Addendum privind prelucrarea datelor Marzipan

Termenii scrişi cu majusculă care nu sunt definiți altfel în prezentul document au înțelesurile atribuite acestora în DPA.

Prezenta Anexă A abordează măsurile tehnice și organizatorice, inclusiv garanțiile practice și măsurile tehnice de securitate, pe care Marzipan le menține în scopul: (a) securizării Datelor Clientului împotriva pierderii, accesului sau divulgării accidentale sau ilegale; (b) identificării riscurilor previzibile în mod rezonabil și a riscurilor interne la adresa securității și accesului neautorizat la Servicii, inclusiv la contul Marzipan al Clientului; și (c) minimizării riscurilor de securitate, inclusiv prin evaluarea riscurilor și testări periodice. Marzipan va desemna unul sau mai mulți angajați care să răspundă de practicile și măsurile de securitate a informațiilor descrise mai jos și să răspundă oricăror întrebări legate de acestea.

1. Modelul responsabilității partajate

   Marzipan operează aplicații bazate pe cloud pe marzipan.co, labls.co, respectiv labls.io, a căror infrastructură și date asociate sunt găzduite pe servere operate de furnizorii de servicii cloud: (1) UpCloud Oy ("UpCloud") la centrul de date DE-FRA1 din Frankfurt, Germania; (2) Hetzner Online GmbH ("Hetzner Online") la centrele sale de date din Nuremberg și Falkenstein, Germania; (3) Scaleway SAS ("Scaleway") la centrul său de date din Paris. Aceasta înseamnă că Serviciul Marzipan este furnizat prin internet conform unui model Software ca Serviciu ("SaaS").

   Dintre UpCloud, Hetzner Online și Scaleway, UpCloud găzduiește versiunea de producție activă a aplicațiilor Marzipan și datele asociate acestora și furnizează puterea de calcul care permite Clientului să acceseze Serviciile fără a fi necesară instalarea fizică a unei copii a aplicațiilor. Scaleway furnizează servicii de e-mail tranzacțional. La rândul său, Hetzner Online pune la dispoziția Marzipan un server dedicat pe care Marzipan găzduiește versiunile de staging (adică de testare) ale aplicațiilor, în scopul testării noului cod, a funcționalităților și a actualizărilor într-un mediu controlat, înainte de punerea acestora în producție.

   Modelul SaaS stabilește o diviziune a responsabilităților în ceea ce privește implementarea garanțiilor tehnice și organizatorice necesare protejării Datelor Clientului. În calitate de operator de date, Marzipan este responsabil pentru proiectarea instrumentelor de gestionare a accesului și a instrumentelor de securitate a rețelei conform cărora Datele Clientului sunt stocate în cloud — securitatea în cloud. În calitate de furnizori de servicii cloud și persoane împuternicite de operator, UpCloud, Hetzner Online și Scaleway sunt responsabili, după caz, pentru menținerea securității mediului cloud subiacent și a serverelor fizice în care sunt stocate Datele Clientului, inclusiv prin implementarea de măsuri tehnice și fizice de protecție împotriva accesului neautorizat la centrele de date și la arhitectura de rețea — securitatea a cloud-ului.

   În termeni mai detaliați, acest lucru înseamnă că Marzipan este responsabil pentru gestionarea securității software-ului aplicației Marzipan (inclusiv actualizările și patch-urile de securitate pentru aplicațiile Marzipan și Labls), precum și pentru configurarea oricăror funcții legate de securitate pe care UpCloud, Hetzner Online și Scaleway le oferă ca parte a serviciilor lor cloud. La rândul lor, UpCloud, Hetzner Online și Scaleway operează, gestionează și controlează (după caz) componentele sistemului aplicației Marzipan și stratul de virtualizare, până la securitatea fizică a facilităților în care funcționează serviciul aplicației Marzipan și în care sunt stocate datele asociate acestuia.

   Numim aceasta un "Model de Responsabilitate Partajată", deoarece înseamnă că, pe lângă implementarea măsurilor tehnice și organizaționale substanțiale ale noastre, ne bazăm pe mecanismele extinse de securitate ale UpCloud, Hetzner Online și Scaleway.

   Informații suplimentare privind măsurile de securitate fizică, de rețea și de sistem pe care UpCloud, Hetzner Online și Scaleway le implementează pentru a proteja centrele lor de date și datele stocate în acestea pot fi găsite aici pentru UpCloud, aici pentru Hetzner și aici pentru Scaleway.

2. Servere UpCloud și Hetzner Online

   UpCloud

   În conformitate cu Articolul 28(3)(c) din UK GDPR, Marzipan este obligat să aleagă un furnizor de servicii cloud care oferă garanții suficiente privind capacitatea sa de a îndeplini măsurile de securitate a datelor prevăzute la Articolul 32 din UK GDPR.¹

   We have selected UpCloud to be our principal hosting provider, infrastructure partner and cloud computing processor for the production versions of the Marzipan and Labls applications based on a careful selection process, considering legal, organisation and technical measures. We chose UpCloud because their IT architecture and infrastructure has been certified as being designed and managed in accordance with industry-leading best practises and security standards including:

   • ISO 9001 Management al calității
   • ISO 14001 Management de mediu
   • ISO 22301 Securitate și reziliență
   • ISO 27001 Management al securității informațiilor
   • ISO 50001 Management energetic
   • SOC 2 Type II Securitatea și confidențialitatea datelor
   • PCI-DSS Securitatea informațiilor

   Pentru a asigura conformitatea cu decizia "Schrems II" pronunțată de Curtea de Justiție a UE (CJEU) în iulie 2020, toate Datele Clienților găzduite cu UpCloud sunt găzduite în centrul de date DE-FRA1 al UpCloud din Frankfurt, Germania.

   Hetzner

   Marzipan a ales Hetzner Online ca partener de încredere pentru a-i furniza spațiu suplimentar pe servere dedicate. Hetzner Online este certificată conform standardelor DIN ISO/IEC 27001. În plus, acest standard recunoscut internațional în domeniul securității informațiilor atestă că Hetzner Online a implementat și menține un sistem adecvat de management al securității informațiilor ("ISMS").

   Hetzner Online utilizează ISMS-ul în infrastructura și operațiunile sale din ambele centre de date germane în care Marzipan închiriază spațiu pe servere dedicate, respectiv parcurile de centre de date din Nuremberg și Falkenstein. FOX Certification, o autoritate de certificare terță, a auditat și certificat procesele ISMS ale parcurilor de centre de date ale Hetzner Online.

   Scaleway

   Marzipan utilizează Scaleway pentru a găzdui serviciile de e-mail transacțional ale aplicației Marzipan. Scaleway este certificat în conformitate cu standardele ISO/IEC 27001:2022. Scaleway este certificat "Hébergeur de Données de Santé" (Gazdă de Date de Sănătate) din iulie 2024. Gestionat de Agenția Națională Franceză pentru Sănătate Digitală (ANS), sub supravegherea Ministerului Sănătății, cadrul de certificare HDS este unul dintre cele mai exigente pe care furnizorii de servicii digitale trebuie să-l respecte pentru a găzdui și gestiona date de sănătate în Franța. Certificarea Scaleway confirmă implementarea unor măsuri tehnice și organizaționale riguroase pentru protejarea datelor de sănătate; conformitatea cu cerințele legale și de reglementare; și supunerea la audituri regulate pentru a asigura un nivel ridicat de securitate pentru datele de sănătate.

3. Criptare

   Un element esențial al măsurilor de securitate ale Marzipan este criptarea datelor atât în repaus, cât și în tranzit. Toate comunicațiile externe de rețea între clienți și aplicația Marzipan prin rețele publice utilizează Transport Layer Security ("TLS") 1.2 sau o versiune superioară. Datele clienților stocate pe serverele UpCloud, Scaleway și Hetzner Online ale Marzipan sunt criptate folosind AES 256 sau un algoritm superior.

   Marzipan utilizează serviciile de criptare respective ale UpCloud, Scaleway și Hetzner Online pentru a cripta Datele Clienților.

   Sistemul de criptare UpCloud este conceput astfel încât nimeni, inclusiv personalul Marzipan sau UpCloud, să nu poată accesa cheile de criptare în text clar. UpCloud utilizează module de securitate hardware ("HMS") care au fost sau sunt în prezent validate în conformitate cu FIPS 140-2, pentru a proteja confidențialitatea cheilor în text clar folosite la criptarea Datelor Clienților. Toate cheile criptografice sunt rotite automat o dată pe an.

   Criptarea completă a discului de către Hetzner Online utilizează algoritmi de criptare AES 256 și procese de autentificare obligatorii pentru a cripta toate unitățile software și hardware stocate pe serverele sale dedicate. Aceasta minimizează riscul de pierdere a datelor și accesul neautorizat la Datele Clienților.

   Sistemele Marzipan utilizează criptarea în transport ori de câte ori datele trebuie transferate printr-o rețea nesecurizată sau publică. Interfața web și toate API-urile conectate la aplicația Marzipan sunt accesibile exclusiv prin conexiuni HTTPS, iar sistemele client trebuie să utilizeze cel puțin TLS 1.2 pentru a accesa sistemul Marzipan.

4. Restricționarea locațiilor serverelor la SEE/UE

   Marzipan stochează datele exclusiv în SEE, respectiv în centrele de date ale UpCloud din Frankfurt, Germania, centrele de date ale Hetzner Online din Nuremberg și Falkenstein, Germania și centrul de date al Scaleway din Paris.

   Aceasta are scopul de a asigura în cel mai bun mod că datele clienților nu pot fi utilizate sau dezvăluite fără autorizație, în special în lumina hotărârii Schrems II pronunțate de Curtea de Justiție a Uniunii Europene la 16 iulie 2020, precum și a îngrijorărilor experților în protecția datelor cu privire la apariția legilor privind furnizarea forțată a datelor în Statele Unite și în alte jurisdicții din afara SEE.

5. Jurnalizare/Pistă de audit

   Marzipan utilizează jurnalizarea în mediile sale UpCloud pentru mai multe domenii. Acestea includ:

   • Evenimente de sistem;
   • Jurnalizarea erorilor;
   • Activitatea utilizatorilor;
   • Autentificări și solicitări către sistemele de baze de date;
   • Alte evenimente legate de securitate/jurnalizare de audit.

6. Monitorizare

   Marzipan utilizează diverse instrumente de monitorizare pentru a asigura disponibilitatea maximă și performanța sistemelor și aplicației Marzipan. Acestea monitorizează cel puțin următorii parametri:

   Disponibilitate

   • Accesibilitatea aplicației
   • Accesibilitatea sistemelor și serviciilor back-end

   Resurse

   • Utilizarea CPU
   • Utilizarea interfețelor de rețea
   • Utilizarea interfețelor persistente și volatile

   Performanță

   • Timpii de răspuns ai aplicației
   • Timpii de răspuns ai sistemelor back-end
   • Timpii de interogare pentru conținutul bazei de date MySQL

   Securitate

   • Performanța DS
   • Starea actualizărilor sistemelor

   Monitorizare

   • Jurnale de erori
   • Jurnale de acces

   Pe lângă această monitorizare automată, angajații Marzipan urmăresc mediile online și blogurile relevante (inclusiv actualizările OWASP menționate mai sus) pentru a putea reacționa prompt la acestea.

7. Control acces

   Marzipan atribuie angajaților și contractorilor săi niveluri diferite de control al accesului la sistemele și serviciile sale găzduite pe serverele UpCloud și Hetzner Online. Acestea sunt gestionate prin sistemele respective de gestionare a identității și accesului (Identity and Access Management – IAM) ale UpCloud și Hetzner Online, care permit o granularitate fină a accesului la diferite servicii.

   Principiul suprême pentru Marzipan atunci când atribuie drepturi personalului său este "necesitatea de a cunoaște". În practică, aceasta înseamnă că personalul Marzipan primește acces doar la funcțiile pe care trebuie să le realizeze pentru a-și desfășura joburile. Accesul la sisteme de backend este posibil doar prin conexiuni securizate și autentificate. Lansarea publică a sistemelor de backend este interzisă. Doar un număr strict limitat de personal Marzipan are acces la sistemul care stochează datele clienților. Acest acces direct este exclusiv pentru analiza erorilor și este monitorizat.