Dodatek k pogodbi o obdelavi podatkov Marzipan

Pojmi z veliko začetnico, ki niso drugače opredeljeni v tem dokumentu, imajo pomene, ki so jim dodeljeni v DPA.

Ta Priloga A obravnava tehnične in organizacijske ukrepe, vključno s praktičnimi zaščitnimi ukrepi in tehničnimi varnostnimi ukrepi, ki jih Marzipan vzdržuje z namenom: (a) zavarovanja podatkov stranke pred naključno ali nezakonito izgubo, dostopom ali razkritjem; (b) prepoznavanja razumno predvidljivih notranjih tveganj za varnost in nepooblaščen dostop do storitev, vključno z računom Marzipan stranke; in (c) zmanjševanja varnostnih tveganj, med drugim z ocenjevanjem tveganj in rednim testiranjem. Marzipan bo določil enega ali več zaposlenih, ki bodo odgovorni za varnostne prakse in ukrepe, opisane spodaj, ter bodo odgovarjali na morebitna vprašanja v zvezi z njimi.

1. Model deljene odgovornosti

   Marzipan upravlja spletne aplikacije na marzipan.co, labls.co oziroma labls.io, katerih infrastruktura in z njo povezani podatki so gostovani na strežnikih, ki jih upravljajo naslednji ponudniki storitev v oblaku: (1) UpCloud Oy ("UpCloud") v podatkovnem centru DE-FRA1 v Frankfurtu, Nemčija; (2) Hetzner Online GmbH ("Hetzner Online") v podatkovnih centrih v Nürnbergu in Falkensteinu, Nemčija; (3) Scaleway SAS ("Scaleway") v podatkovnem centru v Parizu. To pomeni, da je storitev Marzipan dostopna prek interneta v skladu z modelom programske opreme kot storitve ("SaaS").

   Med UpCloud, Hetzner Online in Scaleway je UpCloud tisti, ki gosti produkcijsko različico aplikacij Marzipan in z njimi povezane podatke ter zagotavlja računalniško zmogljivost, ki strankam omogoča dostop do storitev brez fizične namestitve kopije aplikacij. Scaleway zagotavlja storitve transakcijske elektronske pošte. Hetzner Online pa Marzipanu zagotavlja namenski strežnik, na katerem Marzipan gosti testne (tj. razvojne) različice aplikacij za namene preizkušanja nove kode, funkcij in posodobitev v nadzorovanem okolju, preden so objavljene v produkciji.

   Model SaaS vzpostavlja delitev dela pri izvajanju tehničnih in organizacijskih zaščitnih ukrepov, potrebnih za varovanje podatkov stranke. Kot upravljavec podatkov je Marzipan odgovoren za načrtovanje orodij za upravljanje dostopa in orodij za varnost omrežja, v skladu s katerimi se podatki stranke shranjujejo v oblaku – varnost v oblaku. Kot ponudniki storitev v oblaku in obdelovalci podatkov so UpCloud, Hetzner Online in Scaleway v okviru svojih pristojnosti odgovorni za vzdrževanje varnosti temeljnega okolja v oblaku in fizičnih strežnikov, v katerih so shranjeni podatki stranke, vključno z izvajanjem tehničnih in fizičnih ukrepov za zaščito pred nepooblaščenim dostopom do njihovih podatkovnih centrov in omrežne arhitekture – varnost oblaka.

   Natančneje to pomeni, da je Marzipan odgovoren za upravljanje varnosti programske opreme aplikacije Marzipan (vključno s posodobitvami in varnostnimi popravki aplikacij Marzipan in Labls), kakor tudi za konfiguracijo varnostnih funkcij, ki jih UpCloud, Hetzner Online in Scaleway ponujajo v okviru svojih storitev v oblaku. UpCloud, Hetzner Online in Scaleway pa upravljajo, vodijo in nadzorujejo (kot je primerno) komponente od ravni aplikacijskega sistema Marzipan in virtualizacijske plasti do fizične varnosti objektov, v katerih deluje storitev aplikacije Marzipan in kjer se shranjujejo z njo povezani podatki.

   Ta pristop imenujemo »Model deljene odgovornosti« (Shared Responsibility Model), saj poleg uvajanja obsežnih lastnih tehničnih in organizacijskih ukrepov temeljimo tudi na celovitih varnostnih mehanizmih, ki jih zagotavljajo UpCloud, Hetzner Online in Scaleway.

   Dodatne informacije o fizičnih, omrežnih in sistemskih varnostnih ukrepih, ki jih UpCloud, Hetzner Online oziroma Scaleway izvajajo za zaščito svojih podatkovnih centrov in podatkov, shranjenih v njih, najdete tukaj za UpCloud, tukaj za Hetzner in tukaj za Scaleway.

2. Strežniki UpCloud in Hetzner Online

   UpCloud

   V skladu s členom 28(3)(c) UK GDPR mora Marzipan izbrati ponudnika storitev računalništva v oblaku, ki nudi zadostna jamstva glede izpolnjevanja varnostnih ukrepov iz člena 32 UK GDPR.¹

   We have selected UpCloud to be our principal hosting provider, infrastructure partner and cloud computing processor for the production versions of the Marzipan and Labls applications based on a careful selection process, considering legal, organisation and technical measures. We chose UpCloud because their IT architecture and infrastructure has been certified as being designed and managed in accordance with industry-leading best practises and security standards including:

   • ISO 9001 Upravljanje kakovosti
   • ISO 14001 Okoljski management
   • ISO 22301 Varnost in odpornost
   • ISO 27001 Upravljanje informacijske varnosti
   • ISO 50001 Upravljanje energije
   • SOC 2 Type II Varnost podatkov in zasebnost
   • PCI-DSS Informacijska varnost

   Da bi zagotovili skladnost z razsodbo 'Schrems II' Sodišča Evropske unije (SEU) iz julija 2020, so vsi podatki strank, ki gostujejo pri UpCloud, shranjeni v podatkovnem centru UpCloud DE-FRA1 v Frankfurtu v Nemčiji.

   Hetzner

   Marzipan je za zagotavljanje dodatnega prostora na namenskih strežnikih izbral zanesljivega partnerja Hetzner Online. Hetzner Online je certificiran v skladu s standardi DIN ISO/IEC 27001. Ta mednarodno priznan standard za informacijsko varnost potrjuje, da je Hetzner Online vzpostavil in uvedel ustrezen sistem upravljanja informacijske varnosti ("ISMS").

   Hetzner Online uporablja ISMS v svoji infrastrukturi in delovanju v obeh nemških podatkovnih centrih, kjer Marzipan najema prostor na namenskih strežnikih – v podatkovnih centrih v Nürnbergu in Falkensteinu. Procese ISMS podatkovnih centrov Hetzner Online je revidiral in certificiral FOX certification, neodvisni certifikacijski organ.

   Scaleway

   Marzipan uporablja Scaleway za gostovanje transakcijskih e-poštnih storitev aplikacije Marzipan. Scaleway je certificiran v skladu s standardi ISO/IEC 27001:2022. Od julija 2024 ima Scaleway certifikat »Hébergeur de Données de Santé« (ponudnik gostovanja zdravstvenih podatkov). Certifikacijska shema HDS, ki jo upravlja Francoska nacionalna agencija za digitalno zdravje (ANS) pod nadzorom Ministrstva za zdravje, velja za eno najzahtevnejših, s katero morajo biti usklajeni ponudniki digitalnih storitev za gostovanje in upravljanje zdravstvenih podatkov v Franciji. Certifikat Scaleway potrjuje uvedbo strogih tehničnih in organizacijskih ukrepov za zaščito zdravstvenih podatkov, skladnost z zakonskimi in regulativnimi zahtevami ter podvrženost rednim revizijam za zagotavljanje visoke ravni varnosti zdravstvenih podatkov.

3. Šifriranje

   Ključni element varnostnih ukrepov Marzipan je šifriranje podatkov v mirovanju in med prenosom. Vsa zunanja omrežna komunikacija med strankami in aplikacijo Marzipan prek javnih omrežij poteka z uporabo protokola Transport Layer Security ("TLS") 1.2 ali višje različice. Podatki strank, shranjeni na strežnikih UpCloud, Scaleway in Hetzner Online podjetja Marzipan, so šifrirani z AES 256 ali višjim standardom.

   Marzipan za šifriranje podatkov strank uporablja sisteme šifriranja UpCloud, Scaleway oziroma Hetzner Online.

   Sistem šifriranja UpCloud je zasnovan tako, da nihče – vključno z osebjem Marzipan ali UpCloud – ne more dostopati do šifrirnih ključev v čisti besedilni obliki. UpCloud uporablja varnostne module strojne opreme ("HMS"), ki so bili ali so trenutno validirani v skladu s standardom FIPS 140-2, za zaščito šifrirnih ključev v čisti besedilni obliki, ki se uporabljajo za šifriranje podatkov strank. Vsi kriptografski ključi se samodejno zamenjajo enkrat letno.

   Polno-diskovnem šifriranje Hetzner Online uporablja algoritme AES 256 in obvezne postopke avtentikacije za šifriranje vseh programsko- in strojno-zasnovanih pogonov na namenskih strežnikih. S tem se zmanjša tveganje izgube podatkov in nepooblaščenega dostopa do podatkov strank.

   Sistemi Marzipan uporabljajo transportno šifriranje vsakič, ko je treba podatke prenašati prek nezavarovanega ali javnega omrežja. Do spletnega vmesnika in vseh API-jev, povezanih z aplikacijo Marzipan, je mogoče dostopati le prek HTTPS-povezav, odjemalčevi sistemi pa morajo za dostop do sistema Marzipan uporabljati vsaj TLS 1.2.

4. Omejitev lokacij strežnikov na EEA/EU

   Marzipan shranjuje podatke izključno v EGP, natančneje v podatkovnih centrih UpCloud v Frankfurtu v Nemčiji, v podatkovnih centrih Hetzner Online v Nürnbergu in Falkensteinu v Nemčiji ter v podatkovnem centru Scaleway v Parizu.

   Namen tega je zagotoviti, da podatkov strank ni mogoče uporabiti ali razkriti brez pooblastila, zlasti ob upoštevanju sodbe Sodišča Evropske unije Schrems II z dne 16. julija 2020 ter pomislekov strokovnjakov za varstvo podatkov glede pojava zakonov o predaji podatkov v Združenih državah Amerike in drugih utemeljitev, ki se nanašajo na države zunaj EGP.

5. Beleženje/revizijska sled

   Marzipan v svojih okoljih UpCloud uporablja beleženje na več področjih. Ta vključujejo:

   • Sistemske dogodke;
   • Beleženje napak;
   • Dejavnost uporabnikov;
   • Prijave in zahteve do sistemov baz podatkov;
   • Druge varnostne dogodke/revizijsko beleženje.

6. Nadzor

   Marzipan uporablja različna orodja za nadzor, da zagotovi največjo razpoložljivost in zmogljivost sistemov in aplikacije Marzipan. Ta orodja nadzirajo vsaj naslednje parametre:

   Razpoložljivost

   • Dostopnost aplikacije
   • Dostopnost zalednih sistemov in storitev

   Viri

   • Izkoriščenost procesorja
   • Izkoriščenost omrežnih vmesnikov
   • Izkoriščenost trajnih in začasnih vmesnikov

   Zmogljivost

   • Odzivni časi aplikacije
   • Odzivni časi zalednih sistemov
   • Časi poizvedb za vsebino baze podatkov MySQL

   Varnost

   • Zmogljivost DS
   • Status posodobitev sistemov

   Nadzor

   • Dnevniki napak
   • Dnevniki dostopa

   Poleg tega avtomatiziranega nadzora zaposleni pri Marzipanu spremljajo ustrezne spletne medije in bloge (vključno z zgoraj navedenimi posodobitvami OWASP), da bi lahko nanje pravočasno reagirali.

7. Nadzor dostopa

   Marzipan svojim zaposlenim in zunanjim sodelavcem dodeljuje različne ravni nadzora dostopa do svojih sistemov in storitev na strežnikih UpCloud in Hetzner Online. Ti dostopi se upravljajo prek posameznih sistemov za upravljanje identitet in dostopa (IAM) ponudnikov UpCloud in Hetzner Online, ki omogočajo natančno razčlenitev dostopa do posameznih storitev.

   Temeljno načelo Marzipana pri dodeljevanju pravic osebju je načelo »need-to-know« (dostop le tistim, ki ga nujno potrebujejo). V praksi to pomeni, da imajo zaposleni pri Marzipanu dostop zgolj do tistih funkcij, ki jih potrebujejo za opravljanje svojega dela. Dostop do zalednih sistemov je mogoč le prek varnih in overjenih povezav. Javna izpostavljenost zalednih sistemov je prepovedana. Le strogo omejeno število zaposlenih pri Marzipanu ima dostop do sistema, v katerem so shranjeni podatki strank. Ta neposredni dostop je namenjen izključno analizi napak in je nadzorovan.