Dette dokument er en oversættelse af originalen på engelsk. I tilfælde af uoverensstemmelser mellem versionerne har den engelske version forrang.

Vi gør alt hvad vi kan for at beskytte vores brugeres data og privatliv. Vi har en streng politik for databeskyttelse og privatliv som vi løbende forbedrer i overensstemmelse med nye standarder og bedste praksis.

1. Infrastruktursikkerhed#

Vores applikationer hostes af Google Cloud Platform. Vi bruger Googles infrastruktur til at distribuere vores tjenester.

Google Cloud Platform overholder strenge regler for datasikkerhed og privatliv.

Google Cloud Platform gennemgår uafhængig verificering af sine sikkerheds-, privatlivs- og compliancekontroller for at hjælpe os med at nå vores lovgivningsmæssige og strategiske mål. Oplysninger om deres compliancetjenester, for eksempel certificeringerne ISO/IEC 27001/27017/27018/27701, SOC 1/2/3, PCI DSS og FedRAMP samt overensstemmelse med blandt andet love og regler som HIPAA, GDPR og CCPA, findes i vores complianceressourcecenter.

Vi gennemgår konti og rettigheder (mindst en gang om måneden) på vores netværksinfrastrukturer.

Vi samarbejder med DoiT International France SAS, en Google Cloud Premier Partner, som giver os hurtig support til Google Cloud Platform og anbefalinger om bedste praksis, omkostningsoptimering og platformsikkerhed. DoiT International France SAS har ikke adgang til vores infrastruktur.

2. Netværkssikkerhed#

Vores netværksinfrastruktur består af flere sikkerhedslag.

• En privat virtuel sky med adgangskontrol via Cloud Identity and Access Management (IAM)
• Et VPN til adgang til infrastrukturen
• Filtrering af IP-adresser og porte
• Et afværgesystem til beskyttelse mod ondsindede angreb

3. Datasikkerhed#

3.1. Dataplacering#

Data hostes på Google Cloud Platform i Belgien (for europæiske kunder).

3.2. Kritiske data#

Alle kritiske data (adgangskoder og adgangstokens) krypteres med gennemprøvede krypteringsalgoritmer.

3.3. Datatransport#

Vi bruger TLS til at overføre data sikkert.

3.4. Håndtering af kort domæne delegeret af kunden#

Vi håndterer generering, fornyelse og implementering af SSL-certifikater på vores load balancers. Vores SSL-certifikater bruger anbefalede krypteringsalgoritmer. Vi tester regelmæssigt vores domæner for at vurdere kvaliteten af vores SSL-kryptering.

4. Privatlivsbeskyttelse af kundedata og ejerskab til materialer#

4.1. Brug af private data#

Nonli forpligter sig formelt til ikke at videregive, dele eller sælge sine kunders private data eller bruge dem til kommercielle formål eller for egen regning. Disse data er strengt forbeholdt brug som led i de tjenester som Nonli leverer, i overensstemmelse med de aftaler der er indgået med hver enkelt kunde.

4.2. Ejerskab til og brug af kundens materialer#

1. Alle private materialer som kunden stiller til rådighed, herunder men ikke begrænset til skrifttyper, billeder, logoer og andet grafisk eller tekstbaseret indhold, forbliver kundens eksklusive ejendom.
2. Nonli forpligter sig til kun at bruge disse materialer inden for rammerne af de tjenester der leveres til kunden via Nonli-platformen, og udelukkende på vegne af den kunde der ejer dem.
3. Nonli erhverver ingen ejendoms- eller brugsrettigheder til disse materialer uden for det omfang der er fastlagt i aftalen med kunden.
4. Nonli forpligter sig til ikke at bruge, gengive, ændre eller distribuere disse materialer til noget andet formål end det kunden udtrykkeligt har givet tilladelse til i forbindelse med brugen af Nonli-platformen.
5. Ved forretningsforholdets ophør eller på kundens anmodning forpligter Nonli sig til at ophøre med al brug af disse materialer og til at slette dem fra sine systemer medmindre andet kræves i henhold til lovgivningen.

4.3. Fortrolighed om materialer#

Nonli forpligter sig til at bevare fortroligheden af de materialer kunden stiller til rådighed, og til at indføre passende sikkerhedsforanstaltninger for at forhindre enhver uautoriseret adgang til, brug, ændring eller videregivelse af disse materialer.

5. Oplysning om Google-brugerdata#

5.1. Omfanget af adgang til Google-brugerdata#

Når du tilslutter din YouTube-konto til Nonli, kan vores applikation få adgang til følgende data afhængigt af de rettigheder du giver:

• YouTube-kontooplysninger: Navnet på din YouTube-kanal, dit profilbillede og dit kanal-id
• YouTube-indhold: Dine uploadede videoer, playlister, videometadata (titler, beskrivelser, tags, miniaturebilleder) og kanalindhold
• YouTube-statistik: Nøgletal for performance for dine videoer og din kanal, herunder visninger, visningstid, publikumsdemografi, trafikkilder og engagementdata
• YouTube-monetiseringsdata: Indtægtsrapporter, nøgletal for annonceperformance og statistik over kanalens monetisering

5.2. Sådan bruger vi Google-brugerdata#

Nonli bruger udelukkende dine YouTube-data til at:

• Vise statistik og nøgletal for performance for din YouTube-kanal i Nonli-dashboardet
• Give dig mulighed for at uploade og administrere videoindhold direkte fra Nonli-platformen
• Samle dine YouTube-data med data fra andre platforme for sociale medier til samlet rapportering
• Give indsigter og anbefalinger til at optimere din indholdsstrategi

Vi bruger IKKE dine Google-brugerdata til:

• Annoncerings- eller markedsføringsformål uden relation til din brug af Nonli
• Salg, udlejning eller overførsel til tredjeparter til kommercielle formål
• Træning af modeller for kunstig intelligens eller maskinlæring
• Noget formål uden relation til Nonli-platformens kernefunktioner

5.3. Sådan opbevarer og beskytter vi Google-brugerdata#

• Alle Google-brugerdata opbevares sikkert på Google Cloud Platform-servere i Belgien (Den Europæiske Union)
• Adgangstokens og følsomme loginoplysninger krypteres med krypteringsalgoritmer der følger branchestandarden
• Al datatransmission er beskyttet med TLS-kryptering
• Adgang til brugerdata er strengt begrænset til autoriseret personale og de systemer der er nødvendige for at levere vores tjenester

5.4. Opbevaring og sletning af data#

• Google-brugerdata opbevares kun så længe det er nødvendigt for at levere vores tjenester til dig
• Når du frakobler din YouTube-konto fra Nonli eller sletter din Nonli-konto, slettes alle tilknyttede Google-brugerdata permanent fra vores systemer
• Du kan til enhver tid anmode om sletning af dine Google-brugerdata ved at kontakte [email protected]

5.5. Deling af data#

Vi deler, sælger, udlejer eller videregiver ikke dine Google-brugerdata til tredjeparter, undtagen:

• Når det kræves af gældende lov eller en retslig proces
• Med dit udtrykkelige forudgående samtykke
• Til tjenesteudbydere der hjælper os med at drive vores platform, under strenge fortrolighedsaftaler og kun i det omfang det er nødvendigt for at levere vores tjenester

5.6. Tilbagekaldelse af adgang#

Du kan til enhver tid tilbagekalde Nonlis adgang til dine YouTube- og Google-data ved at gå til siden Rettigheder for din Google-konto og fjerne Nonli fra listen over tilsluttede applikationer.

5.7. Regeloverholdelse#

Nonlis brug og overførsel af oplysninger modtaget fra Google API'er overholder Google API Services User Data Policy, herunder kravene om Limited Use.

5.8. Meddelelse om YouTube API Services#

Nonli bruger YouTube API Services for at give brugere mulighed for at tilslutte deres YouTube-konti, administrere deres videoindhold og få adgang til statistik og nøgletal for performance for deres kanaler på Nonli-platformen.

Ved at bruge Nonli-funktioner der er tilsluttet YouTube, accepterer du også Googles privatlivspolitik, der er tilgængelig på: http://www.google.com/policies/privacy

Du kan til enhver tid tilbagekalde Nonlis adgang til dine YouTube-data ved at gå til Googles side med sikkerhedsindstillinger på: https://security.google.com/settings/security/permissions

6. Løsning til publikumsanalyse der er undtaget fra samtykkekravet#

Nonli dokumenterer en SDK-konfiguration der kan implementeres som en løsning til måling af publikum der er undtaget fra samtykkekravet i tråd med CNIL's retningslinjer om »cookies og andre sporingsteknologier«. Nonlis gennemførte CNIL-selvevaluering af SDK'et findes her: CNIL-selvevaluering - Nonli SDK.

6.1. Sådan fungerer Nonlis analysetag (SDK)#

Nonlis analysetag fungerer uafhængigt på hvert domæne. De indsamlede data er fuldstændig anonyme og konsolideres aldrig mellem forskellige domæner. Tagget sætter ingen cookies og gør det ikke muligt at spore en enkelt brugers færden.

Tagget udrulles på et underdomæne af kundens hoveddomæne. Trafikanalysen foregår anonymt direkte på vores servere, uden brug af cookies. Tagget gør det ikke muligt at identificere en bestemt bruger eller at spore vedkommendes færden.

Alle data der indsamles med dette tag, anonymiseres og konsolideres ikke med andre domæner. Der indsamles ingen personoplysninger med dette tag.

Vi forpligter os til ikke at bruge vores kunders data til vores egne formål.

7. Tjenestens tilgængelighed#

Vi gør vores bedste for at opretholde en oppetid på 99,99%.

Tjenestens tilgængelighed kan ses på vores statusside.

8. Katastrofegendannelse og forretningskontinuitet#

Vi replikerer og sikkerhedskopierer alle vores data flere gange om dagen. Vi gennemfører regelmæssigt scenarier for katastrofegendannelse for at kunne genoprette tjenesten så hurtigt som muligt.

9. Sikkerhed i Nonlis applikationer#

Alle vores applikationer er udviklet internt af vores fuldtidsansatte; vi bruger ingen eksterne konsulenter eller underleverandører.

10. Udviklingsmetode#

Vores udviklere praktiserer regelmæssigt parprogrammering. Al udvikling testes med enhedstest og funktionstest.

Vi har dedikerede QA-miljøer; hvis en test fejler, kan koden ikke udrulles i produktion.

Vores udviklere får regelmæssigt undervisning for at holde sig ajour med bedste praksis for bekæmpelse af sikkerhedssårbarheder.

Vi følger OWASP's anbefalinger.

Før udrulning i produktion har vi en streng proces for validering af kode:

1. Hver udvikling skal udrulles i et isoleret og sikkert »sandbox«-miljø
2. Pull Requests skal gennemgås og godkendes af andre udviklere
3. Enhedstest skal bestås
4. Funktionstest skal valideres
5. Regressionstest skal valideres
6. Kodekvalitetsscoren må ikke falde
7. Vores eksterne værktøjer til kode- og sikkerhedsrevision må ikke afsløre nogen sikkerhedssårbarheder

Hvis udviklingen ikke består et af disse valideringstrin, skal koden forbedres indtil alle trin er valideret.

11. Sikkerhedsinspektion og scanning af applikationen#

Vi scanner applikationen med eksterne værktøjer der undersøger sikkerhedssårbarheder, potentielle fejl og kodekvalitet og udarbejder ugentlige rapporter.

12. Sikkerhed og adgangsrettigheder i Nonli#

12.1. Styring af adgang til ressourcer#

Administratorer kan oprette specifikke roller for hver afdeling i virksomheden med meget fin granularitet.

Det er muligt at oprette roller på tværs af brands med læse- og/eller skriveadgang og tilføje specifikke rettigheder pr. ressource.

12.2. Godkendelse#

Nonli kræver tofaktorgodkendelse (2FA). Under tilmeldingen til 2FA bekræfter brugeren sit telefonnummer og konfigurerer derefter en tidsbaseret engangskode (TOTP) i en godkendelsesapp. Loginforløbet anmoder om den faktor der er knyttet til kontoen; sms som reserveløsning eller en backupkode kan tilbydes når de er tilgængelige. Godkendelseskoder, QR-hemmeligheder og backupkoder skal forblive private. Sessioner skal være unikke pr. enhedstype. Det er tilladt at have 2 samtidige sessioner på computer og mobil. Hvis 2 sessioner startes samtidigt på 2 computere, bliver den første session ugyldiggjort. Det samme gælder for samtidige sessioner på mobil.

Enhver ændring af adgangskode skal valideres via e-mail.

Enhver ændring af e-mailadresse skal valideres via sms.

Enhver ændring af telefonnummer skal valideres via e-mail.

12.3. API-adgang#

Der gives adgang med brugernavn og adgangskode til brug af server-til-server-API'et. For at bruge REST API'et skal du anmode om et token under godkendelsen. Dette token er gyldigt i 7 dage.

13. Virksomhedens sikkerhed#

13.1. Sikkerhed for personale og udstyr#

Alle medarbejdere er uddannet i sikkerhed, og personalet deltager regelmæssigt i workshops om OWASP's anbefalinger samt om den litteratur vi hver uge opdager gennem vores overvågning. Vi afsætter 1 til 2 timer pr. uge pr. medarbejder til bevidsthed om it-sikkerhed.

Vi gennemfører regelmæssigt interne penetrationstest for at kombinere teori og praksis.

Vi betragter netværk som ikke-betroede, og derfor har vi indført procedurer for beskyttelse og installation. Udviklingsmaskiner installeres alle efter en fælles protokol for at sikre at alt computerudstyr er opdateret og overholder kravene (kryptering, firewall, adgangsbegrænsning med fingeraftryk...).

Sessionerne på vores arbejdsstationer låses automatisk efter 5 minutter.

Personalet er gjort bevidst om fortroligheden, integriteten og følsomheden af alle vores kunders data.

13.2. Sikkerhedsrevision#

Vi udfører regelmæssigt sikkerhedstest med Cloud Web Security Scanner på ugentlig basis samt med Scrutinizer dagligt. Vores kunder har mulighed for at udføre eksterne sikkerhedsrevisioner og penetrationstest ved at informere os på forhånd.

13.3. Rapportering af en sikkerhedshændelse#

Sårbarheder kan rapporteres til [email protected]

13.4. Regeloverholdelse og certificeringer#

Virksomhedens medarbejdere gør deres bedste for at anvende standarderne ISO 27001 og SOC 2.

Nonli følger strenge regler for datasikkerhed, privatliv og regeloverholdelse og efterlever standarderne ISO 27001 og SOC 2. På grund af de høje omkostninger ved disse certificeringer har vi dog endnu ikke kunnet implementere dem.

Nonli overholder GDPR.

Data der er omfattet af GDPR, er de data der er nødvendige for platformens korrekte funktion og sikkerhed. Når en virksomhed bliver inaktiv i Nonli, slettes den sammen med de brugere der er tilknyttet virksomheden; ingen personoplysninger opbevares.

13.5. Regeloverholdelse for transaktioner#

Nonli overholder PCI-DSS. Kreditkorttransaktioner håndteres af ADYEN.

Adyen overholder fuldt ud PCI DSS 3.2 som tjenesteudbyder på niveau 1. Dette er den vigtigste sikkerhedsstandard for betalingsbranchen.

Som betalingsinstitut er Adyen under fuldt tilsyn af den hollandske centralbank (De Nederlandsche Bank), og vi overholder kravene i det europæiske betalingstjenestedirektiv (EU-direktiv 2015/2366) samt alle andre krav der gælder for de finansielle tjenester Adyen leverer.

Adyen overholder ISAE3402/SOC 1 (Service Organizational Control 1), som evaluerer og tester interne kontroller over finansiel rapportering i en serviceorganisation. Dette afspejler serviceorganisationens overholdelse af politikker og procedurer gennem overvågning, oplæring og verifikation af politikker og procedurer.

14. Partnerskab og status#

Nonli er officiel partner hos Facebook, Instagram og LinkedIn. Nonli blev en del af programmet Google Startup Pack og blev senere Google Partner.

Nonli har opnået status som Innovative Young Company (fransk status for unge innovative virksomheder), udstedt af det franske forskningsministerium.

Spørgsmål og svar

15. Sikrer I overholdelse af de lovbestemte opbevaringsperioder for data? Opbevaringsperioder og begrundelse.#

Ja, vi overholder de lovbestemte opbevaringsperioder for data og begrunder dem ud fra vores juridiske og lovgivningsmæssige forpligtelser. Vi anvender procedurer for regelmæssig sletning og arkivering af data baseret på deres lovbestemte opbevaringsperiode.