Tietoturvakysymyksiin vastataan

Kyllä. Scratcher ApS on sertifioitu standardin ISO/IEC 27001:2022 mukaan. Se on tietoturvallisuuden hallintajärjestelmän (ISMS) kansainvälinen standardi. Sertifikaatin on myöntänyt Bureau Veritas Certification akkreditoituna (FINAS), sertifikaattinumero FIHSK27150F, voimassa 7. marraskuuta 2028 asti. Olemme olleet sertifioituja marraskuusta 2022 lähtien.

Lataa sertifikaatti (PDF)

Sertifioitu toiminta-alue on interaktiivisten kampanjoiden, markkinoinnin ja siihen liittyvien toimintojen ohjelmiston kehitys, myynti ja tuki, mukaan lukien datan ja suostumusten kerääminen. Käytännössä tämä kattaa Scratcher-alustan, jolla pyörivät kampanjat, prosessimme ja niiden takana olevan pilvi-infrastruktuurin.

Bureau Veritas tekee ulkoisen valvonta-auditoinnin joka vuosi ja uudelleensertifiointiauditoinnin joka kolmas vuosi. Ennen jokaista ulkoista auditointia teemme kaikkien ISMS-prosessien sisäisen auditoinnin ja johdon katselmuksen.

Kyllä. Soveltuvuuslausuntomme on yhdistetty standardin ISO/IEC 27001:2022 liitteen A kontrolleihin (ISO/IEC 27002:2022), ja se näyttää, mitkä kontrollit ovat käytössä ja miten ne on toteutettu. Yritysasiakkaat voivat pyytää sen.

Kyllä. Käsittelemme henkilötietoja EU:n yleisen tietosuoja-asetuksen (GDPR) mukaisesti. Kampanjadatan osalta sinä olet rekisterinpitäjä ja Scratcher on henkilötietojen käsittelijä (artikla 28) tietojenkäsittelysopimuksen (DPA) mukaisesti.

Ei. Tietoturvamme on sen sijaan sertifioitu standardin ISO/IEC 27001:2022 mukaan, ja toimitamme sertifikaatin ja soveltuvuuslausunnon varmennusdokumentaationa.

ISO 27001 -sertifikaattimme ja soveltuvuuslausuntomme kattavat suurimman osan auditointi- ja toimittaja-arviointitarpeista. Jos tarvitset lisäauditoinnin, sovimme laajuudesta, ajoituksesta ja mahdollisista kustannuksista kanssasi etukäteen.

Sinun. Säilytät kaikki oikeudet dataasi (asiakasdataan), ja käsittelemme sitä vain palvelun toimittamiseksi, kuten ehdoissamme ja tietojenkäsittelysopimuksessa on kuvattu.

Kyllä. Jokaiseen asiakkaaseen sovelletaan tietojenkäsittelysopimustamme GDPR:n artiklan 28 mukaisesti. Yritysasiakkaat voivat käyttää myös DPA:ta, joka perustuu Tanskan tietosuojaviranomaisen (Datatilsynet) vakiosopimuspohjaan.

Käytämme pientä määrää huolellisesti valittuja alikäsittelijöitä, esimerkiksi Amazon Web Servicesiä (AWS) hostingiin ja palveluntarjoajaa transaktiosähköpostien lähettämiseen. Jokaista alikäsittelijää sitoo tietojenkäsittelysopimus. Ajantasainen luettelo kuuluu DPA:amme, ja se on saatavilla pyynnöstä.

Kyllä. Ilmoitamme sinulle vähintään 14 päivää ennen kuin lisäämme tai vaihdamme alikäsittelijän, joka käsittelee henkilötietojasi. Jos et hyväksy muutosta, voit irtisanoa sopimuksen.

Kaikki asiakasdata tallennetaan EU:hun. Jos alikäsittelijä käsittelee henkilötietoja EU:n/ETA:n ulkopuolella, esimerkiksi tekoälyominaisuuksia tai bottisuojausta varten, siirtoa suojaavat EU:n komission vakiosopimuslausekkeet (SCC) tai EU:n ja Yhdysvaltojen välinen tietosuojakehys (DPF).

Ei. Käsittelemme dataasi vain ohjeidesi mukaisesti palvelun toimittamiseksi (käyttötarkoitussidonnaisuus). Emme koskaan myy dataasi emmekä käytä sitä omaan markkinointiimme.

Kyllä. Sinä päätät, mitä lomakekenttiä kussakin kampanjassa on ja mitkä niistä ovat pakollisia, joten keräät vain sen datan, jota todella tarvitset (tietojen minimointi).

Sinä päätät säilytysajan. Voit poistaa osallistujadatan milloin tahansa tai ottaa käyttöön automaattisen poiston, esimerkiksi tietyn päivämäärän jälkeen kampanjan päättymisestä. Enimmäissäilytysaika määritellään tietojenkäsittelysopimuksessasi.

Kyllä. Voit viedä osallistujat ja liidit CSV-tiedostona milloin tahansa, lähettää ne automaattisesti omiin järjestelmiisi integraatioidemme kautta tai hakea ne REST API:mme kautta (tietojen siirrettävyys).

Datasi poistetaan tilauksesi päätyttyä ehtojemme ja tietojenkäsittelysopimuksen mukaisesti. Varmuuskopioiden kopiot ylikirjoitetaan varmuuskopioiden kiertäessä. Vie kaikki, minkä haluat säilyttää, ennen tilauksen päättymistä.

Rekisterinpitäjänä sinä käsittelet osallistujien pyynnöt, kuten tietojen tarkastus-, oikaisu- tai poistopyynnöt (GDPR:n artiklat 15–17). Voit etsiä, viedä ja poistaa osallistujadataa alustalla, ja tiimimme auttaa tarvittaessa.

Kaikki asiakasdata tallennetaan Amazon Web Servicesin (AWS) EU:ssa sijaitseviin datakeskuksiin. Emme käytä omia palvelimia, joten fyysisestä ja ympäristöturvallisuudesta vastaa AWS, joka on sertifioitu ISO 27001:n, SOC 2:n ja muiden tunnustettujen standardien mukaan.

• Verkon eristys: kaikki palvelimet ja tietokannat toimivat yksityisessä verkossa (Amazon VPC), johon ei pääse internetistä.
• Reunasuojaus: vain kuormantasaajat (ALB) ja sisällönjakeluverkko (Amazon CloudFront) ovat julkisia, ja niitä suojaa verkkosovellusten palomuuri (AWS WAF).
• Muuttumaton infrastruktuuri: palvelimet toimivat konteissa, joita ei koskaan muuteta käsin. Korvaamme ne uusilla, testatuilla versioilla, eikä SSH-käyttöoikeutta ole.
• Hallitut tietokannat: tietokannat toimivat Amazon RDS:ssä, AWS:n hallinnoimassa tietokantapalvelussa.

Kyllä. Kaikki liikenne kulkee Amazon CloudFrontin ja AWS WAF:n kautta, jotka suodattavat haitalliset pyynnöt ja vaimentavat suuret liikennepiikit (DDoS-suojaus) ennen kuin ne saavuttavat palvelimemme.

Scratcher on monivuokralaisalusta. Jokaisen asiakkaan data on loogisesti erotettu tilin mukaan (vuokralaisten eristys), ja jokainen pyyntö valtuutetaan, joten käyttäjät näkevät vain niiden tilien datan, joihin heillä on pääsy.

Kyllä. API-kutsut ja AWS-ympäristömme muutokset tallennetaan salattuun, väärentämisen paljastavaan auditointilokiin (AWS CloudTrail lokitiedostojen validoinnilla), ja sovelluslokit kerätään keskitetysti (Amazon CloudWatch). Tililläsi näet toimintalokista, mitä käyttäjäsi ovat tehneet.

Ylläpidämme infrastruktuuria yhdessä erikoistuneen DevOps-kumppanin kanssa, joka on itsekin ISO 27001 -sertifioitu. Kumppanit saavat vain työnsä vaatiman käyttöoikeuden (vähimmän oikeuden periaate).

Alustaa tarkistetaan automaattisesti 30 sekunnin välein useilta AWS-alueilta (käytettävyyden valvonta). Operatiivinen tiimimme saa automaattisen hälytyksen, jos jokin menee pieleen, ja useimmat ongelmat havaitaan minuuteissa. Sovellusvirheitä seurataan virheseurannalla.

Kyllä. Automaattinen väärinkäytösten tunnistus toimii taustalla, ja kampanjoissa voi käyttää bottisuojausta (Cloudflare Turnstile), osallistumisrajoituksia, vahvistuskoodeja sekä sähköpostiosoitteiden ja puhelinnumeroiden estolistoja.

Kyllä. Kaikki liikenne alustalle, kampanjoihin ja API:in on salattu TLS:llä (HTTPS).

Kyllä. Tietokannat, tiedostot ja varmuuskopiot on salattu levossa AES-256:lla AWS:n kautta.

AWS hallinnoi salausavaimia (AWS:n hallinnoimat avaimet), ja ne ovat käytettävissä vain niitä tarvitseville palveluille.

Integraatioidesi tunnistetiedot, kuten sähköpostityökalusi tai CRM-järjestelmäsi API-avaimet, salataan lisäksi sovelluksessa AES-256:lla ennen tallennusta (sovellustason salaus).

Salasanoja ei koskaan tallenneta selkotekstinä. Ne tiivistetään ja suolataan bcryptillä, salasanoille suunnitellulla algoritmilla.

Kyllä. Tiimisi voi kirjautua Google-tilillään (Google SSO).

Kyllä. Jokainen käyttäjä voi ottaa käyttöön kaksivaiheisen tunnistautumisen (2FA) todennussovelluksella, kuten Google Authenticatorilla tai Microsoft Authenticatorilla (aikapohjaiset kertakäyttöiset salasanat, TOTP), ja palautuskoodit tarjotaan. Kaksivaiheisen tunnistautumisen yrityksiä rajoitetaan.

Kirjautumisistunnoissa käytetään suojattuja HTTP-only-evästeitä, ja ne päättyvät automaattisesti tietyn käyttämättömyysjakson jälkeen (istunnon aikakatkaisu). Jokainen käyttäjä voi myös kirjautua ulos kaikista muista selainistunnoistaan.

Kyllä. Kirjautumis- ja kaksivaiheisen tunnistautumisen yrityksiä rajoitetaan suojaksi raakaan voimaan perustuvilta hyökkäyksiltä ja salasanan arvaamiselta.

Kyllä. Käyttöoikeuksia hallitaan rooleilla ja oikeuksilla (roolipohjainen käyttöoikeuksien hallinta, RBAC) kahdella tasolla:

• Tilin roolit: Owner, Admin, Manager, Analyst ja Support, joilla kullakin on erilaiset oikeudet käyttäjiin, laskutukseen, kampanjoihin ja dataan.
• Kampanjakohtaiset oikeudet: voit antaa jokaiselle pääsyn tiettyihin kampanjoihin ja päättää, mitä he siellä saavat tehdä, esimerkiksi suunnitella, kirjoittaa tekstejä, hoitaa palkintoja ja voittajia tai vain tarkastella.

Näet toimintalokista, mitä käyttäjäsi ovat tehneet.

Kyllä. REST API:mme toimii vain HTTPS:n kautta, käyttää henkilökohtaisia käyttöoikeustunnisteita ja sen käyttöä rajoitetaan. Scratcherin webhookit allekirjoitetaan jaetulla salaisuudella (HMAC-allekirjoitus), joten voit varmistaa, että ne tulevat meiltä.

Vain työntekijät, jotka tarvitsevat pääsyn työtään varten, ja vain silloin, kun he sitä tarvitsevat (tietotarve-periaate). Tilisi asetuksissa sinä päätät, saako tukitiimimme käyttää tiliäsi auttaakseen sinua.

Käyttöoikeudet noudattavat vähimmän oikeuden periaatetta, käyttävät yksilöllisiä käyttäjätilejä ja tarkistetaan vähintään kerran vuodessa. Työntekijät käyttävät salasanahallintaa, mahdollisuuksien mukaan monivaiheista tunnistautumista ja salattuja kannettavia, ja käyttöoikeudet poistetaan heti, kun joku lähtee (offboarding).

Tietokannat ja palvelimet varmuuskopioidaan automaattisesti joka päivä, ja varmuuskopioita säilytetään vähintään seitsemän päivää. Varmuuskopiot on salattu, ne tallennetaan tuotantojärjestelmistä erilleen erittäin kestävään AWS-tallennustilaan (Amazon S3), ja vain järjestelmänvalvojat voivat lukea ne. Ennen poikkeaman jälkeistä palautustyötä otetaan ensin ylimääräinen varmuuskopio. Palautukset testataan vähintään kerran vuodessa.

Meillä on liiketoiminnan jatkuvuus- ja katastrofipalautussuunnitelmat (BC/DR) AWS:n katkoja, alustan katkoja ja kampanjoihin kohdistuvia hyökkäyksiä varten. Suunnitelmat tarkistetaan ja harjoitellaan joka vuosi. Jos katko kestää yli tunnin, kaikille asiakkaille ilmoitetaan sähköpostitse. Operatiivinen tiimimme reagoi käyttökatkoon 1 tunnin kuluessa työaikana ja 3 tunnin kuluessa työajan ulkopuolella, ja päivystys on käytössä ympäri vuorokauden.

Tuki sisältyy jokaiseen tilaukseen. Yritysasiakkaat voivat sopia kanssamme erityisistä palvelutasoista.

Noudatamme dokumentoitua poikkeamienhallintaprosessia: poikkeamat ilmoitetaan tietoturvapäällikölle, arvioidaan, rajataan, analysoidaan perimmäisen syyn selvittämiseksi (juurisyyanalyysi) ja niille tehdään korjaavat toimenpiteet. Jokainen poikkeama kirjataan ja käydään läpi.

Kyllä. Jos loukkaus koskee henkilötietojasi, ilmoitamme sinulle ilman aiheetonta viivytystä ja 24 tunnin kuluessa ja autamme sinua omassa ilmoituksessasi valvontaviranomaiselle 72 tunnin kuluessa (GDPR:n artiklat 33 ja 34).

Asiakasdatan luottamuksellisuuden tai eheyden loukkausta ei kirjattu viimeisimmässä tietoturvallisuuden hallintajärjestelmän vuosikatselmuksessamme.

Kirjoita osoitteeseen contact@scratcher.io ja kerro mahdollisimman yksityiskohtaisesti. Noudatamme haavoittuvuuksien julkistamiskäytäntöä (vastuullinen julkistaminen), tutkimme jokaisen ilmoituksen ja palaamme asiaan.

Noudatamme dokumentoitua turvallista ohjelmistokehityksen elinkaarta (SDLC), joka perustuu standardiin ISO/IEC 27001:2022 (kontrollit 8.25–8.33). Jokaisella ominaisuudella on omistaja, joka vastaa tietoturvasta ideasta käytöstä poistoon, ja tietoturvavaatimukset määritellään jo määrittely- ja suunnitteluvaiheessa.

• Tietoturva suunnittelussa ja oletuksena: tietoturva rakennetaan mukaan alusta alkaen, ja turvallisimmat asetukset ovat oletuksena.
• Vähimmän oikeuden periaate: ihmiset, palvelut ja kumppanit saavat vain tarvitsemansa käyttöoikeuden eivätkä muuta.
• Syvyyssuojaus: useita toisistaan riippumattomia suojakerroksia, jotta yksi vika ei paljasta dataa.
• Oletuksena esto: pääsy estetään, ellei sitä ole nimenomaisesti sallittu.
• Zero trust: älä koskaan luota, tarkista aina. Jokainen pyyntö todennetaan ja valtuutetaan riippumatta siitä, tuleeko se verkon sisä- vai ulkopuolelta.
• Epäonnistu turvallisesti ja oleta loukkaus: järjestelmät suunnitellaan pysymään turvallisina, jos jokin menee pieleen.
• Vähin toiminnallisuus: vain tarvittavat ominaisuudet ja palvelut on otettu käyttöön.
• Älä luota ulkoiseen syötteeseen: kaikki syöte validoidaan.

Kaikki koodi säilytetään versionhallinnassa (Git), ja jokainen muutos kulkee pull requestin kautta vertaiskoodikatselmoinnin kera ennen yhdistämistä. Automaattiset yksikkö-, ominaisuus- ja arkkitehtuuritestit ajetaan jokaisessa pull requestissa, ja arkkitehtuuritestit estävät turvattomien koodimallien yhdistämisen. Linttaus ja automaattinen refaktorointi ajetaan jokaisessa commitissa, ja suunnittelu- ja tekniset muutokset hyväksyy teknologiajohtajamme (CTO).

Alusta on rakennettu vakiintuneille, aktiivisesti ylläpidetyille kehyksille (Laravel ja Vue), joissa on sisäänrakennettu suoja OWASP Top 10 -luettelon yleisiä haavoittuvuuksia vastaan, kuten SQL-injektiota, cross-site scriptingiä (XSS) ja cross-site request forgeryä (CSRF) vastaan. Kaikki syöte validoidaan palvelimella, ja arkojen päätepisteiden käyttöä rajoitetaan. Epäilyttävät pyynnöt kirjataan ja käydään läpi.

Kyllä. Kehitys, testaus (staging) ja tuotanto ovat erillisiä ympäristöjä erillisillä käyttöoikeuksilla. Muutokset testataan stagingissa ennen kuin ne saavuttavat tuotannon, ja käytäntömme mukaan tuotantodataa ei kopioida kehitys- tai testiympäristöihin.

Muutokset otetaan käyttöön automatisoidun CI/CD-putken kautta, joka rakentaa uuden, versioidun konttikuvan jokaiselle julkaisulle. Tietokantamuutokset ajetaan hallittuna osana käyttöönottoa, ja koska jokainen julkaisu on erillinen kuva, voimme tarvittaessa palata nopeasti edelliseen versioon. Kukaan yksittäinen henkilö ei voi muuttaa tuotantoa ilman tarkistusta ja hyväksyntää (tehtävien eriyttäminen).

Lähdekoodimme säilytetään yksityisissä repositorioissa, joissa on käyttöoikeuksien hallinta ja täysi versiohistoria. Salaisuuksia, kuten salasanoja ja API-avaimia, ei koskaan tallenneta koodiin; ne säilytetään AWS Secrets Managerissa ja syötetään ajonaikaisesti.

Käytämme vain tunnettuja, aktiivisesti ylläpidettyjä avoimen lähdekoodin kirjastoja hyvämaineisista lähteistä. Uudet kirjastot on hyväksyttävä ennen käyttöä, versiot lukitaan (lukitustiedostot) ja riippuvuuksia päivitetään jatkuvasti (ohjelmiston toimitusketjun turvallisuus).

Kehittäjämme pitävät tietoturvakatselmuksen joka viikko (haavoittuvuuksien hallinta). Tiimimme, työkalumme löytämät tai meille ilmoitetut haavoittuvuudet arvioidaan, priorisoidaan ja korjataan, ja tarvittaessa ne käsitellään poikkeamaprosessimme kautta.

Kyllä. Kehittäjämme noudattavat turvallisen koodauksen ohjeita ja saavat tietoturvatietoisuuskoulutuksen aloittaessaan ja jatkuvasti.

Teemme riskiarvioinnin todennäköisyyden ja vaikutuksen perusteella. Riskit käydään läpi joka kuukausi, ja jokainen riski arvioidaan uudelleen vähintään kerran vuodessa (riskienhallinta).

Teknologiajohtajamme (CTO) toimii tietoturvapäällikkönä (ISM), ja johto hyväksyy tietoturvakäytäntömme. Käytännöt tarkistetaan joka vuosi.

Tietoturvallisuuden hallintajärjestelmämme (ISMS) sisältää hyväksytyt käytännöt muun muassa seuraaville:

• Tietoturva ja hyväksyttävä käyttö
• Tietojen luokittelu ja tietojen siirto
• Pääsynhallinta ja kryptografia (avainten hallinta mukaan lukien)
• Toimittajasuhteet ja pilvipalvelut
• Henkilötietojen (PII) ja tallenteiden suojaus
• Etätyö, puhdas pöytä ja puhdas näyttö, päätelaitteet ja irrotettavat tallennusvälineet
• Lokitus ja valvonta, varmuuskopiointi ja tietojen säilytys
• Haavoittuvuuksien hallinta ja haavoittuvuuksien julkistaminen
• Tekoälyn käyttö

Johto hyväksyy käytännöt, ne tiedotetaan kaikille työntekijöille ja ne tarkistetaan joka vuosi.

Kyllä. Uusille työntekijöille tehdään taustaselvitys ennen aloittamista, he allekirjoittavat salassapitosopimukset (NDA) ja saavat tietoturvatietoisuuskoulutuksen aloittaessaan ja jatkuvasti.

Scratcher on etätyö edellä -yritys. Etätyökäytäntömme edellyttää turvallisia kotitoimistoja, näytön lukitusta, salattuja laitteita, suojattua wifiä (WPA2/WPA3) ja VPN:ää julkisissa verkoissa.

Kyllä. Tiedot luokitellaan luottamuksellisuuden, eheyden ja saatavuuden (CIA) mukaan, ja niitä käsitellään tason mukaisesti.

Toimittajien luottamuksellisuus, eheys ja saatavuus arvioidaan ennen kuin otamme heidät käyttöön (toimittajariskien hallinta). Tietoturvavaatimukset ovat osa sopimuksiamme, ja toimittajat arvioidaan säännöllisesti.

Tekoälyominaisuutemme, mukaan lukien tekoälyavustaja Rex, käyttävät Google Geminin suuria kielimalleja (LLM) ja fal.ai:n kuvamalleja. Tarjoajat arvioidaan toimittajaprosessissamme, ja tekoälyn käyttöä koskeva käytäntömme kattaa sen, miten tekoälyä käytetään.

Kyllä. Tekoälykäytäntömme edellyttää ihmisen valvontaa (human in the loop) tärkeissä päätöksissä. Tekoälyllä tehdyt muutokset tapahtuvat editorissa, ja tiimisi päättää, milloin kampanja julkaistaan. Rex ja muut tekoälyominaisuudet tekevät muutoksia vain, kun joku tiimistäsi pyytää niitä.

Oletuksena kampanjat käyttävät vain toiminnallisia evästeitä ja tallennustilaa: evästeitä, jotka tasaavat liikennettä palvelimiemme välillä (kuormantasaajan evästeet), selaimen paikallista tallennustilaa, esimerkiksi muistamaan, että joku on jo pelannut, ja verkkosivustollesi upotettujen ponnahdusikkunoiden osalta evästeitä, jotka ohjaavat, kuinka usein ponnahdusikkuna näytetään. Jos lisäät oman seurannan, esimerkiksi Google Tag Managerin tai Meta Pixelin, se latautuu vasta, kun osallistuja on antanut suostumuksen kampanjan evästebannerissa. Jos bottisuojaus (Cloudflare Turnstile) on käytössä, myös Cloudflare käsittelee teknistä dataa, kuten IP-osoitetta ja selaimen signaaleja.

Kyllä. Kirjoitat omat suostumustekstisi ja ehtosi, valitset, mitkä kentät ovat pakollisia, ja voit käyttää double opt-iniä uutiskirjetilauksissa.

Transaktiosähköpostit, kuten palkintosähköpostit, lähetetään sähköpostintoimituspalveluntarjoajamme kautta. Voit lähettää ne omasta verkkotunnuksestasi, jolloin osallistujat tunnistavat lähettäjän.

Kyllä. Professional- ja Enterprise-paketeissa kampanjat voivat toimia omassa verkko-osoitteessasi (oma verkkotunnus), ja osallistujille voi lähettää sähköposteja omasta verkkotunnuksestasi.

• ISO/IEC 27001:2022 -sertifikaatti: lataa se täältä
• Soveltuvuuslausunto (SoA) pyynnöstä
• Tietojenkäsittelysopimus (DPA) alikäsittelijöiden luettelo mukaan lukien
• Vastaukset tietoturvakyselyysi tai toimittaja-arviointiisi

Kyllä. Lähetä meille tietoturvakyselysi tai toimittaja-arviointisi, niin täytämme sen. Moniin kysymyksiin on jo vastattu tällä sivulla.

Kirjoita osoitteeseen contact@scratcher.io tai varaa tapaaminen. Scratcher ApS, CVR 38552864.