Domande sulla sicurezza, con le risposte

Sì. Scratcher ApS è certificata ISO/IEC 27001:2022, lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni (ISMS). La certificazione è rilasciata da Bureau Veritas Certification con accreditamento (FINAS), certificato n. FIHSK27150F, valido fino al 7 novembre 2028. Siamo certificati da novembre 2022.

Scarica il certificato (PDF)

L'ambito certificato è lo sviluppo, la vendita e il supporto di software per campagne interattive, marketing e attività correlate, compresa la raccolta di dati e consensi. In pratica comprende la piattaforma Scratcher, le campagne che vi girano, i nostri processi e l'infrastruttura cloud che ne sta alla base.

Bureau Veritas esegue ogni anno un audit di sorveglianza esterno e ogni tre anni un audit di ricertificazione. Prima di ogni audit esterno eseguiamo un audit interno di tutti i processi dell'ISMS e un riesame della direzione.

Sì. La nostra Dichiarazione di applicabilità è mappata sui controlli dell'Allegato A della ISO/IEC 27001:2022 (ISO/IEC 27002:2022) e mostra quali controlli si applicano e come sono implementati. I clienti enterprise possono richiederla.

Sì. Trattiamo i dati personali in conformità al Regolamento generale sulla protezione dei dati dell'UE (GDPR). Per i dati delle campagne, tu sei il titolare del trattamento e Scratcher è il responsabile del trattamento (articolo 28), in base a un accordo sul trattamento dei dati (DPA).

No. La nostra sicurezza delle informazioni è invece certificata ISO/IEC 27001:2022 e, come documentazione di garanzia, forniamo il certificato e la Dichiarazione di applicabilità.

Il nostro certificato ISO 27001 e la Dichiarazione di applicabilità coprono la maggior parte delle esigenze di audit e di valutazione dei fornitori. Se ti serve un audit aggiuntivo, concordiamo con te in anticipo ambito, tempistiche ed eventuali costi.

Tuoi. Conservi tutti i diritti sui tuoi dati (dati del cliente) e noi li trattiamo solo per erogare il servizio, come descritto nei nostri termini e nell'accordo sul trattamento dei dati.

Sì. Ogni cliente è coperto dal nostro accordo sul trattamento dei dati ai sensi dell'articolo 28 del GDPR. I clienti enterprise possono anche usare un DPA basato sul modello contrattuale standard dell'Autorità danese per la protezione dei dati (Datatilsynet).

Utilizziamo un numero ridotto di sub-responsabili del trattamento selezionati con cura, ad esempio Amazon Web Services (AWS) per l'hosting e un fornitore per l'invio delle email transazionali. Ogni sub-responsabile è vincolato da un accordo sul trattamento dei dati. L'elenco aggiornato fa parte del nostro DPA ed è disponibile su richiesta.

Sì. Ti avvisiamo almeno 14 giorni prima di aggiungere o sostituire un sub-responsabile che tratta i tuoi dati personali. Se non accetti la modifica, puoi recedere dal contratto.

Tutti i dati dei clienti sono archiviati nell'UE. Se un sub-responsabile tratta dati personali al di fuori dell'UE/SEE, ad esempio per le funzionalità di IA o la protezione dai bot, il trasferimento è protetto dalle clausole contrattuali standard (SCC) della Commissione UE o dall'EU–US Data Privacy Framework (DPF).

No. Trattiamo i tuoi dati solo secondo le tue istruzioni per erogare il servizio (limitazione della finalità). Non vendiamo mai i tuoi dati e non li usiamo per il nostro marketing.

Sì. Decidi tu quali campi del modulo ha ogni campagna e quali sono obbligatori, così raccogli solo i dati che ti servono davvero (minimizzazione dei dati).

Il periodo di conservazione lo decidi tu. Puoi eliminare i dati dei partecipanti in qualsiasi momento o impostare l'eliminazione automatica, ad esempio dopo un certo numero di giorni dalla fine di una campagna. Il periodo massimo di conservazione è stabilito nel tuo accordo sul trattamento dei dati.

Sì. Puoi esportare partecipanti e lead in CSV in qualsiasi momento, inviarli automaticamente ai tuoi sistemi tramite le nostre integrazioni oppure recuperarli tramite la nostra API REST (portabilità dei dati).

I tuoi dati vengono eliminati dopo la fine del tuo abbonamento, in conformità ai nostri termini e all'accordo sul trattamento dei dati. Le copie nei backup vengono sovrascritte con la rotazione dei backup. Esporta tutto ciò che vuoi conservare prima della fine dell'abbonamento.

Come titolare del trattamento, gestisci tu le richieste dei partecipanti, come accesso, rettifica o cancellazione (articoli 15–17 del GDPR). Nella piattaforma puoi trovare, esportare ed eliminare i dati dei partecipanti e il nostro team ti aiuta se serve.

Tutti i dati dei clienti sono archiviati nei data center di Amazon Web Services (AWS) nell'UE. Non gestiamo server nostri, quindi la sicurezza fisica e ambientale è affidata ad AWS, certificata ISO 27001, SOC 2 e altri standard riconosciuti.

• Isolamento di rete: tutti i server e i database girano in una rete privata (Amazon VPC) non raggiungibile da internet.
• Protezione perimetrale: solo i load balancer (ALB) e la content delivery network (Amazon CloudFront) sono pubblici e sono protetti da un web application firewall (AWS WAF).
• Infrastruttura immutabile: i server girano come container che non vengono mai modificati a mano. Li sostituiamo con versioni nuove e testate e non c'è accesso SSH.
• Database gestiti: i database girano su Amazon RDS, un servizio di database gestito da AWS.

Sì. Tutto il traffico passa attraverso Amazon CloudFront e AWS WAF, che filtrano le richieste dannose e assorbono i picchi di traffico elevati (protezione DDoS) prima che raggiungano i nostri server.

Scratcher è una piattaforma multi-tenant. I dati di ogni cliente sono separati logicamente per account (isolamento dei tenant) e ogni richiesta viene autorizzata, quindi gli utenti vedono solo i dati degli account a cui hanno accesso.

Sì. Le chiamate API e le modifiche al nostro ambiente AWS vengono registrate in un audit trail crittografato e a prova di manomissione (AWS CloudTrail con validazione dei file di log) e i log dell'applicazione sono raccolti in modo centralizzato (Amazon CloudWatch). Nel tuo account puoi vedere cosa hanno fatto i tuoi utenti nel registro delle attività.

Gestiamo l'infrastruttura insieme a un partner DevOps specializzato, a sua volta certificato ISO 27001. I partner ottengono solo l'accesso richiesto dal loro lavoro (privilegio minimo).

La piattaforma viene controllata automaticamente ogni 30 secondi da più regioni AWS (monitoraggio dell'uptime). Il nostro team operativo viene avvisato automaticamente se qualcosa va storto e la maggior parte dei problemi viene rilevata entro pochi minuti. Gli errori dell'applicazione vengono tracciati con il monitoraggio degli errori.

Sì. Un rilevamento automatico degli abusi gira in background e le campagne possono usare la protezione dai bot (Cloudflare Turnstile), limiti di partecipazione, codici di verifica e blocklist per indirizzi email e numeri di telefono.

Sì. Tutto il traffico verso la piattaforma, le campagne e l'API è crittografato con TLS (HTTPS).

Sì. Database, file e backup sono crittografati a riposo con AES-256 tramite AWS.

Le chiavi di crittografia sono gestite da AWS (chiavi gestite da AWS) e sono disponibili solo per i servizi che ne hanno bisogno.

Le credenziali delle tue integrazioni, come le chiavi API del tuo strumento di email o CRM, vengono crittografate ulteriormente nell'applicazione con AES-256 prima di essere archiviate (crittografia a livello di applicazione).

Le password non vengono mai archiviate in chiaro. Vengono sottoposte a hash e salt con bcrypt, un algoritmo progettato per le password.

Sì. Il tuo team può accedere con il proprio account Google (Google SSO).

Sì. Ogni utente può attivare l'autenticazione a due fattori (2FA) con un'app di autenticazione come Google Authenticator o Microsoft Authenticator (password monouso basate sul tempo, TOTP) e vengono forniti codici di ripristino. I tentativi a due fattori sono limitati.

Le sessioni di login usano cookie sicuri e HTTP-only e terminano automaticamente dopo un periodo di inattività (timeout della sessione). Ogni utente può anche disconnettersi da tutte le altre sessioni del browser.

Sì. I tentativi di login e di autenticazione a due fattori sono limitati per proteggere da attacchi brute force e tentativi di indovinare le password.

Sì. L'accesso è controllato con ruoli e permessi (controllo degli accessi basato sui ruoli, RBAC) su due livelli:

• Ruoli dell'account: Owner, Admin, Manager, Analyst e Support, ciascuno con diritti diversi su utenti, fatturazione, campagne e dati.
• Permessi per campagna: puoi dare a ogni persona accesso a campagne specifiche e decidere cosa può fare al loro interno, ad esempio progettare, scrivere testi, gestire premi e vincitori oppure solo verificare.

Puoi vedere cosa hanno fatto i tuoi utenti nel registro delle attività.

Sì. La nostra API REST funziona solo tramite HTTPS, usa token di accesso personali ed è limitata nel numero di richieste. I webhook di Scratcher sono firmati con un segreto condiviso (firma HMAC), così puoi verificare che provengano da noi.

Solo i dipendenti che hanno bisogno dell'accesso per il loro lavoro e solo quando serve (need-to-know). Nelle impostazioni del tuo account decidi tu se il nostro team di supporto può accedere al tuo account per aiutarti.

L'accesso segue il principio del privilegio minimo, usa account utente univoci e viene riesaminato almeno una volta all'anno. I dipendenti usano un password manager, l'autenticazione a più fattori ove possibile e laptop crittografati, e l'accesso viene revocato non appena qualcuno lascia l'azienda (offboarding).

Database e server vengono sottoposti a backup automatico ogni giorno e vengono conservati almeno sette giorni di backup. I backup sono crittografati, archiviati separatamente dai sistemi di produzione in uno storage AWS altamente durevole (Amazon S3) e possono essere letti solo dagli amministratori. Prima di qualsiasi intervento di ripristino dopo un incidente viene eseguito un backup aggiuntivo. I ripristini vengono testati almeno una volta all'anno.

Disponiamo di piani di continuità operativa e disaster recovery (BC/DR) per interruzioni di AWS, interruzioni della piattaforma e attacchi alle campagne. I piani vengono rivisti ed esercitati ogni anno. Se un'interruzione dura più di un'ora, tutti i clienti vengono informati via email. Il nostro team operativo risponde ai downtime entro 1 ora durante l'orario di lavoro ed entro 3 ore al di fuori dell'orario di lavoro, con reperibilità 24 ore su 24.

Il supporto è incluso in ogni abbonamento. I clienti enterprise possono concordare con noi livelli di servizio specifici.

Seguiamo un processo documentato di gestione degli incidenti: gli incidenti vengono segnalati al nostro responsabile della sicurezza delle informazioni, valutati, contenuti, analizzati per individuarne la causa radice (root cause analysis) e seguiti da azioni correttive. Ogni incidente viene registrato e riesaminato.

Sì. Se una violazione riguarda i tuoi dati personali, te lo comunichiamo senza ingiustificato ritardo ed entro 24 ore e ti aiutiamo con la tua notifica all'autorità di controllo entro 72 ore (articoli 33 e 34 del GDPR).

Nel nostro ultimo riesame annuale del sistema di gestione della sicurezza delle informazioni non è stata registrata alcuna violazione della riservatezza o dell'integrità dei dati dei clienti.

Scrivi a contact@scratcher.io con quanti più dettagli possibile. Seguiamo una policy di divulgazione delle vulnerabilità (responsible disclosure), esaminiamo ogni segnalazione e ti rispondiamo.

Seguiamo un ciclo di vita di sviluppo software sicuro (SDLC) documentato, basato sulla ISO/IEC 27001:2022 (controlli 8.25–8.33). Ogni funzionalità ha un responsabile che si occupa della sicurezza dall'idea alla dismissione e i requisiti di sicurezza vengono definiti già nella fase di specifica e progettazione.

• Security by design e by default: la sicurezza è integrata fin dall'inizio e le impostazioni più sicure sono quelle predefinite.
• Privilegio minimo: persone, servizi e partner ottengono solo l'accesso di cui hanno bisogno, e nulla di più.
• Difesa in profondità: più livelli di protezione indipendenti, così un singolo guasto non espone i dati.
• Default deny: l'accesso è bloccato a meno che non sia stato esplicitamente consentito.
• Zero trust: non fidarsi mai, verificare sempre. Ogni richiesta viene autenticata e autorizzata, che provenga dall'interno o dall'esterno della rete.
• Fail securely e assume breach: i sistemi sono progettati per restare sicuri se qualcosa va storto.
• Funzionalità minima: sono abilitati solo le funzionalità e i servizi necessari.
• Diffidenza verso l'input esterno: tutto l'input viene validato.

Tutto il codice è conservato nel controllo di versione (Git) e ogni modifica passa attraverso una pull request con code review tra pari prima di essere integrata. I test automatici unit, feature e di architettura vengono eseguiti a ogni pull request e i test di architettura impediscono l'integrazione di schemi di codice non sicuri. Il linting e il refactoring automatizzato vengono eseguiti a ogni commit e le modifiche di design e tecniche sono approvate dal nostro CTO.

La piattaforma è costruita su framework consolidati e attivamente mantenuti (Laravel e Vue) con protezioni integrate contro le vulnerabilità più comuni della OWASP Top 10, come SQL injection, cross-site scripting (XSS) e cross-site request forgery (CSRF). Tutto l'input viene validato sul server e gli endpoint sensibili sono limitati nel numero di richieste. Le richieste sospette vengono registrate e riesaminate.

Sì. Sviluppo, test (staging) e produzione sono ambienti separati con accessi separati. Le modifiche vengono testate in staging prima di arrivare in produzione e la nostra policy prevede che i dati di produzione non vengano copiati negli ambienti di sviluppo o di test.

Le modifiche vengono rilasciate tramite una pipeline CI/CD automatizzata che crea una nuova immagine container versionata per ogni release. Le modifiche ai database vengono eseguite come passaggio controllato del rilascio e, poiché ogni release è un'immagine separata, possiamo tornare rapidamente alla versione precedente se necessario. Nessuna persona può modificare la produzione da sola senza revisione e approvazione (separazione dei compiti).

Il nostro codice sorgente è conservato in repository privati con controllo degli accessi e cronologia completa delle versioni. I segreti come password e chiavi API non vengono mai salvati nel codice: sono custoditi in AWS Secrets Manager e iniettati a runtime.

Usiamo solo librerie open source note e attivamente mantenute, provenienti da fonti affidabili. Le nuove librerie devono essere approvate prima dell'uso, le versioni sono bloccate (lock file) e le dipendenze vengono aggiornate continuamente (sicurezza della software supply chain).

I nostri sviluppatori tengono ogni settimana una revisione della sicurezza (gestione delle vulnerabilità). Le vulnerabilità individuate dal nostro team, dai nostri strumenti o segnalate a noi vengono valutate, classificate per priorità e corrette e, se necessario, gestite attraverso il nostro processo per gli incidenti.

Sì. I nostri sviluppatori seguono linee guida di secure coding e ricevono una formazione di sensibilizzazione sulla sicurezza all'inizio del rapporto e in modo continuativo.

Eseguiamo una valutazione dei rischi basata su probabilità e impatto. I rischi vengono riesaminati ogni mese e ogni rischio viene rivalutato almeno una volta all'anno (gestione del rischio).

Il nostro CTO è il responsabile della sicurezza delle informazioni (ISM) e la direzione approva le nostre policy di sicurezza delle informazioni. Le policy vengono riesaminate ogni anno.

Il nostro sistema di gestione della sicurezza delle informazioni (ISMS) comprende policy approvate, tra le altre, per:

• Sicurezza delle informazioni e uso accettabile
• Classificazione e trasferimento delle informazioni
• Controllo degli accessi e crittografia (inclusa la gestione delle chiavi)
• Rapporti con i fornitori e servizi cloud
• Protezione dei dati personali (PII) e delle registrazioni
• Lavoro da remoto, scrivania e schermo puliti, endpoint e supporti rimovibili
• Logging e monitoraggio, backup e conservazione dei dati
• Gestione e divulgazione delle vulnerabilità
• Uso dell'AI

Le policy sono approvate dalla direzione, comunicate a tutti i dipendenti e riesaminate ogni anno.

Sì. I nuovi dipendenti vengono sottoposti a verifica dei precedenti prima di iniziare, firmano accordi di riservatezza (NDA) e ricevono una formazione di sensibilizzazione sulla sicurezza all'inizio del rapporto e in modo continuativo.

Scratcher è un'azienda remote-first. La nostra policy sul lavoro da remoto richiede uffici domestici sicuri, blocco dello schermo, dispositivi crittografati, Wi-Fi protetto (WPA2/WPA3) e VPN sulle reti pubbliche.

Sì. Le informazioni sono classificate per riservatezza, integrità e disponibilità (CIA) e trattate in base al loro livello.

I fornitori vengono valutati in termini di riservatezza, integrità e disponibilità prima che li utilizziamo (gestione del rischio dei fornitori). I requisiti di sicurezza fanno parte dei nostri contratti e i fornitori vengono riesaminati regolarmente.

Le nostre funzionalità AI, compreso Rex, l'assistente AI, usano modelli linguistici di grandi dimensioni (LLM) di Google Gemini e modelli di immagini di fal.ai. I fornitori vengono valutati nel nostro processo per i fornitori e la nostra policy sull'uso dell'AI disciplina come viene usata l'AI.

Sì. La nostra policy sull'AI richiede una supervisione umana (human in the loop) per le decisioni importanti. Le modifiche fatte con l'AI avvengono nell'editor e il tuo team decide quando una campagna viene pubblicata. Rex e le altre funzionalità AI apportano modifiche solo quando qualcuno del tuo team lo chiede.

Per impostazione predefinita, le campagne usano solo cookie e storage funzionali: cookie che bilanciano il traffico tra i nostri server (cookie del load balancer), local storage nel browser, ad esempio per ricordare che qualcuno ha già giocato e, per i pop-up incorporati nel tuo sito web, cookie che controllano la frequenza con cui il pop-up viene mostrato. Se aggiungi un tuo tracciamento, ad esempio Google Tag Manager o il Meta Pixel, questo si carica solo dopo che il partecipante ha dato il consenso nel banner dei cookie della campagna. Se è attiva la protezione dai bot (Cloudflare Turnstile), anche Cloudflare tratta dati tecnici come l'indirizzo IP e i segnali del browser.

Sì. Scrivi tu i tuoi testi di consenso e il regolamento, scegli quali campi sono obbligatori e puoi usare il double opt-in per le iscrizioni alla newsletter.

Le email transazionali, come quelle con i premi, vengono inviate tramite il nostro fornitore di consegna delle email. Puoi inviarle dal tuo dominio, così i partecipanti riconoscono il mittente.

Sì. Con i piani Professional ed Enterprise le campagne possono funzionare sul tuo indirizzo web (dominio personalizzato) e le email ai partecipanti possono essere inviate dal tuo dominio.

• Certificato ISO/IEC 27001:2022: scaricalo qui
• Dichiarazione di applicabilità (SoA), su richiesta
• Accordo sul trattamento dei dati (DPA), compreso l'elenco dei sub-responsabili del trattamento
• Risposte al tuo questionario di sicurezza o alla valutazione dei fornitori

Sì. Inviaci il tuo questionario di sicurezza o la valutazione dei fornitori e lo compileremo noi. Molte domande trovano già risposta in questa pagina.

Scrivi a contact@scratcher.io oppure prenota un incontro. Scratcher ApS, CVR 38552864.