Dina säkerhetsfrågor, besvarade

Ja. Scratcher ApS är certifierat enligt ISO/IEC 27001:2022, den internationella standarden för ledningssystem för informationssäkerhet (ISMS). Certifieringen utfärdas av Bureau Veritas Certification under ackreditering (FINAS), certifikatnummer FIHSK27150F, giltigt till och med 7 november 2028. Vi har varit certifierade sedan november 2022.

Ladda ner certifikatet (PDF)

Det certifierade omfånget är utveckling, försäljning och support av programvara för interaktiva kampanjer, marknadsföring och relaterade aktiviteter, inklusive insamling av data och samtycken. I praktiken omfattar det Scratcher-plattformen, kampanjerna som körs på den, våra processer och den molninfrastruktur som ligger bakom.

Bureau Veritas genomför en extern övervakningsrevision varje år och en omcertifieringsrevision vart tredje år. Före varje extern revision genomför vi en intern revision av alla ISMS-processer och en ledningens genomgång.

Ja. Vår tillämplighetsförklaring (Statement of Applicability) är kopplad till kontrollerna i ISO/IEC 27001:2022 bilaga A (ISO/IEC 27002:2022) och visar vilka kontroller som gäller och hur de är genomförda. Enterprise-kunder kan begära den.

Ja. Vi behandlar personuppgifter i enlighet med EU:s allmänna dataskyddsförordning (GDPR). För kampanjdata är du personuppgiftsansvarig och Scratcher är personuppgiftsbiträde (artikel 28), enligt ett personuppgiftsbiträdesavtal (DPA).

Nej. Vår informationssäkerhet är i stället certifierad enligt ISO/IEC 27001:2022, och vi tillhandahåller certifikatet och tillämplighetsförklaringen som försäkringsdokumentation.

Vårt ISO 27001-certifikat och vår tillämplighetsförklaring täcker de flesta behov av revision och leverantörsbedömning. Om du behöver en ytterligare revision kommer vi överens med dig i förväg om omfattning, tidpunkt och eventuella kostnader.

Det gör du. Du behåller alla rättigheter till dina data (kunddata), och vi behandlar dem bara för att leverera tjänsten, enligt våra villkor och personuppgiftsbiträdesavtalet.

Ja. Alla kunder omfattas av vårt personuppgiftsbiträdesavtal enligt artikel 28 i GDPR. Enterprise-kunder kan också använda ett DPA som bygger på standardavtalsmallen från den danska dataskyddsmyndigheten (Datatilsynet).

Vi använder ett fåtal noga utvalda underbiträden, till exempel Amazon Web Services (AWS) för hosting och en leverantör för utskick av transaktionsmejl. Varje underbiträde är bundet av ett personuppgiftsbiträdesavtal. Den aktuella listan ingår i vårt DPA och finns att få på begäran.

Ja. Vi meddelar dig minst 14 dagar innan vi lägger till eller byter ut ett underbiträde som behandlar dina personuppgifter. Om du inte godtar ändringen kan du säga upp avtalet.

Alla kunddata lagras i EU. Om ett underbiträde behandlar personuppgifter utanför EU/EES, till exempel för AI-funktioner eller botskydd, skyddas överföringen av EU-kommissionens standardavtalsklausuler (SCC) eller dataskyddsramverket mellan EU och USA (DPF).

Nej. Vi behandlar bara dina data på dina instruktioner för att leverera tjänsten (ändamålsbegränsning). Vi säljer aldrig dina data och använder dem aldrig i vår egen marknadsföring.

Ja. Du bestämmer vilka formulärfält varje kampanj har och vilka som är obligatoriska, så att du bara samlar in de data du faktiskt behöver (uppgiftsminimering).

Du bestämmer lagringstiden. Du kan radera deltagardata när som helst eller ställa in automatisk radering, till exempel ett visst antal dagar efter att en kampanj har avslutats. Den längsta lagringstiden anges i ditt personuppgiftsbiträdesavtal.

Ja. Du kan när som helst exportera deltagare och leads som CSV, skicka dem automatiskt till dina egna system via våra integrationer eller hämta dem via vårt REST API (dataportabilitet).

Dina data raderas när din prenumeration har upphört, i enlighet med våra villkor och personuppgiftsbiträdesavtalet. Kopior i backuper skrivs över när backuperna roteras. Exportera allt du vill spara innan prenumerationen upphör.

Som personuppgiftsansvarig hanterar du begäranden från deltagare, till exempel om tillgång, rättelse eller radering (artiklarna 15–17 i GDPR). Du kan hitta, exportera och radera deltagardata i plattformen, och vårt team hjälper dig vid behov.

Alla kunddata lagras i datacenter hos Amazon Web Services (AWS) i EU. Vi driver inga egna servrar, så fysisk säkerhet och miljösäkerhet hanteras av AWS, som är certifierat enligt ISO 27001, SOC 2 och andra erkända standarder.

• Nätverksisolering: alla servrar och databaser körs i ett privat nätverk (Amazon VPC) som inte kan nås från internet.
• Skydd i nätets utkant: endast lastbalanserarna (ALB) och innehållsleveransnätverket (Amazon CloudFront) är offentliga, och de skyddas av en brandvägg för webbapplikationer (AWS WAF).
• Oföränderlig infrastruktur: servrarna körs som containrar som aldrig ändras för hand. Vi ersätter dem med nya, testade versioner, och det finns ingen SSH-åtkomst.
• Hanterade databaser: databaserna körs på Amazon RDS, en databastjänst som hanteras av AWS.

Ja. All trafik går via Amazon CloudFront och AWS WAF, som filtrerar skadliga förfrågningar och absorberar stora trafiktoppar (DDoS-skydd) innan de når våra servrar.

Scratcher är en plattform med flera hyresgäster (multi-tenant). Varje kunds data är logiskt åtskilda per konto (tenant-isolering), och varje förfrågan auktoriseras, så att användare bara ser data från de konton de har åtkomst till.

Ja. API-anrop och ändringar i vår AWS-miljö registreras i ett krypterat, manipuleringsskyddat revisionsspår (AWS CloudTrail med validering av loggfiler), och applikationsloggar samlas in centralt (Amazon CloudWatch). I ditt konto kan du se vad dina användare har gjort i aktivitetsloggen.

Vi driver infrastrukturen tillsammans med en specialiserad DevOps-partner som själv är ISO 27001-certifierad. Partnern får bara den åtkomst som dess arbete kräver (minsta möjliga behörighet).

Plattformen kontrolleras automatiskt var 30:e sekund från flera AWS-regioner (drifttidsövervakning). Vårt driftteam larmas automatiskt om något går fel, och de flesta problem upptäcks inom några minuter. Applikationsfel spåras med felövervakning.

Ja. Automatisk upptäckt av missbruk körs i bakgrunden, och kampanjer kan använda botskydd (Cloudflare Turnstile), deltagargränser, verifieringskoder och blocklistor för e-postadresser och telefonnummer.

Ja. All trafik till plattformen, kampanjerna och API:et krypteras med TLS (HTTPS).

Ja. Databaser, filer och backuper krypteras i vila med AES-256 via AWS.

Krypteringsnycklarna hanteras av AWS (AWS-hanterade nycklar) och är bara tillgängliga för de tjänster som behöver dem.

Inloggningsuppgifter för dina integrationer, till exempel API-nycklar för ditt e-postverktyg eller CRM, krypteras dessutom i applikationen med AES-256 innan de lagras (kryptering på applikationsnivå).

Lösenord lagras aldrig i klartext. De hashas och saltas med bcrypt, en algoritm som är utformad för lösenord.

Ja. Ditt team kan logga in med sitt Google-konto (Google SSO).

Ja. Varje användare kan aktivera tvåfaktorsautentisering (2FA) med en autentiseringsapp som Google Authenticator eller Microsoft Authenticator (tidsbaserade engångslösenord, TOTP), och återställningskoder tillhandahålls. Antalet försök med tvåfaktorsautentisering är begränsat.

Inloggningssessioner använder säkra, HTTP-only-cookies och avslutas automatiskt efter en period av inaktivitet (sessionstimeout). Varje användare kan också logga ut från alla sina andra webbläsarsessioner.

Ja. Antalet inloggnings- och tvåfaktorsförsök är begränsat för att skydda mot brute force-attacker och gissning av lösenord.

Ja. Åtkomsten styrs med roller och behörigheter (rollbaserad åtkomstkontroll, RBAC) på två nivåer:

• Kontoroller: ägare, admin, manager, analytiker och support, var och en med olika rättigheter till användare, fakturering, kampanjer och data.
• Kampanjbehörigheter: du kan ge varje person åtkomst till specifika kampanjer och bestämma vad de får göra där, till exempel designa, skriva texter, hantera priser och vinnare eller bara granska.

Du kan se vad dina användare har gjort i aktivitetsloggen.

Ja. Vårt REST API fungerar bara över HTTPS, använder personliga åtkomsttoken och har begränsad anropsfrekvens. Webhooks från Scratcher signeras med en delad hemlighet (HMAC-signatur), så att du kan verifiera att de kommer från oss.

Bara anställda som behöver åtkomst för sitt arbete, och bara när de behöver den (need-to-know). I dina kontoinställningar bestämmer du om vårt supportteam får komma åt ditt konto för att hjälpa dig.

Åtkomsten följer principen om minsta möjliga behörighet, använder unika användarkonton och granskas minst en gång om året. Anställda använder lösenordshanterare, multifaktorautentisering där det är möjligt och krypterade bärbara datorer, och åtkomsten återkallas så snart någon slutar (offboarding).

Databaser och servrar säkerhetskopieras automatiskt varje dag, och minst sju dagars backuper sparas. Backuperna är krypterade, lagras separat från produktionssystemen i mycket hållbar AWS-lagring (Amazon S3) och kan bara läsas av administratörer. Före allt återställningsarbete efter en incident tas först en extra backup. Återställningar testas minst en gång om året.

Vi har planer för verksamhetskontinuitet och katastrofåterställning (BC/DR) för avbrott hos AWS, avbrott på plattformen och attacker mot kampanjer. Planerna granskas och övas varje år. Om ett avbrott varar mer än en timme informeras alla kunder via mejl. Vårt driftteam agerar vid driftstopp inom 1 timme under kontorstid och inom 3 timmar utanför kontorstid, med beredskap dygnet runt.

Support ingår i varje abonnemang. Enterprise-kunder kan komma överens med oss om specifika servicenivåer.

Vi följer en dokumenterad process för incidenthantering: incidenter rapporteras till vår informationssäkerhetsansvarige, bedöms, begränsas, analyseras för att hitta grundorsaken (rotorsaksanalys) och följs upp med korrigerande åtgärder. Varje incident loggas och granskas.

Ja. Om en incident påverkar dina personuppgifter meddelar vi dig utan onödigt dröjsmål och inom 24 timmar, och hjälper dig med din egen anmälan till tillsynsmyndigheten inom 72 timmar (artiklarna 33 och 34 i GDPR).

Inget brott mot sekretessen eller integriteten hos kunddata registrerades i vår senaste årliga genomgång av ledningssystemet för informationssäkerhet.

Skriv till contact@scratcher.io med så många detaljer som möjligt. Vi följer en policy för ansvarsfull rapportering av sårbarheter (responsible disclosure), utreder varje rapport och återkommer till dig.

Vi följer en dokumenterad livscykel för säker programvaruutveckling (SDLC) baserad på ISO/IEC 27001:2022 (kontrollerna 8.25–8.33). Varje funktion har en ägare som ansvarar för säkerheten från idé till avveckling, och säkerhetskrav definieras redan i specifikations- och designfasen.

• Security by design och by default: säkerheten byggs in från start, och de säkraste inställningarna är standard.
• Minsta möjliga behörighet: personer, tjänster och partner får bara den åtkomst de behöver, och inget mer.
• Skydd i flera lager: flera oberoende skyddslager, så att ett enskilt fel inte exponerar data.
• Neka som standard: åtkomst blockeras om den inte uttryckligen har tillåtits.
• Zero trust: lita aldrig på något, verifiera alltid. Varje förfrågan autentiseras och auktoriseras, oavsett om den kommer inifrån eller utifrån nätverket.
• Säkert vid fel och utgå från intrång: system utformas för att förbli säkra om något går fel.
• Minsta möjliga funktionalitet: bara de funktioner och tjänster som behövs är aktiverade.
• Misstro extern indata: all indata valideras.

All kod finns i versionshantering (Git), och varje ändring går via en pull request med kodgranskning av en kollega innan den slås ihop. Automatiska enhets-, funktions- och arkitekturtester körs på varje pull request, och arkitekturtesterna hindrar osäkra kodmönster från att slås ihop. Linting och automatisk refaktorering körs på varje commit, och design- och tekniska ändringar godkänns av vår CTO.

Plattformen bygger på etablerade ramverk som underhålls aktivt (Laravel och Vue) med inbyggt skydd mot vanliga sårbarheter från OWASP Top 10, som SQL-injektion, cross-site scripting (XSS) och cross-site request forgery (CSRF). All indata valideras på servern, och känsliga slutpunkter har begränsad anropsfrekvens. Misstänkta förfrågningar loggas och granskas.

Ja. Utveckling, test (staging) och produktion är separata miljöer med separat åtkomst. Ändringar testas i staging innan de når produktion, och vår policy är att produktionsdata inte kopieras till utvecklings- eller testmiljöer.

Ändringar driftsätts via en automatiserad CI/CD-pipeline som bygger en ny, versionshanterad containeravbild för varje release. Databasändringar körs som ett kontrollerat steg i driftsättningen, och eftersom varje release är en separat avbild kan vi snabbt återgå till föregående version vid behov. Ingen enskild person kan ändra i produktion utan granskning och godkännande (åtskillnad av arbetsuppgifter).

Vår källkod finns i privata repositorier med åtkomstkontroll och fullständig versionshistorik. Hemligheter som lösenord och API-nycklar lagras aldrig i koden; de förvaras i AWS Secrets Manager och injiceras vid körning.

Vi använder bara välkända open source-bibliotek från pålitliga källor som underhålls aktivt. Nya bibliotek måste godkännas innan de används, versioner låses (lock-filer) och beroenden uppdateras löpande (säkerhet i programvarans leveranskedja).

Våra utvecklare håller en säkerhetsgenomgång varje vecka (sårbarhetshantering). Sårbarheter som hittas av vårt team, våra verktyg eller som rapporteras till oss bedöms, prioriteras och åtgärdas, och hanteras vid behov via vår incidentprocess.

Ja. Våra utvecklare följer riktlinjer för säker kodning och får utbildning i säkerhetsmedvetenhet när de börjar och löpande.

Vi genomför en riskbedömning baserad på sannolikhet och konsekvens. Risker granskas varje månad, och varje risk bedöms om minst en gång om året (riskhantering).

Vår CTO är informationssäkerhetsansvarig (ISM), och ledningen godkänner våra informationssäkerhetspolicyer. Policyerna granskas varje år.

Vårt ledningssystem för informationssäkerhet (ISMS) omfattar godkända policyer för bland annat:

• Informationssäkerhet och godtagbar användning
• Informationsklassificering och informationsöverföring
• Åtkomstkontroll och kryptografi (inklusive nyckelhantering)
• Leverantörsrelationer och molntjänster
• Skydd av personuppgifter (PII) och register
• Distansarbete, städad skrivbordsyta och skärm, slutpunkter och flyttbara medier
• Loggning och övervakning, backup och datalagring
• Sårbarhetshantering och rapportering av sårbarheter
• Användning av AI

Policyerna godkänns av ledningen, kommuniceras till alla anställda och granskas varje år.

Ja. Nyanställda genomgår en bakgrundskontroll innan de börjar, skriver under sekretessavtal (NDA) och får utbildning i säkerhetsmedvetenhet när de börjar och löpande.

Scratcher är ett remote-first-företag. Vår policy för distansarbete kräver säkra hemmakontor, skärmlås, krypterade enheter, skyddat wifi (WPA2/WPA3) och VPN på offentliga nätverk.

Ja. Information klassificeras efter konfidentialitet, integritet och tillgänglighet (CIA) och hanteras utifrån sin nivå.

Leverantörer bedöms vad gäller konfidentialitet, integritet och tillgänglighet innan vi använder dem (leverantörsriskhantering). Säkerhetskrav ingår i våra avtal, och leverantörer granskas regelbundet.

Våra AI-funktioner, inklusive Rex, AI-assistenten, använder stora språkmodeller (LLM) från Google Gemini och bildmodeller från fal.ai. Leverantörerna bedöms i vår leverantörsprocess, och vår policy för användning av AI reglerar hur AI används.

Ja. Vår AI-policy kräver mänsklig tillsyn (human in the loop) vid viktiga beslut. Ändringar som görs med AI sker i redigeraren, och ditt team bestämmer när en kampanj publiceras. Rex och de andra AI-funktionerna gör bara ändringar när någon i ditt team ber dem om det.

Som standard använder kampanjer bara funktionella cookies och lagring: cookies som fördelar trafiken mellan våra servrar (lastbalanserarcookies), lokal lagring i webbläsaren, till exempel för att komma ihåg att någon redan har spelat, och, för popup-fönster som är inbäddade på din webbplats, cookies som styr hur ofta popup-fönstret visas. Om du lägger till egen spårning, till exempel Google Tag Manager eller Meta Pixel, laddas den först när deltagaren har gett sitt samtycke i kampanjens cookiebanner. Om botskydd (Cloudflare Turnstile) är aktiverat behandlar Cloudflare också tekniska data, till exempel IP-adressen och webbläsarsignaler.

Ja. Du skriver dina egna samtyckestexter och villkor, väljer vilka fält som är obligatoriska och kan använda dubbel opt-in för nyhetsbrevsanmälningar.

Transaktionsmejl som prismejl skickas via vår leverantör av e-postutskick. Du kan skicka dem från din egen domän, så att deltagarna känner igen avsändaren.

Ja. På planerna Professional och Enterprise kan kampanjer köras på din egen webbadress (egen domän), och mejl till deltagare kan skickas från din egen domän.

• Certifikat för ISO/IEC 27001:2022: ladda ner det här
• Tillämplighetsförklaring (SoA), på begäran
• Personuppgiftsbiträdesavtal (DPA), inklusive listan över underbiträden
• Svar på ditt säkerhetsformulär eller din leverantörsbedömning

Ja. Skicka ditt säkerhetsformulär eller din leverantörsbedömning till oss, så fyller vi i det. Många frågor besvaras redan på den här sidan.

Skriv till contact@scratcher.io eller boka ett möte. Scratcher ApS, CVR 38552864.