Răspunsuri la întrebările despre securitate

Da. Scratcher ApS este certificat conform ISO/IEC 27001:2022, standardul internațional pentru un sistem de management al securității informației (ISMS). Certificarea este emisă de Bureau Veritas Certification sub acreditare (FINAS), certificatul nr. FIHSK27150F, valabil până la 7 noiembrie 2028. Suntem certificați din noiembrie 2022.

Descarcă certificatul (PDF)

Domeniul certificat este dezvoltarea, vânzarea și suportul software pentru campanii interactive, marketing și activități conexe, inclusiv colectarea de date și permisiuni. În practică, acesta acoperă platforma Scratcher, campaniile care rulează pe ea, procesele noastre și infrastructura cloud din spatele lor.

Bureau Veritas efectuează în fiecare an un audit extern de supraveghere și, la fiecare trei ani, un audit de recertificare. Înainte de fiecare audit extern, facem un audit intern al tuturor proceselor ISMS și o analiză a managementului.

Da. Declarația noastră de aplicabilitate este corelată cu controalele din ISO/IEC 27001:2022 Anexa A (ISO/IEC 27002:2022) și arată ce controale se aplică și cum sunt implementate. Clienții Enterprise o pot solicita.

Da. Prelucrăm datele cu caracter personal în conformitate cu Regulamentul general privind protecția datelor al UE (GDPR). Pentru datele din campanii, tu ești operatorul de date, iar Scratcher este persoana împuternicită (articolul 28), pe baza unui acord de prelucrare a datelor (DPA).

Nu. În schimb, securitatea informației noastre este certificată conform ISO/IEC 27001:2022, iar ca documentație de asigurare oferim certificatul și Declarația de aplicabilitate.

Certificatul nostru ISO 27001 și Declarația de aplicabilitate acoperă majoritatea nevoilor de audit și de evaluare a furnizorilor. Dacă ai nevoie de un audit suplimentar, stabilim împreună cu tine în avans domeniul, calendarul și eventualele costuri.

Ție. Îți păstrezi toate drepturile asupra datelor tale (datele clienților), iar noi le prelucrăm doar pentru a furniza serviciul, așa cum este descris în termenii noștri și în acordul de prelucrare a datelor.

Da. Fiecare client este acoperit de acordul nostru de prelucrare a datelor conform articolului 28 din GDPR. Clienții Enterprise pot folosi și un DPA bazat pe modelul contractual standard al Autorității daneze pentru protecția datelor (Datatilsynet).

Folosim un număr mic de subcontractanți atent selectați, de exemplu Amazon Web Services (AWS) pentru găzduire și un furnizor pentru trimiterea e-mailurilor tranzacționale. Fiecare subcontractant este obligat printr-un acord de prelucrare a datelor. Lista actuală se află în Anexa B a acordului nostru de prelucrare a datelor.

Da. Te anunțăm cu cel puțin 14 zile înainte să adăugăm sau să înlocuim un subcontractant care îți prelucrează datele cu caracter personal. Dacă nu accepți modificarea, poți rezilia contractul.

Toate datele clienților sunt stocate în UE. Dacă un subcontractant prelucrează date cu caracter personal în afara UE/SEE, de exemplu pentru funcții AI sau protecție împotriva boților, transferul este protejat prin Clauzele contractuale standard (SCC) ale Comisiei Europene sau prin Cadrul UE–SUA privind confidențialitatea datelor (DPF).

Nu. Îți prelucrăm datele doar conform instrucțiunilor tale, pentru a furniza serviciul (limitarea scopului). Nu îți vindem niciodată datele și nu le folosim pentru propriul nostru marketing.

Da. Tu decizi ce câmpuri de formular are fiecare campanie și care sunt obligatorii, astfel încât să colectezi doar datele de care ai cu adevărat nevoie (reducerea la minimum a datelor).

Tu decizi perioada de păstrare. Poți șterge datele participanților oricând sau poți seta ștergerea automată, de exemplu la un anumit număr de zile după încheierea unei campanii. Perioada maximă de păstrare este stabilită în acordul tău de prelucrare a datelor.

Da. Poți exporta oricând participanții și lead-urile în format CSV, le poți trimite automat în propriile sisteme prin integrările noastre sau le poți prelua prin REST API-ul nostru (portabilitatea datelor).

Datele tale sunt șterse după încheierea abonamentului, în conformitate cu termenii noștri și cu acordul de prelucrare a datelor. Copiile din backupuri sunt suprascrise pe măsură ce backupurile se rotesc. Exportă tot ce vrei să păstrezi înainte de încheierea abonamentului.

Ca operator de date, tu gestionezi cererile participanților, precum accesul, rectificarea sau ștergerea (articolele 15–17 din GDPR). Poți găsi, exporta și șterge datele participanților în platformă, iar echipa noastră te ajută dacă e nevoie.

Toate datele clienților sunt stocate în centrele de date Amazon Web Services (AWS) din UE. Nu avem servere proprii, așa că securitatea fizică și de mediu este gestionată de AWS, care este certificat ISO 27001, SOC 2 și conform altor standarde recunoscute.

• Izolarea rețelei: toate serverele și bazele de date rulează într-o rețea privată (Amazon VPC) care nu poate fi accesată de pe internet.
• Protecție la margine: doar load balancerele (ALB) și rețeaua de livrare a conținutului (Amazon CloudFront) sunt publice și sunt protejate de un firewall pentru aplicații web (AWS WAF).
• Infrastructură imuabilă: serverele rulează ca containere care nu sunt niciodată modificate manual. Le înlocuim cu versiuni noi, testate, și nu există acces SSH.
• Baze de date gestionate: bazele de date rulează pe Amazon RDS, un serviciu de baze de date gestionat de AWS.

Da. Tot traficul trece prin Amazon CloudFront și AWS WAF, care filtrează cererile rău intenționate și absorb vârfurile mari de trafic (protecție DDoS) înainte să ajungă la serverele noastre.

Scratcher este o platformă multi-tenant. Datele fiecărui client sunt separate logic pe cont (izolarea tenanților), iar fiecare cerere este autorizată, astfel încât utilizatorii văd doar datele din conturile la care au acces.

Da. Apelurile API și modificările din mediul nostru AWS sunt înregistrate într-un jurnal de audit criptat, care face vizibilă orice modificare neautorizată (AWS CloudTrail cu validarea fișierelor de log), iar logurile aplicației sunt colectate centralizat (Amazon CloudWatch). În contul tău, poți vedea în jurnalul de activitate ce au făcut utilizatorii tăi.

Operăm infrastructura împreună cu un partener DevOps specializat, care este el însuși certificat ISO 27001. Partenerii primesc doar accesul de care au nevoie pentru munca lor (privilegiul minim).

Platforma este verificată automat la fiecare 30 de secunde din mai multe regiuni AWS (monitorizarea disponibilității). Echipa noastră de operațiuni este alertată automat dacă ceva nu merge bine, iar majoritatea problemelor sunt detectate în câteva minute. Erorile aplicației sunt urmărite prin monitorizarea erorilor.

Da. Detectarea automată a abuzurilor rulează în fundal, iar campaniile pot folosi protecție împotriva boților (Cloudflare Turnstile), limite de participare, coduri de verificare și liste de blocare pentru adrese de e-mail și numere de telefon.

Da. Tot traficul către platformă, campanii și API este criptat cu TLS (HTTPS).

Da. Bazele de date, fișierele și backupurile sunt criptate în repaus cu AES-256 prin AWS.

Cheile de criptare sunt gestionate de AWS (chei gestionate de AWS) și sunt disponibile doar serviciilor care au nevoie de ele.

Datele de autentificare pentru integrările tale, cum ar fi cheile API pentru instrumentul de e-mail sau CRM, sunt criptate suplimentar în aplicație cu AES-256 înainte să fie stocate (criptare la nivel de aplicație).

Parolele nu sunt niciodată stocate în text simplu. Ele sunt hash-uite și salt-uite cu bcrypt, un algoritm conceput pentru parole.

Da. Echipa ta se poate autentifica cu contul Google (Google SSO).

Da. Fiecare utilizator poate activa autentificarea în doi pași (2FA) cu o aplicație de autentificare precum Google Authenticator sau Microsoft Authenticator (parole unice bazate pe timp, TOTP) și primește coduri de recuperare. Încercările de autentificare în doi pași sunt limitate.

Sesiunile de autentificare folosesc cookie-uri securizate, HTTP-only, și se încheie automat după o perioadă de inactivitate (expirarea sesiunii). Fiecare utilizator se poate deconecta și din toate celelalte sesiuni de browser.

Da. Încercările de autentificare și de autentificare în doi pași sunt limitate pentru a proteja împotriva atacurilor de tip brute-force și a ghicirii parolelor.

Da. Accesul este controlat prin roluri și permisiuni (control al accesului bazat pe roluri, RBAC) pe două niveluri:

• Roluri de cont: Owner, Admin, Manager, Analyst și Support, fiecare cu drepturi diferite asupra utilizatorilor, facturării, campaniilor și datelor.
• Permisiuni pe campanie: poți da fiecărei persoane acces la anumite campanii și poți decide ce are voie să facă acolo, de exemplu design, scrierea textelor, gestionarea premiilor și a câștigătorilor sau doar revizuire.

Poți vedea în jurnalul de activitate ce au făcut utilizatorii tăi.

Da. REST API-ul nostru funcționează doar prin HTTPS, folosește tokenuri de acces personale și are limită de cereri. Webhook-urile de la Scratcher sunt semnate cu un secret partajat (semnătură HMAC), astfel încât poți verifica faptul că provin de la noi.

Doar angajații care au nevoie de acces pentru munca lor și doar atunci când au nevoie (need-to-know). În setările contului tău, decizi dacă echipa noastră de suport îți poate accesa contul pentru a te ajuta.

Accesul respectă principiul privilegiului minim, folosește conturi de utilizator unice și este revizuit cel puțin o dată pe an. Angajații folosesc un manager de parole, autentificare multifactor acolo unde este posibil și laptopuri criptate, iar accesul este revocat imediat ce cineva pleacă (offboarding).

Bazele de date și serverele au backup automat în fiecare zi, iar backupurile se păstrează cel puțin șapte zile. Backupurile sunt criptate, stocate separat de sistemele de producție, într-un spațiu de stocare AWS foarte durabil (Amazon S3), și pot fi citite doar de administratori. Înainte de orice lucrare de recuperare după un incident, se face mai întâi un backup suplimentar. Restaurările sunt testate cel puțin o dată pe an.

Avem planuri de continuitate a activității și de recuperare în caz de dezastru (BC/DR) pentru întreruperi la AWS, întreruperi ale platformei și atacuri asupra campaniilor. Planurile sunt revizuite și exersate în fiecare an. Dacă o întrerupere durează mai mult de o oră, toți clienții sunt informați prin e-mail. Echipa noastră de operațiuni răspunde la căderi în maximum 1 oră în timpul programului de lucru și în maximum 3 ore în afara acestuia, cu permanență non-stop.

Suportul este inclus în fiecare abonament. Clienții Enterprise pot stabili cu noi niveluri de servicii specifice.

Urmăm un proces documentat de gestionare a incidentelor: incidentele sunt raportate managerului nostru de securitate a informației, evaluate, izolate, analizate pentru a găsi cauza principală (analiza cauzei principale) și urmate de acțiuni corective. Fiecare incident este înregistrat și analizat.

Da. Dacă o încălcare îți afectează datele cu caracter personal, te anunțăm fără întârzieri nejustificate și în maximum 24 de ore și te ajutăm cu propria notificare către autoritatea de supraveghere în termen de 72 de ore (articolele 33 și 34 din GDPR).

În cea mai recentă analiză anuală a sistemului de management al securității informației nu a fost înregistrată nicio încălcare a confidențialității sau integrității datelor clienților.

Scrie-ne la contact@scratcher.io cu cât mai multe detalii. Urmăm o politică de dezvăluire a vulnerabilităților (responsible disclosure), investigăm fiecare raport și revenim cu un răspuns.

Urmăm un ciclu de viață documentat pentru dezvoltarea securizată a software-ului (SDLC), bazat pe ISO/IEC 27001:2022 (controalele 8.25–8.33). Fiecare funcție are un responsabil care răspunde de securitate de la idee până la retragere, iar cerințele de securitate sunt definite încă din faza de specificare și design.

• Security by design și by default: securitatea este integrată de la început, iar setările cele mai sigure sunt cele implicite.
• Privilegiul minim: oamenii, serviciile și partenerii primesc doar accesul de care au nevoie, nimic în plus.
• Apărare în profunzime: mai multe niveluri independente de protecție, astfel încât o singură defecțiune să nu expună datele.
• Refuz implicit: accesul este blocat, cu excepția cazului în care a fost permis explicit.
• Zero trust: nu avea niciodată încredere, verifică întotdeauna. Fiecare cerere este autentificată și autorizată, indiferent dacă vine din interiorul sau din exteriorul rețelei.
• Eșec în siguranță și presupunerea unei breșe: sistemele sunt concepute să rămână sigure dacă ceva nu merge bine.
• Funcționalitate minimă: sunt activate doar funcțiile și serviciile necesare.
• Neîncredere în datele externe: toate datele de intrare sunt validate.

Tot codul este păstrat în controlul versiunilor (Git), iar fiecare modificare trece printr-un pull request cu code review de la un coleg înainte de a fi integrată. Testele automate unitare, de funcționalitate și de arhitectură rulează la fiecare pull request, iar testele de arhitectură împiedică integrarea tiparelor de cod nesigure. Linting-ul și refactorizarea automată rulează la fiecare commit, iar modificările de design și cele tehnice sunt aprobate de CTO-ul nostru.

Platforma este construită pe framework-uri consacrate, întreținute activ (Laravel și Vue), cu protecție integrată împotriva vulnerabilităților obișnuite din OWASP Top 10, precum SQL injection, cross-site scripting (XSS) și cross-site request forgery (CSRF). Toate datele de intrare sunt validate pe server, iar endpointurile sensibile au limită de cereri. Cererile suspecte sunt înregistrate și analizate.

Da. Dezvoltarea, testarea (staging) și producția sunt medii separate, cu acces separat. Modificările sunt testate în staging înainte să ajungă în producție, iar politica noastră este ca datele din producție să nu fie copiate în mediile de dezvoltare sau testare.

Modificările sunt implementate printr-un pipeline CI/CD automatizat, care construiește o nouă imagine de container, cu versiune, pentru fiecare lansare. Modificările bazei de date rulează ca etapă controlată a implementării și, deoarece fiecare lansare este o imagine separată, putem reveni rapid la versiunea anterioară dacă este nevoie. Nicio persoană nu poate modifica singură producția fără revizuire și aprobare (separarea atribuțiilor).

Codul nostru sursă este păstrat în repository-uri private, cu control al accesului și istoric complet al versiunilor. Secretele, precum parolele și cheile API, nu sunt niciodată stocate în cod; ele sunt păstrate în AWS Secrets Manager și injectate la rulare.

Folosim doar biblioteci open-source cunoscute, întreținute activ, din surse de încredere. Bibliotecile noi trebuie aprobate înainte de utilizare, versiunile sunt blocate (lock files), iar dependențele sunt actualizate continuu (securitatea lanțului de aprovizionare software).

Programatorii noștri fac în fiecare săptămână o analiză de securitate (managementul vulnerabilităților). Vulnerabilitățile găsite de echipa noastră, de instrumentele noastre sau raportate nouă sunt evaluate, prioritizate și remediate și, dacă este nevoie, gestionate prin procesul nostru de incidente.

Da. Programatorii noștri respectă ghiduri de programare securizată și primesc instruire de conștientizare a securității când încep și în mod continuu.

Facem o evaluare a riscurilor pe baza probabilității și a impactului. Riscurile sunt analizate în fiecare lună, iar fiecare risc este reevaluat cel puțin o dată pe an (managementul riscurilor).

CTO-ul nostru este managerul de securitate a informației (ISM), iar conducerea aprobă politicile noastre de securitate a informației. Politicile sunt revizuite în fiecare an.

Sistemul nostru de management al securității informației (ISMS) include politici aprobate pentru, printre altele:

• Securitatea informației și utilizarea acceptabilă
• Clasificarea informațiilor și transferul de informații
• Controlul accesului și criptografie (inclusiv gestionarea cheilor)
• Relațiile cu furnizorii și serviciile cloud
• Protecția datelor cu caracter personal (PII) și a înregistrărilor
• Munca la distanță, birou curat și ecran curat, dispozitive finale și suporturi amovibile
• Logare și monitorizare, backup și păstrarea datelor
• Managementul vulnerabilităților și dezvăluirea vulnerabilităților
• Utilizarea AI

Politicile sunt aprobate de conducere, comunicate tuturor angajaților și revizuite în fiecare an.

Da. Angajații noi trec printr-o verificare a antecedentelor înainte să înceapă, semnează acorduri de confidențialitate (NDA) și primesc instruire de conștientizare a securității când încep și în mod continuu.

Scratcher este o companie remote-first. Politica noastră de lucru la distanță impune birouri de acasă securizate, blocarea ecranului, dispozitive criptate, Wi-Fi protejat (WPA2/WPA3) și VPN în rețelele publice.

Da. Informațiile sunt clasificate după confidențialitate, integritate și disponibilitate (CIA) și tratate în funcție de nivelul lor.

Furnizorii sunt evaluați din punctul de vedere al confidențialității, integrității și disponibilității înainte să îi folosim (managementul riscurilor legate de furnizori). Cerințele de securitate fac parte din contractele noastre, iar furnizorii sunt reevaluați periodic.

Funcțiile noastre AI, inclusiv Rex, asistentul AI, folosesc modele lingvistice mari (LLM) de la Google Gemini și modele de imagine de la fal.ai. Furnizorii sunt evaluați în procesul nostru pentru furnizori, iar politica noastră de utilizare a AI stabilește cum este folosit AI-ul.

Da. Politica noastră privind AI impune supraveghere umană (human in the loop) pentru deciziile importante. Modificările făcute cu AI au loc în editor, iar echipa ta decide când este publicată o campanie. Rex și celelalte funcții AI fac modificări doar atunci când cineva din echipa ta le cere acest lucru.

În mod implicit, campaniile folosesc doar cookie-uri și stocare funcționale: cookie-uri care echilibrează traficul între serverele noastre (cookie-uri de load balancer), stocarea locală din browser, de exemplu pentru a reține că cineva a jucat deja, și, pentru ferestrele pop-up încorporate pe site-ul tău, cookie-uri care controlează cât de des este afișat pop-up-ul. Dacă adaugi propria urmărire, de exemplu Google Tag Manager sau Meta Pixel, aceasta se încarcă doar după ce participantul și-a dat consimțământul în bannerul de cookie-uri al campaniei. Dacă protecția împotriva boților (Cloudflare Turnstile) este activată, Cloudflare prelucrează și date tehnice, cum ar fi adresa IP și semnalele browserului.

Da. Îți scrii propriile texte de consimțământ și propriii termeni, alegi ce câmpuri sunt obligatorii și poți folosi double opt-in pentru înscrierile la newsletter.

E-mailurile tranzacționale, precum e-mailurile cu premii, sunt trimise prin furnizorul nostru de livrare a e-mailurilor. Le poți trimite de pe propriul domeniu, astfel încât participanții să recunoască expeditorul.

Da. În planurile Professional și Enterprise, campaniile pot rula pe propria ta adresă web (domeniu personalizat), iar e-mailurile către participanți pot fi trimise de pe propriul tău domeniu.

• Certificatul ISO/IEC 27001:2022: descarcă-l aici
• Declarația de aplicabilitate (SoA), la cerere
• Acordul de prelucrare a datelor (DPA), inclusiv lista subcontractanților
• Răspunsuri la chestionarul tău de securitate sau la evaluarea furnizorului

Da. Trimite-ne chestionarul de securitate sau evaluarea furnizorului și îl completăm. Multe întrebări au deja răspuns pe această pagină.

Scrie-ne la contact@scratcher.io sau programează o întâlnire. Scratcher ApS, CVR 38552864.