Pytania o bezpieczeństwo – z odpowiedziami

Tak. Scratcher ApS posiada certyfikat ISO/IEC 27001:2022, międzynarodowy standard systemu zarządzania bezpieczeństwem informacji (ISMS). Certyfikat wydaje Bureau Veritas Certification na podstawie akredytacji (FINAS), nr certyfikatu FIHSK27150F, ważny do 7 listopada 2028 roku. Certyfikat posiadamy od listopada 2022 roku.

Pobierz certyfikat (PDF)

Zakres certyfikacji obejmuje rozwój, sprzedaż i wsparcie oprogramowania do interaktywnych kampanii, marketingu i powiązanych działań, w tym zbieranie danych i zgód. W praktyce obejmuje to platformę Scratcher, działające na niej kampanie, nasze procesy i stojącą za nimi infrastrukturę chmurową.

Bureau Veritas przeprowadza zewnętrzny audyt nadzoru co roku i audyt recertyfikacyjny co trzy lata. Przed każdym audytem zewnętrznym przeprowadzamy audyt wewnętrzny wszystkich procesów ISMS oraz przegląd zarządzania.

Tak. Nasza Deklaracja stosowania jest powiązana z zabezpieczeniami z załącznika A do ISO/IEC 27001:2022 (ISO/IEC 27002:2022) i pokazuje, które zabezpieczenia mają zastosowanie i jak są wdrożone. Klienci enterprise mogą o nią poprosić.

Tak. Przetwarzamy dane osobowe zgodnie z unijnym Ogólnym rozporządzeniem o ochronie danych (RODO). W przypadku danych z kampanii to ty jesteś administratorem danych, a Scratcher podmiotem przetwarzającym (art. 28), na podstawie umowy powierzenia przetwarzania danych (DPA).

Nie. Zamiast tego nasze bezpieczeństwo informacji jest certyfikowane według ISO/IEC 27001:2022, a jako dokumentację potwierdzającą udostępniamy certyfikat i Deklarację stosowania.

Nasz certyfikat ISO 27001 i Deklaracja stosowania obejmują większość potrzeb związanych z audytem i oceną dostawcy. Jeśli potrzebujesz dodatkowego audytu, z wyprzedzeniem uzgadniamy z tobą zakres, termin i ewentualne koszty.

Ty. Zachowujesz wszystkie prawa do swoich danych (danych klienta), a my przetwarzamy je wyłącznie w celu świadczenia usługi, zgodnie z opisem w naszym regulaminie i umowie powierzenia przetwarzania danych.

Tak. Każdy klient jest objęty naszą umową powierzenia przetwarzania danych na podstawie art. 28 RODO. Klienci enterprise mogą także skorzystać z umowy DPA opartej na standardowym wzorze duńskiego urzędu ochrony danych (Datatilsynet).

Korzystamy z niewielkiej liczby starannie wybranych podprocesorów, na przykład Amazon Web Services (AWS) do hostingu i dostawcy do wysyłania e-maili transakcyjnych. Każdy podprocesor jest związany umową powierzenia przetwarzania danych. Aktualna lista jest częścią naszej umowy DPA i dostępna na życzenie.

Tak. Powiadamiamy cię co najmniej 14 dni przed dodaniem lub zastąpieniem podprocesora, który przetwarza twoje dane osobowe. Jeśli nie akceptujesz zmiany, możesz wypowiedzieć umowę.

Wszystkie dane klientów są przechowywane w UE. Jeśli podprocesor przetwarza dane osobowe poza UE/EOG, na przykład w celu funkcji AI lub ochrony przed botami, przekazanie jest chronione standardowymi klauzulami umownymi (SCC) Komisji Europejskiej lub unijno-amerykańskimi ramami ochrony danych (DPF).

Nie. Przetwarzamy twoje dane wyłącznie na twoje polecenie w celu świadczenia usługi (ograniczenie celu). Nigdy nie sprzedajemy twoich danych ani nie wykorzystujemy ich do własnego marketingu.

Tak. To ty decydujesz, jakie pola formularza ma każda kampania i które są wymagane, więc zbierasz tylko dane, których faktycznie potrzebujesz (minimalizacja danych).

To ty decydujesz o okresie przechowywania. Możesz w dowolnym momencie usunąć dane uczestników lub ustawić automatyczne usuwanie, na przykład określoną liczbę dni po zakończeniu kampanii. Maksymalny okres przechowywania jest określony w twojej umowie powierzenia przetwarzania danych.

Tak. W dowolnym momencie możesz wyeksportować uczestników i leady jako CSV, wysyłać je automatycznie do własnych systemów za pomocą naszych integracji lub pobierać je przez nasze REST API (przenoszalność danych).

Twoje dane są usuwane po zakończeniu subskrypcji, zgodnie z naszym regulaminem i umową powierzenia przetwarzania danych. Kopie w kopiach zapasowych są nadpisywane w miarę rotacji kopii zapasowych. Wyeksportuj wszystko, co chcesz zachować, zanim subskrypcja się zakończy.

Jako administrator danych obsługujesz żądania uczestników, takie jak dostęp, sprostowanie lub usunięcie danych (art. 15–17 RODO). W platformie możesz znaleźć, wyeksportować i usunąć dane uczestników, a nasz zespół w razie potrzeby ci pomoże.

Wszystkie dane klientów są przechowywane w centrach danych Amazon Web Services (AWS) w UE. Nie prowadzimy własnych serwerów, więc bezpieczeństwo fizyczne i środowiskowe zapewnia AWS, który posiada certyfikaty ISO 27001, SOC 2 i inne uznane standardy.

• Izolacja sieci: wszystkie serwery i bazy danych działają w sieci prywatnej (Amazon VPC), do której nie ma dostępu z internetu.
• Ochrona na brzegu sieci: publiczne są tylko load balancery (ALB) i sieć dostarczania treści (Amazon CloudFront), a chroni je zapora aplikacji internetowych (AWS WAF).
• Niezmienna infrastruktura: serwery działają jako kontenery, których nigdy nie zmienia się ręcznie. Zastępujemy je nowymi, przetestowanymi wersjami i nie ma dostępu SSH.
• Zarządzane bazy danych: bazy danych działają na Amazon RDS, usłudze baz danych zarządzanej przez AWS.

Tak. Cały ruch przechodzi przez Amazon CloudFront i AWS WAF, które filtrują złośliwe żądania i pochłaniają duże skoki ruchu (ochrona przed DDoS), zanim dotrą do naszych serwerów.

Scratcher to platforma wielodostępna (multi-tenant). Dane każdego klienta są logicznie oddzielone według konta (izolacja dzierżawców), a każde żądanie jest autoryzowane, więc użytkownicy widzą tylko dane z kont, do których mają dostęp.

Tak. Wywołania API i zmiany w naszym środowisku AWS są zapisywane w zaszyfrowanym dzienniku audytu odpornym na manipulacje (AWS CloudTrail z walidacją plików dziennika), a dzienniki aplikacji są zbierane centralnie (Amazon CloudWatch). Na swoim koncie możesz zobaczyć, co robili twoi użytkownicy, w dzienniku aktywności.

Infrastrukturę prowadzimy razem ze specjalistycznym partnerem DevOps, który sam posiada certyfikat ISO 27001. Partnerzy otrzymują tylko taki dostęp, jakiego wymaga ich praca (zasada najmniejszych uprawnień).

Platforma jest sprawdzana automatycznie co 30 sekund z kilku regionów AWS (monitorowanie dostępności). Nasz zespół operacyjny jest automatycznie alarmowany, jeśli coś pójdzie nie tak, a większość problemów jest wykrywana w ciągu kilku minut. Błędy aplikacji są śledzone za pomocą monitorowania błędów.

Tak. W tle działa automatyczne wykrywanie nadużyć, a kampanie mogą korzystać z ochrony przed botami (Cloudflare Turnstile), limitów uczestnictwa, kodów weryfikacyjnych i list blokowanych adresów e-mail i numerów telefonu.

Tak. Cały ruch do platformy, kampanii i API jest szyfrowany za pomocą TLS (HTTPS).

Tak. Bazy danych, pliki i kopie zapasowe są szyfrowane w spoczynku za pomocą AES-256 przez AWS.

Kluczami szyfrowania zarządza AWS (klucze zarządzane przez AWS) i są one dostępne tylko dla usług, które ich potrzebują.

Dane uwierzytelniające do twoich integracji, takie jak klucze API do narzędzia e-mailowego lub CRM, są przed zapisaniem dodatkowo szyfrowane w aplikacji za pomocą AES-256 (szyfrowanie na poziomie aplikacji).

Hasła nigdy nie są przechowywane jawnym tekstem. Są hashowane i solone za pomocą bcrypt, algorytmu zaprojektowanego do haseł.

Tak. Twój zespół może logować się za pomocą konta Google (Google SSO).

Tak. Każdy użytkownik może włączyć uwierzytelnianie dwuskładnikowe (2FA) za pomocą aplikacji uwierzytelniającej, takiej jak Google Authenticator lub Microsoft Authenticator (jednorazowe hasła czasowe, TOTP), a do dyspozycji są kody odzyskiwania. Liczba prób uwierzytelniania dwuskładnikowego jest ograniczona.

Sesje logowania korzystają z bezpiecznych plików cookie HTTP-only i kończą się automatycznie po okresie bezczynności (limit czasu sesji). Każdy użytkownik może też wylogować się ze wszystkich swoich pozostałych sesji przeglądarki.

Tak. Liczba prób logowania i uwierzytelniania dwuskładnikowego jest ograniczona, aby chronić przed atakami brute-force i zgadywaniem haseł.

Tak. Dostęp jest kontrolowany za pomocą ról i uprawnień (kontrola dostępu oparta na rolach, RBAC) na dwóch poziomach:

• Role na koncie: Owner, Admin, Manager, Analyst i Support, każda z innymi prawami do użytkowników, rozliczeń, kampanii i danych.
• Uprawnienia do kampanii: możesz dać każdej osobie dostęp do wybranych kampanii i zdecydować, co może tam robić, na przykład projektować, pisać teksty, obsługiwać nagrody i zwycięzców lub tylko przeglądać.

W dzienniku aktywności możesz zobaczyć, co robili twoi użytkownicy.

Tak. Nasze REST API działa wyłącznie przez HTTPS, korzysta z osobistych tokenów dostępu i ma ograniczenia liczby żądań. Webhooki ze Scratchera są podpisywane wspólnym sekretem (podpis HMAC), więc możesz zweryfikować, że pochodzą od nas.

Tylko pracownicy, którzy potrzebują dostępu do swojej pracy, i tylko wtedy, gdy go potrzebują (need-to-know). W ustawieniach konta decydujesz, czy nasz zespół wsparcia może uzyskać dostęp do twojego konta, by ci pomóc.

Dostęp opiera się na zasadzie najmniejszych uprawnień, korzysta z unikalnych kont użytkowników i jest weryfikowany co najmniej raz w roku. Pracownicy używają menedżera haseł, uwierzytelniania wieloskładnikowego, gdy jest to możliwe, i szyfrowanych laptopów, a dostęp jest cofany natychmiast po odejściu danej osoby (offboarding).

Bazy danych i serwery są automatycznie kopiowane każdego dnia, a kopie z co najmniej siedmiu dni są przechowywane. Kopie zapasowe są szyfrowane, przechowywane oddzielnie od systemów produkcyjnych w wysoce trwałym magazynie AWS (Amazon S3) i mogą być odczytywane wyłącznie przez administratorów. Przed jakimikolwiek pracami odtworzeniowymi po incydencie najpierw wykonywana jest dodatkowa kopia zapasowa. Odtwarzanie jest testowane co najmniej raz w roku.

Mamy plany ciągłości działania i odtwarzania po awarii (BC/DR) na wypadek awarii w AWS, awarii platformy i ataków na kampanie. Plany są co roku weryfikowane i ćwiczone. Jeśli awaria trwa dłużej niż godzinę, wszyscy klienci są informowani e-mailem. Nasz zespół operacyjny reaguje na przestój w ciągu 1 godziny w godzinach pracy i w ciągu 3 godzin poza godzinami pracy, a dyżur pełnimy całodobowo.

Wsparcie jest wliczone w każdą subskrypcję. Klienci enterprise mogą uzgodnić z nami konkretne poziomy usług.

Stosujemy udokumentowany proces zarządzania incydentami: incydenty są zgłaszane naszemu menedżerowi bezpieczeństwa informacji, oceniane, ograniczane, analizowane w celu znalezienia przyczyny źródłowej (analiza przyczyn źródłowych) i uzupełniane działaniami korygującymi. Każdy incydent jest rejestrowany i weryfikowany.

Tak. Jeśli naruszenie dotyczy twoich danych osobowych, powiadamiamy cię bez zbędnej zwłoki i w ciągu 24 godzin oraz pomagamy ci w twoim własnym zgłoszeniu do organu nadzorczego w ciągu 72 godzin (art. 33 i 34 RODO).

W naszym ostatnim rocznym przeglądzie systemu zarządzania bezpieczeństwem informacji nie odnotowano żadnego naruszenia poufności ani integralności danych klientów.

Napisz na adres contact@scratcher.io, podając jak najwięcej szczegółów. Stosujemy politykę ujawniania luk (odpowiedzialne ujawnianie), badamy każde zgłoszenie i wracamy do ciebie z odpowiedzią.

Stosujemy udokumentowany cykl bezpiecznego tworzenia oprogramowania (SDLC) oparty na ISO/IEC 27001:2022 (zabezpieczenia 8.25–8.33). Każda funkcja ma właściciela odpowiedzialnego za bezpieczeństwo od pomysłu do wycofania, a wymagania bezpieczeństwa są definiowane już na etapie specyfikacji i projektu.

• Security by design i by default: bezpieczeństwo jest wbudowane od początku, a najbezpieczniejsze ustawienia są domyślne.
• Najmniejsze uprawnienia: ludzie, usługi i partnerzy otrzymują tylko dostęp, którego potrzebują, i nic więcej.
• Obrona w głąb: kilka niezależnych warstw ochrony, więc jedna awaria nie ujawnia danych.
• Domyślna odmowa: dostęp jest blokowany, dopóki nie zostanie wyraźnie dozwolony.
• Zero trust: nigdy nie ufaj, zawsze weryfikuj. Każde żądanie jest uwierzytelniane i autoryzowane, niezależnie od tego, czy pochodzi z wnętrza sieci, czy z zewnątrz.
• Bezpieczna awaria i założenie naruszenia: systemy są projektowane tak, by pozostawały bezpieczne, gdy coś pójdzie nie tak.
• Najmniejsza funkcjonalność: włączone są tylko potrzebne funkcje i usługi.
• Nieufność wobec danych zewnętrznych: wszystkie dane wejściowe są walidowane.

Cały kod jest przechowywany w systemie kontroli wersji (Git), a każda zmiana przechodzi przez pull request z przeglądem kodu przez współpracowników, zanim zostanie scalona. Automatyczne testy jednostkowe, funkcjonalne i architektury uruchamiają się przy każdym pull requeście, a testy architektury blokują scalanie niebezpiecznych wzorców kodu. Linting i automatyczny refaktoring uruchamiają się przy każdym commicie, a zmiany projektowe i techniczne zatwierdza nasz CTO.

Platforma jest zbudowana na sprawdzonych, aktywnie utrzymywanych frameworkach (Laravel i Vue) z wbudowaną ochroną przed typowymi lukami z OWASP Top 10, takimi jak SQL injection, cross-site scripting (XSS) i cross-site request forgery (CSRF). Wszystkie dane wejściowe są walidowane po stronie serwera, a wrażliwe punkty końcowe mają ograniczenia liczby żądań. Podejrzane żądania są rejestrowane i weryfikowane.

Tak. Środowiska deweloperskie, testowe (staging) i produkcyjne są oddzielne i mają oddzielny dostęp. Zmiany są testowane na stagingu, zanim trafią na produkcję, a nasza polityka zakłada, że dane produkcyjne nie są kopiowane do środowisk deweloperskich ani testowych.

Zmiany są wdrażane przez zautomatyzowany pipeline CI/CD, który buduje nowy, wersjonowany obraz kontenera dla każdego wydania. Zmiany w bazie danych są uruchamiane jako kontrolowany krok wdrożenia, a ponieważ każde wydanie to osobny obraz, w razie potrzeby możemy szybko wrócić do poprzedniej wersji. Żadna pojedyncza osoba nie może zmienić produkcji bez przeglądu i zatwierdzenia (podział obowiązków).

Nasz kod źródłowy jest przechowywany w prywatnych repozytoriach z kontrolą dostępu i pełną historią wersji. Sekrety, takie jak hasła i klucze API, nigdy nie są przechowywane w kodzie; są trzymane w AWS Secrets Manager i wstrzykiwane w czasie działania.

Używamy wyłącznie znanych, aktywnie utrzymywanych bibliotek open source z renomowanych źródeł. Nowe biblioteki muszą zostać zatwierdzone przed użyciem, wersje są blokowane (pliki lock), a zależności są stale aktualizowane (bezpieczeństwo łańcucha dostaw oprogramowania).

Nasi programiści co tydzień przeprowadzają przegląd bezpieczeństwa (zarządzanie lukami). Luki znalezione przez nasz zespół, nasze narzędzia lub zgłoszone nam są oceniane, priorytetyzowane i naprawiane, a w razie potrzeby obsługiwane w ramach naszego procesu incydentów.

Tak. Nasi programiści stosują wytyczne bezpiecznego kodowania i przechodzą szkolenie z zakresu świadomości bezpieczeństwa na początku pracy oraz w trybie ciągłym.

Przeprowadzamy ocenę ryzyka opartą na prawdopodobieństwie i wpływie. Ryzyka są przeglądane co miesiąc, a każde ryzyko jest ponownie oceniane co najmniej raz w roku (zarządzanie ryzykiem).

Naszym menedżerem bezpieczeństwa informacji (ISM) jest nasz CTO, a zarząd zatwierdza nasze polityki bezpieczeństwa informacji. Polityki są co roku weryfikowane.

Nasz system zarządzania bezpieczeństwem informacji (ISMS) obejmuje zatwierdzone polityki dotyczące między innymi:

• Bezpieczeństwa informacji i dopuszczalnego użytkowania
• Klasyfikacji informacji i przekazywania informacji
• Kontroli dostępu i kryptografii (w tym zarządzania kluczami)
• Relacji z dostawcami i usług chmurowych
• Ochrony danych osobowych (PII) i dokumentacji
• Pracy zdalnej, czystego biurka i czystego ekranu, urządzeń końcowych i nośników wymiennych
• Rejestrowania i monitorowania, kopii zapasowych i przechowywania danych
• Zarządzania lukami i ujawniania luk
• Korzystania z AI

Polityki są zatwierdzane przez zarząd, komunikowane wszystkim pracownikom i co roku weryfikowane.

Tak. Nowi pracownicy przechodzą weryfikację przed rozpoczęciem pracy, podpisują umowy o zachowaniu poufności (NDA) i przechodzą szkolenie z zakresu świadomości bezpieczeństwa na początku pracy oraz w trybie ciągłym.

Scratcher to firma działająca w modelu remote-first. Nasza polityka pracy zdalnej wymaga bezpiecznych domowych biur, blokady ekranu, szyfrowanych urządzeń, chronionego Wi-Fi (WPA2/WPA3) i VPN w sieciach publicznych.

Tak. Informacje są klasyfikowane według poufności, integralności i dostępności (CIA) i traktowane zgodnie ze swoim poziomem.

Dostawcy są oceniani pod kątem poufności, integralności i dostępności, zanim z nich skorzystamy (zarządzanie ryzykiem dostawców). Wymagania bezpieczeństwa są częścią naszych umów, a dostawcy są regularnie weryfikowani.

Nasze funkcje AI, w tym Rex, asystent AI, korzystają z dużych modeli językowych (LLM) Google Gemini i modeli obrazów od fal.ai. Dostawcy są oceniani w naszym procesie oceny dostawców, a nasza polityka korzystania z AI określa, jak AI jest wykorzystywana.

Tak. Nasza polityka AI wymaga nadzoru człowieka (human in the loop) przy ważnych decyzjach. Zmiany dokonywane z pomocą AI odbywają się w edytorze, a to twój zespół decyduje, kiedy kampania zostanie opublikowana. Rex i pozostałe funkcje AI wprowadzają zmiany tylko wtedy, gdy ktoś z twojego zespołu o to poprosi.

Domyślnie kampanie używają wyłącznie funkcjonalnych plików cookie i pamięci: plików cookie do równoważenia ruchu między naszymi serwerami (pliki cookie load balancera), pamięci lokalnej przeglądarki, na przykład aby zapamiętać, że ktoś już zagrał, oraz, w przypadku okienek pop-up osadzonych na twojej stronie, plików cookie, które określają, jak często pop-up jest wyświetlany. Jeśli dodasz własne śledzenie, na przykład Google Tag Manager lub Meta Pixel, ładuje się ono dopiero po wyrażeniu zgody przez uczestnika w banerze cookie kampanii. Jeśli włączona jest ochrona przed botami (Cloudflare Turnstile), Cloudflare również przetwarza dane techniczne, takie jak adres IP i sygnały przeglądarki.

Tak. Własne teksty zgód i regulaminy piszesz samodzielnie, wybierasz, które pola są wymagane, i możesz używać double opt-in przy zapisach na newsletter.

E-maile transakcyjne, takie jak e-maile z nagrodami, są wysyłane przez naszego dostawcę dostarczania e-maili. Możesz wysyłać je ze swojej domeny, aby uczestnicy rozpoznawali nadawcę.

Tak. W planach Professional i Enterprise kampanie mogą działać pod twoim własnym adresem internetowym (domena własna), a e-maile do uczestników mogą być wysyłane z twojej domeny.

• Certyfikat ISO/IEC 27001:2022: pobierz go tutaj
• Deklaracja stosowania (SoA), na życzenie
• Umowa powierzenia przetwarzania danych (DPA), wraz z listą podprocesorów
• Odpowiedzi na twój kwestionariusz bezpieczeństwa lub ocenę dostawcy

Tak. Prześlij nam swój kwestionariusz bezpieczeństwa lub ocenę dostawcy, a my go wypełnimy. Na wiele pytań odpowiadamy już na tej stronie.

Napisz na adres contact@scratcher.io lub umów spotkanie. Scratcher ApS, CVR 38552864.