Este documento es una traducción del original en inglés. En caso de discrepancia entre ambas versiones, prevalecerá la versión en inglés.
Hacemos todo lo posible por proteger los datos y la privacidad de nuestros usuarios. Disponemos de una política estricta de protección de datos y privacidad que mejoramos constantemente de acuerdo con las nuevas normas y buenas prácticas.
1. Seguridad de la infraestructura#
Nuestras aplicaciones están alojadas en Google Cloud Platform. Utilizamos la infraestructura de Google para distribuir nuestros servicios.
Google Cloud Platform se adhiere a normas estrictas en materia de seguridad y privacidad de los datos.
Google Cloud Platform somete a verificación independiente sus controles de seguridad, privacidad y cumplimiento para ayudarnos a alcanzar nuestros objetivos normativos y estratégicos. Los detalles de sus servicios de cumplimiento, como las certificaciones ISO/IEC 27001/27017/27018/27701, SOC 1/2/3, PCI DSS y FedRAMP, así como la alineación con las leyes y reglamentos HIPAA, RGPD y CCPA, entre otros, pueden consultarse en nuestro centro de recursos de cumplimiento.
Realizamos revisiones de cuentas y derechos (al menos una vez al mes) en nuestras infraestructuras de red.
Trabajamos con DoiT International France SAS, Google Cloud Premier Partner, que nos presta un soporte ágil para Google Cloud Platform y nos asesora sobre buenas prácticas, optimización de costes y seguridad de la plataforma. DoiT International France SAS no tiene acceso a nuestra infraestructura.
2. Seguridad de la red#
Nuestra infraestructura de red consta de varias capas de seguridad.
- Una nube virtual privada con control de acceso mediante Cloud Identity and Access Management (IAM)
- Una VPN para acceder a la infraestructura
- Filtrado de direcciones IP y puertos
- Un sistema de mitigación para protegerse frente a ataques maliciosos
3. Seguridad de los datos#
3.1. Ubicación de los datos#
Los datos se alojan en Google Cloud Platform en Bélgica (para los clientes europeos).
3.2. Datos críticos#
Todos los datos críticos (contraseñas y tokens de acceso) se cifran mediante algoritmos de cifrado probados.
3.3. Transporte de datos#
Utilizamos TLS para transmitir los datos de forma segura.
3.4. Gestión del dominio acortado delegado por el cliente#
Nos encargamos de la generación, la renovación y la implementación de los certificados SSL en nuestros balanceadores de carga. Nuestros certificados SSL utilizan algoritmos de cifrado recomendados. Probamos periódicamente nuestros dominios para evaluar la calidad de nuestro cifrado SSL.
4. Privacidad de los datos del cliente y titularidad de los activos#
4.1. Uso de los datos privados#
Nonli se compromete formalmente a no comunicar, compartir, vender ni utilizar con fines comerciales o por cuenta propia los datos privados de sus clientes. Estos datos están reservados estrictamente para su uso en el marco de los servicios prestados por Nonli, de conformidad con los acuerdos celebrados con cada cliente.
4.2. Titularidad y uso de los activos del cliente#
- Todos los activos privados proporcionados por el cliente, incluidos, entre otros, tipografías, imágenes, logotipos y cualquier otro contenido gráfico o textual, siguen siendo propiedad exclusiva del cliente.
- Nonli se compromete a utilizar estos activos únicamente en el marco de los servicios prestados al cliente a través de la plataforma de Nonli y exclusivamente por cuenta del cliente propietario.
- Nonli no adquiere ningún derecho de propiedad ni de uso sobre estos activos fuera del ámbito definido por el acuerdo con el cliente.
- Nonli se compromete a no utilizar, reproducir, modificar ni distribuir estos activos para ningún fin distinto del expresamente autorizado por el cliente en el contexto del uso de la plataforma de Nonli.
- Al finalizar la relación comercial, o a petición del cliente, Nonli se compromete a cesar todo uso de estos activos y a eliminarlos de sus sistemas, salvo que la ley disponga otra cosa.
4.3. Confidencialidad de los activos#
Nonli se compromete a mantener la confidencialidad de los activos proporcionados por el cliente y a aplicar medidas de seguridad adecuadas para impedir cualquier acceso, uso, modificación o divulgación no autorizados de dichos activos.
5. Divulgación de los datos de usuario de Google#
5.1. Alcance del acceso a los datos de usuario de Google#
Cuando usted conecta su cuenta de YouTube a Nonli, nuestra aplicación puede acceder a los siguientes datos en función de los permisos que usted conceda:
- Información de la cuenta de YouTube: el nombre de su canal de YouTube, su foto de perfil y el ID del canal
- Contenido de YouTube: sus vídeos subidos, listas de reproducción, metadatos de los vídeos (títulos, descripciones, etiquetas, miniaturas) y el contenido del canal
- Analítica de YouTube: métricas de rendimiento de sus vídeos y de su canal, incluidas visualizaciones, tiempo de visualización, datos demográficos de la audiencia, fuentes de tráfico y datos de interacción
- Datos de monetización de YouTube: informes de ingresos, métricas de rendimiento publicitario y estadísticas de monetización del canal
5.2. Cómo utilizamos los datos de usuario de Google#
Nonli utiliza sus datos de YouTube exclusivamente para:
- Mostrar la analítica y las métricas de rendimiento de su canal de YouTube en el panel de Nonli
- Permitirle subir y gestionar contenido de vídeo directamente desde la plataforma de Nonli
- Agregar sus datos de YouTube con los de otras plataformas de redes sociales para ofrecer informes unificados
- Proporcionar información y recomendaciones para optimizar su estrategia de contenido
NO utilizamos sus datos de usuario de Google para:
- Fines publicitarios o de marketing no relacionados con su uso de Nonli
- Su venta, alquiler o cesión a terceros con fines comerciales
- Entrenar modelos de inteligencia artificial o de aprendizaje automático
- Ningún fin ajeno a la funcionalidad principal de la plataforma de Nonli
5.3. Cómo almacenamos y protegemos los datos de usuario de Google#
- Todos los datos de usuario de Google se almacenan de forma segura en servidores de Google Cloud Platform ubicados en Bélgica (Unión Europea)
- Los tokens de acceso y las credenciales sensibles se cifran mediante algoritmos de cifrado estándar del sector
- Todas las transmisiones de datos están protegidas mediante cifrado TLS
- El acceso a los datos de los usuarios se limita estrictamente al personal y a los sistemas autorizados necesarios para prestar nuestros servicios
5.4. Conservación y eliminación de los datos#
- Los datos de usuario de Google se conservan únicamente durante el tiempo necesario para prestarle nuestros servicios
- Cuando usted desconecta su cuenta de YouTube de Nonli o elimina su cuenta de Nonli, todos los datos de usuario de Google asociados se eliminan de forma permanente de nuestros sistemas
- Puede solicitar la eliminación de sus datos de usuario de Google en cualquier momento contactando con [email protected]
5.5. Compartición de datos#
No compartimos, vendemos, alquilamos ni divulgamos sus datos de usuario de Google a terceros, excepto:
- Cuando lo exijan la legislación aplicable o un procedimiento legal
- Con su consentimiento previo y explícito
- Con proveedores de servicios que nos ayudan a operar nuestra plataforma, bajo estrictos acuerdos de confidencialidad y únicamente en la medida necesaria para prestar nuestros servicios
5.6. Revocación del acceso#
Puede revocar en cualquier momento el acceso de Nonli a sus datos de YouTube y de Google visitando la página de permisos de la cuenta de Google y eliminando Nonli de la lista de aplicaciones conectadas.
5.7. Cumplimiento#
El uso y la transferencia por parte de Nonli de la información recibida de las API de Google se ajustan a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado.
5.8. Aviso sobre los servicios de API de YouTube#
Nonli utiliza los servicios de API de YouTube para permitir a los usuarios conectar sus cuentas de YouTube, gestionar su contenido de vídeo y acceder a la analítica y a las métricas de rendimiento de sus canales dentro de la plataforma de Nonli.
Al utilizar las funciones de Nonli conectadas a YouTube, usted también acepta la Política de privacidad de Google, disponible en: http://www.google.com/policies/privacy
Puede revocar en cualquier momento el acceso de Nonli a sus datos de YouTube visitando la página de ajustes de seguridad de Google en: https://security.google.com/settings/security/permissions
6. Solución de analítica de audiencia exenta de consentimiento#
Nonli documenta una configuración del SDK que puede implementarse como una solución de medición de audiencia exenta de consentimiento, conforme a las directrices de la CNIL sobre «cookies y otros rastreadores». La autoevaluación de la CNIL cumplimentada por Nonli para el SDK está disponible aquí: Autoevaluación de la CNIL - Nonli SDK.
6.1. Cómo funciona la etiqueta de analítica de Nonli (SDK)#
La etiqueta de analítica de Nonli funciona de forma independiente en cada dominio. Los datos recopilados son completamente anónimos y nunca se consolidan entre distintos dominios. La etiqueta no instala ninguna cookie y no permite rastrear el recorrido de un usuario concreto.
La etiqueta se despliega en un subdominio del dominio principal del cliente. El análisis del tráfico se realiza de forma anónima directamente en nuestros servidores, sin utilizar cookies. La etiqueta no permite identificar ni rastrear el recorrido de un usuario concreto.
Todos los datos recopilados mediante esta etiqueta están anonimizados y no se consolidan con otros dominios. No se recopilan datos personales mediante esta etiqueta.
Nos comprometemos a no utilizar los datos de nuestros clientes para nuestros propios fines.
7. Disponibilidad del servicio#
Hacemos todo lo posible por mantener una tasa de disponibilidad del 99,99 %.
La disponibilidad del servicio puede consultarse en nuestra página de estado.
8. Recuperación ante desastres y continuidad del negocio#
Replicamos y realizamos copias de seguridad de todos nuestros datos varias veces al día. Ejecutamos periódicamente escenarios de recuperación ante desastres para restablecer el servicio lo más rápido posible.
9. Seguridad de la aplicación de Nonli#
Todas nuestras aplicaciones son desarrolladas internamente por nuestros empleados a tiempo completo; no recurrimos a contratistas ni subcontratistas externos.
10. Método de desarrollo#
Nuestros desarrolladores practican regularmente la programación en pareja. Todos los desarrollos se someten a pruebas unitarias y funcionales.
Disponemos de entornos de QA dedicados; si una prueba falla, el código no puede desplegarse en producción.
Nuestros desarrolladores reciben formación periódica para mantenerse al día en las buenas prácticas de lucha contra las vulnerabilidades de seguridad.
Seguimos las recomendaciones de OWASP.
Antes del despliegue en producción, aplicamos un proceso estricto de validación del código:
- Cada desarrollo debe desplegarse en un entorno «sandbox» aislado y seguro
- Las Pull Requests deben ser revisadas y aprobadas por otros desarrolladores
- Las pruebas unitarias deben superarse
- Las pruebas funcionales deben validarse
- Las pruebas de no regresión deben validarse
- La puntuación de calidad del código no debe disminuir
- Nuestras herramientas externas de auditoría de código y seguridad no deben revelar ninguna vulnerabilidad de seguridad
Si el desarrollo no supera alguno de estos pasos de validación, el código debe mejorarse hasta que todos los pasos queden validados.
11. Inspección y análisis de la seguridad de la aplicación#
Analizamos la aplicación con herramientas externas que inspeccionan vulnerabilidades de seguridad, posibles errores y la calidad del código, y que generan informes semanales.
12. Seguridad y derechos de acceso en Nonli#
12.1. Gestión del acceso a los recursos#
Los administradores pueden crear roles específicos para cada departamento de la empresa con una granularidad muy fina.
Es posible crear roles transversales a varias marcas, de lectura y/o escritura, y añadir derechos específicos por recurso.
12.2. Autenticación#
Nonli exige la autenticación de dos factores (2FA). Durante el registro, el usuario verifica su número de teléfono y, a continuación, configura una contraseña de un solo uso basada en el tiempo (TOTP) en una aplicación de autenticación. El flujo de inicio de sesión solicita el factor asociado a la cuenta; puede ofrecerse una alternativa por SMS o un código de respaldo cuando esté disponible. Los códigos de autenticación, los secretos de los códigos QR y los códigos de respaldo deben mantenerse privados. Las sesiones deben ser únicas por tipo de dispositivo. Se permite tener 2 sesiones simultáneas en ordenador y en móvil. Si se inician 2 sesiones simultáneamente en 2 ordenadores, la primera sesión quedará invalidada. Lo mismo se aplica a las sesiones simultáneas en móvil.
Todo cambio de contraseña debe validarse por correo electrónico.
Todo cambio de correo electrónico debe validarse por SMS.
Todo cambio de teléfono debe validarse por correo electrónico.
12.3. Acceso a la API#
Se proporciona un acceso mediante nombre de usuario y contraseña para utilizar la API de servidor a servidor. Para utilizar la API REST, debe solicitar un token durante la autenticación. Este token es válido durante 7 días.
13. Seguridad de la empresa#
13.1. Seguridad del personal y de los equipos#
Todos los empleados reciben formación en seguridad y el personal asiste periódicamente a talleres sobre las recomendaciones de OWASP, así como sobre la literatura que descubrimos cada semana mediante la vigilancia tecnológica. Dedicamos de 1 a 2 horas por semana y por empleado a la concienciación en seguridad informática.
Realizamos periódicamente pruebas de intrusión internas para combinar la teoría con la práctica.
Consideramos que las redes no son de confianza, por lo que hemos implementado procedimientos de protección e instalación. Todos los equipos de desarrollo se instalan siguiendo un protocolo unificado para garantizar la actualización y la conformidad de todo el parque informático (cifrado, cortafuegos, restricción de acceso mediante huella dactilar, etc.).
Las sesiones de nuestros puestos de trabajo se bloquean automáticamente tras 5 minutos.
El personal es consciente de la confidencialidad, la integridad y la sensibilidad de todos los datos de nuestros clientes.
13.2. Auditoría de seguridad#
Realizamos periódicamente pruebas de seguridad con Cloud Web Security Scanner de forma semanal, así como con Scrutinizer a diario. Nuestros clientes tienen la posibilidad de realizar auditorías de seguridad y pruebas de intrusión externas informándonos previamente.
13.3. Notificación de un incidente de seguridad#
Las vulnerabilidades pueden notificarse a [email protected]
13.4. Cumplimiento y certificaciones#
Los empleados de la empresa hacen todo lo posible por aplicar las normas ISO 27001 y SOC 2.
Nonli sigue normas estrictas en materia de seguridad, privacidad y cumplimiento de los datos, y se adhiere a las normas ISO 27001 y SOC 2. Sin embargo, debido al elevado coste de estas certificaciones, aún no hemos podido implementarlas.
Nonli cumple el RGPD.
Los datos sujetos al RGPD son los necesarios para el correcto funcionamiento y la seguridad de la plataforma. Cuando una empresa pasa a estar inactiva en Nonli, se elimina junto con los usuarios vinculados a ella; no se conserva ningún dato personal.
13.5. Cumplimiento de las transacciones#
Nonli cumple la norma PCI-DSS. Las transacciones con tarjeta de crédito son gestionadas por ADYEN.
Adyen cumple plenamente la norma PCI DSS 3.2 como proveedor de servicios de nivel 1. Esta es la principal norma de seguridad que rige el sector de los pagos.
Como entidad de pago, Adyen está plenamente supervisada por el Banco Central de los Países Bajos y cumplimos los requisitos de la Directiva europea sobre servicios de pago (Directiva (UE) 2015/2366), así como cualquier otro requisito aplicable a los servicios financieros prestados por Adyen.
Adyen cumple la norma ISAE3402/SOC 1 (Service Organizational Control 1), que evalúa y comprueba los controles internos sobre la información financiera dentro de una organización de servicios. Esto refleja el cumplimiento por parte de la organización de servicios de las políticas y los procedimientos mediante el seguimiento, la formación y la verificación de dichas políticas y procedimientos.
14. Asociación y estatus#
Nonli es socio oficial de Facebook, Instagram y LinkedIn. Nonli se incorporó al programa Google Startup Pack y posteriormente pasó a ser Google Partner.
Nonli ha obtenido el estatus de Joven Empresa Innovadora concedido por el Ministerio de Investigación.
Preguntas y respuestas
15. ¿Garantizan el cumplimiento de los plazos legales de conservación de los datos? Plazos de conservación y justificación.#
Sí, cumplimos los plazos legales de conservación de los datos y los justificamos mediante nuestras obligaciones legales y reglamentarias. Aplicamos procedimientos de eliminación y archivo periódicos de los datos en función de su plazo legal de conservación.