Príloha 3 je súčasťou Dohody o spracúvaní osobných údajov (DPA). Opatrenia podľa čl. 32 GDPR:
- Prístupy a autentifikácia. Používatelia sa prihlasujú cez Firebase Authentication; každá požiadavka na API overuje prihlasovací token vrátane kontroly jeho odvolania. Oprávnenia podľa rolí (člen, validator, administrátor Klienta, administrátor Exyno) vynucuje server, nie používateľské rozhranie. Údaje zákazníkov sú navzájom oddelené: operácie sú viazané na účet Klienta a prístup k údajom iného účtu sa odmietne. Priamy prístup z klienta do databázy obmedzujú pravidlá databázy; API obmedzuje počet požiadaní.
- Interné prístupy. Prístup do cloudu a k produkčným dátam majú len oprávnené osoby viazané mlčanlivosťou, výhradne cez firemné identity.
- Šifrovanie. Všetky verejné služby fungujú len cez HTTPS/TLS. Údaje v Google Cloud sú v pokoji šifrované predvoleným šifrovaním poskytovateľa. Tajomstvá (kľúče) sú v službe Secret Manager, nie v kóde.
- Oddelenie prostredí. Vývoj, test a produkcia bežia v samostatných projektoch s oddelenými databázami a identitami; vývojové a testovacie prostredia neobsahujú reálne osobné údaje.
- Logovanie a monitoring. Aplikačné logy neidentifikujú používateľa e-mailom ani menom, len pseudonymným identifikátorom, a uchovávajú sa 90 dní. Automatické upozornenia na chyby, nedostupnosť služieb a nespustené procesy. Administrátorské zásahy sa zapisujú do auditného logu.
- Zálohovanie. Denné zálohovanie databázy, zálohy sa uchovávajú 3 dni, postup obnovy je overený.
- Bezpečnostné incidenty. Incidenty sa zisťujú automatickými upozorneniami a riešia podľa zdokumentovaného postupu.
- Zraniteľnosti a aktualizácie. Zmeny kódu prechádzajú kontrolou a automatickými testami pred zlúčením; produkcia sa nasadzuje až po overení v testovacom prostredí. Platformu (operačný systém, runtime, infraštruktúru) aktualizuje poskytovateľ spravovaných služieb.
- Fyzická bezpečnosť. Zabezpečuje poskytovateľ cloudu (Google Cloud, certifikácie ISO 27001 a SOC 2); produkcia beží v regióne
europe-west4(Holandsko).