Este documento é uma tradução do original em inglês. Em caso de divergência entre as duas versões, prevalece a versão inglesa.
Fazemos tudo o que está ao nosso alcance para proteger os dados e a privacidade dos nossos utilizadores. Aplicamos uma política rigorosa de proteção de dados e de privacidade, que melhoramos constantemente em conformidade com as novas normas e as melhores práticas.
1. Segurança da infraestrutura#
As nossas aplicações são alojadas pela Google Cloud Platform. Utilizamos a infraestrutura da Google para disponibilizar os nossos serviços.
A Google Cloud Platform cumpre regras rigorosas em matéria de segurança e privacidade dos dados.
A Google Cloud Platform submete os seus controlos de segurança, privacidade e conformidade a uma verificação independente, o que nos ajuda a alcançar os nossos objetivos regulamentares e estratégicos. Os pormenores dos seus serviços de conformidade, tais como as certificações ISO/IEC 27001/27017/27018/27701, SOC 1/2/3, PCI DSS e FedRAMP, bem como o alinhamento com leis e regulamentos como a HIPAA, o RGPD e a CCPA, entre outros, podem ser consultados no nosso centro de recursos de conformidade.
Efetuamos revisões de contas e de direitos (pelo menos uma vez por mês) nas nossas infraestruturas de rede.
Trabalhamos com a DoiT International France SAS, um Google Cloud Premier Partner, que nos presta um suporte ágil para a Google Cloud Platform e recomendações sobre boas práticas, otimização de custos e segurança da plataforma. A DoiT International France SAS não tem acesso à nossa infraestrutura.
2. Segurança da rede#
A nossa infraestrutura de rede é composta por várias camadas de segurança.
- Uma nuvem virtual privada com controlo de acesso Cloud Identity and Access Management (IAM)
- Uma VPN para aceder à infraestrutura
- Filtragem de endereços IP e de portas
- Um sistema de mitigação para proteção contra ataques maliciosos
3. Segurança dos dados#
3.1. Localização dos dados#
Os dados são alojados na Google Cloud Platform, na Bélgica (para os clientes europeus).
3.2. Dados críticos#
Todos os dados críticos (palavras-passe e tokens de acesso) são cifrados com algoritmos de cifragem comprovados.
3.3. Transporte de dados#
Utilizamos TLS para transmitir os dados de forma segura.
3.4. Gestão do domínio encurtado delegado pelo cliente#
Asseguramos a geração, a renovação e a implementação dos certificados SSL nos nossos balanceadores de carga. Os nossos certificados SSL utilizam algoritmos de cifragem recomendados. Testamos regularmente os nossos domínios para avaliar a qualidade da nossa cifragem SSL.
4. Privacidade dos dados do cliente e titularidade dos ativos#
4.1. Utilização de dados privados#
A Nonli compromete-se formalmente a não comunicar, partilhar, vender nem utilizar para fins comerciais ou por conta própria os dados privados dos seus clientes. Estes dados são estritamente reservados à utilização no âmbito dos serviços prestados pela Nonli, em conformidade com os acordos celebrados com cada cliente.
4.2. Titularidade e utilização dos ativos do cliente#
- Todos os ativos privados fornecidos pelo cliente, incluindo, entre outros, tipos de letra, imagens, logótipos e quaisquer outros conteúdos gráficos ou textuais, permanecem propriedade exclusiva do cliente.
- A Nonli compromete-se a utilizar esses ativos apenas no âmbito dos serviços prestados ao cliente através da plataforma Nonli, e exclusivamente por conta do cliente titular.
- A Nonli não adquire quaisquer direitos de propriedade ou de utilização sobre esses ativos fora do âmbito definido no acordo celebrado com o cliente.
- A Nonli compromete-se a não utilizar, reproduzir, modificar ou distribuir esses ativos para qualquer fim que não seja o expressamente autorizado pelo cliente no contexto da utilização da plataforma Nonli.
- No termo da relação comercial, ou a pedido do cliente, a Nonli compromete-se a cessar toda a utilização desses ativos e a eliminá-los dos seus sistemas, salvo disposição legal em contrário.
4.3. Confidencialidade dos ativos#
A Nonli compromete-se a manter a confidencialidade dos ativos fornecidos pelo cliente e a implementar medidas de segurança adequadas para impedir qualquer acesso, utilização, modificação ou divulgação não autorizados desses ativos.
5. Divulgação de dados de utilizadores da Google#
5.1. Âmbito do acesso aos dados de utilizadores da Google#
Quando o utilizador liga a sua conta do YouTube à Nonli, a nossa aplicação pode aceder aos seguintes dados, em função das permissões concedidas:
- Informações da conta do YouTube: o nome do canal do YouTube, a fotografia de perfil e o ID do canal
- Conteúdo do YouTube: os vídeos carregados, as listas de reprodução, os metadados dos vídeos (títulos, descrições, etiquetas, miniaturas) e o conteúdo do canal
- Análises do YouTube: métricas de desempenho dos vídeos e do canal, incluindo visualizações, tempo de visualização, dados demográficos da audiência, fontes de tráfego e dados de envolvimento
- Dados de monetização do YouTube: relatórios de receitas, métricas de desempenho de anúncios e estatísticas de monetização do canal
5.2. Como utilizamos os dados de utilizadores da Google#
A Nonli utiliza os dados do YouTube do utilizador exclusivamente para:
- Apresentar as análises e as métricas de desempenho do seu canal do YouTube no painel de controlo da Nonli
- Permitir ao utilizador carregar e gerir conteúdos de vídeo diretamente a partir da plataforma Nonli
- Agregar os dados do YouTube do utilizador com os de outras plataformas de redes sociais para um relatório unificado
- Fornecer informações e recomendações para otimizar a sua estratégia de conteúdos
NÃO utilizamos os dados de utilizadores da Google para:
- Fins publicitários ou de marketing alheios à utilização da Nonli pelo utilizador
- Venda, aluguer ou transferência a terceiros para fins comerciais
- Treino de modelos de inteligência artificial ou de aprendizagem automática
- Qualquer fim alheio à funcionalidade essencial da plataforma Nonli
5.3. Como armazenamos e protegemos os dados de utilizadores da Google#
- Todos os dados de utilizadores da Google são armazenados de forma segura em servidores da Google Cloud Platform localizados na Bélgica (União Europeia)
- Os tokens de acesso e as credenciais sensíveis são cifrados com algoritmos de cifragem de referência no setor
- Todas as transmissões de dados são protegidas por cifragem TLS
- O acesso aos dados dos utilizadores é estritamente limitado ao pessoal e aos sistemas autorizados necessários para prestar os nossos serviços
5.4. Conservação e eliminação dos dados#
- Os dados de utilizadores da Google são conservados apenas durante o tempo necessário para prestar os nossos serviços ao utilizador
- Quando o utilizador desliga a sua conta do YouTube da Nonli ou elimina a sua conta Nonli, todos os dados de utilizadores da Google associados são eliminados de forma definitiva dos nossos sistemas
- O utilizador pode solicitar a eliminação dos seus dados de utilizador da Google a qualquer momento, contactando [email protected]
5.5. Partilha de dados#
Não partilhamos, vendemos, alugamos nem divulgamos a terceiros os dados de utilizadores da Google, exceto:
- Quando exigido pela lei aplicável ou por um procedimento legal
- Com o consentimento prévio e explícito do utilizador
- Com prestadores de serviços que nos ajudam a operar a nossa plataforma, ao abrigo de rigorosos acordos de confidencialidade e apenas na medida do necessário para prestar os nossos serviços
5.6. Revogação do acesso#
O utilizador pode revogar a qualquer momento o acesso da Nonli aos seus dados do YouTube e da Google, visitando a página Permissões da Conta Google e removendo a Nonli da lista de aplicações ligadas.
5.7. Conformidade#
A utilização e a transferência pela Nonli de informações obtidas através das APIs da Google cumprem a Política de dados do utilizador dos serviços de API da Google, incluindo os requisitos de utilização limitada.
5.8. Aviso sobre os serviços de API do YouTube#
A Nonli utiliza os serviços de API do YouTube para permitir aos utilizadores ligar as suas contas do YouTube, gerir os seus conteúdos de vídeo e aceder às análises e às métricas de desempenho dos seus canais na plataforma Nonli.
Ao utilizar as funcionalidades da Nonli ligadas ao YouTube, o utilizador aceita igualmente a Política de privacidade da Google, disponível em: http://www.google.com/policies/privacy
O utilizador pode revogar a qualquer momento o acesso da Nonli aos seus dados do YouTube, visitando a página de definições de segurança da Google em: https://security.google.com/settings/security/permissions
6. Solução de análise de audiência isenta de consentimento#
A Nonli documenta uma configuração do SDK que pode ser implementada como uma solução de medição de audiência isenta de consentimento, em conformidade com as orientações da CNIL sobre «cookies e outros rastreadores». A autoavaliação CNIL concluída pela Nonli para o SDK está disponível aqui: Autoavaliação CNIL - SDK da Nonli.
6.1. Como funciona a etiqueta de análise da Nonli (SDK)#
A etiqueta de análise da Nonli funciona de forma independente em cada domínio. Os dados recolhidos são totalmente anónimos e nunca são consolidados entre domínios diferentes. A etiqueta não coloca quaisquer cookies e não permite seguir o percurso de um utilizador individual.
A etiqueta é implementada num subdomínio do domínio principal do cliente. A análise do tráfego é efetuada de forma anónima diretamente nos nossos servidores, sem recurso a cookies. A etiqueta não permite identificar nem seguir o percurso de um utilizador específico.
Todos os dados recolhidos através desta etiqueta são anonimizados e não são consolidados com os de outros domínios. Não são recolhidos dados pessoais através desta etiqueta.
Comprometemo-nos a não utilizar os dados dos nossos clientes para fins próprios.
7. Disponibilidade do serviço#
Empenhamo-nos ao máximo para manter uma taxa de disponibilidade de 99,99%.
A disponibilidade do serviço pode ser consultada na nossa página de estado.
8. Recuperação de desastres e continuidade da atividade#
Replicamos e criamos cópias de segurança de todos os nossos dados várias vezes por dia. Executamos regularmente cenários de recuperação de desastres para restabelecer o serviço o mais rapidamente possível.
9. Segurança da aplicação Nonli#
Todas as nossas aplicações são desenvolvidas internamente pelos nossos colaboradores a tempo inteiro; não recorremos a prestadores de serviços externos nem a subcontratantes.
10. Método de desenvolvimento#
Os nossos programadores praticam regularmente programação em par. Todos os desenvolvimentos são testados a nível unitário e funcional.
Dispomos de ambientes de QA dedicados; se um teste falhar, o código não pode ser colocado em produção.
Os nossos programadores recebem regularmente formação para se manterem atualizados quanto às melhores práticas de combate às vulnerabilidades de segurança.
Seguimos as recomendações da OWASP.
Antes da colocação em produção, aplicamos um rigoroso processo de validação do código:
- Cada desenvolvimento deve ser implementado num ambiente «sandbox» isolado e seguro
- Os Pull Requests devem ser revistos e aprovados por outros programadores
- Os testes unitários devem ser aprovados
- Os testes funcionais devem ser validados
- Os testes de não regressão devem ser validados
- A pontuação de qualidade do código não deve diminuir
- As nossas ferramentas externas de auditoria de código e de segurança não devem revelar quaisquer vulnerabilidades de segurança
Se o desenvolvimento não passar numa destas etapas de validação, o código deve ser melhorado até que todas as etapas sejam validadas.
11. Inspeção e análise da segurança da aplicação#
Analisamos a aplicação com ferramentas externas que inspecionam vulnerabilidades de segurança, potenciais bugs e a qualidade do código, e que produzem relatórios semanais.
12. Segurança e direitos de acesso na Nonli#
12.1. Gestão do acesso aos recursos#
Os administradores têm a possibilidade de criar funções específicas para cada departamento da empresa, com uma granularidade muito fina.
É possível criar funções transversais às marcas, de leitura e/ou de escrita, e acrescentar direitos específicos por recurso.
12.2. Autenticação#
A Nonli exige autenticação de dois fatores (2FA). Durante a inscrição, o utilizador verifica o seu número de telefone e, em seguida, configura uma palavra-passe de utilização única baseada no tempo (TOTP) numa aplicação de autenticação. O fluxo de início de sessão solicita o fator associado à conta; pode ser proposto um mecanismo alternativo por SMS ou um código de recuperação, quando disponível. Os códigos de autenticação, os segredos dos códigos QR e os códigos de recuperação devem permanecer privados. As sessões devem ser únicas por tipo de dispositivo. São permitidas 2 sessões em simultâneo em computador e em dispositivo móvel. Se forem iniciadas 2 sessões em simultâneo em 2 computadores, a primeira sessão será invalidada. O mesmo se aplica a sessões em simultâneo em dispositivos móveis.
Qualquer alteração de palavra-passe deve ser validada por e-mail.
Qualquer alteração de e-mail deve ser validada por SMS.
Qualquer alteração de telefone deve ser validada por e-mail.
12.3. Acesso à API#
É fornecido um acesso por nome de utilizador/palavra-passe para a utilização da API servidor a servidor. Para utilizar a API REST, é necessário solicitar um token durante a autenticação. Este token é válido por 7 dias.
13. Segurança da empresa#
13.1. Segurança do pessoal e do equipamento#
Todos os colaboradores recebem formação em segurança e a equipa participa regularmente em workshops sobre as recomendações da OWASP, bem como sobre a literatura que descobrimos todas as semanas através da nossa monitorização. Dedicamos 1 a 2 horas por semana e por colaborador à sensibilização para a segurança informática.
Realizamos regularmente testes de intrusão internos para aliar a teoria à prática.
Consideramos as redes como não fiáveis, razão pela qual implementámos procedimentos de proteção e de instalação. Os equipamentos de desenvolvimento são todos instalados segundo um protocolo uniforme, de modo a garantir a atualização e a conformidade de todo o equipamento informático (cifragem, firewall, restrição de acesso por impressão digital, etc.).
As sessões das nossas estações de trabalho são bloqueadas automaticamente ao fim de 5 minutos.
A equipa é sensibilizada para a confidencialidade, a integridade e a sensibilidade de todos os dados dos nossos clientes.
13.2. Auditoria de segurança#
Realizamos regularmente testes de segurança com o Cloud Web Security Scanner, semanalmente, bem como com o Scrutinizer, diariamente. Os nossos clientes têm a possibilidade de realizar auditorias de segurança externas e testes de intrusão, mediante aviso prévio.
13.3. Comunicação de um incidente de segurança#
As vulnerabilidades podem ser comunicadas para [email protected]
13.4. Conformidade e certificações#
Os colaboradores da empresa empenham-se ao máximo em aplicar as normas ISO 27001 e SOC 2.
A Nonli segue regras rigorosas em matéria de segurança dos dados, privacidade e conformidade, e adere às normas ISO 27001 e SOC 2. No entanto, devido ao custo elevado destas certificações, ainda não nos foi possível implementá-las.
A Nonli está em conformidade com o RGPD.
Os dados sujeitos ao RGPD são os dados necessários ao bom funcionamento e à segurança da plataforma. Quando uma empresa se torna inativa na Nonli, é eliminada juntamente com os utilizadores a ela associados; não é conservado nenhum dado pessoal.
13.5. Conformidade das transações#
A Nonli está em conformidade com a norma PCI-DSS. As transações com cartão de crédito são geridas pela ADYEN.
A Adyen está plenamente em conformidade com a norma PCI DSS 3.2 enquanto prestador de serviços de nível 1. Esta é a principal norma de segurança que rege o setor dos pagamentos.
Enquanto instituição de pagamento, a Adyen é plenamente supervisionada pelo Banco Central dos Países Baixos e cumprimos os requisitos da Diretiva Europeia relativa aos Serviços de Pagamento (Diretiva (UE) 2015/2366), bem como quaisquer outros requisitos aplicáveis aos serviços financeiros prestados pela Adyen.
A Adyen cumpre a norma ISAE3402/SOC 1 (Service Organizational Control 1), que avalia e testa os controlos internos sobre o relato financeiro numa organização prestadora de serviços. Tal reflete o cumprimento, pela organização prestadora de serviços, das políticas e dos procedimentos, através da monitorização, da formação e da verificação das políticas e dos procedimentos.
14. Parceria e estatuto#
A Nonli é parceira oficial do Facebook, do Instagram e do LinkedIn. A Nonli aderiu ao programa Google Startup Pack e tornou-se posteriormente Google Partner.
A Nonli obteve o estatuto de Jovem Empresa Inovadora, atribuído pelo Ministério da Investigação.
Perguntas e respostas
15. A Nonli assegura o cumprimento dos prazos legais de conservação de dados? Prazos de conservação e justificação.#
Sim, cumprimos os prazos legais de conservação de dados e justificamo-los através das nossas obrigações legais e regulamentares. Implementamos procedimentos de eliminação e de arquivo regulares dos dados, com base no respetivo prazo legal de conservação.