Tämä asiakirja on englanninkielisen alkuperäisen käännös. Jos versioiden välillä on ristiriitoja, englanninkielinen versio on ensisijainen.

Teemme kaiken voitavamme suojataksemme käyttäjiemme tietoja ja yksityisyyttä. Noudatamme tiukkaa tietosuoja- ja yksityisyyskäytäntöä, jota parannamme jatkuvasti uusien standardien ja parhaiden käytäntöjen mukaisesti.

1. Infrastruktuurin tietoturva#

Sovelluksiamme isännöi Google Cloud Platform. Käytämme Googlen infrastruktuuria palveluidemme jakeluun.

Google Cloud Platform noudattaa tiukkoja sääntöjä tietoturvan ja yksityisyyden suojan osalta.

Google Cloud Platform -alustan tietoturva-, yksityisyys- ja vaatimustenmukaisuusvalvonnat todentaa riippumaton taho, mikä auttaa meitä saavuttamaan sääntelyyn liittyvät ja strategiset tavoitteemme. Tiedot alustan vaatimustenmukaisuuspalveluista, kuten ISO/IEC 27001/27017/27018/27701-, SOC 1/2/3-, PCI DSS- ja FedRAMP-sertifioinneista sekä yhdenmukaisuudesta muun muassa HIPAA-, GDPR- ja CCPA-lainsäädännön ja -sääntelyn kanssa löytyvät vaatimustenmukaisuuskeskuksestamme.

Teemme verkkoinfrastruktuureillemme tilien ja käyttöoikeuksien tarkastuksia (vähintään kerran kuukaudessa).

Teemme yhteistyötä Google Cloud Premier Partner -kumppanin DoiT International France SAS:n kanssa, jotta saamme nopeasti reagoivaa tukea Google Cloud Platform -alustaan sekä suosituksia parhaista käytännöistä, kustannusoptimoinnista ja alustan tietoturvasta. DoiT International France SAS:llä ei ole pääsyä infrastruktuuriimme.

2. Verkon tietoturva#

Verkkoinfrastruktuurimme koostuu useista tietoturvakerroksista.

• Yksityinen virtuaalipilvi, jossa käyttöoikeuksia hallitaan Cloud Identity and Access Management (IAM) -palvelulla
• VPN-yhteys infrastruktuuriin pääsemiseksi
• IP-osoitteiden ja porttien suodatus
• Haitallisilta hyökkäyksiltä suojaava torjuntajärjestelmä

3. Tietojen turvallisuus#

3.1. Tietojen sijainti#

Tiedot isännöidään Google Cloud Platform -alustalla Belgiassa (eurooppalaisille Asiakkaille).

3.2. Kriittiset tiedot#

Kaikki kriittiset tiedot (salasanat ja käyttötokenit) salataan toimiviksi todetuilla salausalgoritmeilla.

3.3. Tietojen siirto#

Käytämme TLS-protokollaa tietojen turvalliseen siirtoon.

3.4. Asiakkaan delegoiman lyhennysverkkotunnuksen hallinta#

Hoidamme SSL-varmenteiden luomisen, uusimisen ja käyttöönoton kuormantasaajissamme. SSL-varmenteemme käyttävät suositeltuja salausalgoritmeja. Testaamme verkkotunnuksiamme säännöllisesti arvioidaksemme SSL-salauksemme laatua.

4. Asiakkaan tietojen yksityisyys ja aineiston omistusoikeus#

4.1. Yksityisten tietojen käyttö#

Nonli sitoutuu virallisesti olemaan luovuttamatta, jakamatta, myymättä tai käyttämättä Asiakkaidensa yksityisiä tietoja kaupallisiin tarkoituksiin tai omaan lukuunsa. Nämä tiedot on varattu tiukasti käytettäviksi Nonlin tarjoamien palvelujen yhteydessä kunkin Asiakkaan kanssa tehtyjen sopimusten mukaisesti.

4.2. Asiakkaan aineiston omistusoikeus ja käyttö#

1. Kaikki Asiakkaan toimittama yksityinen aineisto, mukaan lukien muun muassa fontit, kuvat, logot ja kaikki muu graafinen tai tekstimuotoinen sisältö, pysyy Asiakkaan yksinomaisena omaisuutena.
2. Nonli sitoutuu käyttämään tätä aineistoa vain Asiakkaalle Nonli-alustan kautta tarjottavien palvelujen puitteissa ja yksinomaan aineiston omistavan Asiakkaan lukuun.
3. Nonli ei hanki tähän aineistoon omistus- eikä käyttöoikeuksia Asiakkaan kanssa tehdyn sopimuksen määrittelemän laajuuden ulkopuolella.
4. Nonli sitoutuu olemaan käyttämättä, jäljentämättä, muokkaamatta tai levittämättä tätä aineistoa muuhun kuin Asiakkaan nimenomaisesti sallimaan tarkoitukseen Nonli-alustan käytön yhteydessä.
5. Liikesuhteen päättyessä tai Asiakkaan pyynnöstä Nonli sitoutuu lopettamaan tämän aineiston kaiken käytön ja poistamaan sen järjestelmistään, ellei laista muuta johdu.

4.3. Aineiston luottamuksellisuus#

Nonli sitoutuu pitämään Asiakkaan toimittaman aineiston luottamuksellisena ja toteuttamaan asianmukaiset turvatoimet, joilla estetään luvaton pääsy tähän aineistoon sekä sen luvaton käyttö, muokkaus tai paljastaminen.

5. Googlen käyttäjätietojen julkistaminen#

5.1. Googlen käyttäjätietojen käyttöoikeuksien laajuus#

Kun yhdistät YouTube-tilisi Nonliin, sovelluksemme voi käyttää seuraavia tietoja myöntämiesi käyttöoikeuksien perusteella:

• YouTube-tilin tiedot: YouTube-kanavasi nimi, profiilikuva ja kanavatunnus
• YouTube-sisältö: lataamasi videot, soittolistat, videoiden metatiedot (otsikot, kuvaukset, tunnisteet, pikkukuvat) ja kanavan sisältö
• YouTube-analytiikka: videoidesi ja kanavasi suorituskykymittarit, kuten katselukerrat, katseluaika, yleisön demografiset tiedot, liikenteen lähteet ja sitoutumistiedot
• YouTube-monetisointitiedot: tuottoraportit, mainosten suorituskykymittarit ja kanavan monetisointitilastot

5.2. Näin käytämme Googlen käyttäjätietoja#

Nonli käyttää YouTube-tietojasi yksinomaan seuraaviin tarkoituksiin:

• YouTube-kanavasi analytiikan ja suorituskykymittareiden näyttäminen Nonli-hallintapaneelissa
• Sen mahdollistaminen, että voit ladata ja hallita videosisältöä suoraan Nonli-alustalta
• YouTube-tietojesi yhdistäminen muiden sosiaalisen median alustojen tietoihin yhtenäistä raportointia varten
• Havaintojen ja suositusten tarjoaminen sisältöstrategiasi optimointiin

Emme käytä Googlen käyttäjätietojasi seuraaviin tarkoituksiin:

• Mainonta tai markkinointi, joka ei liity Nonlin käyttöösi
• Myynti, vuokraus tai luovutus kolmansille osapuolille kaupallisiin tarkoituksiin
• Tekoäly- tai koneoppimismallien kouluttaminen
• Mikä tahansa tarkoitus, joka ei liity Nonli-alustan ydintoimintoihin

5.3. Näin tallennamme ja suojaamme Googlen käyttäjätietoja#

• Kaikki Googlen käyttäjätiedot tallennetaan turvallisesti Belgiassa (Euroopan unioni) sijaitseville Google Cloud Platform -palvelimille
• Käyttötokenit ja arkaluonteiset tunnistetiedot salataan alan standardin mukaisilla salausalgoritmeilla
• Kaikki tiedonsiirrot suojataan TLS-salauksella
• Pääsy käyttäjätietoihin rajataan tiukasti valtuutettuun henkilöstöön ja palvelujemme tarjoamiseen tarvittaviin järjestelmiin

5.4. Tietojen säilytys ja poisto#

• Googlen käyttäjätietoja säilytetään vain niin kauan kuin on tarpeen palveluidemme tarjoamiseksi sinulle
• Kun katkaiset YouTube-tilisi yhteyden Nonliin tai poistat Nonli-tilisi, kaikki siihen liittyvät Googlen käyttäjätiedot poistetaan järjestelmistämme pysyvästi
• Voit pyytää Googlen käyttäjätietojesi poistamista milloin tahansa ottamalla yhteyttä osoitteeseen [email protected]

5.5. Tietojen jakaminen#

Emme jaa, myy, vuokraa tai paljasta Googlen käyttäjätietojasi kolmansille osapuolille, paitsi seuraavissa tapauksissa:

• Sovellettava laki tai oikeudellinen menettely edellyttää sitä
• Olet antanut siihen nimenomaisen etukäteissuostumuksesi
• Jaamme tietoja palveluntarjoajille, jotka auttavat meitä alustamme ylläpidossa, tiukkojen salassapitosopimusten mukaisesti ja vain siinä määrin kuin palvelujemme tarjoaminen edellyttää

5.6. Käyttöoikeuden peruuttaminen#

Voit peruuttaa Nonlin pääsyn YouTube- ja Google-tietoihisi milloin tahansa avaamalla Google-tilin käyttöoikeudet -sivun ja poistamalla Nonlin yhdistettyjen sovellusten luettelosta.

5.7. Vaatimustenmukaisuus#

Nonli noudattaa Google API:sta saamiensa tietojen käytössä ja siirrossa Google API Services User Data Policy -käytäntöä, rajoitetun käytön vaatimukset mukaan lukien.

5.8. YouTube API Services -ilmoitus#

Nonli käyttää YouTube API Services -palveluja, jotta käyttäjät voivat yhdistää YouTube-tilinsä, hallita videosisältöään sekä käyttää kanaviensa analytiikkaa ja suorituskykymittareita Nonli-alustalla.

Käyttämällä YouTubeen yhdistettyjä Nonlin ominaisuuksia hyväksyt myös Googlen tietosuojakäytännön, joka on saatavilla osoitteessa: http://www.google.com/policies/privacy

Voit peruuttaa Nonlin pääsyn YouTube-tietoihisi milloin tahansa avaamalla Googlen suojausasetussivun osoitteessa: https://security.google.com/settings/security/permissions

6. Suostumusvapaa yleisöanalytiikkaratkaisu#

Nonli dokumentoi SDK-konfiguraation, joka voidaan toteuttaa suostumusvapaana yleisömittausratkaisuna CNIL:n ”evästeitä ja muita seurantatekniikoita” koskevien ohjeiden mukaisesti. Nonlin täytetty CNIL-itsearviointi SDK:sta on saatavilla täällä: CNIL-itsearviointi - Nonli SDK.

6.1. Näin Nonlin analytiikkatagi (SDK) toimii#

Nonlin analytiikkatagi toimii itsenäisesti kullakin verkkotunnuksella. Kerätyt tiedot ovat täysin anonyymejä, eikä niitä koskaan yhdistetä eri verkkotunnusten kesken. Tagi ei aseta evästeitä eikä mahdollista yksittäisen käyttäjän kulkureitin seurantaa.

Tagi otetaan käyttöön Asiakkaan pääverkkotunnuksen aliverkkotunnuksella. Liikenneanalyysi tehdään anonyymisti suoraan palvelimillamme ilman evästeitä. Tagi ei mahdollista tietyn käyttäjän tunnistamista eikä tämän kulkureitin seurantaa.

Kaikki tällä tagilla kerätyt tiedot anonymisoidaan, eikä niitä yhdistetä muiden verkkotunnusten tietoihin. Tagilla ei kerätä henkilötietoja.

Sitoudumme olemaan käyttämättä Asiakkaidemme tietoja omiin tarkoituksiimme.

7. Palvelun saatavuus#

Pyrimme parhaamme mukaan ylläpitämään 99,99 prosentin saatavuusastetta.

Palvelun saatavuustiedot ovat nähtävillä tilasivullamme.

8. Palautuminen häiriötilanteista ja liiketoiminnan jatkuvuus#

Replikoimme ja varmuuskopioimme kaikki tietomme useita kertoja päivässä. Suoritamme säännöllisesti palautumisskenaarioita, jotta palvelu saadaan palautettua mahdollisimman nopeasti.

9. Nonli-sovelluksen tietoturva#

Kaikki sovelluksemme kehittävät sisäisesti kokoaikaiset työntekijämme; emme käytä ulkopuolisia urakoitsijoita tai alihankkijoita.

10. Kehitysmenetelmä#

Kehittäjämme harjoittavat säännöllisesti pariohjelmointia. Kaikki kehitystyö testataan yksikkö- ja toiminnallisilla testeillä.

Meillä on omat laadunvarmistusympäristöt (QA); jos testi epäonnistuu, koodia ei voi viedä tuotantoon.

Kehittäjämme osallistuvat säännöllisesti koulutuksiin pysyäkseen ajan tasalla tietoturvahaavoittuvuuksien torjunnan parhaista käytännöistä.

Noudatamme OWASP:n suosituksia.

Ennen tuotantoon vientiä sovellamme tiukkaa koodin hyväksymisprosessia:

1. Jokainen kehitystyö on otettava käyttöön eristetyssä ja turvallisessa ”hiekkalaatikko”-ympäristössä
2. Muiden kehittäjien on tarkastettava ja hyväksyttävä Pull Requestit
3. Yksikkötestien on mentävä läpi
4. Toiminnalliset testit on hyväksyttävä
5. Regressiotestit on hyväksyttävä
6. Koodin laatupisteytys ei saa laskea
7. Ulkoiset koodi- ja tietoturvatarkastustyökalumme eivät saa paljastaa tietoturvahaavoittuvuuksia

Jos kehitystyö ei läpäise jotakin näistä hyväksymisvaiheista, koodia on parannettava, kunnes kaikki vaiheet on hyväksytty.

11. Sovelluksen tietoturvatarkastus ja skannaus#

Skannaamme sovelluksen ulkoisilla työkaluilla, jotka tarkastavat tietoturvahaavoittuvuuksia, mahdollisia virheitä ja koodin laatua ja tuottavat viikoittaisia raportteja.

12. Tietoturva ja käyttöoikeudet Nonlissa#

12.1. Resurssien käyttöoikeuksien hallinta#

Ylläpitäjät voivat luoda yrityksen kullekin osastolle omia rooleja erittäin hienojakoisesti.

On mahdollista luoda brändirajat ylittäviä lukuun ja/tai kirjoittamiseen oikeuttavia rooleja ja lisätä resurssikohtaisia oikeuksia.

12.2. Todennus#

Nonli edellyttää kaksivaiheista todennusta (2FA). Käyttöönoton aikana käyttäjä vahvistaa puhelinnumeronsa ja määrittää sitten aikaperusteisen kertakäyttöisen salasanan (TOTP) todennussovellukseen. Kirjautumisessa pyydetään tiliin liitettyä todennustekijää; tarjolla voi olla SMS-varavaihtoehto tai varakoodi. Todennuskoodien, QR-salaisuuksien ja varakoodien on pysyttävä yksityisinä. Istuntojen on oltava yksilöllisiä laitetyyppiä kohden. Työpöydällä ja mobiilissa sallitaan 2 samanaikaista istuntoa. Jos kaksi istuntoa aloitetaan samanaikaisesti kahdella työpöytälaitteella, ensimmäinen istunto mitätöidään. Sama koskee samanaikaisia istuntoja mobiilissa.

Jokainen salasanan vaihto on vahvistettava sähköpostilla.

Jokainen sähköpostiosoitteen vaihto on vahvistettava SMS-viestillä.

Jokainen puhelinnumeron vaihto on vahvistettava sähköpostilla.

12.3. API-käyttöoikeus#

Palvelimelta palvelimelle tapahtuvaa API-käyttöä varten annetaan käyttäjätunnus ja salasana. REST API:a käyttääksesi sinun on pyydettävä token todennuksen yhteydessä. Token on voimassa 7 päivää.

13. Yrityksen tietoturva#

13.1. Henkilöstön ja laitteiston tietoturva#

Kaikki työntekijät on koulutettu tietoturvaan, ja henkilöstö osallistuu säännöllisesti OWASP:n suosituksia sekä seurannassa joka viikko löytämäämme kirjallisuutta käsitteleviin työpajoihin. Käytämme 1–2 tuntia viikossa työntekijää kohden tietoturvatietoisuuden vahvistamiseen.

Teemme säännöllisesti sisäisiä tunkeutumistestejä yhdistääksemme teorian ja käytännön.

Pidämme verkkoja epäluotettavina, minkä vuoksi olemme ottaneet käyttöön suojaus- ja asennusmenettelyt. Kehityskoneet asennetaan kaikki yhtenäisen protokollan mukaisesti, jotta kaikkien tietokonelaitteiden päivitys ja vaatimustenmukaisuus varmistetaan (salaus, palomuuri, sormenjälkitunnistukseen perustuva käyttörajoitus...).

Työasemiemme istunnot lukittuvat automaattisesti 5 minuutin kuluttua.

Henkilöstö perehdytetään kaikkien Asiakkaidemme tietojen luottamuksellisuuteen, eheyteen ja arkaluonteisuuteen.

13.2. Tietoturvatarkastus#

Teemme säännöllisesti tietoturvatestejä Cloud Web Security Scanner -työkalulla viikoittain sekä Scrutinizer-työkalulla päivittäin. Asiakkaillamme on mahdollisuus tehdä ulkoisia tietoturvatarkastuksia ja tunkeutumistestejä ilmoittamalla meille siitä etukäteen.

13.3. Tietoturvapoikkeamasta ilmoittaminen#

Haavoittuvuuksista voi ilmoittaa osoitteeseen [email protected]

13.4. Vaatimustenmukaisuus ja sertifioinnit#

Yrityksen työntekijät pyrkivät parhaansa mukaan soveltamaan ISO 27001- ja SOC 2 -standardeja.

Nonli noudattaa tiukkoja sääntöjä tietoturvan, yksityisyyden suojan ja vaatimustenmukaisuuden osalta sekä ISO 27001- ja SOC 2 -standardeja. Näiden sertifiointien korkeiden kustannusten vuoksi emme kuitenkaan ole vielä pystyneet ottamaan niitä käyttöön.

Nonli noudattaa GDPR:ää.

GDPR:n piiriin kuuluvat tiedot ovat alustan asianmukaisen toiminnan ja turvallisuuden kannalta tarpeellisia tietoja. Kun yritys muuttuu Nonlissa epäaktiiviseksi, se poistetaan yhdessä yritykseen liitettyjen käyttäjien kanssa; henkilötietoja ei säilytetä.

13.5. Maksutapahtumien vaatimustenmukaisuus#

Nonli noudattaa PCI-DSS-standardia. Luottokorttitapahtumia hallinnoi ADYEN.

Adyen noudattaa täysimääräisesti PCI DSS 3.2 -standardia tason 1 palveluntarjoajana. Tämä on maksuliikenteen alaa ohjaava keskeisin tietoturvastandardi.

Maksulaitoksena Adyen on Alankomaiden keskuspankin (De Nederlandsche Bank) täysimääräisessä valvonnassa, ja noudatamme Euroopan maksupalveludirektiivin (direktiivi (EU) 2015/2366) vaatimuksia sekä kaikkia muita Adyenin tarjoamiin rahoituspalveluihin sovellettavia vaatimuksia.

Adyen noudattaa ISAE3402/SOC 1 -standardia (Service Organizational Control 1), jolla arvioidaan ja testataan palveluorganisaation sisäisiä taloudellisen raportoinnin valvontatoimia. Tämä kuvastaa palveluorganisaation menettelytapojen ja -ohjeiden noudattamista seurannan, koulutuksen sekä menettelytapojen ja -ohjeiden todentamisen kautta.

14. Kumppanuus ja asema#

Nonli on Facebookin, Instagramin ja LinkedInin virallinen kumppani. Nonli liittyi Googlen Startup Pack -ohjelmaan ja siitä tuli myöhemmin Google Partner -kumppani.

Nonli on saanut tutkimusministeriön myöntämän nuoren innovatiivisen yrityksen aseman.

Kysymykset ja vastaukset

15. Varmistatko tietojen lakisääteisten säilytysaikojen noudattamisen? Säilytysajat ja perustelut.#

Kyllä, noudatamme tietojen lakisääteisiä säilytysaikoja ja perustelemme ne lakisääteisillä ja sääntelyyn perustuvilla velvoitteillamme. Otamme käyttöön menettelyt tietojen säännölliseen poistoon ja arkistointiin niiden lakisääteisen säilytysajan perusteella.