Dit document is een vertaling van het Engelse origineel. In geval van tegenstrijdigheid tussen beide versies heeft de Engelse versie voorrang.

Wij doen er alles aan om de gegevens en de privacy van onze gebruikers te beschermen. Wij hanteren een strikt beleid inzake gegevensbescherming en privacy, dat wij voortdurend verbeteren in overeenstemming met nieuwe normen en beste praktijken.

1. Beveiliging van de infrastructuur#

Onze applicaties worden gehost door Google Cloud Platform. Wij gebruiken de infrastructuur van Google om onze diensten te leveren.

Google Cloud Platform houdt zich aan strikte regels op het gebied van gegevensbeveiliging en privacy.

Google Cloud Platform ondergaat onafhankelijke verificatie van zijn beveiligings-, privacy- en compliancecontroles om ons te helpen onze regelgevende en strategische doelstellingen te bereiken. In het compliance-informatiecentrum van Google Cloud zijn onder meer details te vinden over de compliancediensten, zoals de certificeringen ISO/IEC 27001/27017/27018/27701, SOC 1/2/3, PCI DSS en FedRAMP, alsook de afstemming op wet- en regelgeving zoals HIPAA, de Algemene verordening gegevensbescherming (AVG) en de CCPA.

Wij voeren (ten minste eenmaal per maand) controles uit van accounts en rechten op onze netwerkinfrastructuren.

Wij werken samen met DoiT International France SAS, een Google Cloud Premier Partner, voor snelle ondersteuning bij Google Cloud Platform en aanbevelingen over beste praktijken, kostenoptimalisatie en platformbeveiliging. DoiT International France SAS heeft geen toegang tot onze infrastructuur.

2. Netwerkbeveiliging#

Onze netwerkinfrastructuur bestaat uit meerdere beveiligingslagen.

• Een virtuele privécloud met toegangscontrole via Cloud Identity and Access Management (IAM)
• Een VPN voor toegang tot de infrastructuur
• Filtering op IP-adressen en poorten
• Een mitigatiesysteem ter bescherming tegen kwaadwillige aanvallen

3. Gegevensbeveiliging#

3.1. Locatie van de gegevens#

De gegevens worden gehost op Google Cloud Platform in België (voor Europese klanten).

3.2. Kritieke gegevens#

Alle kritieke gegevens (wachtwoorden en toegangstokens) worden versleuteld met beproefde versleutelingsalgoritmen.

3.3. Gegevenstransport#

Wij gebruiken TLS om gegevens veilig te verzenden.

3.4. Beheer van door de klant gedelegeerde verkorte domeinen#

Wij verzorgen het genereren, vernieuwen en implementeren van SSL-certificaten op onze load balancers. Onze SSL-certificaten maken gebruik van aanbevolen versleutelingsalgoritmen. Wij testen onze domeinen regelmatig om de kwaliteit van onze SSL-versleuteling te beoordelen.

4. Privacy van klantgegevens en eigendom van materiaal#

4.1. Gebruik van privégegevens#

Nonli verbindt zich er uitdrukkelijk toe de privégegevens van haar klanten niet mee te delen, te delen, te verkopen of voor commerciële doeleinden of voor eigen rekening te gebruiken. Deze gegevens zijn strikt voorbehouden voor gebruik in het kader van de door Nonli geleverde diensten, overeenkomstig de met elke klant gesloten overeenkomsten.

4.2. Eigendom en gebruik van materiaal van de klant#

1. Al het door de klant verstrekte privémateriaal, met inbegrip van maar niet beperkt tot lettertypen, afbeeldingen, logo's en alle andere grafische of tekstuele content, blijft de exclusieve eigendom van de klant.
2. Nonli verbindt zich ertoe dit materiaal uitsluitend te gebruiken in het kader van de diensten die via het Nonli-platform aan de klant worden geleverd, en uitsluitend namens de klant die er eigenaar van is.
3. Nonli verkrijgt geen eigendoms- of gebruiksrechten op dit materiaal buiten het kader dat is vastgelegd in de overeenkomst met de klant.
4. Nonli verbindt zich ertoe dit materiaal niet te gebruiken, te reproduceren, te wijzigen of te verspreiden voor enig ander doel dan het doel dat de klant uitdrukkelijk heeft toegestaan in het kader van het gebruik van het Nonli-platform.
5. Aan het einde van de zakelijke relatie, of op verzoek van de klant, verbindt Nonli zich ertoe elk gebruik van dit materiaal te staken en het uit haar systemen te verwijderen, tenzij de wet anders voorschrijft.

4.3. Vertrouwelijkheid van materiaal#

Nonli verbindt zich ertoe de vertrouwelijkheid te waarborgen van het door de klant verstrekte materiaal en passende beveiligingsmaatregelen te nemen om elke ongeoorloofde toegang tot, elk ongeoorloofd gebruik, elke ongeoorloofde wijziging of elke ongeoorloofde openbaarmaking van dit materiaal te voorkomen.

5. Openbaarmaking over Google-gebruikersgegevens#

5.1. Omvang van de toegang tot Google-gebruikersgegevens#

Wanneer u uw YouTube-account aan Nonli koppelt, kan onze applicatie, afhankelijk van de machtigingen die u verleent, toegang krijgen tot de volgende gegevens:

• YouTube-accountgegevens: de naam van uw YouTube-kanaal, uw profielfoto en uw kanaal-ID
• YouTube-content: uw geüploade video's, afspeellijsten, videometadata (titels, beschrijvingen, tags, miniaturen) en kanaalcontent
• YouTube-analyses: prestatiestatistieken voor uw video's en kanaal, waaronder weergaven, kijktijd, demografische gegevens van het publiek, verkeersbronnen en gegevens over betrokkenheid
• YouTube-monetisatiegegevens: omzetrapporten, prestatiestatistieken van advertenties en monetisatiestatistieken van het kanaal

5.2. Hoe wij Google-gebruikersgegevens gebruiken#

Nonli gebruikt uw YouTube-gegevens uitsluitend om:

• analyses en prestatiestatistieken voor uw YouTube-kanaal weer te geven in het Nonli-dashboard
• u in staat te stellen videocontent rechtstreeks vanuit het Nonli-platform te uploaden en te beheren
• uw YouTube-gegevens samen te voegen met die van andere socialemediaplatforms voor uniforme rapportage
• inzichten en aanbevelingen te bieden om uw contentstrategie te optimaliseren

Wij gebruiken uw Google-gebruikersgegevens NIET voor:

• Advertentie- of marketingdoeleinden die geen verband houden met uw gebruik van Nonli
• Verkoop, verhuur of overdracht aan derden voor commerciële doeleinden
• Het trainen van modellen voor kunstmatige intelligentie of machine learning
• Enig doel dat geen verband houdt met de kernfunctionaliteit van het Nonli-platform

5.3. Hoe wij Google-gebruikersgegevens opslaan en beschermen#

• Alle Google-gebruikersgegevens worden veilig opgeslagen op servers van Google Cloud Platform in België (Europese Unie)
• Toegangstokens en gevoelige inloggegevens worden versleuteld met in de sector gangbare versleutelingsalgoritmen
• Alle gegevensoverdrachten worden beschermd met TLS-versleuteling
• De toegang tot gebruikersgegevens is strikt beperkt tot bevoegd personeel en tot de systemen die nodig zijn om onze diensten te leveren

5.4. Bewaring en verwijdering van gegevens#

• Google-gebruikersgegevens worden slechts bewaard zolang dat nodig is om onze diensten aan u te leveren
• Wanneer u uw YouTube-account van Nonli ontkoppelt of uw Nonli-account verwijdert, worden alle bijbehorende Google-gebruikersgegevens definitief uit onze systemen verwijderd
• U kunt op elk moment verzoeken om verwijdering van uw Google-gebruikersgegevens door contact op te nemen met [email protected]

5.5. Delen van gegevens#

Wij delen, verkopen, verhuren of verstrekken uw Google-gebruikersgegevens niet aan derden, behalve:

• Wanneer dit vereist is op grond van toepasselijk recht of een gerechtelijke procedure
• Met uw uitdrukkelijke voorafgaande toestemming
• Aan dienstverleners die ons helpen ons platform te exploiteren, op basis van strikte vertrouwelijkheidsovereenkomsten en uitsluitend voor zover dat nodig is om onze diensten te leveren

5.6. Intrekking van toegang#

U kunt de toegang van Nonli tot uw YouTube- en Google-gegevens op elk moment intrekken door naar de pagina Machtigingen van uw Google-account te gaan en Nonli te verwijderen uit de lijst met gekoppelde applicaties.

5.7. Naleving#

Het gebruik en de overdracht door Nonli van informatie die via Google API's wordt ontvangen, voldoen aan het Google API Services User Data Policy, met inbegrip van de vereisten inzake beperkt gebruik (Limited Use).

5.8. Kennisgeving over YouTube API Services#

Nonli gebruikt YouTube API Services om gebruikers in staat te stellen hun YouTube-accounts te koppelen, hun videocontent te beheren en binnen het Nonli-platform analyses en prestatiestatistieken voor hun kanalen te raadplegen.

Door gebruik te maken van functies van Nonli die met YouTube zijn verbonden, gaat u ook akkoord met het privacybeleid van Google, beschikbaar op: http://www.google.com/policies/privacy

U kunt de toegang van Nonli tot uw YouTube-gegevens op elk moment intrekken via de pagina met beveiligingsinstellingen van Google op: https://security.google.com/settings/security/permissions

6. Oplossing voor publieksanalyse zonder toestemmingsvereiste#

Nonli documenteert een SDK-configuratie die kan worden geïmplementeerd als oplossing voor publieksmeting die is vrijgesteld van toestemming, in overeenstemming met de richtsnoeren van de CNIL inzake “cookies en andere trackers”. De door Nonli voltooide CNIL-zelfevaluatie voor de SDK is hier beschikbaar: CNIL-zelfevaluatie - Nonli SDK.

6.1. Hoe de analysetag van Nonli (SDK) werkt#

De analysetag van Nonli werkt op elk domein afzonderlijk. De verzamelde gegevens zijn volledig anoniem en worden nooit tussen verschillende domeinen samengevoegd. De tag plaatst geen cookies en maakt het niet mogelijk het traject van een individuele gebruiker te volgen.

De tag wordt geïmplementeerd op een subdomein van het hoofddomein van de klant. De verkeersanalyse vindt anoniem en rechtstreeks op onze servers plaats, zonder gebruik van cookies. De tag maakt het niet mogelijk een specifieke gebruiker te identificeren of diens traject te volgen.

Alle gegevens die met deze tag worden verzameld, worden geanonimiseerd en niet samengevoegd met andere domeinen. Met deze tag worden geen persoonsgegevens verzameld.

Wij verbinden ons ertoe de gegevens van onze klanten niet voor eigen doeleinden te gebruiken.

7. Beschikbaarheid van de dienst#

Wij spannen ons naar beste vermogen in om een beschikbaarheidspercentage van 99,99% te handhaven.

De beschikbaarheid van de dienst is te raadplegen op onze statuspagina.

8. Noodherstel en bedrijfscontinuïteit#

Wij repliceren en back-uppen al onze gegevens meerdere keren per dag. Wij voeren regelmatig noodherstelscenario's uit om de dienst zo snel mogelijk te kunnen herstellen.

9. Beveiliging van de Nonli-applicatie#

Al onze applicaties worden intern ontwikkeld door onze voltijdse medewerkers; wij maken geen gebruik van externe opdrachtnemers of onderaannemers.

10. Ontwikkelingsmethode#

Onze ontwikkelaars passen regelmatig pair programming toe. Alle ontwikkelingen worden aan unittests en functionele tests onderworpen.

Wij beschikken over speciale QA-omgevingen; als een test mislukt, kan de code niet naar productie worden uitgerold.

Onze ontwikkelaars volgen regelmatig opleidingen om op de hoogte te blijven van de beste praktijken ter bestrijding van beveiligingskwetsbaarheden.

Wij volgen de aanbevelingen van OWASP.

Vóór de uitrol naar productie hanteren wij een strikt validatieproces voor code:

1. Elke ontwikkeling moet worden uitgerold in een geïsoleerde en beveiligde “sandbox”-omgeving
2. Pull requests moeten door andere ontwikkelaars worden beoordeeld en goedgekeurd
3. Unittests moeten slagen
4. Functionele tests moeten worden gevalideerd
5. Non-regressietests moeten worden gevalideerd
6. De codekwaliteitsscore mag niet dalen
7. Onze externe tools voor code- en beveiligingsaudits mogen geen beveiligingskwetsbaarheden aan het licht brengen

Als de ontwikkeling niet slaagt voor een van deze validatiestappen, moet de code worden verbeterd totdat alle stappen zijn gevalideerd.

11. Beveiligingsinspectie en -scans van de applicatie#

Wij scannen de applicatie met externe tools die beveiligingskwetsbaarheden, mogelijke bugs en de codekwaliteit onderzoeken en wekelijkse rapporten opstellen.

12. Beveiliging en toegangsrechten in Nonli#

12.1. Beheer van toegang tot resources#

Beheerders kunnen voor elke afdeling van het bedrijf specifieke rollen aanmaken met een zeer fijne granulariteit.

Het is mogelijk merkoverschrijdende rollen voor lezen en/of schrijven aan te maken en specifieke rechten per resource toe te voegen.

12.2. Authenticatie#

Nonli vereist tweestapsverificatie (2FA). Bij de registratie verifieert de gebruiker zijn telefoonnummer en configureert hij vervolgens een tijdgebonden eenmalig wachtwoord (TOTP) in een authenticatie-app. Bij het inloggen wordt gevraagd naar de factor die aan het account is gekoppeld; indien beschikbaar kan een terugvaloptie per sms of een back-upcode worden aangeboden. Authenticatiecodes, QR-geheimen en back-upcodes moeten privé blijven. Sessies moeten uniek zijn per apparaattype. Het is toegestaan 2 gelijktijdige sessies te hebben op desktop en mobiel. Als 2 sessies gelijktijdig op 2 desktops worden gestart, wordt de eerste sessie ongeldig gemaakt. Hetzelfde geldt voor gelijktijdige sessies op mobiel.

Elke wijziging van het wachtwoord moet per e-mail worden gevalideerd.

Elke wijziging van het e-mailadres moet per sms worden gevalideerd.

Elke wijziging van het telefoonnummer moet per e-mail worden gevalideerd.

12.3. API-toegang#

Voor het gebruik van de server-to-server-API wordt toegang met gebruikersnaam en wachtwoord verstrekt. Om de REST API te gebruiken, moet u tijdens de authenticatie een token aanvragen. Dit token is 7 dagen geldig.

13. Bedrijfsbeveiliging#

13.1. Beveiliging van personeel en apparatuur#

Alle medewerkers zijn opgeleid op het gebied van beveiliging en het personeel neemt regelmatig deel aan workshops over de aanbevelingen van OWASP en over literatuur die wij wekelijks via monitoring ontdekken. Wij besteden 1 tot 2 uur per week per medewerker aan bewustwording op het gebied van IT-beveiliging.

Wij voeren regelmatig interne penetratietests uit om theorie en praktijk te combineren.

Wij beschouwen netwerken als niet-vertrouwd en hebben daarom beschermings- en installatieprocedures ingevoerd. Ontwikkelmachines worden allemaal geïnstalleerd volgens een uniform protocol om ervoor te zorgen dat alle computerapparatuur up-to-date en conform blijft (versleuteling, firewall, toegangsbeperking via vingerafdruk...).

Onze werkpleksessies worden na 5 minuten automatisch vergrendeld.

Het personeel wordt bewust gemaakt van de vertrouwelijkheid, integriteit en gevoeligheid van alle gegevens van onze klanten.

13.2. Beveiligingsaudit#

Wij voeren regelmatig beveiligingstests uit, wekelijks met Cloud Web Security Scanner en dagelijks met Scrutinizer. Onze klanten hebben de mogelijkheid externe beveiligingsaudits en penetratietests uit te voeren, mits zij ons hiervan vooraf op de hoogte stellen.

13.3. Melden van een beveiligingsincident#

Kwetsbaarheden kunnen worden gemeld via [email protected]

13.4. Naleving en certificeringen#

De medewerkers van het bedrijf spannen zich naar beste vermogen in om de normen ISO 27001 en SOC 2 toe te passen.

Nonli volgt strikte regels op het gebied van gegevensbeveiliging, privacy en naleving, en houdt zich aan de normen ISO 27001 en SOC 2. Vanwege de hoge kosten van deze certificeringen hebben wij deze echter nog niet kunnen invoeren.

Nonli voldoet aan de AVG.

De gegevens die onder de AVG vallen, zijn de gegevens die nodig zijn voor de goede werking en de beveiliging van het platform. Wanneer een bedrijf inactief wordt in Nonli, wordt het verwijderd, samen met de gebruikers die aan het bedrijf zijn gekoppeld; er worden geen persoonsgegevens bewaard.

13.5. Naleving bij transacties#

Nonli voldoet aan PCI-DSS. Creditcardtransacties worden beheerd door ADYEN.

Adyen voldoet als serviceprovider van niveau 1 volledig aan PCI DSS 3.2. Dit is de belangrijkste beveiligingsnorm voor de betaalsector.

Als betaalinstelling staat Adyen volledig onder toezicht van De Nederlandsche Bank en voldoet Adyen aan de vereisten van de Europese richtlijn betalingsdiensten (Richtlijn (EU) 2015/2366), alsook aan alle andere vereisten die van toepassing zijn op de financiële diensten die door Adyen worden geleverd.

Adyen voldoet aan ISAE3402/SOC 1 (Service Organizational Control 1), waarmee de interne controles op de financiële verslaggeving binnen een dienstverlenende organisatie worden beoordeeld en getest. Dit weerspiegelt de naleving door de dienstverlenende organisatie van beleid en procedures door middel van monitoring, opleiding en verificatie van beleid en procedures.

14. Partnerschap en status#

Nonli is officieel partner van Facebook, Instagram en LinkedIn. Nonli is toegetreden tot het programma Google Startup Pack en werd later Google Partner.

Nonli heeft de status van innovatieve jonge onderneming verkregen, toegekend door het Ministerie van Onderzoek.

Vragen en antwoorden

15. Waarborgt u de naleving van de wettelijke bewaartermijnen voor gegevens? Bewaartermijnen en rechtvaardiging.#

Ja, wij leven de wettelijke bewaartermijnen voor gegevens na en rechtvaardigen deze op basis van onze wettelijke en reglementaire verplichtingen. Wij passen procedures toe voor het regelmatig verwijderen en archiveren van gegevens op basis van hun wettelijke bewaartermijn.