach Zjednoczonych i innych krajach spoza EOG.

5. Rejestrowanie/ścieżka audytu

   Marzipan wykorzystuje rejestrowanie w swoich środowiskach UpCloud w kilku obszarach. Obejmują one:

   • Zdarzenia systemowe;
   • Rejestrowanie błędów;
   • Aktywność użytkowników;
   • Logowania i zapytania do systemów bazodanowych;
   • Inne zdarzenia związane z bezpieczeństwem/rejestrowanie na potrzeby audytu.

6. Monitorowanie

   Marzipan korzysta z różnych narzędzi monitorujących w celu zapewnienia maksymalnej dostępności i wydajności systemów oraz aplikacji Marzipan. Monitorują one co najmniej następujące parametry:

   Dostępność

   • Dostępność aplikacji
   • Dostępność systemów i usług zaplecza

   Zasoby

   • Wykorzystanie procesora
   • Wykorzystanie interfejsów sieciowych
   • Wykorzystanie interfejsów trwałych i ulotnych

   Wydajność

   • Czasy odpowiedzi aplikacji
   • Czasy odpowiedzi systemów zaplecza
   • Czasy zapytań do zawartości bazy danych MySQL

   Bezpieczeństwo

   • Wydajność DS
   • Status aktualizacji systemów

   Monitorowanie

   • Dzienniki błędów
   • Dzienniki dostępu

   Oprócz tego automatycznego monitorowania, pracownicy Marzipan monitorują odpowiednie media internetowe i blogi (w tym aktualizacje OWASP, o których mowa powyżej), aby móc na nie szybko reagować.

7. Kontrola dostępu

   Marzipan przypisuje swoim pracownikom i współpracownikom różne poziomy kontroli dostępu do systemów i usług na serwerach UpCloud oraz Hetzner Online. Zarządzane są one za pośrednictwem systemów zarządzania tożsamością i dostępem (IAM) odpowiednio UpCloud i Hetzner Online, które umożliwiają szczegółową granulację dostępu do poszczególnych usług.

   Nadrzędną zasadą Marzipan przy przyznawaniu uprawnień personelowi jest zasada "need-to-know" (dostęp tylko dla tych, którzy tego potrzebują). W praktyce oznacza to, że pracownicy Marzipan mają dostęp wyłącznie do tych funkcji, które są im niezbędne do wykonywania obowiązków służbowych. Dostęp do systemów back-end jest możliwy wyłącznie za pośrednictwem bezpiecznych i uwierzytelnionych połączeń. Publiczne udostępnianie systemów back-end jest zabronione. Jedynie ściśle ograniczona liczba pracowników Marzipan ma dostęp do systemu przechowującego dane klientów. Bezpośredni dostęp służy wyłącznie do analizy błędów i jest monitorowany.