Marzipan Dodatok o spracovaní údajov

Pojmy s veľkým začiatočným písmenom, ktoré nie sú inak definované v tomto dokumente, majú význam, ktorý im bol priradený v DPA.

Táto príloha A sa zaoberá technickými a organizačnými opatreniami vrátane praktických ochranných opatrení a technických bezpečnostných opatrení, ktoré Marzipan dodržiava s cieľom (a) zabezpečiť údaje zákazníka pred náhodnou alebo nezákonnou stratou, prístupom alebo zverejnením; (b) identifikovať rozumne predvídateľné a interné riziká pre bezpečnosť a neoprávnený prístup k službám vrátane účtu zákazníka Marzipan; a (c) minimalizovať bezpečnostné riziká, a to aj prostredníctvom hodnotenia rizík a pravidelného testovania. Marzipan určí jedného alebo viacerých zamestnancov, ktorí budú zodpovední za bezpečnostné postupy a opatrenia opísané nižšie a budú odpovedať na akékoľvek otázky s nimi súvisiace.

1. Model zdieľanej zodpovednosti

   Marzipan prevádzkuje cloudové aplikácie na marzipan.co, labls.co, labls.io, ktorých infraštruktúra a súvisiace údaje sú hosťované na serveroch prevádzkovaných poskytovateľmi cloudových služieb (1) UpCloud Oy ("UpCloud") v jej dátovom centre DE-FRA1 vo Frankfurte, Nemecko, (2) Hetzner Online GmbH ("Hetzner Online") v jej dátových centrách v Norimbergu a Falkensteini, Nemecko, (3) Scaleway SAS ("Scaleway") v jej dátovom centre v Paríži. To znamená, že služba Marzipan je poskytovaná prostredníctvom internetu podľa modelu softvér ako služba ("SaaS").

   Spomedzi UpCloud, Hetzner Online a Scaleway hostuje UpCloud živú produkčnú verziu aplikácií Marzipan a ich súvisiace údaje a poskytuje výpočtový výkon, ktorý umožňuje zákazníkovi pristupovať k službám bez nutnosti fyzickej inštalácie kópie ktorejkoľvek z aplikácií. Scaleway poskytuje transakčné e-mailové služby. Hetzner Online poskytuje spoločnosti Marzipan dedikovaný server, na ktorom Marzipan hosťuje stagingové (t. j. testovacie) verzie aplikácií na účely testovania nového kódu, funkcií a aktualizácií v kontrolovanom prostredí pred ich spustením do prevádzky.

   Model SaaS zavádza deľbu práce pri implementácii technických a organizačných ochranných opatrení potrebných na ochranu údajov zákazníka. Ako správca údajov je Marzipan zodpovedná za navrhovanie nástrojov na správu prístupu a nástrojov sieťovej bezpečnosti, podľa ktorých sú údaje zákazníka ukladané v cloude – bezpečnosť v cloude. Ako poskytovatelia cloudových služieb a sprostredkovatelia spracovania údajov sú UpCloud, Hetzner Online a Scaleway v príslušnom rozsahu zodpovední za udržiavanie bezpečnosti základného cloudového prostredia a fyzických serverov, na ktorých sú údaje zákazníka uložené, vrátane implementácie technických a fyzických opatrení na ochranu pred neoprávneným prístupom do ich dátových centier a sieťovej architektúry – bezpečnosť cloudu.

   Konkrétnejšie to znamená, že Marzipan zodpovedá za správu bezpečnosti softvéru aplikácie Marzipan (vrátane aktualizácií a bezpečnostných záplat aplikácií Marzipan a Labls), ako aj za konfiguráciu bezpečnostných funkcií, ktoré UpCloud, Hetzner Online a Scaleway poskytujú v rámci svojich cloudových služieb. UpCloud, Hetzner Online a Scaleway zasa prevádzkujú, spravujú a kontrolujú (podľa okolností) komponenty od aplikačného systému Marzipan a virtualizačnej vrstvy až po fyzickú bezpečnosť zariadení, v ktorých služba aplikácie Marzipan funguje a kde sú uložené jej príslušné údaje.

   Nazývame to „Model zdieľanej zodpovednosti", pretože to znamená, že okrem implementácie podstatných technických a organizačných opatrení zo našej strany sa spoliehame na rozsiahle bezpečnostné mechanizmy spoločností UpCloud, Hetzner Online a Scaleway.

   Ďalšie informácie o fyzických, sieťových a systémových bezpečnostných opatreniach, ktoré UpCloud, Hetzner Online a Scaleway zavádzajú na ochranu svojich dátových centier a v nich uložených údajov, nájdete tu pre UpCloud, tu pre Hetzner a tu pre Scaleway.

2. Servery UpCloud a Hetzner Online

   UpCloud

   Podľa článku 28 ods. 3 písm. c) UK GDPR je Marzipan povinný zvoliť si poskytovateľa cloudových výpočtových služieb, ktorý poskytuje dostatočné záruky svojej schopnosti plniť bezpečnostné opatrenia v oblasti ochrany údajov uvedené v článku 32 UK GDPR.¹

   We have selected UpCloud to be our principal hosting provider, infrastructure partner and cloud computing processor for the production versions of the Marzipan and Labls applications based on a careful selection process, considering legal, organisation and technical measures. We chose UpCloud because their IT architecture and infrastructure has been certified as being designed and managed in accordance with industry-leading best practises and security standards including:

   • ISO 9001 Manažment kvality
   • ISO 14001 Environmentálny manažment
   • ISO 22301 Bezpečnosť a odolnosť
   • ISO 27001 Manažment informačnej bezpečnosti
   • ISO 50001 Manažment energie
   • SOC 2 Type II Bezpečnosť dát a ochrana súkromia
   • PCI-DSS Informačná bezpečnosť

   Aby sme zabezpečili dodržiavanie rozhodnutia „Schrems II" Súdneho dvora Európskej únie (CJEU) z júla 2020, všetky údaje zákazníkov hostované v službe UpCloud sú umiestnené v datacentre UpCloud DE-FRA1 vo Frankfurte v Nemecku.

   Hetzner

   Marzipan si zvolil Hetzner Online ako spoľahlivého partnera na zabezpečenie dodatočného priestoru na dedikovaných serveroch. Hetzner Online je certifikovaný v súlade s normami DIN ISO/IEC 27001. Medzinárodne uznávaný štandard informačnej bezpečnosti potvrdzuje, že Hetzner Online zaviedol a implementoval zodpovedajúci systém riadenia informačnej bezpečnosti ("ISMS").

   Hetzner Online využíva ISMS vo svojej infraštruktúre a prevádzke v oboch nemeckých lokalitách dátových centier, v ktorých si Marzipan prenajíma priestor na dedikovaných serveroch – konkrétne v dátových parkoch v Norimbergu a Falkensteini. Certifikačná autorita tretej strany FOX certifikovala procesy ISMS dátových parkov spoločnosti Hetzner Online.

   Scaleway

   Marzipan využíva Scaleway na hosťovanie služieb transakčného e-mailu pre aplikáciu Marzipan. Scaleway je certifikovaný v súlade s normami ISO/IEC 27001:2022. Od júla 2024 je Scaleway certifikovaný ako "Hébergeur de Données de Santé" (poskytovateľ hostingu zdravotných údajov). Certifikačný rámec HDS, ktorý spravuje Francúzska národná agentúra pre digitálne zdravotníctvo (ANS) pod dohľadom Ministerstva zdravotníctva, patrí k najnáročnejším, ktoré musia poskytovatelia digitálnych služieb spĺňať pri hosťovaní a správe zdravotných údajov vo Francúzsku. Certifikácia Scaleway potvrdzuje zavedenie prísnych technických a organizačných opatrení na ochranu zdravotných údajov, súlad s právnymi a regulačnými požiadavkami a podrobenie sa pravidelným auditom s cieľom zabezpečiť vysokú úroveň bezpečnosti zdravotných údajov.

3. Šifrovanie

   Neoddeliteľnou súčasťou bezpečnostných opatrení Marzipan je šifrovanie údajov v pokoji aj pri prenose. Všetka externá sieťová komunikácia medzi zákazníkmi a aplikáciou Marzipan cez verejné siete prebieha pomocou protokolu Transport Layer Security ("TLS") verzie 1.2 alebo vyššej. Zákaznícke údaje uložené na serveroch UpCloud, Scaleway a Hetzner Online spoločnosti Marzipan sú šifrované pomocou AES 256 alebo vyššej úrovne.

   Marzipan využíva príslušné šifrovacie služby UpCloud, Scaleway a Hetzner Online na šifrovanie zákazníckych údajov.

   Šifrovací systém UpCloud je navrhnutý tak, aby nikto – vrátane pracovníkov Marzipan alebo UpCloud – nemohol získať prístup k šifrovacím kľúčom v čistom texte. UpCloud využíva hardvérové bezpečnostné moduly ("HMS"), ktoré boli alebo sú validované v súlade so štandardom FIPS 140-2, na ochranu šifrovacích kľúčov v čistom texte používaných na šifrovanie zákazníckych údajov. Všetky kryptografické kľúče sa automaticky rotujú raz ročne.

   Šifrovanie celého disku od Hetzner Online využíva šifrovacie algoritmy AES 256 a povinné autentifikačné procesy na šifrovanie všetkých softvérových a hardvérových diskov uložených na jeho dedikovaných serveroch. Tým sa minimalizuje riziko straty údajov a neoprávneného prístupu k zákazníckym údajom.

   Systémy Marzipan používajú transportné šifrovanie vždy, keď je potrebné prenášať údaje cez nezabezpečenú alebo verejnú sieť. Webové rozhranie a všetky API pripojené k aplikácii Marzipan sú prístupné výlučne prostredníctvom HTTPS pripojení a klientské systémy musia na prístup k systému Marzipan používať minimálne TLS 1.2.

4. Obmedzenie umiestnenia serverov na EHP/EU

   Marzipan uchováva dáta výhradne v EHP, konkrétne v dátových centrách UpCloud vo Frankfurte v Nemecku, v dátových centrách Hetzner Online v Norimbergu a Falkensteине v Nemecku a v dátovom centre Scaleway v Paríži.

   Cieľom je čo najlepšie zabezpečiť, aby zákaznícke dáta nemohli byť použité ani sprístupnené bez oprávnenia, a to najmä v súvislosti s rozsudkom Súdneho dvora Európskej únie vo veci Schrems II zo 16. júla 2020 a s obavami odborníkov na ochranu dát týkajúcimi sa zavádzania zákonov o odovzdávaní dát v Spojených štátoch a iných krajinách mimo EHP.

5. Protokolovanie/Auditný záznamy

   Marzipan využíva protokolovanie vo svojich prostrediach UpCloud v niekoľkých oblastiach. Patrí sem:

   • Systémové udalosti;
   • Protokolovanie chýb;
   • Aktivita používateľov;
   • Prihlásenia a požiadavky na databázové systémy;
   • Iné bezpečnostné udalosti/auditné protokolovanie.

6. Monitorovanie

   Marzipan využíva rôzne nástroje na monitorovanie s cieľom zabezpečiť maximálnu dostupnosť a výkon systémov a aplikácie Marzipan. Tieto nástroje monitorujú aspoň nasledujúce parametre:

   Dostupnosť

   • Prístupnosť aplikácie
   • Prístupnosť backend systémov a služieb

   Zdroje

   • Využitie procesora
   • Využitie sieťových rozhraní
   • Využitie perzistentných a volatilných rozhraní

   Výkon

   • Časy odozvy aplikácie
   • Časy odozvy backend systémov
   • Časy dotazov pre obsah databázy MySQL

   Bezpečnosť

   • Výkon DS
   • Stav aktualizácií systémov

   Monitorovanie

   • Záznamy chýb
   • Záznamy prístupu

   Okrem tohto automatizovaného monitorovania zamestnanci Marzipan sledujú relevantné online médiá a blogy (vrátane vyššie uvedených aktualizácií OWASP), aby na ne mohli promptne reagovať.

7. Riadenie prístupu

   Marzipan prideľuje svojim zamestnancom a dodávateľom rôzne úrovne kontroly prístupu k svojim systémom a službám na serveroch UpCloud a Hetzner Online. Tieto sú spravované prostredníctvom príslušných systémov správy identít a prístupu (IAM) spoločností UpCloud a Hetzner Online, ktoré umožňujú jemnú granuláciu prístupu k rôznym službám.

   Základným princípom Marzipan pri prideľovaní práv personálu je zásada "need-to-know" (potreba vedieť). V praxi to znamená, že zamestnanci Marzipan majú prístup len k tým funkciám, ktoré potrebujú na výkon svojej práce. Prístup k back-end systémom je možný výlučne prostredníctvom zabezpečených a autentifikovaných pripojení. Verejné sprístupnenie back-end systémov je zakázané. Len prísne obmedzený počet zamestnancov Marzipan má prístup k systému, ktorý uchováva údaje zákazníkov. Tento priamy prístup slúži výlučne na analýzu chýb a je monitorovaný.