Sikkerhetsspørsmål, besvart

Ja. Scratcher ApS er sertifisert etter ISO/IEC 27001:2022, den internasjonale standarden for et styringssystem for informasjonssikkerhet (ISMS). Sertifiseringen er utstedt av Bureau Veritas Certification under akkreditering (FINAS), sertifikatnr. FIHSK27150F, gyldig til 7. november 2028. Vi har vært sertifisert siden november 2022.

Last ned sertifikatet (PDF)

Sertifiseringen omfatter utvikling, salg og support av programvare for interaktive kampanjer, markedsføring og tilhørende aktiviteter, inkludert innsamling av data og samtykker. I praksis dekker den Scratcher-plattformen, kampanjene som kjører på den, prosessene våre og skyinfrastrukturen bak.

Bureau Veritas gjennomfører en ekstern overvåkingsrevisjon hvert år og en resertifiseringsrevisjon hvert tredje år. Før hver eksterne revisjon gjennomfører vi en intern revisjon av alle ISMS-prosesser og en ledelsesgjennomgang.

Ja. Vår Statement of Applicability er koblet til kontrollene i ISO/IEC 27001:2022 Annex A (ISO/IEC 27002:2022) og viser hvilke kontroller som gjelder og hvordan de er implementert. Enterprise-kunder kan be om å få den.

Ja. Vi behandler personopplysninger i tråd med EUs personvernforordning (GDPR). For kampanjedata er du behandlingsansvarlig og Scratcher er databehandler (artikkel 28), under en databehandleravtale (DPA).

Nei. Informasjonssikkerheten vår er i stedet sertifisert etter ISO/IEC 27001:2022, og vi leverer sertifikatet og Statement of Applicability som dokumentasjon.

ISO 27001-sertifikatet og Statement of Applicability dekker de fleste behov for revisjon og leverandørvurdering. Trenger du en ekstra revisjon, avtaler vi omfang, tidspunkt og eventuelle kostnader med deg på forhånd.

Det gjør du. Du beholder alle rettigheter til dataene dine (kundedata), og vi behandler dem bare for å levere tjenesten, slik det er beskrevet i vilkårene våre og databehandleravtalen.

Ja. Alle kunder er dekket av databehandleravtalen vår etter GDPR artikkel 28. Enterprise-kunder kan også bruke en DPA basert på standardmalen fra Datatilsynet i Danmark.

Vi bruker et fåtall nøye utvalgte underleverandører, for eksempel Amazon Web Services (AWS) til hosting og en leverandør for utsending av transaksjonelle e-poster. Alle underleverandører er bundet av en databehandleravtale. Den gjeldende listen er en del av DPA-en vår og er tilgjengelig på forespørsel.

Ja. Vi varsler deg minst 14 dager før vi legger til eller bytter ut en underleverandør som behandler personopplysningene dine. Hvis du ikke godtar endringen, kan du si opp avtalen.

Alle kundedata lagres i EU. Hvis en underleverandør behandler personopplysninger utenfor EU/EØS, for eksempel til AI-funksjoner eller robotbeskyttelse, er overføringen beskyttet av EU-kommisjonens standard personvernbestemmelser (SCC) eller EU–USA Data Privacy Framework (DPF).

Nei. Vi behandler bare dataene dine etter dine instruksjoner for å levere tjenesten (formålsbegrensning). Vi selger aldri dataene dine og bruker dem aldri i vår egen markedsføring.

Ja. Du bestemmer hvilke skjemafelt hver kampanje har og hvilke som er obligatoriske, slik at du bare samler inn dataene du faktisk trenger (dataminimering).

Du bestemmer oppbevaringstiden. Du kan slette deltakerdata når som helst eller sette opp automatisk sletting, for eksempel et bestemt antall dager etter at en kampanje er avsluttet. Maksimal oppbevaringstid er fastsatt i databehandleravtalen din.

Ja. Du kan eksportere deltakere og leads som CSV når som helst, sende dem automatisk til dine egne systemer via integrasjonene våre eller hente dem via REST-API-et vårt (dataportabilitet).

Dataene dine slettes etter at abonnementet ditt er avsluttet, i tråd med vilkårene våre og databehandleravtalen. Kopier i sikkerhetskopier overskrives etter hvert som sikkerhetskopiene roterer. Eksporter alt du vil beholde før abonnementet utløper.

Som behandlingsansvarlig håndterer du henvendelser fra deltakere, for eksempel innsyn, retting eller sletting (GDPR artikkel 15–17). Du kan finne, eksportere og slette deltakerdata i plattformen, og teamet vårt hjelper deg om nødvendig.

Alle kundedata lagres i datasentre hos Amazon Web Services (AWS) i EU. Vi driver ingen egne servere, så fysisk sikkerhet og miljøsikkerhet håndteres av AWS, som er sertifisert etter ISO 27001, SOC 2 og andre anerkjente standarder.

• Nettverksisolering: alle servere og databaser kjører i et privat nettverk (Amazon VPC) som ikke kan nås fra internett.
• Beskyttelse ytterst i nettverket: bare lastbalansererne (ALB) og innholdsleveringsnettverket (Amazon CloudFront) er offentlige, og de er beskyttet av en brannmur for webapplikasjoner (AWS WAF).
• Uforanderlig infrastruktur: serverne kjører som containere som aldri endres manuelt. Vi erstatter dem med nye, testede versjoner, og det finnes ingen SSH-tilgang.
• Administrerte databaser: databasene kjører på Amazon RDS, en databasetjeneste som administreres av AWS.

Ja. All trafikk går gjennom Amazon CloudFront og AWS WAF, som filtrerer skadelige forespørsler og tåler store trafikktopper (DDoS-beskyttelse) før de når serverne våre.

Scratcher er en plattform med flere leietakere (multi-tenant). Hver kundes data er logisk adskilt per konto (tenant-isolering), og hver forespørsel autoriseres, slik at brukere bare ser data fra kontoene de har tilgang til.

Ja. API-kall og endringer i AWS-miljøet vårt registreres i en kryptert revisjonslogg som avslører manipulering (AWS CloudTrail med validering av loggfiler), og applikasjonslogger samles sentralt (Amazon CloudWatch). I kontoen din kan du se hva brukerne dine har gjort i aktivitetsloggen.

Vi driver infrastrukturen sammen med en spesialisert DevOps-partner som selv er ISO 27001-sertifisert. Partnere får bare den tilgangen arbeidet krever (minste privilegium).

Plattformen kontrolleres automatisk hvert 30. sekund fra flere AWS-regioner (oppetidsovervåking). Driftsteamet vårt varsles automatisk hvis noe går galt, og de fleste problemer oppdages i løpet av minutter. Applikasjonsfeil spores med feilovervåking.

Ja. Automatisk misbruksdeteksjon kjører i bakgrunnen, og kampanjer kan bruke robotbeskyttelse (Cloudflare Turnstile), deltakelsesgrenser, bekreftelseskoder og blokkeringslister for e-postadresser og telefonnumre.

Ja. All trafikk til plattformen, kampanjene og API-et er kryptert med TLS (HTTPS).

Ja. Databaser, filer og sikkerhetskopier er kryptert i hvile med AES-256 via AWS.

Krypteringsnøklene administreres av AWS (AWS-administrerte nøkler) og er bare tilgjengelige for tjenestene som trenger dem.

Påloggingsinformasjon for integrasjonene dine, som API-nøkler til e-postverktøyet eller CRM-systemet ditt, krypteres i tillegg i applikasjonen med AES-256 før den lagres (kryptering på applikasjonsnivå).

Passord lagres aldri i klartekst. De hashes og saltes med bcrypt, en algoritme laget for passord.

Ja. Teamet ditt kan logge inn med Google-kontoen sin (Google SSO).

Ja. Alle brukere kan slå på tofaktorautentisering (2FA) med en autentiseringsapp som Google Authenticator eller Microsoft Authenticator (tidsbaserte engangspassord, TOTP), og det følger med gjenopprettingskoder. Antall tofaktorforsøk er begrenset.

Påloggingsøkter bruker sikre, HTTP-only-informasjonskapsler og avsluttes automatisk etter en periode uten aktivitet (tidsavbrudd for økt). Hver bruker kan også logge ut av alle sine andre nettleserøkter.

Ja. Antall forsøk på pålogging og tofaktorautentisering er begrenset for å beskytte mot brute force-angrep og gjetting av passord.

Ja. Tilgang styres med roller og tillatelser (rollebasert tilgangskontroll, RBAC) på to nivåer:

• Kontoroller: Eier, Admin, Manager, Analytiker og Support, hver med ulike rettigheter til brukere, fakturering, kampanjer og data.
• Kampanjetillatelser: du kan gi hver person tilgang til bestemte kampanjer og avgjøre hva de kan gjøre der, for eksempel designe, skrive tekster, håndtere premier og vinnere, eller bare gjennomgå.

Du kan se hva brukerne dine har gjort i aktivitetsloggen.

Ja. REST-API-et vårt fungerer bare over HTTPS, bruker personlige tilgangstokener og har begrenset antall forespørsler. Webhooks fra Scratcher er signert med en delt hemmelighet (HMAC-signatur), slik at du kan verifisere at de kommer fra oss.

Bare ansatte som trenger tilgang for arbeidet sitt, og bare når de trenger det (need-to-know). I kontoinnstillingene dine bestemmer du om supportteamet vårt kan få tilgang til kontoen din for å hjelpe deg.

Tilgang følger prinsippet om minste privilegium, bruker unike brukerkontoer og gjennomgås minst én gang i året. Ansatte bruker passordbehandler, flerfaktorautentisering der det er mulig og krypterte bærbare datamaskiner, og tilgang trekkes tilbake så snart noen slutter (offboarding).

Databaser og servere sikkerhetskopieres automatisk hver dag, og vi beholder minst sju dagers sikkerhetskopier. Sikkerhetskopiene er kryptert, lagres adskilt fra produksjonssystemene i svært slitesterk AWS-lagring (Amazon S3) og kan bare leses av administratorer. Før gjenopprettingsarbeid etter en hendelse tas det først en ekstra sikkerhetskopi. Gjenoppretting testes minst én gang i året.

Vi har planer for driftskontinuitet og katastrofegjenoppretting (BC/DR) for driftsavbrudd hos AWS, avbrudd på plattformen og angrep på kampanjer. Planene gjennomgås og øves hvert år. Varer et avbrudd i mer enn én time, får alle kunder beskjed på e-post. Driftsteamet vårt reagerer på nedetid innen 1 time i arbeidstiden og innen 3 timer utenfor arbeidstiden, med vakttjeneste døgnet rundt.

Support er inkludert i alle abonnementer. Enterprise-kunder kan avtale spesifikke tjenestenivåer med oss.

Vi følger en dokumentert prosess for hendelseshåndtering: hendelser rapporteres til vår informasjonssikkerhetsansvarlige, vurderes, avgrenses, analyseres for å finne årsaken (rotårsaksanalyse) og følges opp med korrigerende tiltak. Hver hendelse loggføres og gjennomgås.

Ja. Hvis et brudd berører personopplysningene dine, varsler vi deg uten ugrunnet opphold og innen 24 timer, og hjelper deg med din egen melding til tilsynsmyndigheten innen 72 timer (GDPR artikkel 33 og 34).

Det ble ikke registrert noe brudd på konfidensialiteten eller integriteten til kundedata i den siste årlige gjennomgangen av styringssystemet for informasjonssikkerhet.

Skriv til contact@scratcher.io med så mange detaljer som mulig. Vi følger en retningslinje for varsling av sårbarheter (ansvarlig varsling), undersøker alle meldinger og kommer tilbake til deg.

Vi følger en dokumentert livssyklus for sikker programvareutvikling (SDLC) basert på ISO/IEC 27001:2022 (kontroll 8.25–8.33). Hver funksjon har en eier som er ansvarlig for sikkerheten fra idé til avvikling, og sikkerhetskrav defineres allerede i spesifikasjons- og designfasen.

• Security by design og by default: sikkerheten bygges inn fra starten, og de sikreste innstillingene er standard.
• Minste privilegium: personer, tjenester og partnere får bare den tilgangen de trenger, og ikke mer.
• Forsvar i dybden: flere uavhengige beskyttelseslag, slik at én feil ikke eksponerer data.
• Nekt som utgangspunkt: tilgang er blokkert med mindre den eksplisitt er tillatt.
• Zero trust: aldri stol på noe, alltid verifiser. Hver forespørsel autentiseres og autoriseres, enten den kommer fra innsiden eller utsiden av nettverket.
• Feil på en sikker måte og anta brudd: systemene er utformet for å forbli sikre hvis noe går galt.
• Minst mulig funksjonalitet: bare funksjonene og tjenestene som trengs, er aktivert.
• Mistro ekstern inndata: all inndata valideres.

All kode oppbevares i versjonskontroll (Git), og hver endring går gjennom en pull request med fagfellevurdering av koden før den slås sammen. Automatiserte enhets-, funksjons- og arkitekturtester kjører på hver pull request, og arkitekturtestene hindrer usikre kodemønstre i å bli slått sammen. Linting og automatisk refaktorering kjører på hver commit, og design- og tekniske endringer godkjennes av CTO-en vår.

Plattformen er bygget på etablerte, aktivt vedlikeholdte rammeverk (Laravel og Vue) med innebygd beskyttelse mot vanlige sårbarheter fra OWASP Top 10, som SQL-injeksjon, cross-site scripting (XSS) og cross-site request forgery (CSRF). All inndata valideres på serveren, og sensitive endepunkter har begrenset antall forespørsler. Mistenkelige forespørsler logges og gjennomgås.

Ja. Utvikling, test (staging) og produksjon er separate miljøer med separat tilgang. Endringer testes i staging før de når produksjon, og vår policy er at produksjonsdata ikke kopieres til utviklings- eller testmiljøer.

Endringer rulles ut gjennom en automatisert CI/CD-pipeline som bygger et nytt, versjonert containerbilde for hver utgivelse. Databaseendringer kjøres som et kontrollert trinn i utrullingen, og fordi hver utgivelse er et eget bilde, kan vi raskt gå tilbake til forrige versjon om nødvendig. Ingen enkeltperson kan endre produksjon uten gjennomgang og godkjenning (ansvarsdeling).

Kildekoden vår oppbevares i private repositorier med tilgangskontroll og full versjonshistorikk. Hemmeligheter som passord og API-nøkler lagres aldri i koden; de oppbevares i AWS Secrets Manager og settes inn under kjøring.

Vi bruker bare kjente, aktivt vedlikeholdte åpen kildekode-biblioteker fra pålitelige kilder. Nye biblioteker må godkjennes før bruk, versjonene er låst (lock-filer), og avhengigheter oppdateres fortløpende (sikkerhet i programvareforsyningskjeden).

Utviklerne våre holder en sikkerhetsgjennomgang hver uke (sårbarhetshåndtering). Sårbarheter som oppdages av teamet vårt, verktøyene våre eller meldes til oss, vurderes, prioriteres og rettes, og håndteres om nødvendig gjennom hendelsesprosessen vår.

Ja. Utviklerne våre følger retningslinjer for sikker koding og får opplæring i sikkerhetsbevissthet når de begynner og fortløpende.

Vi gjennomfører en risikovurdering basert på sannsynlighet og konsekvens. Risikoer gjennomgås hver måned, og hver risiko vurderes på nytt minst én gang i året (risikostyring).

CTO-en vår er informasjonssikkerhetsansvarlig (ISM), og ledelsen godkjenner retningslinjene våre for informasjonssikkerhet. Retningslinjene gjennomgås hvert år.

Styringssystemet vårt for informasjonssikkerhet (ISMS) omfatter godkjente retningslinjer for blant annet:

• Informasjonssikkerhet og akseptabel bruk
• Klassifisering og overføring av informasjon
• Tilgangskontroll og kryptografi (inkludert nøkkelhåndtering)
• Leverandørforhold og skytjenester
• Beskyttelse av personopplysninger (PII) og registre
• Fjernarbeid, ryddig skrivebord og skjerm, endepunkter og flyttbare medier
• Logging og overvåking, sikkerhetskopiering og datalagring
• Sårbarhetshåndtering og varsling av sårbarheter
• Bruk av AI

Retningslinjene godkjennes av ledelsen, kommuniseres til alle ansatte og gjennomgås hvert år.

Ja. Nye ansatte gjennomgår bakgrunnssjekk før de begynner, signerer taushetserklæring (NDA) og får opplæring i sikkerhetsbevissthet når de begynner og fortløpende.

Scratcher er et remote-first-selskap. Retningslinjene våre for fjernarbeid krever sikre hjemmekontorer, skjermlås, krypterte enheter, beskyttet Wi-Fi (WPA2/WPA3) og VPN på offentlige nettverk.

Ja. Informasjon klassifiseres etter konfidensialitet, integritet og tilgjengelighet (CIA) og håndteres i samsvar med nivået.

Leverandører vurderes for konfidensialitet, integritet og tilgjengelighet før vi tar dem i bruk (leverandørrisikostyring). Sikkerhetskrav er en del av kontraktene våre, og leverandørene gjennomgås regelmessig.

AI-funksjonene våre, inkludert Rex, AI-assistenten, bruker store språkmodeller (LLM-er) fra Google Gemini og bildemodeller fra fal.ai. Leverandørene vurderes i leverandørprosessen vår, og retningslinjene våre for bruk av AI dekker hvordan AI brukes.

Ja. AI-retningslinjene våre krever menneskelig tilsyn (human in the loop) ved viktige beslutninger. Endringer gjort med AI skjer i editoren, og teamet ditt bestemmer når en kampanje publiseres. Rex og de andre AI-funksjonene gjør bare endringer når noen på teamet ditt ber dem om det.

Som standard bruker kampanjer bare funksjonelle informasjonskapsler og lagring: informasjonskapsler som fordeler trafikken mellom serverne våre (lastbalanserer-informasjonskapsler), lokal lagring i nettleseren, for eksempel for å huske at noen allerede har spilt, og, for popup-vinduer som er innebygd på nettstedet ditt, informasjonskapsler som styrer hvor ofte popup-vinduet vises. Hvis du legger til din egen sporing, for eksempel Google Tag Manager eller Meta Pixel, lastes den først etter at deltakeren har gitt samtykke i kampanjens banner for informasjonskapsler. Hvis robotbeskyttelse (Cloudflare Turnstile) er slått på, behandler Cloudflare også tekniske data som IP-adressen og nettlesersignaler.

Ja. Du skriver dine egne samtykketekster og vilkår, velger hvilke felt som er obligatoriske og kan bruke double opt-in for påmelding til nyhetsbrev.

Transaksjonelle e-poster, som premie-e-poster, sendes gjennom e-postleverandøren vår. Du kan sende dem fra ditt eget domene, slik at deltakerne gjenkjenner avsenderen.

Ja. På Professional- og Enterprise-planene kan kampanjer kjøre på din egen nettadresse (eget domene), og e-poster til deltakere kan sendes fra ditt eget domene.

• ISO/IEC 27001:2022-sertifikat: last det ned her
• Statement of Applicability (SoA), på forespørsel
• Databehandleravtale (DPA), inkludert listen over underleverandører
• Svar på sikkerhetsskjemaet eller leverandørvurderingen din

Ja. Send oss sikkerhetsskjemaet eller leverandørvurderingen din, så fyller vi det ut. Mange spørsmål er allerede besvart på denne siden.

Skriv til contact@scratcher.io eller book et møte. Scratcher ApS, CVR 38552864.