Adendo de Tratamento de Dados Marzipan

Os termos em maiúsculas não definidos neste documento têm os significados que lhes são atribuídos no DPA.

Este Anexo A aborda as medidas técnicas e organizativas, incluindo salvaguardas práticas e medidas de segurança técnica, que a Marzipan mantém para (a) proteger os Dados do Cliente contra perda, acesso ou divulgação acidental ou ilícita; (b) identificar riscos razoavelmente previsíveis e internos para a segurança e o acesso não autorizado aos Serviços, incluindo a conta Marzipan do Cliente; e (c) minimizar os riscos de segurança, nomeadamente através de avaliação de risco e testes regulares. A Marzipan designará um ou mais colaboradores responsáveis por responder a quaisquer questões sobre as práticas e medidas de segurança da informação descritas abaixo.

1. Modelo de Responsabilidade Partilhada

   A Marzipan opera aplicações baseadas na cloud em marzipan.co, labls.co e labls.io, respetivamente, cuja infraestrutura e dados associados estão alojados em servidores operados pelos fornecedores de serviços cloud (1) UpCloud Oy ("UpCloud") no seu centro de dados DE-FRA1 em Frankfurt, Alemanha, (2) Hetzner Online GmbH ("Hetzner Online") nos seus centros de dados em Nuremberga e Falkenstein, Alemanha, e (3) Scaleway SAS ("Scaleway") no seu centro de dados em Paris. Isto significa que o Serviço Marzipan é prestado através da internet segundo um modelo de Software como Serviço ("SaaS").

   No que diz respeito às relações entre UpCloud, Hetzner Online e Scaleway, a UpCloud aloja a versão de produção em ambiente real das aplicações Marzipan e os respetivos dados, fornecendo a capacidade de computação que permite ao Cliente aceder aos Serviços sem necessidade de instalar fisicamente uma cópia de qualquer das aplicações. A Scaleway fornece serviços de e-mail transacional. Por sua vez, a Hetzner Online disponibiliza à Marzipan um servidor dedicado no qual a Marzipan aloja versões de staging (i.e. teste) das aplicações, com o objetivo de testar novos códigos, funcionalidades e atualizações num ambiente controlado antes de as colocar em produção.

   O modelo SaaS estabelece uma divisão de responsabilidades no que respeita à implementação das salvaguardas técnicas e organizativas necessárias para proteger os Dados do Cliente. Enquanto responsável pelo tratamento de dados, a Marzipan é responsável pela conceção das ferramentas de gestão de acessos e das ferramentas de segurança de rede segundo as quais os Dados do Cliente são armazenados na cloud — segurança na cloud. Enquanto fornecedores de serviços cloud e subcontratantes, a UpCloud, a Hetzner Online e a Scaleway são responsáveis, na medida que lhes for aplicável, pela manutenção da segurança do ambiente cloud subjacente e dos servidores físicos onde os Dados do Cliente são armazenados, incluindo a implementação de medidas técnicas e físicas para proteger contra o acesso não autorizado aos seus centros de dados e arquitetura de rede — segurança da cloud.

   Em termos mais detalhados, isto significa que a Marzipan é responsável pela gestão da segurança do software da aplicação Marzipan (incluindo atualizações e correções de segurança das aplicações Marzipan e Labls), bem como pela configuração de quaisquer funcionalidades relacionadas com segurança que a UpCloud, a Hetzner Online e a Scaleway disponibilizem no âmbito das suas ofertas de serviços cloud. Por sua vez, a UpCloud, a Hetzner Online e a Scaleway operam, gerem e controlam (conforme aplicável) os componentes desde o sistema de aplicação Marzipan e a camada de virtualização até à segurança física das instalações onde o serviço da aplicação Marzipan opera e onde os dados associados são armazenados.

   Denominamos isto um 'Modelo de Responsabilidade Partilhada', uma vez que, para além de implementarmos medidas técnicas e organizativas substanciais por conta própria, dependemos dos extensos mecanismos de segurança da UpCloud, da Hetzner Online e da Scaleway.

   Informações adicionais sobre as medidas de segurança física, de rede e de sistemas que a UpCloud, a Hetzner Online e a Scaleway implementam respetivamente para proteger os seus centros de dados e os dados neles armazenados podem ser encontradas aqui para a UpCloud, aqui para a Hetzner e aqui para a Scaleway.

2. Servidores UpCloud e Hetzner Online

   UpCloud

   De acordo com o Artigo 28.º(3)(c) do UK GDPR, a Marzipan é obrigada a escolher um subcontratante de computação em cloud que ofereça garantias suficientes quanto à sua capacidade de cumprir as medidas de segurança de dados previstas no Artigo 32.º do UK GDPR.¹

   We have selected UpCloud to be our principal hosting provider, infrastructure partner and cloud computing processor for the production versions of the Marzipan and Labls applications based on a careful selection process, considering legal, organisation and technical measures. We chose UpCloud because their IT architecture and infrastructure has been certified as being designed and managed in accordance with industry-leading best practises and security standards including:

   • ISO 9001 Gestão da qualidade
   • ISO 14001 Gestão ambiental
   • ISO 22301 Segurança e resiliência
   • ISO 27001 Gestão da segurança da informação
   • ISO 50001 Gestão de energia
   • SOC 2 Type II Segurança e privacidade de dados
   • PCI-DSS Segurança da informação

   Para garantir a conformidade com o acórdão 'Schrems II' do Tribunal de Justiça da UE (TJUE) de julho de 2020, todos os Dados dos Clientes alojados na UpCloud são alojados no centro de dados DE-FRA1 da UpCloud em Frankfurt, Alemanha.

   Hetzner

   A Marzipan escolheu a Hetzner Online como parceiro de confiança para lhe fornecer espaço adicional em servidores dedicados. A Hetzner Online está certificada de acordo com as normas DIN ISO/IEC 27001. Além disso, esta norma de reconhecimento internacional para a segurança da informação certifica que a Hetzner Online estabeleceu e implementou um Sistema de Gestão de Segurança da Informação adequado ("SGSI").

   A Hetzner Online utiliza o SGSI na sua infraestrutura e operações em ambas as localizações de centros de dados alemães onde a Marzipan arrenda espaço em servidores dedicados, nomeadamente os parques de centros de dados de Nuremberga e Falkenstein. A FOX Certification, uma entidade de certificação independente, auditou e certificou os processos SGSI dos parques de centros de dados da Hetzner Online.

   Scaleway

   A Marzipan utiliza a Scaleway para albergar os serviços de correio eletrónico transacional da aplicação Marzipan. A Scaleway está certificada de acordo com as normas ISO/IEC 27001:2022. A Scaleway detém a certificação "Hébergeur de Données de Santé" (Alojador de Dados de Saúde) desde julho de 2024. Gerido pela Agência Nacional Francesa para a Saúde Digital (ANS), sob supervisão do Ministério da Saúde, o referencial de certificação HDS é um dos mais exigentes que os prestadores de serviços digitais devem cumprir para albergar e gerir dados de saúde em França. A certificação da Scaleway confirma a implementação de medidas técnicas e organizativas rigorosas para proteger os dados de saúde, a conformidade com os requisitos legais e regulamentares, e a sujeição a auditorias regulares para garantir um elevado nível de segurança dos dados de saúde.

3. Encriptação

   Um elemento central essencial das medidas de segurança da Marzipan é a encriptação de dados em repouso e em trânsito. Todas as comunicações de rede externas entre clientes e a aplicação Marzipan através de redes públicas utilizam Transport Layer Security ("TLS") 1.2 ou superior. Os Dados dos Clientes armazenados nos servidores UpCloud, Scaleway e Hetzner Online da Marzipan são encriptados com AES 256 ou superior.

   A Marzipan utiliza os serviços de encriptação da UpCloud, da Scaleway e da Hetzner Online para encriptar os Dados dos Clientes.

   O sistema de encriptação da UpCloud está concebido de forma a que ninguém, incluindo colaboradores da Marzipan ou da UpCloud, possa aceder às chaves de encriptação em texto simples. A UpCloud utiliza módulos de segurança de hardware ("HMS") que foram ou estão atualmente validados de acordo com a norma FIPS 140-2 para proteger o conteúdo das chaves em texto simples utilizadas para encriptar os Dados dos Clientes. Todas as chaves criptográficas são automaticamente renovadas uma vez por ano.

   A encriptação de disco completo da Hetzner Online utiliza algoritmos de encriptação AES 256 e processos de autenticação obrigatórios para encriptar todas as unidades baseadas em software e hardware armazenadas nos seus servidores dedicados. Isto minimiza o risco de perda de dados e de acesso não autorizado aos Dados dos Clientes.

   Os sistemas da Marzipan utilizam encriptação de transporte sempre que os dados necessitam de ser transferidos através de uma rede insegura ou pública. A interface web e todas as APIs ligadas à aplicação Marzipan são acessíveis apenas através de ligações HTTPs, e os sistemas cliente devem utilizar no mínimo TLS 1.2 para aceder ao sistema Marzipan.

4. Restrição das localizações dos servidores ao EEE/UE

   A Marzipan armazena dados exclusivamente no EEE, nomeadamente nos centros de dados da UpCloud em Frankfurt, Alemanha, nos centros de dados da Hetzner Online em Nuremberga e Falkenstein, Alemanha, e no centro de dados da Scaleway em Paris.

   Isto visa garantir da melhor forma possível que os dados dos clientes não possam ser utilizados ou divulgados sem autorização, nomeadamente à luz do acórdão Schrems II do Tribunal de Justiça Europeu de 16 de julho de 2020, e das preocupações de especialistas em proteção de dados relativamente ao surgimento de legislação de cedência obrigatória de dados nos Estados Unidos e noutros países fora do EEE.

5. Registo de atividade/Trilha de auditoria

   A Marzipan utiliza registos de atividade nos seus ambientes UpCloud em diversas áreas. Estas incluem:

   • Eventos de sistema;
   • Registo de erros;
   • Atividade de utilizadores;
   • Inícios de sessão e pedidos a sistemas de base de dados;
   • Outros eventos relacionados com segurança/registo de auditoria.

6. Monitorização

   A Marzipan utiliza diversas ferramentas de monitorização para garantir a máxima disponibilidade e desempenho dos sistemas e da aplicação Marzipan. Estas monitorizam pelo menos os seguintes parâmetros:

   Disponibilidade

   • Acessibilidade da aplicação
   • Acessibilidade de sistemas e serviços de back-end

   Recursos

   • Utilização de CPU
   • Utilização de interfaces de rede
   • Utilização de interfaces persistentes e voláteis

   Desempenho

   • Tempos de resposta da aplicação
   • Tempos de resposta dos sistemas de back-end
   • Tempos de consulta do conteúdo da base de dados MySQL

   Segurança

   • Desempenho do DS
   • Estado de atualização dos sistemas

   Monitorização

   • Registos de erros
   • Registos de acesso

   Para além desta monitorização automatizada, os colaboradores da Marzipan monitorizam os meios de comunicação online e blogues relevantes (incluindo as atualizações do OWASP referenciadas acima) para poderem reagir prontamente.

7. Controlo de Acesso

   A Marzipan atribui aos seus colaboradores e prestadores de serviços diferentes níveis de controlo de acesso aos seus sistemas e serviços nos servidores da UpCloud e da Hetzner Online. Estes são geridos através dos respetivos sistemas de Gestão de Identidade e Acesso (IAM) da UpCloud e da Hetzner Online, que permitem uma granularidade fina no acesso aos diferentes serviços.

   O princípio orientador da Marzipan na atribuição de permissões ao seu pessoal é o da "necessidade de conhecimento" (need-to-know). Na prática, isto significa que os colaboradores da Marzipan apenas têm acesso às funções necessárias para o desempenho das suas funções. O acesso aos sistemas de back-end só é possível através de ligações seguras e autenticadas. A disponibilização pública de sistemas de back-end está proibida. Apenas um número estritamente limitado de colaboradores da Marzipan tem acesso ao sistema que armazena os dados dos clientes. Este acesso direto destina-se exclusivamente à análise de erros e é monitorizado.