Antwoorden op je beveiligingsvragen

Ja. Scratcher ApS is gecertificeerd volgens ISO/IEC 27001:2022, de internationale standaard voor een managementsysteem voor informatiebeveiliging (ISMS). Het certificaat is uitgegeven door Bureau Veritas Certification onder accreditatie (FINAS), certificaatnr. FIHSK27150F, geldig tot 7 november 2028. We zijn gecertificeerd sinds november 2022.

Download het certificaat (pdf)

De gecertificeerde scope is de ontwikkeling, verkoop en ondersteuning van software voor interactieve campagnes, marketing en aanverwante activiteiten, inclusief het verzamelen van data en toestemmingen. In de praktijk omvat dat het Scratcher-platform, de campagnes die erop draaien, onze processen en de cloudinfrastructuur erachter.

Bureau Veritas voert elk jaar een externe surveillance-audit uit en elke drie jaar een hercertificeringsaudit. Vóór elke externe audit voeren we een interne audit uit van alle ISMS-processen en een directiebeoordeling.

Ja. Onze Verklaring van Toepasselijkheid is gekoppeld aan de beheersmaatregelen in ISO/IEC 27001:2022 bijlage A (ISO/IEC 27002:2022) en laat zien welke maatregelen van toepassing zijn en hoe ze zijn geïmplementeerd. Enterprise-klanten kunnen hem opvragen.

Ja. We verwerken persoonsgegevens in overeenstemming met de Europese Algemene Verordening Gegevensbescherming (AVG). Voor campagnedata ben jij de verwerkingsverantwoordelijke en is Scratcher de verwerker (artikel 28), op basis van een verwerkersovereenkomst.

Nee. Onze informatiebeveiliging is in plaats daarvan gecertificeerd volgens ISO/IEC 27001:2022, en we leveren het certificaat en de Verklaring van Toepasselijkheid als assurance-documentatie.

Ons ISO 27001-certificaat en onze Verklaring van Toepasselijkheid dekken de meeste behoeften voor audits en leveranciersbeoordelingen. Heb je een extra audit nodig, dan spreken we vooraf met je de scope, planning en eventuele kosten af.

Van jou. Je behoudt alle rechten op je data (klantdata), en we verwerken ze alleen om de dienst te leveren, zoals beschreven in onze voorwaarden en de verwerkersovereenkomst.

Ja. Elke klant valt onder onze verwerkersovereenkomst volgens artikel 28 van de AVG. Enterprise-klanten kunnen ook een verwerkersovereenkomst gebruiken op basis van het standaardcontract van de Deense toezichthouder (Datatilsynet).

We gebruiken een klein aantal zorgvuldig gekozen subverwerkers, bijvoorbeeld Amazon Web Services (AWS) voor hosting en een aanbieder voor het versturen van transactionele e-mails. Elke subverwerker is gebonden aan een verwerkersovereenkomst. De actuele lijst staat in bijlage B van onze verwerkersovereenkomst.

Ja. We laten het je minstens 14 dagen van tevoren weten voordat we een subverwerker toevoegen of vervangen die jouw persoonsgegevens verwerkt. Als je de wijziging niet accepteert, kun je de overeenkomst opzeggen.

Alle klantdata worden opgeslagen in de EU. Als een subverwerker persoonsgegevens buiten de EU/EER verwerkt, bijvoorbeeld voor AI-functies of botbescherming, is de doorgifte beschermd door de standaardcontractbepalingen (SCC's) van de Europese Commissie of het EU-VS Data Privacy Framework (DPF).

Nee. We verwerken je data alleen in opdracht van jou om de dienst te leveren (doelbinding). We verkopen je data nooit en gebruiken ze niet voor onze eigen marketing.

Ja. Jij bepaalt welke formuliervelden elke campagne heeft en welke verplicht zijn, zodat je alleen de data verzamelt die je echt nodig hebt (dataminimalisatie).

Jij bepaalt de bewaartermijn. Je kunt deelnemersdata op elk moment verwijderen of automatische verwijdering instellen, bijvoorbeeld een bepaald aantal dagen na het einde van een campagne. De maximale bewaartermijn staat in je verwerkersovereenkomst.

Ja. Je kunt deelnemers en leads op elk moment als CSV exporteren, ze via onze integraties automatisch naar je eigen systemen sturen, of ze ophalen via onze REST API (dataportabiliteit).

Je data worden verwijderd nadat je abonnement is afgelopen, in overeenstemming met onze voorwaarden en de verwerkersovereenkomst. Kopieën in back-ups worden overschreven naarmate de back-ups doorrollen. Exporteer alles wat je wilt bewaren voordat je abonnement afloopt.

Als verwerkingsverantwoordelijke handel jij verzoeken van deelnemers af, zoals inzage, rectificatie of verwijdering (AVG artikelen 15–17). Je kunt deelnemersdata in het platform vinden, exporteren en verwijderen, en ons team helpt je als dat nodig is.

Alle klantdata worden opgeslagen in datacenters van Amazon Web Services (AWS) in de EU. We hebben geen eigen servers, dus fysieke en omgevingsbeveiliging wordt geregeld door AWS, dat gecertificeerd is volgens ISO 27001, SOC 2 en andere erkende standaarden.

• Netwerkisolatie: alle servers en databases draaien in een privénetwerk (Amazon VPC) dat niet bereikbaar is vanaf internet.
• Bescherming aan de rand: alleen de load balancers (ALB) en het content delivery network (Amazon CloudFront) zijn openbaar, en die worden beschermd door een web application firewall (AWS WAF).
• Onveranderlijke infrastructuur: servers draaien als containers die nooit met de hand worden aangepast. We vervangen ze door nieuwe, geteste versies, en er is geen SSH-toegang.
• Beheerde databases: databases draaien op Amazon RDS, een databasedienst die door AWS wordt beheerd.

Ja. Al het verkeer loopt via Amazon CloudFront en AWS WAF, die kwaadaardige verzoeken filteren en grote verkeerspieken opvangen (DDoS-bescherming) voordat ze onze servers bereiken.

Scratcher is een multi-tenantplatform. De data van elke klant zijn logisch gescheiden per account (tenantisolatie), en elk verzoek wordt geautoriseerd, zodat gebruikers alleen data zien van de accounts waar ze toegang toe hebben.

Ja. API-aanroepen en wijzigingen in onze AWS-omgeving worden vastgelegd in een versleuteld audittrail dat manipulatie zichtbaar maakt (AWS CloudTrail met validatie van logbestanden), en applicatielogs worden centraal verzameld (Amazon CloudWatch). In je account zie je in het activiteitenlog wat je gebruikers hebben gedaan.

We beheren de infrastructuur samen met een gespecialiseerde DevOps-partner die zelf ISO 27001-gecertificeerd is. Partners krijgen alleen de toegang die hun werk vereist (least privilege).

Het platform wordt elke 30 seconden automatisch gecontroleerd vanuit meerdere AWS-regio's (uptime-monitoring). Ons operationele team krijgt automatisch een melding als er iets misgaat, en de meeste problemen worden binnen enkele minuten ontdekt. Applicatiefouten worden bijgehouden met foutmonitoring.

Ja. Automatische misbruikdetectie draait op de achtergrond, en campagnes kunnen botbescherming (Cloudflare Turnstile), deelnamelimieten, verificatiecodes en blokkeerlijsten voor e-mailadressen en telefoonnummers gebruiken.

Ja. Al het verkeer naar het platform, de campagnes en de API wordt versleuteld met TLS (HTTPS).

Ja. Databases, bestanden en back-ups worden in opgeslagen toestand versleuteld met AES-256 via AWS.

Encryptiesleutels worden beheerd door AWS (AWS-managed keys) en zijn alleen beschikbaar voor de diensten die ze nodig hebben.

Inloggegevens voor je integraties, zoals API-sleutels voor je e-mailtool of CRM, worden in de applicatie extra versleuteld met AES-256 voordat ze worden opgeslagen (versleuteling op applicatieniveau).

Wachtwoorden worden nooit als platte tekst opgeslagen. Ze worden gehasht en gesalt met bcrypt, een algoritme dat speciaal voor wachtwoorden is ontworpen.

Ja. Je team kan inloggen met hun Google-account (Google SSO).

Ja. Elke gebruiker kan tweestapsverificatie (2FA) aanzetten met een authenticator-app zoals Google Authenticator of Microsoft Authenticator (tijdgebonden eenmalige wachtwoorden, TOTP), en er worden herstelcodes meegeleverd. Pogingen voor tweestapsverificatie zijn beperkt in aantal.

Inlogsessies gebruiken beveiligde HTTP-only-cookies en lopen automatisch af na een periode van inactiviteit (sessietime-out). Elke gebruiker kan zich ook afmelden bij al zijn andere browsersessies.

Ja. Inlog- en tweestapspogingen zijn beperkt in aantal om te beschermen tegen brute-forceaanvallen en het raden van wachtwoorden.

Ja. Toegang wordt geregeld met rollen en rechten (role-based access control, RBAC) op twee niveaus:

• Accountrollen: Owner, Admin, Manager, Analyst en Support, elk met andere rechten voor gebruikers, facturering, campagnes en data.
• Campagnerechten: je kunt iedereen toegang geven tot specifieke campagnes en bepalen wat ze daar mogen doen, bijvoorbeeld ontwerpen, teksten schrijven, prijzen en winnaars beheren, of alleen meekijken.

In het activiteitenlog zie je wat je gebruikers hebben gedaan.

Ja. Onze REST API werkt alleen via HTTPS, gebruikt persoonlijke toegangstokens en is beperkt in het aantal verzoeken. Webhooks van Scratcher worden ondertekend met een gedeeld geheim (HMAC-handtekening), zodat je kunt controleren dat ze van ons komen.

Alleen medewerkers die toegang nodig hebben voor hun werk, en alleen wanneer ze die nodig hebben (need-to-know). In je accountinstellingen bepaal jij of ons supportteam toegang mag krijgen tot je account om je te helpen.

Toegang volgt het principe van least privilege, gebruikt unieke gebruikersaccounts en wordt minstens één keer per jaar beoordeeld. Medewerkers gebruiken een wachtwoordmanager, waar mogelijk meervoudige authenticatie en versleutelde laptops, en toegang wordt ingetrokken zodra iemand vertrekt (offboarding).

Van databases en servers wordt elke dag automatisch een back-up gemaakt, en er worden minstens zeven dagen aan back-ups bewaard. Back-ups zijn versleuteld, worden gescheiden van de productiesystemen opgeslagen in zeer duurzame AWS-opslag (Amazon S3) en kunnen alleen door beheerders worden gelezen. Vóór herstelwerk na een incident wordt eerst een extra back-up gemaakt. Herstelprocedures worden minstens één keer per jaar getest.

We hebben plannen voor bedrijfscontinuïteit en noodherstel (BC/DR) voor storingen bij AWS, storingen van het platform en aanvallen op campagnes. De plannen worden elk jaar herzien en geoefend. Duurt een storing langer dan een uur, dan worden alle klanten per e-mail geïnformeerd. Ons operationele team reageert op downtime binnen 1 uur tijdens kantooruren en binnen 3 uur buiten kantooruren, met een bereikbaarheidsdienst die de klok rond paraat staat.

Support is inbegrepen in elk abonnement. Enterprise-klanten kunnen specifieke serviceniveaus met ons afspreken.

We volgen een gedocumenteerd proces voor incidentbeheer: incidenten worden gemeld bij onze information security manager, beoordeeld, ingedamd, geanalyseerd om de grondoorzaak te vinden (root cause analysis) en opgevolgd met corrigerende maatregelen. Elk incident wordt vastgelegd en geëvalueerd.

Ja. Als een lek jouw persoonsgegevens raakt, laten we het je zonder onnodige vertraging en binnen 24 uur weten, en helpen we je met je eigen melding aan de toezichthouder binnen 72 uur (AVG artikelen 33 en 34).

In onze laatste jaarlijkse beoordeling van het managementsysteem voor informatiebeveiliging is geen inbreuk op de vertrouwelijkheid of integriteit van klantdata vastgesteld.

Schrijf naar contact@scratcher.io met zoveel mogelijk details. We volgen een beleid voor het melden van kwetsbaarheden (responsible disclosure), onderzoeken elke melding en nemen contact met je op.

We volgen een gedocumenteerde veilige softwareontwikkelingscyclus (SDLC) op basis van ISO/IEC 27001:2022 (beheersmaatregelen 8.25–8.33). Elke functie heeft een eigenaar die verantwoordelijk is voor de beveiliging van idee tot uitfasering, en beveiligingseisen worden al in de specificatie- en ontwerpfase vastgelegd.

• Security by design en by default: beveiliging is vanaf het begin ingebouwd, en de veiligste instellingen zijn de standaard.
• Least privilege: mensen, diensten en partners krijgen alleen de toegang die ze nodig hebben, en niets meer.
• Defence in depth: meerdere onafhankelijke beschermingslagen, zodat één fout geen data blootlegt.
• Default deny: toegang wordt geblokkeerd tenzij die uitdrukkelijk is toegestaan.
• Zero trust: nooit vertrouwen, altijd verifiëren. Elk verzoek wordt geauthenticeerd en geautoriseerd, of het nu van binnen of buiten het netwerk komt.
• Veilig falen en uitgaan van een inbreuk: systemen zijn zo ontworpen dat ze veilig blijven als er iets misgaat.
• Least functionality: alleen de functies en diensten die nodig zijn, staan aan.
• Wantrouw externe input: alle input wordt gevalideerd.

Alle code staat in versiebeheer (Git), en elke wijziging gaat via een pull request met een code review door een collega voordat hij wordt samengevoegd. Geautomatiseerde unit-, feature- en architectuurtests draaien bij elke pull request, en de architectuurtests voorkomen dat onveilige codepatronen worden samengevoegd. Linting en geautomatiseerde refactoring draaien bij elke commit, en ontwerp- en technische wijzigingen worden goedgekeurd door onze CTO.

Het platform is gebouwd op gevestigde, actief onderhouden frameworks (Laravel en Vue) met ingebouwde bescherming tegen veelvoorkomende kwetsbaarheden uit de OWASP Top 10, zoals SQL-injectie, cross-site scripting (XSS) en cross-site request forgery (CSRF). Alle input wordt op de server gevalideerd, en gevoelige endpoints zijn beperkt in het aantal verzoeken. Verdachte verzoeken worden gelogd en beoordeeld.

Ja. Ontwikkeling, test (staging) en productie zijn gescheiden omgevingen met gescheiden toegang. Wijzigingen worden in staging getest voordat ze in productie komen, en ons beleid is dat productiedata niet naar ontwikkel- of testomgevingen worden gekopieerd.

Wijzigingen worden uitgerold via een geautomatiseerde CI/CD-pipeline die voor elke release een nieuwe containerimage met versienummer bouwt. Databasewijzigingen draaien als gecontroleerde stap van de uitrol, en omdat elke release een aparte image is, kunnen we zo nodig snel terug naar de vorige versie. Niemand kan in zijn eentje productie wijzigen zonder review en goedkeuring (functiescheiding).

Onze broncode staat in privérepository's met toegangsbeheer en volledige versiegeschiedenis. Geheimen zoals wachtwoorden en API-sleutels worden nooit in de code opgeslagen; ze staan in AWS Secrets Manager en worden tijdens runtime geïnjecteerd.

We gebruiken alleen bekende, actief onderhouden opensourcebibliotheken uit betrouwbare bronnen. Nieuwe bibliotheken moeten worden goedgekeurd voordat ze worden gebruikt, versies worden vastgezet (lock files) en afhankelijkheden worden continu bijgewerkt (beveiliging van de softwaretoeleveringsketen).

Onze developers houden elke week een security review (kwetsbaarheidsbeheer). Kwetsbaarheden die ons team of onze tools vinden of die aan ons worden gemeld, worden beoordeeld, geprioriteerd en opgelost, en zo nodig via ons incidentproces afgehandeld.

Ja. Onze developers volgen richtlijnen voor veilig programmeren en krijgen een training in beveiligingsbewustzijn als ze beginnen en daarna doorlopend.

We voeren een risicobeoordeling uit op basis van waarschijnlijkheid en impact. Risico's worden elke maand bekeken, en elk risico wordt minstens één keer per jaar opnieuw beoordeeld (risicobeheer).

Onze CTO is de information security manager (ISM), en de directie keurt ons informatiebeveiligingsbeleid goed. Het beleid wordt elk jaar herzien.

Ons managementsysteem voor informatiebeveiliging (ISMS) bevat goedgekeurd beleid voor onder meer:

• Informatiebeveiliging en acceptabel gebruik
• Classificatie en overdracht van informatie
• Toegangsbeheer en cryptografie (inclusief sleutelbeheer)
• Leveranciersrelaties en clouddiensten
• Bescherming van persoonsgegevens (PII) en registraties
• Thuiswerken, clean desk en clear screen, endpoints en verwijderbare media
• Logging en monitoring, back-up en bewaring van data
• Kwetsbaarheidsbeheer en het melden van kwetsbaarheden
• Gebruik van AI

Het beleid wordt goedgekeurd door de directie, gecommuniceerd aan alle medewerkers en elk jaar herzien.

Ja. Nieuwe medewerkers doorlopen een achtergrondscreening voordat ze beginnen, tekenen een geheimhoudingsverklaring (NDA) en krijgen een training in beveiligingsbewustzijn als ze beginnen en daarna doorlopend.

Scratcher is een remote-first bedrijf. Ons thuiswerkbeleid vereist een veilige thuiswerkplek, schermvergrendeling, versleutelde apparaten, beveiligde wifi (WPA2/WPA3) en een VPN op openbare netwerken.

Ja. Informatie wordt geclassificeerd op vertrouwelijkheid, integriteit en beschikbaarheid (CIA) en behandeld volgens het bijbehorende niveau.

Leveranciers worden beoordeeld op vertrouwelijkheid, integriteit en beschikbaarheid voordat we ze inschakelen (leveranciersrisicobeheer). Beveiligingseisen maken deel uit van onze contracten, en leveranciers worden regelmatig geëvalueerd.

Onze AI-functies, waaronder AI-assistent Rex, gebruiken grote taalmodellen (LLM's) van Google Gemini en beeldmodellen van fal.ai. De aanbieders worden beoordeeld in ons leveranciersproces, en ons AI-gebruiksbeleid beschrijft hoe AI wordt ingezet.

Ja. Ons AI-beleid vereist menselijk toezicht (human in the loop) bij belangrijke beslissingen. Wijzigingen met AI gebeuren in de editor, en jouw team bepaalt wanneer een campagne wordt gepubliceerd. Rex en de andere AI-functies voeren alleen wijzigingen door als iemand van je team daarom vraagt.

Standaard gebruiken campagnes alleen functionele cookies en opslag: cookies die het verkeer over onze servers verdelen (load balancer-cookies), lokale opslag in de browser, bijvoorbeeld om te onthouden dat iemand al heeft gespeeld, en, voor pop-ups die in je website zijn ingesloten, cookies die bepalen hoe vaak de pop-up wordt getoond. Als je je eigen tracking toevoegt, bijvoorbeeld Google Tag Manager of de Meta Pixel, wordt die pas geladen nadat de deelnemer toestemming heeft gegeven in de cookiebanner van de campagne. Als botbescherming (Cloudflare Turnstile) aanstaat, verwerkt ook Cloudflare technische gegevens zoals het IP-adres en browsersignalen.

Ja. Je schrijft je eigen toestemmingsteksten en voorwaarden, kiest welke velden verplicht zijn en kunt double opt-in gebruiken voor aanmeldingen voor de nieuwsbrief.

Transactionele e-mails zoals prijsmails worden verstuurd via onze e-mailbezorgdienst. Je kunt ze vanaf je eigen domein versturen, zodat deelnemers de afzender herkennen.

Ja. Bij de abonnementen Professional en Enterprise kunnen campagnes op je eigen webadres draaien (eigen domein), en kunnen e-mails aan deelnemers vanaf je eigen domein worden verstuurd.

• ISO/IEC 27001:2022-certificaat: download het hier
• Verklaring van Toepasselijkheid (SoA), op aanvraag
• Verwerkersovereenkomst, inclusief de lijst met subverwerkers
• Antwoorden op je beveiligingsvragenlijst of leveranciersbeoordeling

Ja. Stuur ons je beveiligingsvragenlijst of leveranciersbeoordeling, dan vullen wij hem in. Veel vragen worden al op deze pagina beantwoord.

Schrijf naar contact@scratcher.io of plan een afspraak. Scratcher ApS, CVR 38552864.