Preguntas de seguridad, respondidas

Sí. Scratcher ApS cuenta con la certificación ISO/IEC 27001:2022, la norma internacional para un sistema de gestión de la seguridad de la información (SGSI). La certificación la emite Bureau Veritas Certification con acreditación (FINAS), certificado n.º FIHSK27150F, válido hasta el 7 de noviembre de 2028. Estamos certificados desde noviembre de 2022.

Descargar el certificado (PDF)

El alcance certificado es el desarrollo, la venta y el soporte de software para campañas interactivas, marketing y actividades relacionadas, incluida la recogida de datos y permisos. En la práctica, esto abarca la plataforma de Scratcher, las campañas que se ejecutan en ella, nuestros procesos y la infraestructura en la nube que hay detrás.

Bureau Veritas realiza cada año una auditoría externa de seguimiento y cada tres años una auditoría de recertificación. Antes de cada auditoría externa, llevamos a cabo una auditoría interna de todos los procesos del SGSI y una revisión por la dirección.

Sí. Nuestra Declaración de aplicabilidad está asociada a los controles del Anexo A de ISO/IEC 27001:2022 (ISO/IEC 27002:2022) y muestra qué controles se aplican y cómo se implementan. Los clientes enterprise pueden solicitarla.

Sí. Tratamos los datos personales de conformidad con el Reglamento General de Protección de Datos (RGPD) de la UE. Para los datos de las campañas, tú eres el responsable del tratamiento y Scratcher es el encargado del tratamiento (artículo 28), en virtud de un contrato de encargado del tratamiento (DPA).

No. En su lugar, nuestra seguridad de la información está certificada según ISO/IEC 27001:2022, y facilitamos el certificado y la Declaración de aplicabilidad como documentación de garantía.

Nuestro certificado ISO 27001 y la Declaración de aplicabilidad cubren la mayoría de las necesidades de auditoría y de evaluación de proveedores. Si necesitas una auditoría adicional, acordamos contigo de antemano el alcance, los plazos y los posibles costes.

Tuyos. Conservas todos los derechos sobre tus datos (datos del cliente) y nosotros solo los tratamos para prestar el servicio, tal como se describe en nuestros términos y en el contrato de encargado del tratamiento.

Sí. Todos los clientes están cubiertos por nuestro contrato de encargado del tratamiento conforme al artículo 28 del RGPD. Los clientes enterprise también pueden usar un DPA basado en la plantilla contractual estándar de la Agencia Danesa de Protección de Datos (Datatilsynet).

Utilizamos un número reducido de subencargados cuidadosamente seleccionados, por ejemplo Amazon Web Services (AWS) para el alojamiento y un proveedor para el envío de emails transaccionales. Cada subencargado está vinculado por un contrato de encargado del tratamiento. La lista actual forma parte de nuestro DPA y está disponible previa solicitud.

Sí. Te avisamos con al menos 14 días de antelación antes de añadir o sustituir un subencargado que trate tus datos personales. Si no aceptas el cambio, puedes rescindir el contrato.

Todos los datos de los clientes se almacenan en la UE. Si un subencargado trata datos personales fuera de la UE/EEE, por ejemplo para funciones de IA o protección contra bots, la transferencia está protegida por las Cláusulas Contractuales Tipo (CCT) de la Comisión Europea o por el Marco de Privacidad de Datos UE-EE. UU. (DPF).

No. Solo tratamos tus datos siguiendo tus instrucciones para prestar el servicio (limitación de la finalidad). Nunca vendemos tus datos ni los usamos para nuestro propio marketing.

Sí. Tú decides qué campos de formulario tiene cada campaña y cuáles son obligatorios, de modo que solo recoges los datos que realmente necesitas (minimización de datos).

Tú decides el periodo de conservación. Puedes eliminar los datos de los participantes en cualquier momento o configurar la eliminación automática, por ejemplo un número determinado de días después de que termine una campaña. El periodo máximo de conservación se establece en tu contrato de encargado del tratamiento.

Sí. Puedes exportar participantes y leads en CSV en cualquier momento, enviarlos automáticamente a tus propios sistemas mediante nuestras integraciones u obtenerlos a través de nuestra API REST (portabilidad de los datos).

Tus datos se eliminan una vez finalizada tu suscripción, de conformidad con nuestros términos y con el contrato de encargado del tratamiento. Las copias en las copias de seguridad se sobrescriben a medida que estas se renuevan. Exporta lo que quieras conservar antes de que termine la suscripción.

Como responsable del tratamiento, tú gestionas las solicitudes de los participantes, como el acceso, la rectificación o la supresión (artículos 15 a 17 del RGPD). Puedes encontrar, exportar y eliminar los datos de los participantes en la plataforma, y nuestro equipo te ayuda si es necesario.

Todos los datos de los clientes se almacenan en centros de datos de Amazon Web Services (AWS) en la UE. No gestionamos servidores propios, por lo que la seguridad física y ambiental corre a cargo de AWS, que cuenta con las certificaciones ISO 27001, SOC 2 y otras normas reconocidas.

• Aislamiento de red: todos los servidores y bases de datos funcionan en una red privada (Amazon VPC) a la que no se puede acceder desde internet.
• Protección perimetral: solo los balanceadores de carga (ALB) y la red de distribución de contenido (Amazon CloudFront) son públicos, y están protegidos por un cortafuegos de aplicaciones web (AWS WAF).
• Infraestructura inmutable: los servidores se ejecutan como contenedores que nunca se modifican a mano. Los sustituimos por versiones nuevas y probadas, y no hay acceso SSH.
• Bases de datos gestionadas: las bases de datos se ejecutan en Amazon RDS, un servicio de bases de datos gestionado por AWS.

Sí. Todo el tráfico pasa por Amazon CloudFront y AWS WAF, que filtran las solicitudes maliciosas y absorben los grandes picos de tráfico (protección DDoS) antes de que lleguen a nuestros servidores.

Scratcher es una plataforma multiinquilino. Los datos de cada cliente están separados lógicamente por cuenta (aislamiento de inquilinos) y cada solicitud se autoriza, de modo que los usuarios solo ven los datos de las cuentas a las que tienen acceso.

Sí. Las llamadas a la API y los cambios en nuestro entorno de AWS se registran en un rastro de auditoría cifrado y a prueba de manipulaciones (AWS CloudTrail con validación de archivos de registro), y los registros de la aplicación se recopilan de forma centralizada (Amazon CloudWatch). En tu cuenta puedes ver lo que han hecho tus usuarios en el registro de actividad.

Gestionamos la infraestructura junto con un socio especializado en DevOps que cuenta a su vez con la certificación ISO 27001. Los socios solo obtienen el acceso que requiere su trabajo (mínimo privilegio).

La plataforma se comprueba automáticamente cada 30 segundos desde varias regiones de AWS (monitorización de disponibilidad). Nuestro equipo de operaciones recibe un aviso automático si algo va mal y la mayoría de los problemas se detectan en cuestión de minutos. Los errores de la aplicación se siguen mediante monitorización de errores.

Sí. La detección automática de abusos se ejecuta en segundo plano y las campañas pueden usar protección contra bots (Cloudflare Turnstile), límites de participación, códigos de verificación y listas de bloqueo de direcciones de email y números de teléfono.

Sí. Todo el tráfico hacia la plataforma, las campañas y la API se cifra con TLS (HTTPS).

Sí. Las bases de datos, los archivos y las copias de seguridad se cifran en reposo con AES-256 a través de AWS.

Las claves de cifrado las gestiona AWS (claves gestionadas por AWS) y solo están disponibles para los servicios que las necesitan.

Las credenciales de tus integraciones, como las claves de API de tu herramienta de email o de tu CRM, se cifran además en la aplicación con AES-256 antes de almacenarse (cifrado a nivel de aplicación).

Las contraseñas nunca se almacenan en texto plano. Se procesan con hash y salt mediante bcrypt, un algoritmo diseñado para contraseñas.

Sí. Tu equipo puede iniciar sesión con su cuenta de Google (SSO de Google).

Sí. Cada usuario puede activar la autenticación en dos pasos (2FA) con una app de autenticación como Google Authenticator o Microsoft Authenticator (contraseñas de un solo uso basadas en el tiempo, TOTP), y se facilitan códigos de recuperación. Los intentos de autenticación en dos pasos están limitados.

Las sesiones de inicio de sesión usan cookies seguras y HTTP-only y terminan automáticamente tras un periodo de inactividad (tiempo de espera de la sesión). Cada usuario también puede cerrar la sesión en todos sus demás navegadores.

Sí. Los intentos de inicio de sesión y de autenticación en dos pasos están limitados para proteger contra ataques de fuerza bruta y de adivinación de contraseñas.

Sí. El acceso se controla con roles y permisos (control de acceso basado en roles, RBAC) en dos niveles:

• Roles de cuenta: Owner, Admin, Manager, Analyst y Support, cada uno con distintos derechos sobre usuarios, facturación, campañas y datos.
• Permisos de campaña: puedes dar a cada persona acceso a campañas concretas y decidir qué puede hacer en ellas, por ejemplo diseñar, redactar textos, gestionar premios y ganadores, o solo revisar.

Puedes ver lo que han hecho tus usuarios en el registro de actividad.

Sí. Nuestra API REST solo funciona mediante HTTPS, usa tokens de acceso personal y tiene límites de uso. Los webhooks de Scratcher se firman con un secreto compartido (firma HMAC), de modo que puedes verificar que proceden de nosotros.

Solo los empleados que necesitan acceso para su trabajo, y solo cuando lo necesitan (necesidad de conocer). En los ajustes de tu cuenta, tú decides si nuestro equipo de soporte puede acceder a tu cuenta para ayudarte.

El acceso sigue el principio de mínimo privilegio, usa cuentas de usuario únicas y se revisa al menos una vez al año. Los empleados usan un gestor de contraseñas, autenticación multifactor siempre que es posible y portátiles cifrados, y el acceso se revoca en cuanto alguien se marcha (offboarding).

Las bases de datos y los servidores se copian automáticamente cada día y se conservan al menos siete días de copias de seguridad. Las copias de seguridad están cifradas, se almacenan por separado de los sistemas de producción en un almacenamiento de AWS de alta durabilidad (Amazon S3) y solo pueden leerlas los administradores. Antes de cualquier trabajo de recuperación tras un incidente, se hace primero una copia de seguridad adicional. Las restauraciones se prueban al menos una vez al año.

Disponemos de planes de continuidad del negocio y recuperación ante desastres (BC/DR) para interrupciones en AWS, interrupciones de la plataforma y ataques a campañas. Los planes se revisan y se ponen a prueba cada año. Si una interrupción dura más de una hora, se informa a todos los clientes por email. Nuestro equipo de operaciones responde a las caídas en 1 hora en horario laboral y en 3 horas fuera de él, con guardias disponibles las 24 horas.

El soporte está incluido en todas las suscripciones. Los clientes enterprise pueden acordar con nosotros niveles de servicio específicos.

Seguimos un proceso documentado de gestión de incidentes: los incidentes se notifican a nuestro responsable de seguridad de la información, se evalúan, se contienen, se analizan para encontrar la causa raíz (análisis de causa raíz) y se les da seguimiento con acciones correctivas. Todos los incidentes se registran y se revisan.

Sí. Si una violación afecta a tus datos personales, te lo notificamos sin dilación indebida y en un plazo de 24 horas, y te ayudamos con tu propia notificación a la autoridad de control en un plazo de 72 horas (artículos 33 y 34 del RGPD).

En nuestra última revisión anual del sistema de gestión de la seguridad de la información no se registró ninguna violación de la confidencialidad ni de la integridad de los datos de los clientes.

Escribe a contact@scratcher.io con el mayor detalle posible. Seguimos una política de divulgación de vulnerabilidades (divulgación responsable), investigamos cada informe y te respondemos.

Seguimos un ciclo de vida de desarrollo de software seguro (SDLC) documentado, basado en ISO/IEC 27001:2022 (controles 8.25 a 8.33). Cada funcionalidad tiene un responsable que se encarga de la seguridad desde la idea hasta la retirada, y los requisitos de seguridad se definen ya en la fase de especificación y diseño.

• Seguridad desde el diseño y por defecto: la seguridad se integra desde el principio y los ajustes más seguros son los predeterminados.
• Mínimo privilegio: las personas, los servicios y los socios solo obtienen el acceso que necesitan, y nada más.
• Defensa en profundidad: varias capas de protección independientes, de modo que un fallo no exponga los datos.
• Denegación por defecto: el acceso está bloqueado salvo que se haya permitido explícitamente.
• Confianza cero: nunca confiar, siempre verificar. Cada solicitud se autentica y se autoriza, venga de dentro o de fuera de la red.
• Fallar de forma segura y asumir la brecha: los sistemas están diseñados para seguir seguros si algo sale mal.
• Funcionalidad mínima: solo se activan las funciones y los servicios necesarios.
• Desconfiar de las entradas externas: todas las entradas se validan.

Todo el código se mantiene en control de versiones (Git) y cada cambio pasa por una pull request con revisión de código por pares antes de integrarse. Las pruebas automatizadas unitarias, de funcionalidad y de arquitectura se ejecutan en cada pull request, y las pruebas de arquitectura bloquean la integración de patrones de código inseguros. El linting y la refactorización automatizada se ejecutan en cada commit, y los cambios de diseño y técnicos los aprueba nuestro CTO.

La plataforma está construida sobre frameworks consolidados y mantenidos activamente (Laravel y Vue) con protección integrada contra las vulnerabilidades habituales del OWASP Top 10, como la inyección SQL, el cross-site scripting (XSS) y el cross-site request forgery (CSRF). Todas las entradas se validan en el servidor y los endpoints sensibles tienen límites de uso. Las solicitudes sospechosas se registran y se revisan.

Sí. Desarrollo, pruebas (staging) y producción son entornos independientes con accesos independientes. Los cambios se prueban en staging antes de llegar a producción, y nuestra política es que los datos de producción no se copian a los entornos de desarrollo ni de pruebas.

Los cambios se despliegan mediante un pipeline de CI/CD automatizado que crea una imagen de contenedor nueva y versionada para cada versión. Los cambios en la base de datos se ejecutan como un paso controlado del despliegue y, como cada versión es una imagen independiente, podemos volver rápidamente a la versión anterior si es necesario. Ninguna persona puede cambiar producción sin revisión y aprobación (separación de funciones).

Nuestro código fuente se guarda en repositorios privados con control de acceso e historial de versiones completo. Los secretos, como contraseñas y claves de API, nunca se almacenan en el código; se guardan en AWS Secrets Manager y se inyectan en tiempo de ejecución.

Solo usamos bibliotecas de código abierto conocidas, mantenidas activamente y de fuentes de confianza. Las bibliotecas nuevas deben aprobarse antes de usarse, las versiones están bloqueadas (archivos de bloqueo) y las dependencias se actualizan de forma continua (seguridad de la cadena de suministro de software).

Nuestros desarrolladores realizan cada semana una revisión de seguridad (gestión de vulnerabilidades). Las vulnerabilidades detectadas por nuestro equipo, por nuestras herramientas o notificadas por terceros se evalúan, se priorizan y se corrigen, y se tratan mediante nuestro proceso de incidentes si es necesario.

Sí. Nuestros desarrolladores siguen directrices de programación segura y reciben formación de concienciación en seguridad al incorporarse y de forma continua.

Realizamos una evaluación de riesgos basada en la probabilidad y el impacto. Los riesgos se revisan cada mes y cada riesgo se reevalúa al menos una vez al año (gestión de riesgos).

Nuestro CTO es el responsable de seguridad de la información (ISM) y la dirección aprueba nuestras políticas de seguridad de la información. Las políticas se revisan cada año.

Nuestro sistema de gestión de la seguridad de la información (SGSI) incluye políticas aprobadas sobre, entre otras cosas:

• Seguridad de la información y uso aceptable
• Clasificación y transferencia de la información
• Control de acceso y criptografía (incluida la gestión de claves)
• Relaciones con proveedores y servicios en la nube
• Protección de datos personales (PII) y registros
• Trabajo en remoto, escritorio y pantalla despejados, dispositivos finales y soportes extraíbles
• Registro y monitorización, copias de seguridad y conservación de datos
• Gestión de vulnerabilidades y divulgación de vulnerabilidades
• Uso de la IA

Las políticas las aprueba la dirección, se comunican a todos los empleados y se revisan cada año.

Sí. Los nuevos empleados pasan una verificación de antecedentes antes de empezar, firman acuerdos de confidencialidad (NDA) y reciben formación de concienciación en seguridad al incorporarse y de forma continua.

Scratcher es una empresa remote-first. Nuestra política de trabajo en remoto exige oficinas en casa seguras, bloqueo de pantalla, dispositivos cifrados, wifi protegido (WPA2/WPA3) y VPN en redes públicas.

Sí. La información se clasifica por confidencialidad, integridad y disponibilidad (CIA) y se trata según su nivel.

Los proveedores se evalúan en términos de confidencialidad, integridad y disponibilidad antes de usarlos (gestión de riesgos de proveedores). Los requisitos de seguridad forman parte de nuestros contratos y los proveedores se revisan con regularidad.

Nuestras funciones de IA, incluido Rex, el asistente de IA, usan modelos de lenguaje de gran tamaño (LLM) de Google Gemini y modelos de imagen de fal.ai. Los proveedores se evalúan en nuestro proceso de proveedores y nuestra política de uso de la IA regula cómo se utiliza la IA.

Sí. Nuestra política de IA exige supervisión humana (human in the loop) para las decisiones importantes. Los cambios hechos con IA se producen en el editor y tu equipo decide cuándo se publica una campaña. Rex y las demás funciones de IA solo hacen cambios cuando alguien de tu equipo se lo pide.

Por defecto, las campañas solo usan cookies y almacenamiento funcionales: cookies que reparten el tráfico entre nuestros servidores (cookies del balanceador de carga), almacenamiento local en el navegador, por ejemplo para recordar que alguien ya ha jugado y, en el caso de los pop-ups insertados en tu sitio web, cookies que controlan con qué frecuencia se muestra el pop-up. Si añades tu propio seguimiento, por ejemplo Google Tag Manager o el Píxel de Meta, solo se carga después de que el participante haya dado su consentimiento en el banner de cookies de la campaña. Si se activa la protección contra bots (Cloudflare Turnstile), Cloudflare también trata datos técnicos como la dirección IP y señales del navegador.

Sí. Redactas tus propios textos de consentimiento y bases, eliges qué campos son obligatorios y puedes usar doble opt-in para los registros a la newsletter.

Los emails transaccionales, como los emails de premios, se envían a través de nuestro proveedor de envío de emails. Puedes enviarlos desde tu propio dominio, para que los participantes reconozcan al remitente.

Sí. En los planes Professional y Enterprise, las campañas pueden funcionar en tu propia dirección web (dominio personalizado) y los emails a los participantes pueden enviarse desde tu propio dominio.

• Certificado ISO/IEC 27001:2022: descárgalo aquí
• Declaración de aplicabilidad (SoA), previa solicitud
• Contrato de encargado del tratamiento (DPA), incluida la lista de subencargados
• Respuestas a tu cuestionario de seguridad o evaluación de proveedores

Sí. Envíanos tu cuestionario de seguridad o evaluación de proveedores y lo rellenaremos. Muchas preguntas ya están respondidas en esta página.

Escribe a contact@scratcher.io o reserva una reunión. Scratcher ApS, CVR 38552864.