Niniejszy dokument jest tłumaczeniem oryginału w języku angielskim. W przypadku rozbieżności między obiema wersjami rozstrzygająca jest wersja angielska.

Dokładamy wszelkich starań, aby chronić dane i prywatność naszych użytkowników. Stosujemy rygorystyczną politykę ochrony danych i prywatności, którą stale doskonalimy zgodnie z nowymi standardami i najlepszymi praktykami.

1. Bezpieczeństwo infrastruktury#

Nasze aplikacje są hostowane przez Google Cloud Platform. Korzystamy z infrastruktury Google do udostępniania naszych usług.

Google Cloud Platform przestrzega rygorystycznych zasad dotyczących bezpieczeństwa danych i prywatności.

Google Cloud Platform podlega niezależnej weryfikacji swoich mechanizmów kontroli bezpieczeństwa, prywatności i zgodności, co pomaga nam realizować nasze cele regulacyjne i strategiczne. Szczegółowe informacje o usługach zgodności, takie jak certyfikaty ISO/IEC 27001/27017/27018/27701, SOC 1/2/3, PCI DSS i FedRAMP, a także zgodność m.in. z przepisami HIPAA, RODO i CCPA, są dostępne w centrum zasobów dotyczących zgodności.

Przeprowadzamy przeglądy kont i uprawnień (co najmniej raz w miesiącu) w naszych infrastrukturach sieciowych.

Współpracujemy z DoiT International France SAS, partnerem Google Cloud Premier Partner, który zapewnia nam szybkie wsparcie w zakresie Google Cloud Platform oraz zalecenia dotyczące najlepszych praktyk, optymalizacji kosztów i bezpieczeństwa platformy. DoiT International France SAS nie ma dostępu do naszej infrastruktury.

2. Bezpieczeństwo sieci#

Nasza infrastruktura sieciowa składa się z kilku warstw zabezpieczeń.

• Prywatna chmura wirtualna z kontrolą dostępu Cloud Identity and Access Management (IAM)
• Sieć VPN umożliwiająca dostęp do infrastruktury
• Filtrowanie adresów IP i portów
• System ograniczania skutków ataków, chroniący przed złośliwymi atakami

3. Bezpieczeństwo danych#

3.1. Lokalizacja danych#

Dane są hostowane w Google Cloud Platform w Belgii (w przypadku klientów europejskich).

3.2. Dane krytyczne#

Wszystkie dane krytyczne (hasła i tokeny dostępu) są szyfrowane przy użyciu sprawdzonych algorytmów szyfrowania.

3.3. Transmisja danych#

Do bezpiecznej transmisji danych używamy protokołu TLS.

3.4. Zarządzanie skróconą domeną powierzoną przez klienta#

Zajmujemy się generowaniem, odnawianiem i wdrażaniem certyfikatów SSL na naszych load balancerach. Nasze certyfikaty SSL wykorzystują zalecane algorytmy szyfrowania. Regularnie testujemy nasze domeny, aby ocenić jakość szyfrowania SSL.

4. Prywatność danych klienta i własność materiałów#

4.1. Wykorzystanie danych prywatnych#

Nonli formalnie zobowiązuje się nie udostępniać, nie przekazywać, nie sprzedawać ani nie wykorzystywać do celów komercyjnych lub na własny rachunek prywatnych danych swoich klientów. Dane te są ściśle zarezerwowane do wykorzystania w ramach usług świadczonych przez Nonli, zgodnie z umowami zawartymi z każdym klientem.

4.2. Własność i wykorzystanie materiałów klienta#

1. Wszystkie prywatne materiały dostarczone przez klienta, w tym między innymi czcionki, obrazy, logotypy oraz wszelkie inne treści graficzne lub tekstowe, pozostają wyłączną własnością klienta.
2. Nonli zobowiązuje się wykorzystywać te materiały wyłącznie w ramach usług świadczonych klientowi za pośrednictwem platformy Nonli oraz wyłącznie w imieniu klienta będącego właścicielem.
3. Nonli nie nabywa żadnych praw własności ani praw do korzystania z tych materiałów poza zakresem określonym w umowie z klientem.
4. Nonli zobowiązuje się nie wykorzystywać, nie powielać, nie modyfikować ani nie rozpowszechniać tych materiałów w jakimkolwiek celu innym niż wyraźnie dozwolony przez klienta w związku z korzystaniem z platformy Nonli.
5. Po zakończeniu relacji biznesowej lub na żądanie klienta Nonli zobowiązuje się zaprzestać jakiegokolwiek wykorzystywania tych materiałów i usunąć je ze swoich systemów, chyba że przepisy prawa stanowią inaczej.

4.3. Poufność materiałów#

Nonli zobowiązuje się zachować poufność materiałów dostarczonych przez klienta oraz wdrożyć odpowiednie środki bezpieczeństwa zapobiegające jakiemukolwiek nieuprawnionemu dostępowi do tych materiałów, ich wykorzystaniu, modyfikacji lub ujawnieniu.

5. Ujawnienie informacji o danych użytkowników Google#

5.1. Zakres dostępu do danych użytkowników Google#

Po połączeniu konta YouTube z Nonli nasza aplikacja może uzyskać dostęp do następujących danych, w zależności od udzielonych uprawnień:

• Informacje o koncie YouTube: nazwa kanału YouTube, zdjęcie profilowe i identyfikator kanału
• Treści YouTube: przesłane filmy, playlisty, metadane filmów (tytuły, opisy, tagi, miniatury) oraz treści kanału
• Analityka YouTube: wskaźniki skuteczności filmów i kanału, w tym wyświetlenia, czas oglądania, dane demograficzne odbiorców, źródła ruchu i dane dotyczące zaangażowania
• Dane dotyczące monetyzacji YouTube: raporty o przychodach, wskaźniki skuteczności reklam i statystyki monetyzacji kanału

5.2. Jak wykorzystujemy dane użytkowników Google#

Nonli wykorzystuje dane z YouTube użytkownika wyłącznie w celu:

• Wyświetlania analityki i wskaźników skuteczności kanału YouTube w panelu Nonli
• Umożliwienia przesyłania filmów i zarządzania nimi bezpośrednio z platformy Nonli
• Łączenia danych z YouTube z danymi z innych platform mediów społecznościowych na potrzeby ujednoliconego raportowania
• Dostarczania spostrzeżeń i rekomendacji służących optymalizacji strategii treści

NIE wykorzystujemy danych użytkowników Google do:

• Celów reklamowych lub marketingowych niezwiązanych z korzystaniem z Nonli
• Sprzedaży, wynajmu lub przekazywania stronom trzecim w celach komercyjnych
• Trenowania modeli sztucznej inteligencji ani uczenia maszynowego
• Jakichkolwiek celów niezwiązanych z podstawową funkcjonalnością platformy Nonli

5.3. Jak przechowujemy i chronimy dane użytkowników Google#

• Wszystkie dane użytkowników Google są bezpiecznie przechowywane na serwerach Google Cloud Platform zlokalizowanych w Belgii (Unia Europejska)
• Tokeny dostępu i poufne dane uwierzytelniające są szyfrowane przy użyciu algorytmów szyfrowania zgodnych ze standardami branżowymi
• Wszystkie transmisje danych są chronione szyfrowaniem TLS
• Dostęp do danych użytkowników jest ściśle ograniczony do upoważnionego personelu i systemów niezbędnych do świadczenia naszych usług

5.4. Przechowywanie i usuwanie danych#

• Dane użytkowników Google są przechowywane wyłącznie tak długo, jak jest to konieczne do świadczenia naszych usług
• Po odłączeniu konta YouTube od Nonli lub usunięciu konta Nonli wszystkie powiązane dane użytkowników Google są trwale usuwane z naszych systemów
• Użytkownik może w dowolnym momencie zażądać usunięcia swoich danych użytkownika Google, kontaktując się pod adresem [email protected]

5.5. Udostępnianie danych#

Nie udostępniamy, nie sprzedajemy, nie wynajmujemy ani nie ujawniamy danych użytkowników Google stronom trzecim, z wyjątkiem następujących przypadków:

• Gdy wymagają tego obowiązujące przepisy prawa lub postępowanie prawne
• Za wyraźną uprzednią zgodą użytkownika
• Dostawcom usług, którzy pomagają nam obsługiwać naszą platformę, na podstawie ścisłych umów o zachowaniu poufności i wyłącznie w zakresie niezbędnym do świadczenia naszych usług

5.6. Cofnięcie dostępu#

Użytkownik może w dowolnym momencie cofnąć Nonli dostęp do swoich danych YouTube i Google, przechodząc na stronę Uprawnienia konta Google i usuwając Nonli z listy połączonych aplikacji.

5.7. Zgodność#

Wykorzystywanie i przekazywanie przez Nonli informacji uzyskanych z interfejsów API Google jest zgodne z Polityką danych użytkownika w usługach API Google, w tym z wymogami dotyczącymi ograniczonego wykorzystania.

5.8. Informacja o usługach API YouTube#

Nonli korzysta z usług API YouTube, aby umożliwić użytkownikom łączenie ich kont YouTube, zarządzanie ich treściami wideo oraz dostęp do analityki i wskaźników skuteczności ich kanałów w ramach platformy Nonli.

Korzystając z funkcji Nonli połączonych z YouTube, użytkownik akceptuje również Politykę prywatności Google, dostępną pod adresem: http://www.google.com/policies/privacy

Użytkownik może w dowolnym momencie cofnąć Nonli dostęp do swoich danych YouTube, przechodząc na stronę ustawień bezpieczeństwa Google pod adresem: https://security.google.com/settings/security/permissions

6. Rozwiązanie do pomiaru oglądalności zwolnione z obowiązku uzyskania zgody#

Nonli dokumentuje konfigurację SDK, którą można wdrożyć jako rozwiązanie do pomiaru oglądalności zwolnione z obowiązku uzyskania zgody, zgodne z wytycznymi CNIL dotyczącymi „plików cookie i innych narzędzi śledzących”. Ukończona przez Nonli samoocena CNIL dla SDK jest dostępna tutaj: Samoocena CNIL - Nonli SDK.

6.1. Jak działa tag analityczny Nonli (SDK)#

Tag analityczny Nonli działa niezależnie w każdej domenie. Zbierane dane są całkowicie anonimowe i nigdy nie są konsolidowane między różnymi domenami. Tag nie ustawia żadnych plików cookie i nie pozwala na śledzenie ścieżki pojedynczego użytkownika.

Tag jest wdrażany w subdomenie głównej domeny klienta. Analiza ruchu odbywa się anonimowo, bezpośrednio na naszych serwerach, bez użycia plików cookie. Tag nie pozwala na identyfikację ani śledzenie ścieżki konkretnego użytkownika.

Wszystkie dane zbierane za pomocą tego tagu są zanonimizowane i nie są konsolidowane z danymi z innych domen. Za pomocą tego tagu nie są zbierane żadne dane osobowe.

Zobowiązujemy się nie wykorzystywać danych naszych klientów do własnych celów.

7. Dostępność usługi#

Dokładamy wszelkich starań, aby utrzymać poziom dostępności wynoszący 99,99%.

Informacje o dostępności usługi znajdują się na naszej stronie statusu.

8. Odtwarzanie po awarii i ciągłość działania#

Replikujemy wszystkie nasze dane i tworzymy ich kopie zapasowe kilka razy dziennie. Regularnie przeprowadzamy scenariusze odtwarzania po awarii, aby przywrócić usługę tak szybko, jak to możliwe.

9. Bezpieczeństwo aplikacji Nonli#

Wszystkie nasze aplikacje są rozwijane wewnętrznie przez naszych pracowników zatrudnionych w pełnym wymiarze czasu pracy; nie korzystamy z żadnych zewnętrznych wykonawców ani podwykonawców.

10. Metoda tworzenia oprogramowania#

Nasi programiści regularnie stosują programowanie w parach. Wszystkie rozwiązania są testowane jednostkowo i funkcjonalnie.

Dysponujemy dedykowanymi środowiskami QA; jeśli test zakończy się niepowodzeniem, kod nie może zostać wdrożony na produkcję.

Nasi programiści regularnie przechodzą szkolenia, aby być na bieżąco z najlepszymi praktykami w zakresie przeciwdziałania lukom w zabezpieczeniach.

Stosujemy zalecenia OWASP.

Przed wdrożeniem na produkcję stosujemy rygorystyczny proces walidacji kodu:

1. Każde rozwiązanie musi zostać wdrożone w odizolowanym i bezpiecznym środowisku „sandbox”
2. Pull requesty muszą zostać sprawdzone i zatwierdzone przez innych programistów
3. Testy jednostkowe muszą zakończyć się powodzeniem
4. Testy funkcjonalne muszą zostać zwalidowane
5. Testy regresji muszą zostać zwalidowane
6. Wskaźnik jakości kodu nie może się obniżyć
7. Nasze zewnętrzne narzędzia do audytu kodu i bezpieczeństwa nie mogą wykryć żadnych luk w zabezpieczeniach

Jeśli rozwiązanie nie przejdzie któregokolwiek z tych etapów walidacji, kod musi zostać poprawiony, aż wszystkie etapy zostaną zwalidowane.

11. Inspekcja i skanowanie bezpieczeństwa aplikacji#

Skanujemy aplikację za pomocą zewnętrznych narzędzi, które sprawdzają luki w zabezpieczeniach, potencjalne błędy i jakość kodu oraz generują cotygodniowe raporty.

12. Bezpieczeństwo i prawa dostępu w Nonli#

12.1. Zarządzanie dostępem do zasobów#

Administratorzy mogą tworzyć określone role dla każdego działu firmy z bardzo wysoką szczegółowością.

Możliwe jest tworzenie ról obejmujących wiele marek, służących do odczytu lub zapisu, oraz dodawanie szczegółowych uprawnień do poszczególnych zasobów.

12.2. Uwierzytelnianie#

Nonli wymaga uwierzytelniania dwuskładnikowego (2FA). Podczas rejestracji użytkownik weryfikuje swój numer telefonu, a następnie konfiguruje jednorazowe hasło oparte na czasie (TOTP) w aplikacji uwierzytelniającej. Proces logowania wymaga czynnika powiązanego z kontem; w miarę dostępności może zostać zaoferowana alternatywna metoda SMS lub kod zapasowy. Kody uwierzytelniające, sekrety kodów QR i kody zapasowe muszą pozostać prywatne. Sesje muszą być unikalne dla danego typu urządzenia. Dozwolone są 2 jednoczesne sesje na komputerze i urządzeniu mobilnym. Jeśli jednocześnie zostaną rozpoczęte 2 sesje na 2 komputerach, pierwsza sesja zostanie unieważniona. To samo dotyczy jednoczesnych sesji na urządzeniach mobilnych.

Każda zmiana hasła musi zostać potwierdzona e-mailem.

Każda zmiana adresu e-mail musi zostać potwierdzona wiadomością SMS.

Każda zmiana numeru telefonu musi zostać potwierdzona e-mailem.

12.3. Dostęp do API#

Do korzystania z API typu serwer–serwer udostępniany jest dostęp za pomocą nazwy użytkownika i hasła. Aby korzystać z REST API, należy zażądać tokenu podczas uwierzytelniania. Token ten jest ważny przez 7 dni.

13. Bezpieczeństwo firmy#

13.1. Bezpieczeństwo personelu i sprzętu#

Wszyscy pracownicy przechodzą szkolenia z zakresu bezpieczeństwa, a personel regularnie uczestniczy w warsztatach poświęconych zaleceniom OWASP oraz literaturze, którą co tydzień odkrywamy dzięki monitorowaniu. Przeznaczamy 1 do 2 godzin tygodniowo na każdego pracownika na podnoszenie świadomości w zakresie bezpieczeństwa IT.

Regularnie przeprowadzamy wewnętrzne testy penetracyjne, aby łączyć teorię z praktyką.

Traktujemy sieci jako niezaufane, dlatego wdrożyliśmy procedury ochrony i instalacji. Wszystkie komputery programistów są instalowane zgodnie z jednolitym protokołem, aby zapewnić aktualność i zgodność całego sprzętu komputerowego (szyfrowanie, zapora sieciowa, ograniczenie dostępu za pomocą odcisku palca...).

Sesje na naszych stanowiskach roboczych są automatycznie blokowane po 5 minutach.

Personel jest uświadamiany w zakresie poufności, integralności i wrażliwości wszystkich danych naszych klientów.

13.2. Audyt bezpieczeństwa#

Regularnie, co tydzień, przeprowadzamy testy bezpieczeństwa za pomocą Cloud Web Security Scanner, a codziennie za pomocą Scrutinizer. Nasi klienci mogą przeprowadzać zewnętrzne audyty bezpieczeństwa i testy penetracyjne, informując nas o tym z wyprzedzeniem.

13.3. Zgłaszanie incydentu bezpieczeństwa#

Luki w zabezpieczeniach można zgłaszać na adres [email protected]

13.4. Zgodność i certyfikaty#

Pracownicy firmy dokładają wszelkich starań, aby stosować standardy ISO 27001 i SOC 2.

Nonli przestrzega rygorystycznych zasad dotyczących bezpieczeństwa danych, prywatności i zgodności oraz stosuje się do standardów ISO 27001 i SOC 2. Z uwagi na wysoki koszt tych certyfikacji nie byliśmy jednak jeszcze w stanie ich uzyskać.

Nonli jest zgodne z RODO.

Dane objęte RODO to dane niezbędne do prawidłowego funkcjonowania i bezpieczeństwa platformy. Gdy firma staje się nieaktywna w Nonli, zostaje usunięta wraz z przypisanymi do niej użytkownikami; żadne dane osobowe nie są przechowywane.

13.5. Zgodność transakcji#

Nonli jest zgodne z PCI-DSS. Transakcje kartami kredytowymi obsługuje ADYEN.

Adyen w pełni spełnia wymogi PCI DSS 3.2 jako dostawca usług poziomu 1. Jest to główny standard bezpieczeństwa regulujący branżę płatniczą.

Jako instytucja płatnicza Adyen podlega pełnemu nadzorowi Holenderskiego Banku Centralnego, a my przestrzegamy wymogów europejskiej dyrektywy w sprawie usług płatniczych (dyrektywa UE 2015/2366), a także wszelkich innych wymogów mających zastosowanie do usług finansowych świadczonych przez Adyen.

Adyen jest zgodny z ISAE3402/SOC 1 (Service Organizational Control 1), który ocenia i testuje wewnętrzne mechanizmy kontroli sprawozdawczości finansowej w organizacji usługowej. Odzwierciedla to przestrzeganie przez organizację usługową polityk i procedur poprzez monitorowanie, szkolenia i weryfikację polityk i procedur.

14. Partnerstwo i status#

Nonli jest oficjalnym partnerem Facebooka, Instagramu i LinkedIna. Nonli dołączyło do programu Google Startup Pack, a następnie zostało partnerem Google.

Nonli uzyskało status młodego przedsiębiorstwa innowacyjnego nadany przez Ministerstwo Badań.

Q&A

15. Czy Nonli zapewnia zgodność z ustawowymi okresami przechowywania danych? Okresy przechowywania i ich uzasadnienie.#

Tak, przestrzegamy ustawowych okresów przechowywania danych i uzasadniamy je naszymi obowiązkami prawnymi i regulacyjnymi. Wdrażamy procedury regularnego usuwania i archiwizowania danych w oparciu o ich ustawowy okres przechowywania.