Dette dokumentet er en oversettelse av originalen på engelsk. Ved eventuelle avvik mellom versjonene gjelder den engelske versjonen foran.
Vi gjør alt vi kan for å beskytte data og personvernet til brukerne våre. Vi har en streng policy for databeskyttelse og personvern, som vi hele tiden forbedrer i tråd med nye standarder og beste praksis.
1. Sikkerhet i infrastrukturen#
Applikasjonene våre driftes av Google Cloud Platform. Vi bruker Googles infrastruktur til å levere tjenestene våre.
Google Cloud Platform følger strenge regler for datasikkerhet og personvern.
Google Cloud Platform gjennomgår uavhengig verifisering av sine kontroller for sikkerhet, personvern og samsvar, slik at vi kan nå våre regulatoriske og strategiske mål. Detaljer om samsvarstjenestene deres, som sertifiseringene ISO/IEC 27001/27017/27018/27701, SOC 1/2/3, PCI DSS og FedRAMP, samt tilpasning i tråd med blant annet HIPAA, GDPR og CCPA, finnes i ressurssenteret for samsvar.
Vi gjennomgår kontoer og rettigheter (minst én gang i måneden) i nettverksinfrastrukturene våre.
Vi samarbeider med DoiT International France SAS, en Google Cloud Premier Partner, som gir oss rask støtte for Google Cloud Platform og anbefalinger om beste praksis, kostnadsoptimalisering og plattformsikkerhet. DoiT International France SAS har ikke tilgang til infrastrukturen vår.
2. Nettverkssikkerhet#
Nettverksinfrastrukturen vår består av flere sikkerhetslag.
- Et privat virtuelt skymiljø med tilgangskontroll via Cloud Identity and Access Management (IAM)
- Et VPN for tilgang til infrastrukturen
- Filtrering av IP-adresser og porter
- Et system for å redusere virkningen av ondsinnede angrep
3. Datasikkerhet#
3.1. Lagringssted for data#
Data lagres hos Google Cloud Platform i Belgia (for europeiske kunder).
3.2. Kritiske data#
Alle kritiske data (passord og tilgangstokener) krypteres med velprøvde krypteringsalgoritmer.
3.3. Dataoverføring#
Vi bruker TLS for å overføre data på en sikker måte.
3.4. Håndtering av domene for korte lenker som kunden har delegert#
Vi tar oss av generering, fornyelse og implementering av SSL-sertifikater på lastbalanserne våre. SSL-sertifikatene våre bruker anbefalte krypteringsalgoritmer. Vi tester domenene våre jevnlig for å vurdere kvaliteten på SSL-krypteringen.
4. Kundens personvern og eierskap til materiale#
4.1. Bruk av private data#
Nonli forplikter seg formelt til ikke å formidle, dele, selge eller bruke kundenes private data til kommersielle formål eller for egen regning. Disse dataene er strengt forbeholdt bruk innenfor rammen av tjenestene Nonli leverer, i samsvar med avtalene som er inngått med hver kunde.
4.2. Eierskap til og bruk av kundens materiale#
- Alt privat materiale som kunden leverer, herunder, men ikke begrenset til, skrifttyper, bilder, logoer og annet grafisk eller tekstlig innhold, forblir kundens eksklusive eiendom.
- Nonli forplikter seg til å bruke dette materialet bare innenfor rammen av tjenestene som leveres til kunden via Nonli-plattformen, og utelukkende på vegne av kunden som eier det.
- Nonli erverver ingen eiendomsrett eller bruksrett til dette materialet utenfor rammen som er fastsatt i avtalen med kunden.
- Nonli forplikter seg til ikke å bruke, gjengi, endre eller distribuere dette materialet til andre formål enn det kunden uttrykkelig har godkjent i forbindelse med bruken av Nonli-plattformen.
- Ved slutten av forretningsforholdet, eller på kundens forespørsel, forplikter Nonli seg til å avslutte all bruk av dette materialet og slette det fra systemene sine, med mindre loven krever noe annet.
4.3. Konfidensialitet for materialet#
Nonli forplikter seg til å holde materialet som kunden leverer, konfidensielt, og til å gjennomføre egnede sikkerhetstiltak for å hindre uautorisert tilgang til, bruk, endring eller utlevering av dette materialet.
5. Opplysninger om Google-brukerdata#
5.1. Omfanget av tilgangen til Google-brukerdata#
Når du kobler YouTube-kontoen din til Nonli, kan applikasjonen vår få tilgang til følgende data, avhengig av hvilke tillatelser du gir:
- Opplysninger om YouTube-kontoen: Navnet på YouTube-kanalen din, profilbildet og kanal-ID-en
- YouTube-innhold: Videoene du har lastet opp, avspillingslister, metadata for videoer (titler, beskrivelser, merkeord, miniatyrbilder) og kanalinnhold
- YouTube-analyse: Ytelsesmålinger for videoene og kanalen din, herunder visninger, visningstid, demografi for publikum, trafikkilder og engasjementsdata
- YouTube-inntektsdata: Inntektsrapporter, ytelsesmålinger for annonser og statistikk over kanalens inntektsgenerering
5.2. Hvordan vi bruker Google-brukerdata#
Nonli bruker YouTube-dataene dine utelukkende til å:
- Vise analyse og ytelsesmålinger for YouTube-kanalen din i Nonli-dashbordet
- La deg laste opp og administrere videoinnhold direkte fra Nonli-plattformen
- Samle YouTube-dataene dine med data fra andre plattformer for sosiale medier i en felles rapportering
- Gi innsikt og anbefalinger for å optimalisere innholdsstrategien din
Vi bruker IKKE Google-brukerdataene dine til:
- Reklame- eller markedsføringsformål som ikke har noe med bruken din av Nonli å gjøre
- Salg, utleie eller overføring til tredjeparter til kommersielle formål
- Trening av modeller for kunstig intelligens eller maskinlæring
- Formål som ikke har noe med kjernefunksjonaliteten i Nonli-plattformen å gjøre
5.3. Hvordan vi lagrer og beskytter Google-brukerdata#
- Alle Google-brukerdata lagres sikkert på servere hos Google Cloud Platform i Belgia (EU)
- Tilgangstokener og sensitiv legitimasjon krypteres med krypteringsalgoritmer som er bransjestandard
- All dataoverføring beskyttes med TLS-kryptering
- Tilgangen til brukerdata er strengt begrenset til autorisert personell og systemer som er nødvendige for å levere tjenestene våre
5.4. Lagring og sletting av data#
- Google-brukerdata lagres bare så lenge det er nødvendig for å levere tjenestene våre til deg
- Når du kobler YouTube-kontoen din fra Nonli eller sletter Nonli-kontoen din, slettes alle tilknyttede Google-brukerdata permanent fra systemene våre
- Du kan når som helst be om sletting av Google-brukerdataene dine ved å kontakte [email protected]
5.5. Deling av data#
Vi deler, selger, leier ut eller utleverer ikke Google-brukerdataene dine til tredjeparter, unntatt:
- Når gjeldende lov eller en rettslig prosess krever det
- Med ditt uttrykkelige forhåndssamtykke
- Til tjenesteleverandører som hjelper oss med å drifte plattformen vår, i henhold til strenge konfidensialitetsavtaler og bare i den grad det er nødvendig for å levere tjenestene våre
5.6. Tilbakekalling av tilgang#
Du kan når som helst tilbakekalle Nonlis tilgang til YouTube- og Google-dataene dine ved å gå til siden Google Account Permissions og fjerne Nonli fra listen over tilkoblede applikasjoner.
5.7. Samsvar#
Nonlis bruk og overføring av opplysninger som mottas fra Google API-er, følger Google API Services User Data Policy, herunder kravene om begrenset bruk.
5.8. Merknad om YouTube API Services#
Nonli bruker YouTube API Services for å gjøre det mulig for brukere å koble til YouTube-kontoene sine, administrere videoinnholdet sitt og få tilgang til analyse og ytelsesmålinger for kanalene sine i Nonli-plattformen.
Ved å bruke Nonli-funksjoner som er koblet til YouTube, godtar du også Googles personvernerklæring, som du finner her: http://www.google.com/policies/privacy
Du kan når som helst tilbakekalle Nonlis tilgang til YouTube-dataene dine ved å gå til Googles side for sikkerhetsinnstillinger her: https://security.google.com/settings/security/permissions
6. Løsning for publikumsanalyse uten krav om samtykke#
Nonli dokumenterer en SDK-konfigurasjon som kan implementeres som en løsning for publikumsmåling uten krav om samtykke, i tråd med CNILs retningslinjer om «informasjonskapsler og andre sporere». Nonlis fullførte CNIL-egenvurdering for SDK-en finner du her: CNIL-egenvurdering - Nonli SDK.
6.1. Slik fungerer Nonlis analysekode (SDK)#
Nonlis analysekode fungerer uavhengig på hvert domene. Dataene som samles inn, er fullstendig anonyme og samles aldri på tvers av ulike domener. Koden setter ingen informasjonskapsler og gjør det ikke mulig å spore en enkeltbrukers ferd.
Koden settes ut på et underdomene av kundens hoveddomene. Trafikkanalysen skjer anonymt direkte på serverne våre, uten bruk av informasjonskapsler. Koden gjør det ikke mulig å identifisere en bestemt bruker eller spore vedkommendes ferd.
Alle data som samles inn med denne koden, er anonymisert og samles ikke med data fra andre domener. Det samles ikke inn personopplysninger med denne koden.
Vi forplikter oss til ikke å bruke kundenes data til egne formål.
7. Tilgjengelighet for tjenesten#
Vi gjør vårt beste for å opprettholde en tilgjengelighet på 99,99 %.
Tjenestetilgjengelighet er tilgjengelig på statussiden vår.
8. Katastrofegjenoppretting og forretningskontinuitet#
Vi replikerer og tar sikkerhetskopi av alle dataene våre flere ganger om dagen. Vi kjører jevnlig scenarioer for katastrofegjenoppretting for å gjenopprette tjenesten så raskt som mulig.
9. Sikkerhet i Nonli-applikasjonen#
Alle applikasjonene våre utvikles internt av fast ansatte i heltidsstillinger, og vi bruker ingen eksterne konsulenter eller underleverandører.
10. Utviklingsmetode#
Utviklerne våre praktiserer jevnlig parprogrammering. All utvikling testes med enhetstester og funksjonelle tester.
Vi har dedikerte QA-miljøer. Hvis en test feiler, kan ikke koden settes i produksjon.
Utviklerne våre får jevnlig opplæring, slik at de holder seg oppdatert på beste praksis for å bekjempe sikkerhetssårbarheter.
Vi følger OWASPs anbefalinger.
Før produksjonssetting har vi en streng prosess for validering av kode:
- All utvikling må settes ut i et isolert og sikkert «sandbox»-miljø
- Pull Requests må gjennomgås og godkjennes av andre utviklere
- Enhetstestene må bestås
- De funksjonelle testene må valideres
- Regresjonstestene må valideres
- Kvalitetspoengsummen for koden må ikke synke
- De eksterne verktøyene våre for kode- og sikkerhetsrevisjon må ikke avdekke sikkerhetssårbarheter
Hvis utviklingen ikke består ett av disse valideringstrinnene, må koden forbedres helt til alle trinnene er validert.
11. Inspeksjon og skanning av applikasjonssikkerhet#
Vi skanner applikasjonen med eksterne verktøy som undersøker sikkerhetssårbarheter, mulige feil og kodekvalitet, og som lager ukentlige rapporter.
12. Sikkerhet og tilgangsrettigheter i Nonli#
12.1. Styring av tilgang til ressurser#
Administratorer kan opprette egne roller for hver avdeling i selskapet med svært finmasket detaljnivå.
Det er mulig å opprette roller på tvers av merker for lesing og/eller skriving, og legge til bestemte rettigheter per ressurs.
12.2. Autentisering#
Nonli krever tofaktorautentisering (2FA). Under registreringen bekrefter brukeren telefonnummeret sitt og setter deretter opp et tidsbasert engangspassord (TOTP) i en autentiseringsapp. Innloggingen ber om faktoren som er knyttet til kontoen. En SMS-reserveløsning eller en reservekode kan tilbys når den er tilgjengelig. Autentiseringskoder, QR-hemmeligheter og reservekoder skal holdes private. Økter skal være unike per enhetstype. Det er tillatt med 2 samtidige økter på stasjonær enhet og mobil. Hvis 2 økter startes samtidig på 2 stasjonære enheter, blir den første økten ugyldig. Det samme gjelder samtidige økter på mobil.
Alle passordendringer må bekreftes via e-post.
Alle endringer av e-postadresse må bekreftes via SMS.
Alle endringer av telefonnummer må bekreftes via e-post.
12.3. API-tilgang#
Det gis tilgang med brukernavn og passord for bruk av server-til-server-API-et. For å bruke REST API-et må du be om et token under autentiseringen. Dette tokenet er gyldig i 7 dager.
13. Sikkerhet i selskapet#
13.1. Sikkerhet for personell og utstyr#
Alle ansatte får opplæring i sikkerhet, og de ansatte deltar jevnlig på workshops om OWASPs anbefalinger og om litteratur vi oppdager hver uke gjennom overvåking. Vi setter av 1 til 2 timer per uke per ansatt til å øke bevisstheten om IT-sikkerhet.
Vi gjennomfører jevnlig interne penetrasjonstester for å kombinere teori med praksis.
Vi anser nettverk som ikke pålitelige, og derfor har vi innført rutiner for beskyttelse og installasjon. Alle utviklingsmaskiner installeres etter en felles protokoll, slik at oppdatering og samsvar sikres for alt datautstyr (kryptering, brannmur, tilgangsbegrensning med fingeravtrykk ...).
Øktene på arbeidsstasjonene våre låses automatisk etter 5 minutter.
De ansatte gjøres oppmerksomme på konfidensialiteten, integriteten og sensitiviteten til alle kundenes data.
13.2. Sikkerhetsrevisjon#
Vi utfører jevnlig sikkerhetstester med Cloud Web Security Scanner hver uke, og med Scrutinizer hver dag. Kundene våre kan gjennomføre eksterne sikkerhetsrevisjoner og penetrasjonstester ved å si fra til oss på forhånd.
13.3. Rapportering av en sikkerhetshendelse#
Sårbarheter kan rapporteres til [email protected]
13.4. Samsvar og sertifiseringer#
De ansatte i selskapet gjør sitt beste for å anvende standardene ISO 27001 og SOC 2.
Nonli følger strenge regler for datasikkerhet, personvern og samsvar, og overholder standardene ISO 27001 og SOC 2. På grunn av de høye kostnadene ved disse sertifiseringene har vi imidlertid ennå ikke kunnet innføre dem.
Nonli er i samsvar med GDPR.
Data som omfattes av GDPR, er data som er nødvendige for at plattformen skal fungere som den skal og være sikker. Når et selskap blir inaktivt i Nonli, slettes det sammen med brukerne som er knyttet til selskapet. Det lagres ingen personopplysninger.
13.5. Samsvar for transaksjoner#
Nonli er i samsvar med PCI-DSS. Kredittkorttransaksjoner håndteres av ADYEN.
Adyen er fullt ut i samsvar med PCI DSS 3.2 som tjenesteleverandør på nivå 1. Dette er den viktigste sikkerhetsstandarden for betalingsbransjen.
Som betalingsinstitusjon er Adyen underlagt fullt tilsyn av den nederlandske sentralbanken, og vi oppfyller kravene i EUs betalingstjenestedirektiv (EU-direktiv 2015/2366) samt alle andre krav som gjelder for finansielle tjenester som Adyen leverer.
Adyen er i samsvar med ISAE3402/SOC 1 (Service Organizational Control 1), som vurderer og tester interne kontroller av finansiell rapportering i en tjenesteorganisasjon. Dette gjenspeiler at tjenesteorganisasjonen følger retningslinjer og rutiner gjennom overvåking, opplæring og verifisering av retningslinjer og rutiner.
14. Partnerskap og status#
Nonli er en offisiell partner for Facebook, Instagram og LinkedIn. Nonli ble med i programmet Google Startup Pack og ble senere Google Partner.
Nonli har fått statusen Innovative Young Company, utstedt av Forskningsdepartementet.
Spørsmål og svar
15. Sikrer dere samsvar med lovbestemte lagringstider for data? Lagringstider og begrunnelse.#
Ja, vi overholder lovbestemte lagringstider for data og begrunner dem med våre rettslige og regulatoriske forpliktelser. Vi har rutiner for jevnlig sletting og arkivering av data på grunnlag av den lovbestemte lagringstiden.