Svar på dine sikkerhedsspørgsmål

Ja. Scratcher ApS er certificeret efter ISO/IEC 27001:2022, den internationale standard for et ledelsessystem for informationssikkerhed (ISMS). Certificeringen er udstedt af Bureau Veritas Certification under akkreditering (FINAS), certifikat nr. FIHSK27150F, gyldigt til 7. november 2028. Vi har været certificeret siden november 2022.

Download certifikatet (PDF)

Det certificerede omfang er udvikling, salg og support af software til interaktive kampagner, marketing og relaterede aktiviteter, herunder indsamling af data og permissions. I praksis dækker det Scratcher-platformen, de kampagner, der kører på den, vores processer og cloud-infrastrukturen bag dem.

Bureau Veritas gennemfører en ekstern overvågningsaudit hvert år og en recertificeringsaudit hvert tredje år. Før hver ekstern audit gennemfører vi en intern audit af alle ISMS-processer og en ledelsesevaluering.

Ja. Vores Statement of Applicability er koblet til kontrollerne i ISO/IEC 27001:2022 Annex A (ISO/IEC 27002:2022) og viser, hvilke kontroller der gælder, og hvordan de er implementeret. Enterprise-kunder kan få den udleveret.

Ja. Vi behandler personoplysninger i overensstemmelse med EU's databeskyttelsesforordning (GDPR). For kampagnedata er du dataansvarlig, og Scratcher er databehandler (artikel 28) under en databehandleraftale (DPA).

Nej. Vores informationssikkerhed er i stedet certificeret efter ISO/IEC 27001:2022, og vi stiller certifikatet og vores Statement of Applicability til rådighed som dokumentation.

Vores ISO 27001-certifikat og Statement of Applicability dækker de fleste behov for audit og leverandørvurdering. Har du brug for en ekstra audit, aftaler vi omfang, tidspunkt og eventuelle omkostninger med dig på forhånd.

Det gør du. Du beholder alle rettigheder til dine data (kundedata), og vi behandler dem kun for at levere tjenesten, som beskrevet i vores vilkår og databehandleraftalen.

Ja. Alle kunder er omfattet af vores databehandleraftale efter GDPR artikel 28. Enterprise-kunder kan også bruge en databehandleraftale baseret på Datatilsynets standardskabelon.

Vi bruger et lille antal nøje udvalgte underdatabehandlere, for eksempel Amazon Web Services (AWS) til hosting og en leverandør til afsendelse af transaktionelle e-mails. Hver underdatabehandler er bundet af en databehandleraftale. Den aktuelle liste er en del af vores databehandleraftale og kan fås på forespørgsel.

Ja. Vi giver dig besked mindst 14 dage før, vi tilføjer eller udskifter en underdatabehandler, der behandler dine personoplysninger. Hvis du ikke accepterer ændringen, kan du opsige aftalen.

Alle kundedata opbevares i EU. Hvis en underdatabehandler behandler personoplysninger uden for EU/EØS, for eksempel til AI-funktioner eller botbeskyttelse, er overførslen beskyttet af EU-Kommissionens standardkontraktbestemmelser (SCC) eller EU–US Data Privacy Framework (DPF).

Nej. Vi behandler kun dine data efter din instruks for at levere tjenesten (formålsbegrænsning). Vi sælger aldrig dine data og bruger dem aldrig til vores egen markedsføring.

Ja. Du bestemmer, hvilke formularfelter hver kampagne har, og hvilke der er påkrævede, så du kun indsamler de data, du faktisk har brug for (dataminimering).

Du bestemmer opbevaringsperioden. Du kan til enhver tid slette deltagerdata eller sætte automatisk sletning op, for eksempel et bestemt antal dage efter, at en kampagne er slut. Den maksimale opbevaringsperiode fremgår af din databehandleraftale.

Ja. Du kan til enhver tid eksportere deltagere og leads som CSV, sende dem automatisk til dine egne systemer via vores integrationer eller hente dem via vores REST API (dataportabilitet).

Dine data slettes, når dit abonnement ophører, i overensstemmelse med vores vilkår og databehandleraftalen. Kopier i backups overskrives, efterhånden som backupperne roterer. Eksportér det, du vil beholde, før abonnementet ophører.

Som dataansvarlig håndterer du anmodninger fra deltagere, for eksempel om indsigt, berigtigelse eller sletning (GDPR artikel 15–17). Du kan finde, eksportere og slette deltagerdata i platformen, og vores team hjælper dig, hvis der er behov for det.

Alle kundedata opbevares i Amazon Web Services' (AWS) datacentre i EU. Vi driver ikke egne servere, så fysisk og miljømæssig sikkerhed håndteres af AWS, som er certificeret efter ISO 27001, SOC 2 og andre anerkendte standarder.

• Netværksisolering: alle servere og databaser kører i et privat netværk (Amazon VPC), som ikke kan nås fra internettet.
• Beskyttelse i kanten: kun load balancerne (ALB) og content delivery-netværket (Amazon CloudFront) er offentlige, og de er beskyttet af en web application firewall (AWS WAF).
• Uforanderlig infrastruktur: servere kører som containere, der aldrig ændres manuelt. Vi erstatter dem med nye, testede versioner, og der er ingen SSH-adgang.
• Administrerede databaser: databaser kører på Amazon RDS, en databasetjeneste, der administreres af AWS.

Ja. Al trafik går gennem Amazon CloudFront og AWS WAF, som filtrerer ondsindede forespørgsler fra og absorberer store trafikspidser (DDoS-beskyttelse), før de når vores servere.

Scratcher er en multi-tenant-platform. Hver kundes data er logisk adskilt pr. konto (tenant-isolering), og hver forespørgsel autoriseres, så brugere kun ser data fra de konti, de har adgang til.

Ja. API-kald og ændringer i vores AWS-miljø registreres i et krypteret audit trail, hvor manipulation kan opdages (AWS CloudTrail med validering af logfiler), og applikationslogs samles centralt (Amazon CloudWatch). På din konto kan du se, hvad dine brugere har foretaget sig, i aktivitetsloggen.

Vi driver infrastrukturen sammen med en specialiseret DevOps-partner, som selv er ISO 27001-certificeret. Partnere får kun den adgang, deres arbejde kræver (least privilege).

Platformen tjekkes automatisk hvert 30. sekund fra flere AWS-regioner (oppetidsovervågning). Vores driftsteam får automatisk besked, hvis noget går galt, og de fleste problemer opdages inden for få minutter. Applikationsfejl spores med fejlovervågning.

Ja. Automatisk registrering af misbrug kører i baggrunden, og kampagner kan bruge botbeskyttelse (Cloudflare Turnstile), deltagelsesgrænser, verifikationskoder og blokeringslister for e-mailadresser og telefonnumre.

Ja. Al trafik til platformen, kampagnerne og API'et er krypteret med TLS (HTTPS).

Ja. Databaser, filer og backups er krypteret ved lagring med AES-256 via AWS.

Krypteringsnøgler administreres af AWS (AWS-administrerede nøgler) og er kun tilgængelige for de tjenester, der har brug for dem.

Loginoplysninger til dine integrationer, for eksempel API-nøgler til dit e-mailværktøj eller CRM, krypteres yderligere i applikationen med AES-256, før de gemmes (kryptering på applikationsniveau).

Adgangskoder gemmes aldrig i klartekst. De hashes og saltes med bcrypt, en algoritme designet til adgangskoder.

Ja. Dit team kan logge ind med deres Google-konto (Google SSO).

Ja. Alle brugere kan slå totrinsgodkendelse (2FA) til med en godkendelsesapp som Google Authenticator eller Microsoft Authenticator (tidsbaserede engangskoder, TOTP), og der følger gendannelseskoder med. Forsøg på totrinsgodkendelse er begrænset (rate limiting).

Login-sessioner bruger sikre HTTP-only-cookies og udløber automatisk efter en periode uden aktivitet (session timeout). Hver bruger kan også logge ud af alle sine andre browsersessioner.

Ja. Login og forsøg på totrinsgodkendelse er begrænset (rate limiting) for at beskytte mod brute force-angreb og gætning af adgangskoder.

Ja. Adgang styres med roller og rettigheder (rollebaseret adgangskontrol, RBAC) på to niveauer:

• Kontoroller: Ejer, Administrator, Manager, Analytiker og Support, hver med forskellige rettigheder til brugere, fakturering, kampagner og data.
• Kampagnerettigheder: du kan give hver person adgang til bestemte kampagner og bestemme, hvad de må gøre der, for eksempel designe, skrive tekster, håndtere præmier og vindere eller kun se med.

Du kan se, hvad dine brugere har foretaget sig, i aktivitetsloggen.

Ja. Vores REST API virker kun over HTTPS, bruger personlige adgangstokens og er begrænset (rate limiting). Webhooks fra Scratcher signeres med en delt hemmelighed (HMAC-signatur), så du kan verificere, at de kommer fra os.

Kun medarbejdere, der har brug for adgang i deres arbejde, og kun når de har brug for det (need-to-know). I dine kontoindstillinger bestemmer du, om vores supportteam må tilgå din konto for at hjælpe dig.

Adgang følger princippet om mindst mulige rettigheder (least privilege), bruger unikke brugerkonti og gennemgås mindst én gang om året. Medarbejdere bruger en password manager, flerfaktorgodkendelse, hvor det er muligt, og krypterede bærbare, og adgangen fjernes, så snart nogen fratræder (offboarding).

Databaser og servere sikkerhedskopieres automatisk hver dag, og der gemmes backups for mindst syv dage. Backups er krypteret, opbevares adskilt fra produktionssystemerne i meget holdbar AWS-lagring (Amazon S3) og kan kun læses af administratorer. Før gendannelsesarbejde efter en hændelse tages der først en ekstra backup. Gendannelse testes mindst én gang om året.

Vi har beredskabsplaner for forretningskontinuitet og katastrofegendannelse (BC/DR) ved nedbrud hos AWS, nedbrud på platformen og angreb på kampagner. Planerne gennemgås og øves hvert år. Varer et nedbrud mere end en time, informeres alle kunder via e-mail. Vores driftsteam reagerer på nedetid inden for 1 time i arbejdstiden og inden for 3 timer uden for arbejdstiden, med vagtberedskab døgnet rundt.

Support er inkluderet i alle abonnementer. Enterprise-kunder kan aftale specifikke serviceniveauer med os.

Vi følger en dokumenteret proces for hændelseshåndtering: hændelser rapporteres til vores informationssikkerhedsansvarlige, vurderes, inddæmmes, analyseres for at finde den grundlæggende årsag (root cause-analyse) og følges op med korrigerende handlinger. Alle hændelser logges og gennemgås.

Ja. Hvis et brud berører dine personoplysninger, giver vi dig besked uden unødig forsinkelse og inden for 24 timer og hjælper dig med din egen anmeldelse til tilsynsmyndigheden inden for 72 timer (GDPR artikel 33 og 34).

Der blev ikke registreret brud på fortroligheden eller integriteten af kundedata i vores seneste årlige gennemgang af ledelsessystemet for informationssikkerhed.

Skriv til contact@scratcher.io med så mange detaljer som muligt. Vi følger en politik for offentliggørelse af sårbarheder (responsible disclosure), undersøger hver henvendelse og vender tilbage til dig.

Vi følger en dokumenteret livscyklus for sikker softwareudvikling (SDLC) baseret på ISO/IEC 27001:2022 (kontrol 8.25–8.33). Hver funktion har en ejer, som er ansvarlig for sikkerheden fra idé til udfasning, og sikkerhedskrav defineres allerede i specifikations- og designfasen.

• Security by design og by default: sikkerhed er indbygget fra starten, og de sikreste indstillinger er standard.
• Least privilege: personer, tjenester og partnere får kun den adgang, de har brug for, og intet mere.
• Defence in depth: flere uafhængige beskyttelseslag, så én fejl ikke eksponerer data.
• Default deny: adgang er blokeret, medmindre den udtrykkeligt er tilladt.
• Zero trust: stol aldrig, verificér altid. Hver forespørgsel godkendes og autoriseres, uanset om den kommer indefra eller udefra netværket.
• Fail securely og assume breach: systemerne er designet til at forblive sikre, hvis noget går galt.
• Least functionality: kun de funktioner og tjenester, der er brug for, er slået til.
• Mistillid til eksternt input: alt input valideres.

Al kode ligger i versionsstyring (Git), og hver ændring går gennem en pull request med kodegennemgang af en kollega, før den merges. Automatiske unit-, feature- og arkitekturtests kører på hver pull request, og arkitekturtestene forhindrer, at usikre kodemønstre bliver merget. Linting og automatisk refaktorering kører på hver commit, og design- og tekniske ændringer godkendes af vores CTO.

Platformen er bygget på etablerede, aktivt vedligeholdte frameworks (Laravel og Vue) med indbygget beskyttelse mod almindelige sårbarheder fra OWASP Top 10, såsom SQL injection, cross-site scripting (XSS) og cross-site request forgery (CSRF). Alt input valideres på serveren, og følsomme endpoints er begrænset (rate limiting). Mistænkelige forespørgsler logges og gennemgås.

Ja. Udvikling, test (staging) og produktion er separate miljøer med separat adgang. Ændringer testes i staging, før de når produktion, og vores politik er, at produktionsdata ikke kopieres til udviklings- eller testmiljøer.

Ændringer udrulles via en automatiseret CI/CD-pipeline, der bygger et nyt, versioneret container-image til hver release. Databaseændringer kører som et kontrolleret trin i udrulningen, og fordi hver release er et separat image, kan vi hurtigt rulle tilbage til den forrige version, hvis det er nødvendigt. Ingen enkeltperson kan ændre produktion uden gennemgang og godkendelse (funktionsadskillelse).

Vores kildekode ligger i private repositories med adgangskontrol og fuld versionshistorik. Hemmeligheder som adgangskoder og API-nøgler gemmes aldrig i koden; de opbevares i AWS Secrets Manager og indsættes under kørsel.

Vi bruger kun velkendte, aktivt vedligeholdte open source-biblioteker fra anerkendte kilder. Nye biblioteker skal godkendes før brug, versioner låses (lock-filer), og afhængigheder opdateres løbende (sikkerhed i softwareforsyningskæden).

Vores udviklere holder en sikkerhedsgennemgang hver uge (sårbarhedsstyring). Sårbarheder, som vores team eller vores værktøjer finder, eller som bliver rapporteret til os, vurderes, prioriteres og rettes og håndteres om nødvendigt via vores hændelsesproces.

Ja. Vores udviklere følger retningslinjer for sikker kodning og får awareness-træning i sikkerhed, når de starter, og løbende derefter.

Vi gennemfører en risikovurdering baseret på sandsynlighed og konsekvens. Risici gennemgås hver måned, og hver risiko revurderes mindst én gang om året (risikostyring).

Vores CTO er informationssikkerhedsansvarlig (ISM), og ledelsen godkender vores politikker for informationssikkerhed. Politikkerne gennemgås hvert år.

Vores ledelsessystem for informationssikkerhed (ISMS) omfatter godkendte politikker for blandt andet:

• Informationssikkerhed og acceptabel brug
• Klassificering og overførsel af information
• Adgangskontrol og kryptografi (herunder nøglehåndtering)
• Leverandørforhold og cloudtjenester
• Beskyttelse af personoplysninger (PII) og registreringer
• Hjemmearbejde, ryddeligt skrivebord og låst skærm, endpoints og flytbare medier
• Logning og overvågning, backup og dataopbevaring
• Sårbarhedsstyring og offentliggørelse af sårbarheder
• Brug af AI

Politikkerne er godkendt af ledelsen, kommunikeret til alle medarbejdere og gennemgås hvert år.

Ja. Nye medarbejdere gennemgår baggrundstjek, før de starter, underskriver fortrolighedsaftaler (NDA) og får awareness-træning i sikkerhed, når de starter, og løbende derefter.

Scratcher er en remote-first-virksomhed. Vores politik for hjemmearbejde kræver sikre hjemmekontorer, skærmlås, krypterede enheder, beskyttet wi-fi (WPA2/WPA3) og VPN på offentlige netværk.

Ja. Information klassificeres efter fortrolighed, integritet og tilgængelighed (CIA) og håndteres efter sit niveau.

Leverandører vurderes for fortrolighed, integritet og tilgængelighed, før vi tager dem i brug (leverandørrisikostyring). Sikkerhedskrav er en del af vores kontrakter, og leverandører gennemgås løbende.

Vores AI-funktioner, herunder AI-assistenten Rex, bruger store sprogmodeller (LLM'er) fra Google Gemini og billedmodeller fra fal.ai. Leverandørerne vurderes i vores leverandørproces, og vores politik for brug af AI beskriver, hvordan AI anvendes.

Ja. Vores AI-politik kræver menneskeligt tilsyn (human in the loop) ved vigtige beslutninger. Ændringer lavet med AI sker i editoren, og dit team bestemmer, hvornår en kampagne udgives. Rex og de andre AI-funktioner foretager kun ændringer, når nogen på dit team beder dem om det.

Som standard bruger kampagner kun funktionelle cookies og lagring: cookies, der fordeler trafikken mellem vores servere (load balancer-cookies), lokal lagring i browseren, for eksempel til at huske, at nogen allerede har spillet, og, for pop-ups indlejret på dit website, cookies, der styrer, hvor ofte pop-up'en vises. Hvis du tilføjer din egen tracking, for eksempel Google Tag Manager eller Meta Pixel, indlæses den først, når deltageren har givet samtykke i kampagnens cookiebanner. Er botbeskyttelse (Cloudflare Turnstile) slået til, behandler Cloudflare også tekniske data som IP-adressen og browsersignaler.

Ja. Du skriver dine egne samtykketekster og vilkår, vælger, hvilke felter der er påkrævede, og kan bruge dobbelt opt-in til tilmeldinger til nyhedsbrevet.

Transaktionelle e-mails som præmiemails sendes via vores leverandør af e-mailafsendelse. Du kan sende dem fra dit eget domæne, så deltagerne genkender afsenderen.

Ja. På Professional- og Enterprise-abonnementerne kan kampagner køre på din egen webadresse (eget domæne), og e-mails til deltagerne kan sendes fra dit eget domæne.

• ISO/IEC 27001:2022-certifikat: download det her
• Statement of Applicability (SoA) på forespørgsel
• Databehandleraftale (DPA), herunder listen over underdatabehandlere
• Svar på jeres sikkerhedsspørgeskema eller leverandørvurdering

Ja. Send dit sikkerhedsspørgeskema eller din leverandørvurdering til os, så udfylder vi det. Mange af spørgsmålene er allerede besvaret på denne side.

Skriv til contact@scratcher.io eller book et møde. Scratcher ApS, CVR 38552864.