Odpovědi na otázky k bezpečnosti

Ano. Scratcher ApS je certifikován podle ISO/IEC 27001:2022, mezinárodního standardu pro systém řízení bezpečnosti informací (ISMS). Certifikát vydala společnost Bureau Veritas Certification v rámci akreditace (FINAS), certifikát č. FIHSK27150F, platný do 7. listopadu 2028. Certifikaci máme od listopadu 2022.

Stáhnout certifikát (PDF)

Certifikovaný rozsah zahrnuje vývoj, prodej a podporu softwaru pro interaktivní kampaně, marketing a související činnosti, včetně sběru dat a souhlasů. V praxi to pokrývá platformu Scratcher, kampaně, které na ní běží, naše procesy a cloudovou infrastrukturu, která za nimi stojí.

Bureau Veritas provádí každý rok externí dozorový audit a každé tři roky recertifikační audit. Před každým externím auditem provádíme interní audit všech procesů ISMS a přezkum vedením.

Ano. Naše Prohlášení o aplikovatelnosti je namapováno na opatření v příloze A normy ISO/IEC 27001:2022 (ISO/IEC 27002:2022) a ukazuje, která opatření se uplatňují a jak jsou zavedena. Zákazníci Enterprise si ho mohou vyžádat.

Ano. Osobní údaje zpracováváme v souladu s obecným nařízením EU o ochraně osobních údajů (GDPR). U dat z kampaní jste správcem vy a Scratcher je zpracovatelem (článek 28) na základě smlouvy o zpracování osobních údajů (DPA).

Ne. Naše bezpečnost informací je místo toho certifikována podle ISO/IEC 27001:2022 a jako doklad poskytujeme certifikát a Prohlášení o aplikovatelnosti.

Náš certifikát ISO 27001 a Prohlášení o aplikovatelnosti pokrývají většinu potřeb auditů a hodnocení dodavatelů. Pokud potřebujete další audit, dohodneme se s vámi předem na rozsahu, termínu a případných nákladech.

Vám. Ponecháváte si veškerá práva ke svým datům (zákaznická data) a my je zpracováváme pouze za účelem poskytování služby, jak je popsáno v našich podmínkách a ve smlouvě o zpracování osobních údajů.

Ano. Na každého zákazníka se vztahuje naše smlouva o zpracování osobních údajů podle článku 28 GDPR. Zákazníci Enterprise mohou také využít DPA založenou na standardním smluvním vzoru dánského úřadu pro ochranu osobních údajů (Datatilsynet).

Využíváme malý počet pečlivě vybraných dílčích zpracovatelů, například Amazon Web Services (AWS) pro hosting a poskytovatele pro odesílání transakčních e-mailů. Každý dílčí zpracovatel je vázán smlouvou o zpracování osobních údajů. Aktuální seznam najdete v příloze B naší smlouvy o zpracování osobních údajů.

Ano. Upozorníme vás nejméně 14 dní předtím, než přidáme nebo vyměníme dílčího zpracovatele, který zpracovává vaše osobní údaje. Pokud se změnou nesouhlasíte, můžete smlouvu vypovědět.

Veškerá zákaznická data jsou uložena v EU. Pokud dílčí zpracovatel zpracovává osobní údaje mimo EU/EHP, například u AI funkcí nebo ochrany proti botům, je přenos chráněn standardními smluvními doložkami Evropské komise (SCC) nebo rámcem EU–USA pro ochranu osobních údajů (DPF).

Ne. Vaše data zpracováváme pouze na základě vašich pokynů za účelem poskytování služby (omezení účelu). Vaše data nikdy neprodáváme ani je nepoužíváme pro vlastní marketing.

Ano. Sami rozhodujete, jaká pole formuláře má každá kampaň a která jsou povinná, takže sbíráte jen data, která skutečně potřebujete (minimalizace údajů).

Dobu uchovávání určujete vy. Data účastníků můžete kdykoli smazat nebo nastavit automatické mazání, například určitý počet dní po skončení kampaně. Maximální doba uchovávání je stanovena ve vaší smlouvě o zpracování osobních údajů.

Ano. Účastníky a leady můžete kdykoli exportovat jako CSV, automaticky je posílat do svých systémů přes naše integrace nebo je stahovat přes naše REST API (přenositelnost údajů).

Vaše data se po skončení předplatného smažou v souladu s našimi podmínkami a smlouvou o zpracování osobních údajů. Kopie v zálohách se přepíší, jak se zálohy postupně obměňují. Vše, co si chcete ponechat, si exportujte před koncem předplatného.

Jako správce vyřizujete žádosti účastníků, například o přístup, opravu nebo výmaz (články 15–17 GDPR). Data účastníků můžete v platformě vyhledat, exportovat a smazat a náš tým vám v případě potřeby pomůže.

Veškerá zákaznická data jsou uložena v datových centrech Amazon Web Services (AWS) v EU. Neprovozujeme vlastní servery, takže fyzickou bezpečnost a bezpečnost prostředí zajišťuje AWS, které má certifikace ISO 27001, SOC 2 a dalších uznávaných standardů.

• Izolace sítě: všechny servery a databáze běží v privátní síti (Amazon VPC), která není dostupná z internetu.
• Ochrana na okraji sítě: veřejné jsou pouze load balancery (ALB) a síť pro doručování obsahu (Amazon CloudFront) a chrání je webový aplikační firewall (AWS WAF).
• Neměnná infrastruktura: servery běží jako kontejnery, které se nikdy ručně nemění. Nahrazujeme je novými, otestovanými verzemi a neexistuje žádný přístup přes SSH.
• Spravované databáze: databáze běží na Amazon RDS, databázové službě spravované AWS.

Ano. Veškerý provoz prochází přes Amazon CloudFront a AWS WAF, které filtrují škodlivé požadavky a absorbují velké nárůsty provozu (ochrana proti DDoS) dříve, než se dostanou k našim serverům.

Scratcher je multi-tenantní platforma. Data každého zákazníka jsou logicky oddělena podle účtu (izolace tenantů) a každý požadavek je autorizován, takže uživatelé vidí pouze data z účtů, ke kterým mají přístup.

Ano. Volání API a změny v našem prostředí AWS se zaznamenávají do šifrované auditní stopy odolné proti neoprávněným úpravám (AWS CloudTrail s ověřováním souborů protokolu) a aplikační protokoly se shromažďují centrálně (Amazon CloudWatch). Ve svém účtu vidíte v protokolu aktivit, co vaši uživatelé dělali.

Infrastrukturu provozujeme společně se specializovaným DevOps partnerem, který má sám certifikaci ISO 27001. Partneři dostávají jen takový přístup, jaký jejich práce vyžaduje (nejnižší možná oprávnění).

Platforma se automaticky kontroluje každých 30 sekund z několika regionů AWS (monitoring dostupnosti). Náš provozní tým je automaticky upozorněn, pokud se něco pokazí, a většinu problémů odhalíme během několika minut. Chyby aplikace sledujeme pomocí monitoringu chyb.

Ano. Na pozadí běží automatická detekce zneužití a kampaně mohou využívat ochranu proti botům (Cloudflare Turnstile), limity účasti, ověřovací kódy a blokovací seznamy e-mailových adres a telefonních čísel.

Ano. Veškerý provoz na platformu, do kampaní a do API je šifrován pomocí TLS (HTTPS).

Ano. Databáze, soubory a zálohy jsou v klidovém stavu šifrovány pomocí AES-256 prostřednictvím AWS.

Šifrovací klíče spravuje AWS (klíče spravované AWS) a jsou dostupné pouze službám, které je potřebují.

Přihlašovací údaje k vašim integracím, například API klíče k vašemu e-mailovému nástroji nebo CRM, jsou před uložením navíc šifrovány v aplikaci pomocí AES-256 (šifrování na úrovni aplikace).

Hesla se nikdy neukládají v čitelné podobě. Jsou hashována a solena pomocí bcrypt, algoritmu navrženého pro hesla.

Ano. Váš tým se může přihlásit svým účtem Google (Google SSO).

Ano. Každý uživatel si může zapnout dvoufázové ověření (2FA) pomocí ověřovací aplikace, jako je Google Authenticator nebo Microsoft Authenticator (časově omezená jednorázová hesla, TOTP), a k dispozici jsou i záchranné kódy. Počet pokusů o dvoufázové ověření je omezen.

Přihlašovací relace používají zabezpečené cookies typu HTTP-only a po určité době nečinnosti automaticky končí (časový limit relace). Každý uživatel se také může odhlásit ze všech svých ostatních relací v prohlížeči.

Ano. Počet pokusů o přihlášení a dvoufázové ověření je omezen kvůli ochraně proti útokům hrubou silou a hádání hesel.

Ano. Přístup se řídí rolemi a oprávněními (řízení přístupu na základě rolí, RBAC) na dvou úrovních:

• Role v účtu: Owner, Admin, Manager, Analyst a Support, každá s jinými právy k uživatelům, fakturaci, kampaním a datům.
• Oprávnění ke kampaním: každému člověku můžete dát přístup ke konkrétním kampaním a určit, co v nich smí dělat, například navrhovat design, psát texty, spravovat výhry a výherce, nebo jen kontrolovat.

V protokolu aktivit vidíte, co vaši uživatelé dělali.

Ano. Naše REST API funguje pouze přes HTTPS, používá osobní přístupové tokeny a má omezený počet požadavků. Webhooky ze Scratcheru jsou podepsány sdíleným tajemstvím (podpis HMAC), takže si můžete ověřit, že pocházejí od nás.

Pouze zaměstnanci, kteří přístup potřebují ke své práci, a jen tehdy, když ho potřebují (need-to-know). V nastavení účtu sami rozhodujete, zda smí náš tým podpory přistoupit k vašemu účtu, aby vám pomohl.

Přístupy se řídí principem nejnižších možných oprávnění, používají unikátní uživatelské účty a kontrolují se nejméně jednou ročně. Zaměstnanci používají správce hesel, vícefázové ověření, kde je to možné, a šifrované notebooky a přístup je odebrán, jakmile někdo odejde (offboarding).

Databáze a servery se automaticky zálohují každý den a uchovávají se zálohy nejméně za sedm dní. Zálohy jsou šifrované, uložené odděleně od produkčních systémů ve vysoce odolném úložišti AWS (Amazon S3) a mohou je číst pouze administrátoři. Před jakoukoli obnovou po incidentu se nejprve pořídí další záloha. Obnova ze zálohy se testuje nejméně jednou ročně.

Máme plány kontinuity činností a obnovy po havárii (BC/DR) pro výpadky AWS, výpadky platformy a útoky na kampaně. Plány se každý rok přezkoumávají a procvičují. Pokud výpadek trvá déle než hodinu, informujeme všechny zákazníky e-mailem. Náš provozní tým reaguje na výpadek do 1 hodiny v pracovní době a do 3 hodin mimo pracovní dobu, s nepřetržitou pohotovostí.

Podpora je zahrnuta v každém předplatném. Zákazníci Enterprise se s námi mohou dohodnout na konkrétních úrovních služeb.

Postupujeme podle zdokumentovaného procesu řízení incidentů: incidenty se hlásí našemu manažerovi bezpečnosti informací, posoudí se, omezí, analyzují se jejich příčiny (analýza kořenových příčin) a následují nápravná opatření. Každý incident se zaznamená a přezkoumá.

Ano. Pokud se porušení týká vašich osobních údajů, informujeme vás bez zbytečného odkladu a do 24 hodin a pomůžeme vám s vaším vlastním ohlášením dozorovému úřadu do 72 hodin (články 33 a 34 GDPR).

Při posledním ročním přezkumu systému řízení bezpečnosti informací nebylo zaznamenáno žádné porušení důvěrnosti ani integrity zákaznických dat.

Napište prosím na contact@scratcher.io s co nejvíce podrobnostmi. Řídíme se zásadami pro zveřejňování zranitelností (responsible disclosure), každé hlášení prošetříme a ozveme se vám.

Řídíme se zdokumentovaným životním cyklem bezpečného vývoje softwaru (SDLC) založeným na ISO/IEC 27001:2022 (opatření 8.25–8.33). Každá funkce má vlastníka, který odpovídá za bezpečnost od nápadu až po vyřazení, a bezpečnostní požadavky se definují už ve fázi specifikace a návrhu.

• Bezpečnost už v návrhu a ve výchozím nastavení: bezpečnost je zabudována od začátku a nejbezpečnější nastavení je výchozí.
• Nejnižší možná oprávnění: lidé, služby a partneři dostávají jen přístup, který potřebují, a nic víc.
• Hloubková obrana: několik nezávislých vrstev ochrany, takže jedno selhání neodhalí data.
• Výchozí zákaz: přístup je blokován, pokud nebyl výslovně povolen.
• Zero trust: nikdy nedůvěřuj, vždy ověřuj. Každý požadavek je ověřen a autorizován, ať přichází zevnitř, nebo zvenčí sítě.
• Bezpečné selhání a předpoklad narušení: systémy jsou navrženy tak, aby zůstaly bezpečné, i když se něco pokazí.
• Minimální funkcionalita: zapnuté jsou jen funkce a služby, které jsou potřeba.
• Nedůvěra k externím vstupům: všechny vstupy se validují.

Veškerý kód je ve verzovacím systému (Git) a každá změna prochází před sloučením pull requestem s kontrolou kódu kolegou. Automatické jednotkové, funkční a architektonické testy běží u každého pull requestu a architektonické testy brání sloučení nebezpečných vzorů v kódu. Linting a automatický refaktoring běží u každého commitu a designové a technické změny schvaluje náš CTO.

Platforma je postavena na zavedených, aktivně udržovaných frameworcích (Laravel a Vue) s vestavěnou ochranou proti běžným zranitelnostem z OWASP Top 10, jako jsou SQL injection, cross-site scripting (XSS) a cross-site request forgery (CSRF). Všechny vstupy se validují na serveru a citlivé endpointy mají omezený počet požadavků. Podezřelé požadavky se zaznamenávají a kontrolují.

Ano. Vývoj, testování (staging) a produkce jsou oddělená prostředí s odděleným přístupem. Změny se testují ve stagingu, než se dostanou do produkce, a podle našich zásad se produkční data nekopírují do vývojového ani testovacího prostředí.

Změny se nasazují přes automatizovanou CI/CD pipeline, která pro každé vydání sestaví nový verzovaný obraz kontejneru. Změny databáze probíhají jako řízený krok nasazení, a protože každé vydání je samostatný obraz, můžeme se v případě potřeby rychle vrátit k předchozí verzi. Žádný jednotlivec nemůže změnit produkci bez kontroly a schválení (oddělení povinností).

Náš zdrojový kód je uložen v privátních repozitářích s řízením přístupu a úplnou historií verzí. Tajné údaje, jako jsou hesla a API klíče, se nikdy neukládají v kódu; jsou uloženy v AWS Secrets Manager a vkládají se za běhu.

Používáme pouze známé, aktivně udržované open-source knihovny z důvěryhodných zdrojů. Nové knihovny musí být před použitím schváleny, verze jsou uzamčeny (lock soubory), a závislosti se průběžně aktualizují (bezpečnost dodavatelského řetězce softwaru).

Naši vývojáři každý týden provádějí bezpečnostní přezkum (řízení zranitelností). Zranitelnosti, které najde náš tým nebo naše nástroje nebo které nám někdo nahlásí, se posoudí, prioritizují a opraví a v případě potřeby se řeší v rámci našeho procesu pro incidenty.

Ano. Naši vývojáři dodržují zásady bezpečného programování a absolvují školení bezpečnostního povědomí při nástupu i průběžně.

Provádíme posouzení rizik na základě pravděpodobnosti a dopadu. Rizika se přezkoumávají každý měsíc a každé riziko se nejméně jednou ročně znovu posoudí (řízení rizik).

Náš CTO je manažerem bezpečnosti informací (ISM) a vedení schvaluje naše zásady bezpečnosti informací. Zásady se přezkoumávají každý rok.

Náš systém řízení bezpečnosti informací (ISMS) zahrnuje schválené zásady mimo jiné pro:

• Bezpečnost informací a přijatelné použití
• Klasifikaci informací a přenos informací
• Řízení přístupu a kryptografii (včetně správy klíčů)
• Vztahy s dodavateli a cloudové služby
• Ochranu osobních údajů (PII) a záznamů
• Práci na dálku, čistý stůl a čistou obrazovku, koncová zařízení a výměnná média
• Protokolování a monitoring, zálohování a uchovávání dat
• Řízení zranitelností a zveřejňování zranitelností
• Používání AI

Zásady schvaluje vedení, jsou sděleny všem zaměstnancům a každý rok se přezkoumávají.

Ano. Noví zaměstnanci před nástupem procházejí prověrkou, podepisují dohody o mlčenlivosti (NDA) a absolvují školení bezpečnostního povědomí při nástupu i průběžně.

Scratcher je remote-first společnost. Naše zásady pro práci na dálku vyžadují zabezpečené domácí kanceláře, zámek obrazovky, šifrovaná zařízení, chráněnou Wi-Fi (WPA2/WPA3) a VPN ve veřejných sítích.

Ano. Informace se klasifikují podle důvěrnosti, integrity a dostupnosti (CIA) a nakládá se s nimi podle jejich úrovně.

Dodavatele posuzujeme z hlediska důvěrnosti, integrity a dostupnosti dříve, než je začneme využívat (řízení rizik dodavatelů). Bezpečnostní požadavky jsou součástí našich smluv a dodavatele pravidelně přezkoumáváme.

Naše AI funkce, včetně AI asistenta Rexe, využívají velké jazykové modely (LLM) od Google Gemini a obrazové modely od fal.ai. Poskytovatelé jsou posouzeni v rámci našeho procesu pro dodavatele a naše zásady používání AI upravují, jak se AI používá.

Ano. Naše zásady pro AI vyžadují u důležitých rozhodnutí lidský dohled (human in the loop). Změny provedené pomocí AI probíhají v editoru a o zveřejnění kampaně rozhoduje váš tým. Rex a ostatní AI funkce provádějí změny jen tehdy, když o to někdo z vašeho týmu požádá.

Kampaně ve výchozím nastavení používají pouze funkční cookies a úložiště: cookies pro rozložení provozu mezi naše servery (cookies load balanceru), lokální úložiště v prohlížeči, například k zapamatování, že už někdo hrál, a u vyskakovacích oken vložených na váš web cookies, která řídí, jak často se okno zobrazuje. Pokud přidáte vlastní sledování, například Google Tag Manager nebo Meta Pixel, načte se až poté, co účastník udělí souhlas v cookie liště kampaně. Pokud je zapnutá ochrana proti botům (Cloudflare Turnstile), zpracovává technická data, například IP adresu a signály prohlížeče, také Cloudflare.

Ano. Píšete si vlastní texty souhlasů a podmínky, volíte, která pole jsou povinná, a u registrací k newsletteru můžete použít double opt-in.

Transakční e-maily, například e-maily o výhrách, se odesílají přes našeho poskytovatele doručování e-mailů. Můžete je posílat z vlastní domény, aby účastníci odesílatele poznali.

Ano. V tarifech Professional a Enterprise mohou kampaně běžet na vaší vlastní webové adrese (vlastní doména) a e-maily účastníkům lze odesílat z vaší vlastní domény.

• Certifikát ISO/IEC 27001:2022: stáhněte si ho zde
• Prohlášení o aplikovatelnosti (SoA), na vyžádání
• Smlouva o zpracování osobních údajů (DPA), včetně seznamu dílčích zpracovatelů
• Odpovědi na váš bezpečnostní dotazník nebo hodnocení dodavatele

Ano. Pošlete nám svůj bezpečnostní dotazník nebo hodnocení dodavatele a my ho vyplníme. Mnoho otázek je zodpovězeno už na této stránce.

Napište na contact@scratcher.io nebo si domluvte schůzku. Scratcher ApS, CVR 38552864.