Vos questions de sécurité, nos réponses

Oui. Scratcher ApS est certifié ISO/IEC 27001:2022, la norme internationale relative aux systèmes de management de la sécurité de l’information (SMSI). La certification est délivrée par Bureau Veritas Certification sous accréditation (FINAS), certificat n° FIHSK27150F, valable jusqu’au 7 novembre 2028. Nous sommes certifiés depuis novembre 2022.

Télécharger le certificat (PDF)

Le périmètre certifié est le développement, la vente et le support de logiciels pour les campagnes interactives, le marketing et les activités associées, y compris la collecte de données et de consentements. Concrètement, il couvre la plateforme Scratcher, les campagnes qui y sont diffusées, nos processus et l’infrastructure cloud qui les soutient.

Bureau Veritas réalise chaque année un audit de surveillance externe et tous les trois ans un audit de recertification. Avant chaque audit externe, nous menons un audit interne de tous les processus du SMSI ainsi qu’une revue de direction.

Oui. Notre déclaration d’applicabilité est alignée sur les mesures de l’annexe A de l’ISO/IEC 27001:2022 (ISO/IEC 27002:2022) et indique quelles mesures s’appliquent et comment elles sont mises en œuvre. Les clients Enterprise peuvent la demander.

Oui. Nous traitons les données personnelles conformément au Règlement général sur la protection des données de l’UE (RGPD). Pour les données de campagne, vous êtes le responsable du traitement et Scratcher est le sous-traitant (article 28), dans le cadre d’un accord de traitement des données (DPA).

Non. Notre sécurité de l’information est certifiée ISO/IEC 27001:2022, et nous fournissons le certificat ainsi que la déclaration d’applicabilité comme documentation d’assurance.

Notre certificat ISO 27001 et notre déclaration d’applicabilité répondent à la plupart des besoins d’audit et d’évaluation des fournisseurs. Si vous avez besoin d’un audit supplémentaire, nous convenons avec vous à l’avance du périmètre, du calendrier et des éventuels coûts.

À vous. Vous conservez tous les droits sur vos données (données clients), et nous ne les traitons que pour fournir le service, comme décrit dans nos conditions et dans l’accord de traitement des données.

Oui. Chaque client est couvert par notre accord de traitement des données conformément à l’article 28 du RGPD. Les clients Enterprise peuvent également utiliser un DPA fondé sur le modèle contractuel type de l’autorité danoise de protection des données (Datatilsynet).

Nous faisons appel à un petit nombre de sous-traitants ultérieurs soigneusement sélectionnés, par exemple Amazon Web Services (AWS) pour l’hébergement et un prestataire pour l’envoi d’e-mails transactionnels. Chaque sous-traitant ultérieur est lié par un accord de traitement des données. La liste à jour fait partie de notre DPA et est disponible sur demande.

Oui. Nous vous prévenons au moins 14 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur qui traite vos données personnelles. Si vous n’acceptez pas ce changement, vous pouvez résilier le contrat.

Toutes les données clients sont stockées dans l’UE. Si un sous-traitant ultérieur traite des données personnelles en dehors de l’UE/EEE, par exemple pour des fonctions d’IA ou la protection contre les bots, le transfert est protégé par les clauses contractuelles types (CCT) de la Commission européenne ou par le cadre de protection des données UE–États-Unis (DPF).

Non. Nous ne traitons vos données que sur vos instructions, pour fournir le service (limitation des finalités). Nous ne vendons jamais vos données et ne les utilisons jamais pour notre propre marketing.

Oui. Vous décidez des champs de formulaire de chaque campagne et de ceux qui sont obligatoires, de sorte que vous ne collectez que les données dont vous avez réellement besoin (minimisation des données).

Vous décidez de la durée de conservation. Vous pouvez supprimer les données des participants à tout moment ou configurer une suppression automatique, par exemple un nombre de jours défini après la fin d’une campagne. La durée maximale de conservation est précisée dans votre accord de traitement des données.

Oui. Vous pouvez exporter à tout moment les participants et les leads au format CSV, les envoyer automatiquement vers vos propres systèmes grâce à nos intégrations, ou les récupérer via notre API REST (portabilité des données).

Vos données sont supprimées après la fin de votre abonnement, conformément à nos conditions et à l’accord de traitement des données. Les copies présentes dans les sauvegardes sont écrasées au fil de la rotation des sauvegardes. Exportez tout ce que vous souhaitez conserver avant la fin de l’abonnement.

En tant que responsable du traitement, vous gérez les demandes des participants, comme l’accès, la rectification ou l’effacement (articles 15 à 17 du RGPD). Vous pouvez retrouver, exporter et supprimer les données des participants dans la plateforme, et notre équipe vous aide si nécessaire.

Toutes les données clients sont stockées dans des centres de données Amazon Web Services (AWS) situés dans l’UE. Nous n’exploitons pas de serveurs propres : la sécurité physique et environnementale est donc assurée par AWS, certifié ISO 27001, SOC 2 et d’autres normes reconnues.

• Isolation du réseau : tous les serveurs et bases de données fonctionnent dans un réseau privé (Amazon VPC) inaccessible depuis Internet.
• Protection en périphérie : seuls les répartiteurs de charge (ALB) et le réseau de diffusion de contenu (Amazon CloudFront) sont publics, et ils sont protégés par un pare-feu applicatif web (AWS WAF).
• Infrastructure immuable : les serveurs s’exécutent sous forme de conteneurs qui ne sont jamais modifiés à la main. Nous les remplaçons par de nouvelles versions testées, et il n’existe aucun accès SSH.
• Bases de données gérées : les bases de données fonctionnent sur Amazon RDS, un service de base de données géré par AWS.

Oui. Tout le trafic passe par Amazon CloudFront et AWS WAF, qui filtrent les requêtes malveillantes et absorbent les pics de trafic importants (protection DDoS) avant qu’ils n’atteignent nos serveurs.

Scratcher est une plateforme multi-tenant. Les données de chaque client sont séparées logiquement par compte (isolation des tenants), et chaque requête est autorisée, de sorte que les utilisateurs ne voient que les données des comptes auxquels ils ont accès.

Oui. Les appels d’API et les modifications de notre environnement AWS sont enregistrés dans une piste d’audit chiffrée et inviolable (AWS CloudTrail avec validation des fichiers de journaux), et les journaux d’application sont collectés de manière centralisée (Amazon CloudWatch). Dans votre compte, vous pouvez consulter les actions de vos utilisateurs dans le journal d’activité.

Nous exploitons l’infrastructure avec un partenaire DevOps spécialisé, lui-même certifié ISO 27001. Les partenaires n’obtiennent que les accès nécessaires à leur travail (principe du moindre privilège).

La plateforme est vérifiée automatiquement toutes les 30 secondes depuis plusieurs régions AWS (surveillance de la disponibilité). Notre équipe d’exploitation est alertée automatiquement en cas de problème, et la plupart des incidents sont détectés en quelques minutes. Les erreurs applicatives sont suivies grâce à une surveillance des erreurs.

Oui. Une détection automatique des abus fonctionne en arrière-plan, et les campagnes peuvent utiliser une protection contre les bots (Cloudflare Turnstile), des limites de participation, des codes de vérification et des listes de blocage d’adresses e-mail et de numéros de téléphone.

Oui. Tout le trafic vers la plateforme, les campagnes et l’API est chiffré avec TLS (HTTPS).

Oui. Les bases de données, les fichiers et les sauvegardes sont chiffrés au repos en AES-256 via AWS.

Les clés de chiffrement sont gérées par AWS (clés gérées par AWS) et ne sont accessibles qu’aux services qui en ont besoin.

Les identifiants de vos intégrations, comme les clés d’API de votre outil d’e-mailing ou de votre CRM, sont en plus chiffrés dans l’application en AES-256 avant d’être stockés (chiffrement au niveau applicatif).

Les mots de passe ne sont jamais stockés en clair. Ils sont hachés et salés avec bcrypt, un algorithme conçu pour les mots de passe.

Oui. Votre équipe peut se connecter avec son compte Google (SSO Google).

Oui. Chaque utilisateur peut activer l’authentification à deux facteurs (2FA) avec une application d’authentification comme Google Authenticator ou Microsoft Authenticator (mots de passe à usage unique basés sur le temps, TOTP), et des codes de récupération sont fournis. Le nombre de tentatives à deux facteurs est limité.

Les sessions de connexion utilisent des cookies sécurisés en HTTP-only et prennent fin automatiquement après une période d’inactivité (expiration de session). Chaque utilisateur peut aussi se déconnecter de toutes ses autres sessions de navigateur.

Oui. Le nombre de tentatives de connexion et d’authentification à deux facteurs est limité afin de se protéger contre les attaques par force brute et la devinette de mots de passe.

Oui. Les accès sont contrôlés par des rôles et des autorisations (contrôle d’accès basé sur les rôles, RBAC) à deux niveaux :

• Rôles du compte : Owner, Admin, Manager, Analyst et Support, chacun avec des droits différents sur les utilisateurs, la facturation, les campagnes et les données.
• Autorisations par campagne : vous pouvez donner à chaque personne l’accès à des campagnes précises et décider de ce qu’elle peut y faire, par exemple concevoir le design, rédiger les textes, gérer les lots et les gagnants, ou simplement relire.

Vous pouvez consulter les actions de vos utilisateurs dans le journal d’activité.

Oui. Notre API REST fonctionne uniquement en HTTPS, utilise des jetons d’accès personnels et son débit est limité. Les webhooks de Scratcher sont signés avec un secret partagé (signature HMAC), ce qui vous permet de vérifier qu’ils viennent bien de nous.

Uniquement les employés qui ont besoin d’y accéder pour leur travail, et uniquement quand ils en ont besoin (besoin d’en connaître). Dans les paramètres de votre compte, vous décidez si notre équipe de support peut accéder à votre compte pour vous aider.

Les accès suivent le principe du moindre privilège, reposent sur des comptes utilisateurs uniques et sont revus au moins une fois par an. Les employés utilisent un gestionnaire de mots de passe, l’authentification multifacteur dans la mesure du possible et des ordinateurs portables chiffrés, et les accès sont révoqués dès qu’une personne quitte l’entreprise (offboarding).

Les bases de données et les serveurs sont sauvegardés automatiquement chaque jour, et au moins sept jours de sauvegardes sont conservés. Les sauvegardes sont chiffrées, stockées séparément des systèmes de production dans un stockage AWS très durable (Amazon S3) et ne peuvent être lues que par des administrateurs. Avant toute opération de rétablissement après un incident, une sauvegarde supplémentaire est d’abord réalisée. Les restaurations sont testées au moins une fois par an.

Nous disposons de plans de continuité d’activité et de reprise après sinistre (PCA/PRA) pour les pannes chez AWS, les pannes de la plateforme et les attaques visant des campagnes. Les plans sont revus et testés chaque année. Si une panne dure plus d’une heure, tous les clients sont informés par e-mail. Notre équipe d’exploitation réagit à une indisponibilité dans l’heure pendant les heures ouvrées et dans les 3 heures en dehors, avec une astreinte 24 h/24.

Le support est inclus dans chaque abonnement. Les clients Enterprise peuvent convenir de niveaux de service spécifiques avec nous.

Nous suivons un processus documenté de gestion des incidents : les incidents sont signalés à notre responsable de la sécurité de l’information, évalués, contenus, analysés pour en trouver la cause profonde (analyse des causes racines) et suivis d’actions correctives. Chaque incident est consigné et revu.

Oui. Si une violation touche vos données personnelles, nous vous en informons sans retard injustifié et dans un délai de 24 heures, et nous vous aidons pour votre propre notification à l’autorité de contrôle dans un délai de 72 heures (articles 33 et 34 du RGPD).

Aucune atteinte à la confidentialité ou à l’intégrité des données clients n’a été enregistrée lors de notre dernière revue annuelle du système de management de la sécurité de l’information.

Merci d’écrire à contact@scratcher.io en donnant le plus de détails possible. Nous suivons une politique de divulgation des vulnérabilités (divulgation responsable), examinons chaque signalement et revenons vers vous.

Nous suivons un cycle de vie de développement logiciel sécurisé (SDLC) documenté, fondé sur l’ISO/IEC 27001:2022 (mesures 8.25 à 8.33). Chaque fonctionnalité a un responsable qui veille à la sécurité de l’idée jusqu’au retrait, et les exigences de sécurité sont définies dès la phase de spécification et de conception.

• Sécurité dès la conception et par défaut : la sécurité est intégrée dès le départ, et les paramètres les plus sûrs sont ceux par défaut.
• Moindre privilège : les personnes, les services et les partenaires n’obtiennent que l’accès dont ils ont besoin, rien de plus.
• Défense en profondeur : plusieurs couches de protection indépendantes, de sorte qu’une défaillance n’expose pas les données.
• Refus par défaut : l’accès est bloqué tant qu’il n’a pas été explicitement autorisé.
• Zero trust : ne jamais faire confiance, toujours vérifier. Chaque requête est authentifiée et autorisée, qu’elle vienne de l’intérieur ou de l’extérieur du réseau.
• Défaillance sécurisée et hypothèse de compromission : les systèmes sont conçus pour rester sûrs en cas de problème.
• Fonctionnalité minimale : seuls les fonctionnalités et services nécessaires sont activés.
• Méfiance envers les entrées externes : toutes les entrées sont validées.

Tout le code est conservé dans un système de gestion de versions (Git), et chaque modification passe par une pull request avec relecture de code par les pairs avant d’être fusionnée. Des tests automatisés unitaires, fonctionnels et d’architecture s’exécutent à chaque pull request, et les tests d’architecture empêchent la fusion de schémas de code dangereux. Le linting et le refactoring automatisé s’exécutent à chaque commit, et les changements de conception et techniques sont validés par notre CTO.

La plateforme repose sur des frameworks reconnus et activement maintenus (Laravel et Vue) qui intègrent une protection contre les vulnérabilités courantes du Top 10 de l’OWASP, comme l’injection SQL, le cross-site scripting (XSS) et la falsification de requêtes inter-sites (CSRF). Toutes les entrées sont validées côté serveur, et le débit des points d’accès sensibles est limité. Les requêtes suspectes sont journalisées et examinées.

Oui. Le développement, le test (staging) et la production sont des environnements distincts, avec des accès distincts. Les modifications sont testées en staging avant d’atteindre la production, et notre politique veut que les données de production ne soient pas copiées dans les environnements de développement ou de test.

Les modifications sont déployées via un pipeline CI/CD automatisé qui construit une nouvelle image de conteneur versionnée pour chaque version. Les modifications de base de données s’exécutent comme une étape contrôlée du déploiement et, comme chaque version est une image distincte, nous pouvons revenir rapidement à la version précédente si nécessaire. Personne ne peut modifier la production seul, sans relecture ni validation (séparation des tâches).

Notre code source est conservé dans des dépôts privés avec contrôle d’accès et historique complet des versions. Les secrets, comme les mots de passe et les clés d’API, ne sont jamais stockés dans le code : ils sont conservés dans AWS Secrets Manager et injectés à l’exécution.

Nous n’utilisons que des bibliothèques open source connues, activement maintenues et issues de sources fiables. Les nouvelles bibliothèques doivent être approuvées avant utilisation, les versions sont verrouillées (fichiers de verrouillage) et les dépendances sont mises à jour en continu (sécurité de la chaîne d’approvisionnement logicielle).

Nos développeurs tiennent une revue de sécurité chaque semaine (gestion des vulnérabilités). Les vulnérabilités détectées par notre équipe, nos outils ou qui nous sont signalées sont évaluées, hiérarchisées et corrigées, puis traitées via notre processus d’incident si nécessaire.

Oui. Nos développeurs suivent des consignes de développement sécurisé et reçoivent une formation de sensibilisation à la sécurité à leur arrivée, puis de manière continue.

Nous réalisons une évaluation des risques fondée sur la probabilité et l’impact. Les risques sont revus chaque mois, et chaque risque est réévalué au moins une fois par an (gestion des risques).

Notre CTO est le responsable de la sécurité de l’information (RSSI), et la direction approuve nos politiques de sécurité de l’information. Les politiques sont revues chaque année.

Notre système de management de la sécurité de l’information (SMSI) comprend des politiques approuvées portant notamment sur :

• La sécurité de l’information et l’utilisation acceptable
• La classification et le transfert de l’information
• Le contrôle d’accès et la cryptographie (y compris la gestion des clés)
• Les relations avec les fournisseurs et les services cloud
• La protection des données personnelles (PII) et des enregistrements
• Le travail à distance, le bureau et l’écran dégagés, les postes de travail et les supports amovibles
• La journalisation et la surveillance, la sauvegarde et la conservation des données
• La gestion et la divulgation des vulnérabilités
• L’utilisation de l’IA

Les politiques sont approuvées par la direction, communiquées à tous les employés et revues chaque année.

Oui. Les nouveaux employés font l’objet d’une vérification de leurs antécédents avant leur arrivée, signent des accords de confidentialité (NDA) et reçoivent une formation de sensibilisation à la sécurité à leur arrivée, puis de manière continue.

Scratcher est une entreprise remote-first. Notre politique de travail à distance exige des bureaux à domicile sécurisés, le verrouillage de l’écran, des appareils chiffrés, un Wi-Fi protégé (WPA2/WPA3) et un VPN sur les réseaux publics.

Oui. L’information est classifiée selon la confidentialité, l’intégrité et la disponibilité (CIA) et traitée en fonction de son niveau.

Les fournisseurs sont évalués sur la confidentialité, l’intégrité et la disponibilité avant que nous ne fassions appel à eux (gestion des risques fournisseurs). Les exigences de sécurité font partie de nos contrats, et les fournisseurs sont revus régulièrement.

Nos fonctionnalités d’IA, y compris Rex, l’assistant IA, utilisent des grands modèles de langage (LLM) de Google Gemini et des modèles d’image de fal.ai. Les fournisseurs sont évalués dans notre processus d’évaluation des fournisseurs, et notre politique d’utilisation de l’IA encadre la façon dont l’IA est utilisée.

Oui. Notre politique en matière d’IA exige une supervision humaine (human in the loop) pour les décisions importantes. Les modifications réalisées avec l’IA se font dans l’éditeur, et votre équipe décide du moment où une campagne est publiée. Rex et les autres fonctionnalités d’IA n’apportent des modifications que lorsqu’une personne de votre équipe le leur demande.

Par défaut, les campagnes n’utilisent que des cookies et un stockage fonctionnels : des cookies qui répartissent le trafic entre nos serveurs (cookies de répartition de charge), le stockage local du navigateur, par exemple pour mémoriser qu’une personne a déjà joué, et, pour les pop-ups intégrés à votre site web, des cookies qui contrôlent la fréquence d’affichage du pop-up. Si vous ajoutez votre propre suivi, par exemple Google Tag Manager ou le Pixel Meta, il ne se charge qu’après que le participant a donné son consentement dans la bannière de cookies de la campagne. Si une protection contre les bots (Cloudflare Turnstile) est activée, Cloudflare traite également des données techniques telles que l’adresse IP et les signaux du navigateur.

Oui. Vous rédigez vos propres textes de consentement et conditions, choisissez les champs obligatoires et pouvez utiliser le double opt-in pour les inscriptions à la newsletter.

Les e-mails transactionnels, comme les e-mails de lots, sont envoyés via notre prestataire d’envoi d’e-mails. Vous pouvez les envoyer depuis votre propre domaine, afin que les participants reconnaissent l’expéditeur.

Oui. Avec les offres Professional et Enterprise, les campagnes peuvent fonctionner sur votre propre adresse web (domaine personnalisé), et les e-mails aux participants peuvent être envoyés depuis votre propre domaine.

• Certificat ISO/IEC 27001:2022 : à télécharger ici
• Déclaration d’applicabilité (SoA), sur demande
• Accord de traitement des données (DPA), y compris la liste des sous-traitants ultérieurs
• Réponses à votre questionnaire de sécurité ou à votre évaluation fournisseur

Oui. Envoyez-nous votre questionnaire de sécurité ou votre évaluation fournisseur, et nous le remplirons. De nombreuses questions trouvent déjà leur réponse sur cette page.

Écrivez à contact@scratcher.io ou réservez un rendez-vous. Scratcher ApS, CVR 38552864.