Marzipan Personuppgiftsbiträdesavtal

Termer med stor bokstav som inte definieras häri har den betydelse som tilldelats dem i DPA (personuppgiftsbiträdesavtalet).

Denna bilaga A behandlar tekniska och organisatoriska åtgärder, inklusive praktiska skyddsåtgärder och tekniska säkerhetsåtgärder, som Marzipan vidtar för att (a) skydda kunddata mot oavsiktlig eller olaglig förlust, åtkomst eller utlämnande; (b) identifiera rimligen förutsebara och interna risker för säkerheten och obehörig åtkomst till tjänsterna, inklusive kundens Marzipan-konto; och (c) minimera säkerhetsrisker, bland annat genom riskbedömning och regelbunden testning. Marzipan ska utse en eller flera anställda som ansvarar för och besvarar frågor om de informationssäkerhetspraxis och -åtgärder som beskrivs nedan.

1. Modell för delat ansvar

   Marzipan driver molnbaserade applikationer på marzipan.co, labls.co och labls.io, vars infrastruktur och tillhörande data lagras på servrar som drivs av molntjänstleverantörerna (1) UpCloud Oy ("UpCloud") vid dess datacenter DE-FRA1 i Frankfurt, Tyskland, (2) Hetzner Online GmbH ("Hetzner Online") vid dess datacenter i Nürnberg och Falkenstein, Tyskland, samt (3) Scaleway SAS ("Scaleway") vid dess datacenter i Paris. Detta innebär att Marzipan-tjänsten levereras via internet enligt en Software as a Service ("SaaS")-modell.

   Av UpCloud, Hetzner Online och Scaleway är det UpCloud som är värd för den aktiva produktionsversionen av Marzipan-applikationerna och tillhörande data, och som tillhandahåller den datorkraft som gör det möjligt för kunden att komma åt tjänsterna utan att behöva installera en kopia av någon av applikationerna lokalt. Scaleway tillhandahåller transaktionella e-posttjänster. Hetzner Online tillhandahåller i sin tur Marzipan med en dedikerad server på vilken Marzipan är värd för staging-versioner (dvs. testversioner) av applikationerna i syfte att testa ny kod, nya funktioner och uppdateringar i en kontrollerad miljö innan de driftsätts.

   SaaS-modellen etablerar en ansvarsfördelning när det gäller att implementera de tekniska och organisatoriska skyddsåtgärder som behövs för att skydda kunddata. Som personuppgiftsansvarig ansvarar Marzipan för att utforma verktyg för åtkomsthantering och nätverkssäkerhetsverktyg enligt vilka kunddata lagras i molnet – säkerhet i molnet. Som molntjänstleverantörer och personuppgiftsbiträden ansvarar UpCloud, Hetzner Online och Scaleway, i tillämpliga delar, för att upprätthålla säkerheten i den underliggande molnmiljön och de fysiska servrar där kunddata lagras, inklusive att implementera tekniska och fysiska åtgärder för att skydda mot obehörig åtkomst till deras datacenter och nätverksarkitektur – säkerhet av molnet.

   Med andra ord innebär detta att Marzipan ansvarar för att hantera säkerheten i Marzipan-applikationsprogramvaran (inklusive uppdateringar och säkerhetspatchar för Marzipan- och Labls-applikationerna), samt konfigurationen av säkerhetsrelaterade funktioner som UpCloud, Hetzner Online och Scaleway tillhandahåller som en del av sina molntjänster. UpCloud, Hetzner Online och Scaleway driver, hanterar och kontrollerar (i tillämpliga fall) komponenterna från Marzipan-applikationssystemet och virtualiseringslagret ned till den fysiska säkerheten i de anläggningar där Marzipan-applikationstjänsten drivs och tillhörande data lagras.

   Vi kallar detta en 'modell för delat ansvar' (Shared Responsibility Model), vilket innebär att vi utöver att implementera omfattande egna tekniska och organisatoriska åtgärder även förlitar oss på de omfattande säkerhetsmekanismer som UpCloud, Hetzner Online och Scaleway tillhandahåller.

   Ytterligare information om de fysiska, nätverks- och systemsäkerhetsåtgärder som UpCloud, Hetzner Online respektive Scaleway vidtar för att skydda sina datacenter och den data som lagras i dem finns här för UpCloud, här för Hetzner och här för Scaleway.

2. UpCloud och Hetzner Online-servrar

   UpCloud

   Enligt artikel 28(3)(c) UK GDPR är Marzipan skyldigt att välja en molntjänstleverantör som ger tillräckliga garantier för sin förmåga att uppfylla de datasäkerhetsåtgärder som anges i artikel 32 UK GDPR.¹

   We have selected UpCloud to be our principal hosting provider, infrastructure partner and cloud computing processor for the production versions of the Marzipan and Labls applications based on a careful selection process, considering legal, organisation and technical measures. We chose UpCloud because their IT architecture and infrastructure has been certified as being designed and managed in accordance with industry-leading best practises and security standards including:

   • ISO 9001 Kvalitetsledning
   • ISO 14001 Miljöledning
   • ISO 22301 Säkerhet och motståndskraft
   • ISO 27001 Ledningssystem för informationssäkerhet
   • ISO 50001 Energiledning
   • SOC 2 Type II Datasäkerhet och integritet
   • PCI-DSS Informationssäkerhet

   För att säkerställa efterlevnad av 'Schrems II'-domen från EU-domstolen (CJEU) i juli 2020 är all kunddata som lagras hos UpCloud placerad i UpClouds datacenter DE-FRA1 i Frankfurt, Tyskland.

   Hetzner

   Marzipan har valt Hetzner Online som en pålitlig partner för att tillhandahålla ytterligare dedikerat serverutrymme. Hetzner Online är certifierat i enlighet med DIN ISO/IEC 27001-standarderna. Den internationellt erkända standarden för informationssäkerhet intygar att Hetzner Online har upprättat och implementerat ett ändamålsenligt ledningssystem för informationssäkerhet ("ISMS").

   Hetzner Online tillämpar ISMS i sin infrastruktur och verksamhet vid båda tyska datacenteranläggningar där Marzipan hyr dedikerat serverutrymme, nämligen datacenterparken i Nürnberg och Falkenstein. Certifieringsorganet FOX Certification, en oberoende tredjepartscertifiering, har granskat och certifierat Hetzner Onlines ISMS-processer för dessa datacenterparker.

   Scaleway

   Marzipan använder Scaleway för att vara värd för transaktionella e-posttjänster för Marzipan-applikationen. Scaleway är certifierat i enlighet med ISO/IEC 27001:2022-standarderna. Scaleway är certifierat som "Hébergeur de Données de Santé" (leverantör av hälsodatalagring) sedan juli 2024. HDS-certifieringsramverket, som förvaltas av den franska nationella myndigheten för digital hälsa (ANS) under tillsyn av hälsoministeriet, är ett av de mest krävande som digitala tjänsteleverantörer måste uppfylla för att lagra och hantera hälsodata i Frankrike. Scaleways certifiering bekräftar implementeringen av rigorösa tekniska och organisatoriska åtgärder för att skydda hälsodata, efterlevnad av rättsliga och regulatoriska krav samt regelbundna revisioner för att säkerställa en hög säkerhetsnivå för hälsodata.

3. Kryptering

   Ett väsentligt grundelement i Marzipans säkerhetsåtgärder är kryptering av data både i vila och under överföring. All extern nätverkskommunikation mellan kunder och Marzipan-applikationen över publika nätverk sker med Transport Layer Security ("TLS") 1.2 eller högre. Kunddata som lagras på Marzipans servrar hos UpCloud, Scaleway och Hetzner Online krypteras med AES 256 eller högre.

   Marzipan använder UpClouds, Scaleways respektive Hetzner Onlines krypteringstjänster för att kryptera kunddata.

   UpClouds krypteringssystem är utformat så att ingen, inte ens Marzipan eller UpClouds personal, kan komma åt klartextkrypteringsnycklarna. UpCloud använder hårdvarusäkerhetsmoduler ("HSM") som har validerats eller för närvarande valideras i enlighet med FIPS 140-2 för att skydda klartextnycklarna som används för att kryptera kunddata. Alla kryptografiska nycklar roteras automatiskt en gång per år.

   Hetzner Onlines helhetsdiskkryptering använder AES 256-krypteringsalgoritmer och obligatoriska autentiseringsprocesser för att kryptera alla mjukvaru- och hårdvarubaserade lagringsenheter på dess dedikerade servrar. Detta minimerar risken för dataförlust och obehörig åtkomst till kunddata.

   Marzipans system använder transportkryptering när data behöver överföras via ett osäkert eller offentligt nätverk. Webbgränssnittet och alla API:er anslutna till Marzipan-applikationen är endast tillgängliga via HTTPS-anslutningar, och klientsystem måste använda minst TLS 1.2 för att få åtkomst till Marzipan-systemet.

4. Begränsning av serverplatser till EES/EU

   Marzipan lagrar data uteslutande inom EES, närmare bestämt i UpClouds datacenter i Frankfurt, Tyskland, Hetzner Onlines datacenter i Nürnberg och Falkenstein, Tyskland samt Scaleways datacenter i Paris.

   Detta för att på bästa sätt säkerställa att kunddata inte kan användas eller lämnas ut utan tillstånd, särskilt mot bakgrund av EU-domstolens dom i Schrems II-målet den 16 juli 2020, samt dataskyddsexperters farhågor rörande framväxten av lagar om utlämnande av data i USA och andra länder utanför EES.

5. Loggning/revisionsspår

   Marzipan använder loggning i sina UpCloud-miljöer inom flera områden. Dessa inkluderar:

   • Systemhändelser;
   • Felloggning;
   • Användaraktivitet;
   • Inloggningar och förfrågningar till databassystem;
   • Övriga säkerhetsrelaterade händelser/revisionsloggning.

6. Övervakning

   Marzipan använder olika övervakningsverktyg för att säkerställa maximal tillgänglighet och prestanda för Marzipans system och applikation. Dessa övervakar minst följande parametrar:

   Tillgänglighet

   • Åtkomlighet för applikationen
   • Åtkomlighet för backend-system och tjänster

   Resurser

   • CPU-utnyttjande
   • Utnyttjande av nätverksgränssnitt
   • Utnyttjande av beständiga och flyktiga gränssnitt

   Prestanda

   • Applikationssvarstider
   • Svarstider för backend-system
   • Frågekörningstider för MySQL-databasinnehåll

   Säkerhet

   • DS-prestanda
   • Uppdateringsstatus för system

   Övervakning

   • Felloggar
   • Åtkomstloggar

   Utöver denna automatiserade övervakning bevakar Marzipans anställda relevanta onlinemedier och bloggar (inklusive de OWASP-uppdateringar som refereras ovan) för att snabbt kunna reagera på dem.

7. Åtkomstkontroll

   Marzipan tilldelar sina anställda och konsulter olika nivåer av åtkomstkontroll för sina system och tjänster på UpCloud och Hetzner Onlines servrar. Dessa hanteras via UpClouds respektive Hetzner Onlines Identity and Access Management-system (IAM), som möjliggör en fin granulering av åtkomsten till olika tjänster.

   Den övergripande principen för Marzipan vid tilldelning av rättigheter till personal är "need-to-know" (behov av att veta). I praktiken innebär detta att Marzipans personal endast ges åtkomst till de funktioner de behöver för att utföra sina arbetsuppgifter. Åtkomst till backend-system är endast möjlig via säkra och autentiserade anslutningar. Offentlig publicering av backend-system är förbjuden. Endast ett strikt begränsat antal Marzipan-anställda har tillgång till det system som lagrar kunddata. Denna direkta åtkomst är uteslutande avsedd för felanalys och övervakas.