Questo documento è una traduzione dell'originale inglese. In caso di discrepanze tra le due versioni prevale la versione inglese.

Facciamo tutto il possibile per proteggere i dati e la privacy dei nostri utenti. Applichiamo una rigorosa politica di protezione dei dati e di tutela della privacy, che miglioriamo costantemente in linea con i nuovi standard e le migliori pratiche.

1. Sicurezza dell'infrastruttura#

Le nostre applicazioni sono ospitate da Google Cloud Platform. Utilizziamo l'infrastruttura di Google per erogare i nostri servizi.

Google Cloud Platform rispetta regole rigorose in materia di sicurezza e riservatezza dei dati.

Google Cloud Platform sottopone i propri controlli di sicurezza, privacy e conformità a verifiche indipendenti, che ci aiutano a raggiungere i nostri obiettivi normativi e strategici. I dettagli sui suoi servizi di conformità, tra cui le certificazioni ISO/IEC 27001/27017/27018/27701, SOC 1/2/3, PCI DSS e FedRAMP, nonché l'allineamento a leggi e regolamenti quali HIPAA, GDPR e CCPA, sono disponibili, tra l'altro, nel nostro centro risorse sulla conformità.

Effettuiamo revisioni degli account e dei diritti (almeno una volta al mese) sulle nostre infrastrutture di rete.

Collaboriamo con DoiT International France SAS, Google Cloud Premier Partner, che ci offre un supporto reattivo per Google Cloud Platform e raccomandazioni su migliori pratiche, ottimizzazione dei costi e sicurezza della piattaforma. DoiT International France SAS non ha accesso alla nostra infrastruttura.

2. Sicurezza della rete#

La nostra infrastruttura di rete è composta da più livelli di sicurezza.

• Un cloud virtuale privato con controllo degli accessi tramite Cloud Identity and Access Management (IAM)
• Una VPN per accedere all'infrastruttura
• Filtraggio degli indirizzi IP e delle porte
• Un sistema di mitigazione per la protezione dagli attacchi dolosi

3. Sicurezza dei dati#

3.1. Ubicazione dei dati#

I dati sono ospitati su Google Cloud Platform in Belgio (per i clienti europei).

3.2. Dati critici#

Tutti i dati critici (password e token di accesso) sono cifrati con algoritmi di cifratura collaudati.

3.3. Trasmissione dei dati#

Utilizziamo TLS per trasmettere i dati in modo sicuro.

3.4. Gestione del dominio abbreviato delegato dal cliente#

Ci occupiamo della generazione, del rinnovo e dell'implementazione dei certificati SSL sui nostri bilanciatori di carico. I nostri certificati SSL utilizzano algoritmi di cifratura raccomandati. Testiamo regolarmente i nostri domini per valutare la qualità della cifratura SSL.

4. Privacy dei dati dei clienti e titolarità delle risorse#

4.1. Utilizzo dei dati privati#

Nonli si impegna formalmente a non comunicare, condividere, vendere né utilizzare per finalità commerciali o per proprio conto i dati privati dei propri clienti. Tali dati sono strettamente riservati all'utilizzo nell'ambito dei servizi forniti da Nonli, in conformità agli accordi conclusi con ciascun cliente.

4.2. Titolarità e utilizzo delle risorse del cliente#

1. Tutte le risorse private fornite dal cliente, inclusi, a titolo esemplificativo, font, immagini, loghi e qualsiasi altro contenuto grafico o testuale, restano di esclusiva proprietà del cliente.
2. Nonli si impegna a utilizzare tali risorse solo nell'ambito dei servizi forniti al cliente tramite la piattaforma Nonli ed esclusivamente per conto del cliente proprietario.
3. Nonli non acquisisce alcun diritto di proprietà o di utilizzo su tali risorse al di fuori dell'ambito definito dall'accordo con il cliente.
4. Nonli si impegna a non utilizzare, riprodurre, modificare o distribuire tali risorse per scopi diversi da quello espressamente autorizzato dal cliente nel contesto dell'utilizzo della piattaforma Nonli.
5. Al termine del rapporto commerciale, o su richiesta del cliente, Nonli si impegna a cessare qualsiasi utilizzo di tali risorse e a cancellarle dai propri sistemi, salvo diverso obbligo di legge.

4.3. Riservatezza delle risorse#

Nonli si impegna a mantenere la riservatezza delle risorse fornite dal cliente e ad adottare misure di sicurezza adeguate per prevenire qualsiasi accesso, utilizzo, modifica o divulgazione non autorizzati di tali risorse.

5. Informativa sui dati utente di Google#

5.1. Ambito di accesso ai dati utente di Google#

Quando l'utente collega il proprio account YouTube a Nonli, la nostra applicazione può accedere ai seguenti dati, in base alle autorizzazioni concesse:

• Informazioni sull'account YouTube: il nome del canale YouTube, l'immagine del profilo e l'ID del canale
• Contenuti YouTube: i video caricati, le playlist, i metadati dei video (titoli, descrizioni, tag, miniature) e i contenuti del canale
• Analytics di YouTube: le metriche di performance dei video e del canale, tra cui visualizzazioni, tempo di visualizzazione, dati demografici del pubblico, fonti di traffico e dati di engagement
• Dati di monetizzazione di YouTube: report sui ricavi, metriche di performance degli annunci e statistiche di monetizzazione del canale

5.2. Come utilizziamo i dati utente di Google#

Nonli utilizza i dati YouTube dell'utente esclusivamente per:

• Visualizzare le analytics e le metriche di performance del canale YouTube dell'utente nella dashboard di Nonli
• Consentire all'utente di caricare e gestire i contenuti video direttamente dalla piattaforma Nonli
• Aggregare i dati YouTube dell'utente con quelli di altre piattaforme di social media per un reporting unificato
• Fornire approfondimenti e raccomandazioni per ottimizzare la strategia dei contenuti

NON utilizziamo i dati utente di Google per:

• Finalità pubblicitarie o di marketing non collegate all'utilizzo di Nonli da parte dell'utente
• Vendita, locazione o trasferimento a terzi per finalità commerciali
• Addestramento di modelli di intelligenza artificiale o di machine learning
• Qualsiasi finalità non collegata alla funzionalità principale della piattaforma Nonli

5.3. Come conserviamo e proteggiamo i dati utente di Google#

• Tutti i dati utente di Google sono conservati in modo sicuro sui server di Google Cloud Platform situati in Belgio (Unione europea)
• I token di accesso e le credenziali sensibili sono cifrati con algoritmi di cifratura conformi agli standard di settore
• Tutte le trasmissioni di dati sono protette con la cifratura TLS
• L'accesso ai dati degli utenti è rigorosamente limitato al personale e ai sistemi autorizzati necessari per erogare i nostri servizi

5.4. Conservazione e cancellazione dei dati#

• I dati utente di Google sono conservati solo per il tempo necessario a erogare i nostri servizi all'utente
• Quando l'utente scollega il proprio account YouTube da Nonli o elimina il proprio account Nonli, tutti i dati utente di Google associati vengono cancellati definitivamente dai nostri sistemi
• L'utente può richiedere la cancellazione dei propri dati utente di Google in qualsiasi momento contattando [email protected]

5.5. Condivisione dei dati#

Non condividiamo, vendiamo, affittiamo né comunichiamo a terzi i dati utente di Google dell'utente, tranne:

• quando richiesto dalla legge applicabile o da un procedimento legale
• con il previo consenso esplicito dell'utente
• con i fornitori di servizi che ci aiutano a gestire la nostra piattaforma, nel rispetto di rigorosi accordi di riservatezza e solo nella misura necessaria a erogare i nostri servizi

5.6. Revoca dell'accesso#

L'utente può revocare in qualsiasi momento l'accesso di Nonli ai propri dati YouTube e Google visitando la pagina Autorizzazioni dell'Account Google e rimuovendo Nonli dall'elenco delle applicazioni collegate.

5.7. Conformità#

L'utilizzo e il trasferimento da parte di Nonli delle informazioni ricevute dalle API di Google rispettano la Google API Services User Data Policy, compresi i requisiti di utilizzo limitato (Limited Use).

5.8. Avviso sui servizi API di YouTube#

Nonli utilizza i servizi API di YouTube per consentire agli utenti di collegare i propri account YouTube, gestire i propri contenuti video e accedere alle analytics e alle metriche di performance dei propri canali all'interno della piattaforma Nonli.

Utilizzando le funzionalità di Nonli collegate a YouTube, l'utente accetta anche l'informativa sulla privacy di Google, disponibile all'indirizzo: http://www.google.com/policies/privacy

L'utente può revocare in qualsiasi momento l'accesso di Nonli ai propri dati YouTube visitando la pagina delle impostazioni di sicurezza di Google all'indirizzo: https://security.google.com/settings/security/permissions

6. Soluzione di analytics di audience esente da consenso#

Nonli documenta una configurazione dell'SDK che può essere implementata come soluzione di misurazione dell'audience esente da consenso, in linea con le linee guida della CNIL su «cookie e altri strumenti di tracciamento». L'autovalutazione CNIL completata da Nonli per l'SDK è disponibile qui: Autovalutazione CNIL - SDK Nonli.

6.1. Come funziona il tag di analytics di Nonli (SDK)#

Il tag di analytics di Nonli funziona in modo indipendente su ciascun dominio. I dati raccolti sono completamente anonimi e non vengono mai consolidati tra domini diversi. Il tag non imposta alcun cookie e non consente di tracciare il percorso di un singolo utente.

Il tag è distribuito su un sottodominio del dominio principale del cliente. L'analisi del traffico avviene in forma anonima direttamente sui nostri server, senza l'uso di cookie. Il tag non consente di identificare né di tracciare il percorso di un utente specifico.

Tutti i dati raccolti tramite questo tag sono anonimizzati e non vengono consolidati con quelli di altri domini. Tramite questo tag non viene raccolto alcun dato personale.

Ci impegniamo a non utilizzare i dati dei nostri clienti per finalità proprie.

7. Disponibilità del servizio#

Facciamo del nostro meglio per mantenere un tasso di disponibilità del 99,99%.

La disponibilità del servizio è consultabile sulla nostra pagina di stato.

8. Disaster recovery e continuità operativa#

Replichiamo ed eseguiamo il backup di tutti i nostri dati più volte al giorno. Eseguiamo regolarmente scenari di disaster recovery per ripristinare il servizio nel più breve tempo possibile.

9. Sicurezza dell'applicazione Nonli#

Tutte le nostre applicazioni sono sviluppate internamente dai nostri dipendenti a tempo pieno; non ricorriamo a collaboratori esterni né a subappaltatori.

10. Metodo di sviluppo#

I nostri sviluppatori praticano regolarmente il pair programming. Tutti gli sviluppi sono sottoposti a test unitari e funzionali.

Disponiamo di ambienti QA dedicati; se un test fallisce, il codice non può essere distribuito in produzione.

I nostri sviluppatori seguono regolarmente corsi di formazione per rimanere aggiornati sulle migliori pratiche di contrasto alle vulnerabilità di sicurezza.

Seguiamo le raccomandazioni OWASP.

Prima della distribuzione in produzione, applichiamo un rigoroso processo di validazione del codice:

1. Ogni sviluppo deve essere distribuito in un ambiente «sandbox» isolato e sicuro
2. Le Pull Request devono essere revisionate e approvate da altri sviluppatori
3. I test unitari devono essere superati
4. I test funzionali devono essere convalidati
5. I test di non regressione devono essere convalidati
6. Il punteggio di qualità del codice non deve diminuire
7. I nostri strumenti esterni di audit del codice e della sicurezza non devono rilevare alcuna vulnerabilità di sicurezza

Se lo sviluppo non supera una di queste fasi di validazione, il codice deve essere migliorato finché tutte le fasi non sono convalidate.

11. Ispezione e scansione della sicurezza dell'applicazione#

Scansioniamo l'applicazione con strumenti esterni che ispezionano le vulnerabilità di sicurezza, i potenziali bug e la qualità del codice e producono report settimanali.

12. Sicurezza e diritti di accesso in Nonli#

12.1. Gestione dell'accesso alle risorse#

Gli amministratori possono creare ruoli specifici per ciascun reparto dell'azienda con una granularità molto fine.

È possibile creare ruoli trasversali ai brand, in lettura e/o in scrittura, e aggiungere diritti specifici per risorsa.

12.2. Autenticazione#

Nonli richiede l'autenticazione a due fattori (2FA). Durante la registrazione, l'utente verifica il proprio numero di telefono e poi configura una password monouso basata sul tempo (TOTP) in un'app di autenticazione. Il flusso di accesso richiede il fattore associato all'account; quando disponibile, può essere proposto un SMS di riserva o un codice di backup. I codici di autenticazione, i segreti dei codici QR e i codici di backup devono rimanere privati. Le sessioni devono essere uniche per tipo di dispositivo. È consentito avere 2 sessioni simultanee su desktop e su dispositivo mobile. Se 2 sessioni vengono avviate contemporaneamente su 2 desktop, la prima sessione viene invalidata. Lo stesso vale per le sessioni simultanee su dispositivo mobile.

Qualsiasi modifica della password deve essere convalidata via e-mail.

Qualsiasi modifica dell'indirizzo e-mail deve essere convalidata via SMS.

Qualsiasi modifica del numero di telefono deve essere convalidata via e-mail.

12.3. Accesso all'API#

Per l'utilizzo dell'API server-to-server viene fornito un accesso con nome utente e password. Per utilizzare l'API REST è necessario richiedere un token durante l'autenticazione. Tale token è valido per 7 giorni.

13. Sicurezza aziendale#

13.1. Sicurezza del personale e delle attrezzature#

Tutti i dipendenti sono formati sulla sicurezza e il personale partecipa regolarmente a workshop sulle raccomandazioni OWASP e sulla letteratura che individuiamo ogni settimana tramite attività di monitoraggio. Dedichiamo da 1 a 2 ore a settimana per dipendente alla sensibilizzazione sulla sicurezza informatica.

Conduciamo regolarmente penetration test interni per unire teoria e pratica.

Consideriamo le reti come non affidabili, ed è per questo che abbiamo implementato procedure di protezione e installazione. Le macchine di sviluppo sono tutte installate secondo un protocollo unificato per garantire l'aggiornamento e la conformità di tutte le attrezzature informatiche (cifratura, firewall, restrizione dell'accesso tramite impronta digitale...).

Le sessioni delle nostre postazioni di lavoro si bloccano automaticamente dopo 5 minuti.

Il personale è sensibilizzato sulla riservatezza, sull'integrità e sulla sensibilità di tutti i dati dei nostri clienti.

13.2. Audit di sicurezza#

Eseguiamo regolarmente test di sicurezza con Cloud Web Security Scanner con cadenza settimanale, nonché con Scrutinizer ogni giorno. I nostri clienti hanno la possibilità di effettuare audit di sicurezza e penetration test esterni, previa comunicazione.

13.3. Segnalazione di un incidente di sicurezza#

Le vulnerabilità possono essere segnalate a [email protected]

13.4. Conformità e certificazioni#

I dipendenti dell'azienda si impegnano al massimo per applicare gli standard ISO 27001 e SOC 2.

Nonli segue regole rigorose in materia di sicurezza dei dati, privacy e conformità, e aderisce agli standard ISO 27001 e SOC 2. Tuttavia, a causa dell'elevato costo di queste certificazioni, non è stato ancora possibile ottenerle.

Nonli è conforme al GDPR.

I dati soggetti al GDPR sono i dati necessari al corretto funzionamento e alla sicurezza della piattaforma. Quando un'azienda diventa inattiva in Nonli, viene cancellata insieme agli utenti ad essa collegati; non viene conservato alcun dato personale.

13.5. Conformità delle transazioni#

Nonli è conforme allo standard PCI-DSS. Le transazioni con carta di credito sono gestite da ADYEN.

Adyen è pienamente conforme allo standard PCI DSS 3.2 in qualità di fornitore di servizi di Livello 1. Si tratta del principale standard di sicurezza che disciplina il settore dei pagamenti.

In quanto istituto di pagamento, Adyen è pienamente sottoposta alla vigilanza della Banca centrale olandese e rispettiamo i requisiti della Direttiva europea sui servizi di pagamento (Direttiva UE 2015/2366), nonché ogni altro requisito applicabile ai servizi finanziari forniti da Adyen.

Adyen è conforme a ISAE3402/SOC 1 (Service Organizational Control 1), che valuta e verifica i controlli interni sull'informativa finanziaria all'interno di un'organizzazione di servizi. Ciò attesta la conformità dell'organizzazione di servizi a politiche e procedure attraverso il monitoraggio, la formazione e la verifica delle politiche e delle procedure.

14. Partnership e status#

Nonli è partner ufficiale di Facebook, Instagram e LinkedIn. Nonli ha aderito al programma Google Startup Pack ed è poi diventata Google Partner.

Nonli ha ottenuto lo status di Giovane Impresa Innovativa rilasciato dal Ministero della Ricerca.

Domande e risposte

15. Garantite il rispetto dei periodi di conservazione legali dei dati? Periodi di conservazione e giustificazione.#

Sì, rispettiamo i periodi di conservazione legali dei dati e li giustifichiamo con i nostri obblighi legali e regolamentari. Implementiamo procedure di cancellazione e archiviazione periodica dei dati in base al relativo periodo di conservazione legale.