Dieses Dokument ist eine Übersetzung des englischen Originals. Im Falle von Abweichungen zwischen beiden Fassungen hat die englische Fassung Vorrang.

Wir tun alles, um die Daten und die Privatsphäre unserer Nutzer zu schützen. Wir verfolgen eine strenge Datenschutz- und Privatsphäre-Richtlinie, die wir im Einklang mit neuen Standards und bewährten Verfahren ständig verbessern.

1. Sicherheit der Infrastruktur#

Unsere Anwendungen werden von der Google Cloud Platform gehostet. Wir nutzen die Infrastruktur von Google, um unsere Dienste bereitzustellen.

Die Google Cloud Platform hält strenge Regeln zu Datensicherheit und Datenschutz ein.

Die Google Cloud Platform lässt ihre Sicherheits-, Datenschutz- und Compliance-Kontrollen unabhängig überprüfen, damit wir unsere regulatorischen und strategischen Ziele erreichen können. Einzelheiten zu ihren Compliance-Leistungen, etwa die Zertifizierungen ISO/IEC 27001/27017/27018/27701, SOC 1/2/3, PCI DSS und FedRAMP sowie die Übereinstimmung mit unter anderem HIPAA, DSGVO und CCPA, finden sich in unserem Compliance-Ressourcenzentrum.

Wir führen (mindestens einmal im Monat) Überprüfungen von Konten und Rechten in unseren Netzwerkinfrastrukturen durch.

Wir arbeiten mit DoiT International France SAS, einem Google Cloud Premier Partner, zusammen, der uns reaktionsschnellen Support für die Google Cloud Platform sowie Empfehlungen zu bewährten Verfahren, Kostenoptimierung und Plattformsicherheit bietet. DoiT International France SAS hat keinen Zugriff auf unsere Infrastruktur.

2. Netzwerksicherheit#

Unsere Netzwerkinfrastruktur besteht aus mehreren Sicherheitsebenen.

• Eine private virtuelle Cloud mit Zugriffskontrolle über Cloud Identity and Access Management (IAM)
• Ein VPN für den Zugriff auf die Infrastruktur
• Filterung von IP-Adressen und Ports
• Ein Abwehrsystem zum Schutz vor böswilligen Angriffen

3. Datensicherheit#

3.1. Speicherort der Daten#

Die Daten werden auf der Google Cloud Platform in Belgien gehostet (für europäische Kunden).

3.2. Kritische Daten#

Alle kritischen Daten (Passwörter und Zugriffstoken) werden mit bewährten Verschlüsselungsalgorithmen verschlüsselt.

3.3. Datenübertragung#

Wir verwenden TLS, um Daten sicher zu übertragen.

3.4. Verwaltung der vom Kunden delegierten verkürzten Domain#

Wir übernehmen die Erzeugung, Erneuerung und Implementierung von SSL-Zertifikaten auf unseren Load Balancern. Unsere SSL-Zertifikate verwenden empfohlene Verschlüsselungsalgorithmen. Wir testen unsere Domains regelmäßig, um die Qualität unserer SSL-Verschlüsselung zu bewerten.

4. Datenschutz der Kundendaten und Eigentum an Assets#

4.1. Verwendung privater Daten#

Nonli verpflichtet sich förmlich, die privaten Daten seiner Kunden weder weiterzugeben, zu teilen, zu verkaufen noch für kommerzielle Zwecke oder auf eigene Rechnung zu verwenden. Diese Daten sind ausschließlich für die Nutzung im Rahmen der von Nonli erbrachten Dienste gemäß den mit jedem Kunden geschlossenen Vereinbarungen bestimmt.

4.2. Eigentum an Kunden-Assets und deren Nutzung#

1. Alle vom Kunden bereitgestellten privaten Assets, einschließlich, aber nicht beschränkt auf Schriftarten, Bilder, Logos und alle sonstigen grafischen oder textlichen Inhalte, bleiben das ausschließliche Eigentum des Kunden.
2. Nonli verpflichtet sich, diese Assets nur im Rahmen der dem Kunden über die Nonli-Plattform erbrachten Dienste und ausschließlich im Auftrag des Kunden als Eigentümer zu verwenden.
3. Nonli erwirbt an diesen Assets außerhalb des in der Vereinbarung mit dem Kunden festgelegten Umfangs keine Eigentums- oder Nutzungsrechte.
4. Nonli verpflichtet sich, diese Assets nicht für andere Zwecke zu verwenden, zu vervielfältigen, zu verändern oder zu verbreiten als für die, die der Kunde im Rahmen der Nutzung der Nonli-Plattform ausdrücklich genehmigt hat.
5. Bei Beendigung der Geschäftsbeziehung oder auf Verlangen des Kunden verpflichtet sich Nonli, jede Nutzung dieser Assets einzustellen und sie aus seinen Systemen zu löschen, sofern gesetzlich nichts anderes vorgeschrieben ist.

4.3. Vertraulichkeit der Assets#

Nonli verpflichtet sich, die Vertraulichkeit der vom Kunden bereitgestellten Assets zu wahren und angemessene Sicherheitsmaßnahmen zu ergreifen, um unbefugten Zugriff, unbefugte Nutzung, Änderung oder Offenlegung dieser Assets zu verhindern.

5. Offenlegung zu Google-Nutzerdaten#

5.1. Umfang des Zugriffs auf Google-Nutzerdaten#

Wenn Sie Ihr YouTube-Konto mit Nonli verbinden, kann unsere Anwendung je nach den von Ihnen erteilten Berechtigungen auf die folgenden Daten zugreifen:

• YouTube-Kontoinformationen: Der Name Ihres YouTube-Kanals, Ihr Profilbild und Ihre Kanal-ID
• YouTube-Inhalte: Ihre hochgeladenen Videos, Playlists, Video-Metadaten (Titel, Beschreibungen, Tags, Vorschaubilder) und Kanalinhalte
• YouTube-Analytics: Leistungskennzahlen für Ihre Videos und Ihren Kanal, einschließlich Aufrufen, Wiedergabezeit, demografischen Daten der Zielgruppe, Traffic-Quellen und Interaktionsdaten
• YouTube-Monetarisierungsdaten: Umsatzberichte, Kennzahlen zur Anzeigenleistung und Statistiken zur Monetarisierung des Kanals

5.2. Wie wir Google-Nutzerdaten verwenden#

Nonli verwendet Ihre YouTube-Daten ausschließlich, um:

• Analytics und Leistungskennzahlen für Ihren YouTube-Kanal im Nonli-Dashboard anzuzeigen
• Ihnen zu ermöglichen, Videoinhalte direkt über die Nonli-Plattform hochzuladen und zu verwalten
• Ihre YouTube-Daten mit anderen Social-Media-Plattformen für ein einheitliches Reporting zusammenzuführen
• Erkenntnisse und Empfehlungen zur Optimierung Ihrer Content-Strategie bereitzustellen

Wir verwenden Ihre Google-Nutzerdaten NICHT für:

• Werbe- oder Marketingzwecke, die nicht mit Ihrer Nutzung von Nonli zusammenhängen
• Verkauf, Vermietung oder Weitergabe an Dritte zu kommerziellen Zwecken
• das Training von Modellen der künstlichen Intelligenz oder des maschinellen Lernens
• jeden Zweck, der nicht mit der Kernfunktionalität der Nonli-Plattform zusammenhängt

5.3. Wie wir Google-Nutzerdaten speichern und schützen#

• Alle Google-Nutzerdaten werden sicher auf Servern der Google Cloud Platform in Belgien (Europäische Union) gespeichert
• Zugriffstoken und sensible Zugangsdaten werden mit branchenüblichen Verschlüsselungsalgorithmen verschlüsselt
• Alle Datenübertragungen sind durch TLS-Verschlüsselung geschützt
• Der Zugriff auf Nutzerdaten ist streng auf autorisiertes Personal und Systeme beschränkt, die zur Erbringung unserer Dienste erforderlich sind

5.4. Speicherdauer und Löschung der Daten#

• Google-Nutzerdaten werden nur so lange gespeichert, wie es zur Erbringung unserer Dienste für Sie erforderlich ist
• Wenn Sie Ihr YouTube-Konto von Nonli trennen oder Ihr Nonli-Konto löschen, werden alle zugehörigen Google-Nutzerdaten dauerhaft aus unseren Systemen gelöscht
• Sie können jederzeit die Löschung Ihrer Google-Nutzerdaten verlangen, indem Sie [email protected] kontaktieren

5.5. Weitergabe von Daten#

Wir geben Ihre Google-Nutzerdaten nicht an Dritte weiter und verkaufen, vermieten oder legen sie nicht offen, außer:

• Wenn dies nach geltendem Recht oder in einem Rechtsverfahren erforderlich ist
• Mit Ihrer ausdrücklichen vorherigen Einwilligung
• An Dienstleister, die uns beim Betrieb unserer Plattform unterstützen, im Rahmen strenger Vertraulichkeitsvereinbarungen und nur in dem Umfang, der zur Erbringung unserer Dienste erforderlich ist

5.6. Widerruf des Zugriffs#

Sie können den Zugriff von Nonli auf Ihre YouTube- und Google-Daten jederzeit widerrufen, indem Sie die Seite Google-Kontoberechtigungen aufrufen und Nonli aus der Liste der verbundenen Anwendungen entfernen.

5.7. Compliance#

Die Nutzung und Übertragung von Informationen, die Nonli aus Google-APIs erhält, entspricht der Google API Services User Data Policy, einschließlich der Anforderungen an die eingeschränkte Nutzung (Limited Use).

5.8. Hinweis zu den YouTube-API-Diensten#

Nonli nutzt YouTube-API-Dienste, damit Nutzer ihre YouTube-Konten verbinden, ihre Videoinhalte verwalten und innerhalb der Nonli-Plattform auf Analytics und Leistungskennzahlen ihrer Kanäle zugreifen können.

Durch die Nutzung der mit YouTube verbundenen Nonli-Funktionen stimmen Sie außerdem der Datenschutzerklärung von Google zu, die verfügbar ist unter: http://www.google.com/policies/privacy

Sie können den Zugriff von Nonli auf Ihre YouTube-Daten jederzeit widerrufen, indem Sie die Seite mit den Sicherheitseinstellungen von Google aufrufen unter: https://security.google.com/settings/security/permissions

6. Einwilligungsfreie Lösung zur Reichweitenmessung#

Nonli dokumentiert eine SDK-Konfiguration, die als einwilligungsfreie Lösung zur Reichweitenmessung im Einklang mit den Leitlinien der CNIL zu „Cookies und anderen Trackern“ umgesetzt werden kann. Die ausgefüllte CNIL-Selbstbewertung von Nonli für das SDK ist hier verfügbar: CNIL-Selbstbewertung - Nonli SDK.

6.1. Funktionsweise des Nonli-Analytics-Tags (SDK)#

Das Nonli-Analytics-Tag arbeitet auf jeder Domain unabhängig. Die erhobenen Daten sind vollständig anonym und werden nie domainübergreifend zusammengeführt. Das Tag setzt keine Cookies und ermöglicht nicht, den Weg eines einzelnen Nutzers nachzuverfolgen.

Das Tag wird auf einer Subdomain der Hauptdomain des Kunden eingesetzt. Die Traffic-Analyse erfolgt anonym direkt auf unseren Servern, ohne Cookies zu verwenden. Das Tag ermöglicht weder die Identifizierung eines bestimmten Nutzers noch die Nachverfolgung seines Wegs.

Alle mit diesem Tag erhobenen Daten sind anonymisiert und werden nicht mit anderen Domains zusammengeführt. Mit diesem Tag werden keine personenbezogenen Daten erhoben.

Wir verpflichten uns, die Daten unserer Kunden nicht für eigene Zwecke zu verwenden.

7. Verfügbarkeit des Dienstes#

Wir bemühen uns nach besten Kräften, eine Verfügbarkeitsquote von 99,99% aufrechtzuerhalten.

Die Verfügbarkeit des Dienstes ist auf unserer Statusseite einsehbar.

8. Notfallwiederherstellung und Geschäftskontinuität#

Wir replizieren und sichern alle unsere Daten mehrmals täglich. Wir führen regelmäßig Notfallwiederherstellungsszenarien durch, um den Dienst so schnell wie möglich wiederherzustellen.

9. Sicherheit der Nonli-Anwendung#

Alle unsere Anwendungen werden intern von unseren Vollzeitmitarbeitern entwickelt; wir greifen weder auf externe Auftragnehmer noch auf Unterauftragnehmer zurück.

10. Entwicklungsmethode#

Unsere Entwickler praktizieren regelmäßig Pair Programming. Alle Entwicklungen werden per Unit- und Funktionstests geprüft.

Wir haben dedizierte QA-Umgebungen; schlägt ein Test fehl, kann der Code nicht in die Produktion überführt werden.

Unsere Entwickler werden regelmäßig geschult, um bei den bewährten Verfahren zur Bekämpfung von Sicherheitslücken auf dem neuesten Stand zu bleiben.

Wir befolgen die Empfehlungen von OWASP.

Vor der Bereitstellung in der Produktion durchlaufen wir einen strengen Code-Validierungsprozess:

1. Jede Entwicklung muss in einer isolierten und sicheren „Sandbox“-Umgebung bereitgestellt werden
2. Pull Requests müssen von anderen Entwicklern geprüft und genehmigt werden
3. Die Unit-Tests müssen bestanden werden
4. Die Funktionstests müssen validiert werden
5. Die Regressionstests müssen validiert werden
6. Der Code-Qualitätswert darf nicht sinken
7. Unsere externen Code- und Sicherheitsaudit-Tools dürfen keine Sicherheitslücken aufdecken

Besteht die Entwicklung einen dieser Validierungsschritte nicht, muss der Code verbessert werden, bis alle Schritte validiert sind.

11. Sicherheitsprüfung und Scans der Anwendung#

Wir scannen die Anwendung mit externen Tools, die Sicherheitslücken, mögliche Fehler und die Code-Qualität prüfen und wöchentliche Berichte erstellen.

12. Sicherheit und Zugriffsrechte in Nonli#

12.1. Verwaltung des Ressourcenzugriffs#

Administratoren können für jede Abteilung des Unternehmens spezifische Rollen mit sehr feiner Granularität erstellen.

Es ist möglich, markenübergreifende Rollen für Lese- und/oder Schreibzugriff zu erstellen und spezifische Rechte pro Ressource hinzuzufügen.

12.2. Authentifizierung#

Nonli verlangt eine Zwei-Faktor-Authentifizierung (2FA). Bei der Registrierung bestätigt der Nutzer seine Telefonnummer und richtet anschließend ein zeitbasiertes Einmalpasswort (TOTP) in einer Authenticator-App ein. Der Anmeldeprozess fordert den mit dem Konto verknüpften Faktor an; sofern verfügbar, kann eine SMS-Alternative oder ein Backup-Code angeboten werden. Authentifizierungscodes, QR-Geheimnisse und Backup-Codes müssen privat bleiben. Sitzungen müssen je Gerätetyp eindeutig sein. Es sind 2 gleichzeitige Sitzungen auf Desktop und Mobilgerät erlaubt. Werden 2 Sitzungen gleichzeitig auf 2 Desktops gestartet, wird die erste Sitzung ungültig. Dasselbe gilt für gleichzeitige Sitzungen auf Mobilgeräten.

Jede Passwortänderung muss per E-Mail bestätigt werden.

Jede Änderung der E-Mail-Adresse muss per SMS bestätigt werden.

Jede Änderung der Telefonnummer muss per E-Mail bestätigt werden.

12.3. API-Zugriff#

Für die Nutzung der Server-zu-Server-API wird ein Zugang mit Benutzername und Passwort bereitgestellt. Um die REST-API zu nutzen, müssen Sie bei der Authentifizierung ein Token anfordern. Dieses Token ist 7 Tage gültig.

13. Unternehmenssicherheit#

13.1. Sicherheit von Personal und Ausstattung#

Alle Mitarbeiter werden in Sicherheit geschult, und das Personal nimmt regelmäßig an Workshops zu den OWASP-Empfehlungen sowie zu Fachliteratur teil, auf die wir jede Woche durch Monitoring stoßen. Wir widmen pro Mitarbeiter 1 bis 2 Stunden pro Woche der Sensibilisierung für IT-Sicherheit.

Wir führen regelmäßig interne Penetrationstests durch, um Theorie und Praxis zu verbinden.

Wir betrachten Netzwerke als nicht vertrauenswürdig, weshalb wir Schutz- und Installationsverfahren eingeführt haben. Entwicklungsrechner werden alle nach einem einheitlichen Protokoll eingerichtet, um die Aktualität und Konformität der gesamten IT-Ausstattung sicherzustellen (Verschlüsselung, Firewall, Zugriffsbeschränkung per Fingerabdruck ...).

Unsere Arbeitsplatzsitzungen werden nach 5 Minuten automatisch gesperrt.

Das Personal wird für die Vertraulichkeit, Integrität und Sensibilität aller Daten unserer Kunden sensibilisiert.

13.2. Sicherheitsaudit#

Wir führen regelmäßig wöchentlich Sicherheitstests mit dem Cloud Web Security Scanner sowie täglich mit Scrutinizer durch. Unsere Kunden haben die Möglichkeit, externe Sicherheitsaudits und Penetrationstests durchzuführen, indem sie uns vorab informieren.

13.3. Meldung eines Sicherheitsvorfalls#

Sicherheitslücken können an [email protected] gemeldet werden

13.4. Compliance und Zertifizierungen#

Die Mitarbeiter des Unternehmens bemühen sich nach besten Kräften, die Standards ISO 27001 und SOC 2 anzuwenden.

Nonli befolgt strenge Regeln zu Datensicherheit, Datenschutz und Compliance und hält die Standards ISO 27001 und SOC 2 ein. Aufgrund der hohen Kosten dieser Zertifizierungen könnten wir sie jedoch noch nicht umsetzen.

Nonli ist DSGVO-konform.

Der DSGVO unterliegende Daten sind Daten, die für das ordnungsgemäße Funktionieren und die Sicherheit der Plattform erforderlich sind. Wird ein Unternehmen in Nonli inaktiv, wird es zusammen mit den dem Unternehmen zugeordneten Nutzern gelöscht; es werden keine personenbezogenen Daten aufbewahrt.

13.5. Compliance bei Transaktionen#

Nonli ist PCI-DSS-konform. Kreditkartentransaktionen werden von ADYEN abgewickelt.

Adyen ist als Dienstleister der Stufe 1 vollständig PCI-DSS-3.2-konform. Dies ist der wichtigste Sicherheitsstandard der Zahlungsbranche.

Als Zahlungsinstitut wird Adyen von der niederländischen Zentralbank umfassend beaufsichtigt, und wir erfüllen die Anforderungen der europäischen Zahlungsdiensterichtlinie (Richtlinie (EU) 2015/2366) sowie alle weiteren Anforderungen, die für die von Adyen erbrachten Finanzdienstleistungen gelten.

Adyen entspricht ISAE3402/SOC 1 (Service Organizational Control 1), das die internen Kontrollen über die Finanzberichterstattung innerhalb einer Dienstleistungsorganisation bewertet und prüft. Dies spiegelt die Einhaltung von Richtlinien und Verfahren durch die Dienstleistungsorganisation wider, und zwar durch Überwachung, Schulung und Überprüfung der Richtlinien und Verfahren.

14. Partnerschaft und Status#

Nonli ist offizieller Partner von Facebook, Instagram und LinkedIn. Nonli ist dem Programm Google Startup Pack beigetreten und später Google Partner geworden.

Nonli hat den vom Forschungsministerium verliehenen Status der Jungen Innovativen Unternehmung (Jeune Entreprise Innovante) erhalten.

Q&A

15. Stellen Sie die Einhaltung der gesetzlichen Speicherfristen für Daten sicher? Speicherfristen und Begründung.#

Ja, wir halten die gesetzlichen Speicherfristen für Daten ein und begründen sie mit unseren rechtlichen und regulatorischen Pflichten. Wir setzen Verfahren zur regelmäßigen Löschung und Archivierung von Daten auf Grundlage ihrer gesetzlichen Speicherfrist um.