Detta dokument är en översättning av originalet på engelska. Vid avvikelser mellan versionerna har den engelska versionen företräde.

Vi gör allt vi kan för att skydda våra användares data och integritet. Vi har en strikt policy för dataskydd och integritet som vi ständigt förbättrar i enlighet med nya standarder och bästa praxis.

1. Infrastruktursäkerhet#

Våra applikationer hostas av Google Cloud Platform. Vi använder Googles infrastruktur för att tillhandahålla våra tjänster.

Google Cloud Platform följer strikta regler för datasäkerhet och integritet.

Google Cloud Platform genomgår oberoende verifiering av sina säkerhets-, integritets- och efterlevnadskontroller, vilket hjälper oss att uppnå våra regulatoriska och strategiska mål. Information om deras efterlevnadstjänster finns, till exempel certifieringarna ISO/IEC 27001/27017/27018/27701, SOC 1/2/3, PCI DSS och FedRAMP samt överensstämmelse med bland annat HIPAA, GDPR och CCPA, i vårt resurscenter för efterlevnad.

Vi genomför granskningar av konton och behörigheter (minst en gång i månaden) i våra nätverksinfrastrukturer.

Vi samarbetar med DoiT International France SAS, en Google Cloud Premier Partner, som ger oss snabb support för Google Cloud Platform samt rekommendationer om bästa praxis, kostnadsoptimering och plattformssäkerhet. DoiT International France SAS har inte åtkomst till vår infrastruktur.

2. Nätverkssäkerhet#

Vår nätverksinfrastruktur består av flera säkerhetslager.

• Ett privat virtuellt moln med åtkomstkontroll via Cloud Identity and Access Management (IAM)
• Ett VPN för åtkomst till infrastrukturen
• Filtrering av IP-adresser och portar
• Ett skyddssystem mot skadliga attacker

3. Datasäkerhet#

3.1. Dataplacering#

Data hostas på Google Cloud Platform i Belgien (för europeiska kunder).

3.2. Kritisk data#

All kritisk data (lösenord och åtkomsttoken) krypteras med beprövade krypteringsalgoritmer.

3.3. Dataöverföring#

Vi använder TLS för att överföra data på ett säkert sätt.

3.4. Hantering av kunddelegerad förkortad domän#

Vi hanterar generering, förnyelse och implementering av SSL-certifikat på våra lastbalanserare. Våra SSL-certifikat använder rekommenderade krypteringsalgoritmer. Vi testar regelbundet våra domäner för att bedöma kvaliteten på vår SSL-kryptering.

4. Kunddatas integritet och äganderätt till material#

4.1. Användning av privat data#

Nonli förbinder sig formellt att inte lämna ut, dela, sälja eller använda för kommersiella ändamål eller för egen räkning sina kunders privata data. Denna data är strikt förbehållen användning inom ramen för de tjänster som Nonli tillhandahåller, i enlighet med de avtal som ingåtts med varje kund.

4.2. Äganderätt till och användning av kundens material#

1. Allt privat material som kunden tillhandahåller, inklusive men inte begränsat till typsnitt, bilder, logotyper och annat grafiskt eller textbaserat innehåll, förblir kundens exklusiva egendom.
2. Nonli förbinder sig att endast använda detta material inom ramen för de tjänster som tillhandahålls kunden via Nonlis plattform, och uteslutande för den ägande kundens räkning.
3. Nonli förvärvar inga äganderätter eller nyttjanderätter till detta material utanför den omfattning som anges i avtalet med kunden.
4. Nonli förbinder sig att inte använda, reproducera, ändra eller distribuera detta material för något annat ändamål än det som kunden uttryckligen har godkänt i samband med användningen av Nonlis plattform.
5. När affärsrelationen upphör, eller på kundens begäran, förbinder sig Nonli att upphöra med all användning av detta material och att radera det från sina system, om inte annat krävs enligt lag.

4.3. Sekretess för material#

Nonli förbinder sig att upprätthålla sekretessen för det material som kunden tillhandahåller och att vidta lämpliga säkerhetsåtgärder för att förhindra obehörig åtkomst till, användning, ändring eller röjande av detta material.

5. Redovisning av Googles användardata#

5.1. Omfattningen av åtkomst till Googles användardata#

När du kopplar ditt YouTube-konto till Nonli kan vår applikation få åtkomst till följande data, beroende på vilka behörigheter du ger:

• Information om YouTube-konto: namnet på din YouTube-kanal, din profilbild och ditt kanal-ID
• YouTube-innehåll: dina uppladdade videor, spellistor, videometadata (titlar, beskrivningar, taggar, miniatyrbilder) och kanalinnehåll
• YouTube-analys: prestandamått för dina videor och din kanal, bland annat visningar, visningstid, publikdemografi, trafikkällor och engagemangsdata
• Data om YouTube-intäktsgenerering: intäktsrapporter, annonsprestandamått och statistik över kanalens intäktsgenerering

5.2. Hur vi använder Googles användardata#

Nonli använder dina YouTube-data uteslutande för att:

• Visa analys och prestandamått för din YouTube-kanal i Nonli-instrumentpanelen
• Låta dig ladda upp och hantera videoinnehåll direkt från Nonlis plattform
• Sammanställa dina YouTube-data med andra plattformar för sociala medier i en enhetlig rapportering
• Ge insikter och rekommendationer för att optimera din innehållsstrategi

Vi använder INTE dina Google-användardata för:

• Reklam eller marknadsföring som inte har med din användning av Nonli att göra
• Försäljning, uthyrning eller överföring till tredje part för kommersiella ändamål
• Träning av modeller för artificiell intelligens eller maskininlärning
• Något ändamål som saknar samband med Nonlis plattforms kärnfunktionalitet

5.3. Hur vi lagrar och skyddar Googles användardata#

• All Google-användardata lagras säkert på Google Cloud Platform-servrar i Belgien (Europeiska unionen)
• Åtkomsttoken och känsliga inloggningsuppgifter krypteras med krypteringsalgoritmer som motsvarar branschstandard
• All dataöverföring skyddas med TLS-kryptering
• Åtkomsten till användardata är strikt begränsad till behörig personal och de system som krävs för att tillhandahålla våra tjänster

5.4. Lagring och radering av data#

• Google-användardata lagras endast så länge det är nödvändigt för att tillhandahålla våra tjänster till dig
• När du kopplar bort ditt YouTube-konto från Nonli eller raderar ditt Nonli-konto raderas all tillhörande Google-användardata permanent från våra system
• Du kan när som helst begära radering av dina Google-användardata genom att kontakta [email protected]

5.5. Delning av data#

Vi delar inte, säljer inte, hyr inte ut och lämnar inte ut dina Google-användardata till tredje part, förutom:

• När det krävs enligt tillämplig lag eller rättslig process
• Med ditt uttryckliga förhandsgodkännande
• Till tjänsteleverantörer som hjälper oss att driva vår plattform, under strikta sekretessavtal och endast i den utsträckning som krävs för att tillhandahålla våra tjänster

5.6. Återkallande av åtkomst#

Du kan när som helst återkalla Nonlis åtkomst till dina YouTube- och Google-data genom att besöka sidan Google Account Permissions och ta bort Nonli från listan över anslutna applikationer.

5.7. Efterlevnad#

Nonlis användning och överföring av information som erhålls från Googles API:er följer Google API Services User Data Policy, inklusive kraven på begränsad användning.

5.8. Meddelande om YouTube API Services#

Nonli använder YouTube API Services för att göra det möjligt för användare att koppla sina YouTube-konton, hantera sitt videoinnehåll och få tillgång till analys och prestandamått för sina kanaler i Nonlis plattform.

Genom att använda Nonli-funktioner som är kopplade till YouTube godkänner du även Googles integritetspolicy, som finns på: http://www.google.com/policies/privacy

Du kan när som helst återkalla Nonlis åtkomst till dina YouTube-data genom att besöka Googles sida för säkerhetsinställningar på: https://security.google.com/settings/security/permissions

6. Publikanalys undantagen från samtyckeskravet#

Nonli dokumenterar en SDK-konfiguration som kan implementeras som en publikmätningslösning som är undantagen från samtyckeskravet i linje med CNIL:s riktlinjer om ”cookies och andra spårningsverktyg”. Nonlis genomförda CNIL-självutvärdering av SDK:n finns här: CNIL-självutvärdering - Nonli SDK.

6.1. Så fungerar Nonlis analystagg (SDK)#

Nonlis analystagg fungerar oberoende på varje domän. Den data som samlas in är helt anonym och sammanställs aldrig mellan olika domäner. Taggen sätter inga cookies och gör det inte möjligt att spåra en enskild användares färdväg.

Taggen driftsätts på en underdomän till kundens huvuddomän. Trafikanalysen sker anonymt direkt på våra servrar, utan användning av cookies. Taggen gör det inte möjligt att identifiera eller spåra en specifik användares färdväg.

All data som samlas in med denna tagg är anonymiserad och sammanställs inte med andra domäner. Inga personuppgifter samlas in med denna tagg.

Vi förbinder oss att inte använda våra kunders data för egna ändamål.

7. Tjänstetillgänglighet#

Vi gör vårt bästa för att upprätthålla en tillgänglighet på 99,99%.

Information om tjänstetillgänglighet finns på vår statussida.

8. Katastrofåterställning och kontinuitet i verksamheten#

Vi replikerar och säkerhetskopierar all vår data flera gånger per dag. Vi kör regelbundet scenarier för katastrofåterställning för att kunna återställa tjänsten så snabbt som möjligt.

9. Säkerhet i Nonlis applikationer#

Alla våra applikationer utvecklas internt av våra heltidsanställda; vi använder inga externa konsulter eller underleverantörer.

10. Utvecklingsmetod#

Våra utvecklare arbetar regelbundet med parprogrammering. All utveckling enhetstestas och funktionstestas.

Vi har dedikerade QA-miljöer; om ett test misslyckas kan koden inte driftsättas i produktion.

Våra utvecklare genomgår regelbundet utbildning för att hålla sig uppdaterade om bästa praxis för att motverka säkerhetsbrister.

Vi följer OWASP:s rekommendationer.

Innan driftsättning i produktion har vi en strikt process för kodvalidering:

1. All utveckling måste driftsättas i en isolerad och säker ”sandbox”-miljö
2. Pull requests måste granskas och godkännas av andra utvecklare
3. Enhetstesterna måste godkännas
4. De funktionella testerna måste valideras
5. Regressionstesterna måste valideras
6. Kodkvalitetspoängen får inte minska
7. Inga säkerhetsbrister får upptäckas av våra externa verktyg för kod- och säkerhetsgranskning

Om en utveckling inte klarar något av dessa valideringssteg måste koden förbättras tills alla steg är validerade.

11. Säkerhetsinspektion och skanning av applikationen#

Vi skannar applikationen med externa verktyg som inspekterar säkerhetsbrister, potentiella buggar och kodkvalitet och producerar veckovisa rapporter.

12. Säkerhet och åtkomsträttigheter i Nonli#

12.1. Hantering av resursåtkomst#

Administratörer kan skapa specifika roller för varje avdelning i företaget med mycket fin granularitet.

Det är möjligt att skapa roller över flera varumärken för läsning och/eller skrivning och lägga till specifika rättigheter per resurs.

12.2. Autentisering#

Nonli kräver tvåfaktorsautentisering (2FA). Vid registreringen verifierar användaren sitt telefonnummer och konfigurerar sedan ett tidsbaserat engångslösenord (TOTP) i en autentiseringsapp. Inloggningsflödet begär den faktor som är kopplad till kontot; en reservlösning via SMS eller en reservkod kan erbjudas när det är tillgängligt. Autentiseringskoder, QR-hemligheter och reservkoder måste hållas privata. Sessioner måste vara unika per enhetstyp. Det är tillåtet att ha 2 samtidiga sessioner på dator och mobil. Om 2 sessioner startas samtidigt på 2 datorer ogiltigförklaras den första sessionen. Detsamma gäller för samtidiga sessioner på mobil.

Alla lösenordsändringar måste bekräftas via e-post.

Alla ändringar av e-postadress måste bekräftas via SMS.

Alla ändringar av telefonnummer måste bekräftas via e-post.

12.3. API-åtkomst#

Åtkomst med användarnamn och lösenord tillhandahålls för användning av server-till-server-API:et. För att använda REST-API:et måste du begära en token vid autentiseringen. Denna token är giltig i 7 dagar.

13. Företagssäkerhet#

13.1. Säkerhet för personal och utrustning#

Alla anställda utbildas i säkerhet och personalen deltar regelbundet i workshoppar om OWASP:s rekommendationer samt i den litteratur vi upptäcker varje vecka genom omvärldsbevakning. Vi avsätter 1 till 2 timmar per vecka och anställd för medvetenhet om IT-säkerhet.

Vi genomför regelbundet interna penetrationstester för att förena teori med praktik.

Vi betraktar nätverk som icke betrodda, och därför har vi infört skydds- och installationsrutiner. Utvecklingsdatorerna installeras alla enligt ett enhetligt protokoll för att säkerställa uppdatering och efterlevnad för all datorutrustning (kryptering, brandvägg, begränsning av åtkomst med fingeravtryck...).

Våra arbetsstationssessioner låses automatiskt efter 5 minuter.

Personalen görs medveten om sekretessen, integriteten och känsligheten hos alla våra kunders data.

13.2. Säkerhetsgranskning#

Vi genomför regelbundet säkerhetstester med Cloud Web Security Scanner varje vecka samt med Scrutinizer dagligen. Våra kunder har möjlighet att genomföra externa säkerhetsgranskningar och penetrationstester genom att informera oss i förväg.

13.3. Rapportering av säkerhetsincident#

Sårbarheter kan rapporteras till [email protected]

13.4. Efterlevnad och certifieringar#

Företagets anställda gör sitt bästa för att tillämpa standarderna ISO 27001 och SOC 2.

Nonli följer strikta regler för datasäkerhet, integritet och efterlevnad, och följer standarderna ISO 27001 och SOC 2. På grund av de höga kostnaderna för dessa certifieringar har vi dock ännu inte kunnat införa dem.

Nonli uppfyller kraven i GDPR.

Data som omfattas av GDPR är data som är nödvändig för plattformens korrekta funktion och säkerhet. När ett företag blir inaktivt i Nonli raderas det tillsammans med de användare som är knutna till företaget; inga personuppgifter sparas.

13.5. Efterlevnad av transaktionskrav#

Nonli uppfyller kraven i PCI-DSS. Kreditkortstransaktioner hanteras av ADYEN.

Adyen uppfyller fullt ut PCI DSS 3.2 som tjänsteleverantör på nivå 1. Detta är den viktigaste säkerhetsstandarden för betalningsbranschen.

Som betalningsinstitut står Adyen under fullständig tillsyn av den nederländska centralbanken, och vi följer kraven i EU:s betaltjänstdirektiv (EU-direktiv 2015/2366) samt alla andra krav som gäller för de finansiella tjänster som Adyen tillhandahåller.

Adyen uppfyller ISAE3402/SOC 1 (Service Organizational Control 1), som utvärderar och testar interna kontroller av finansiell rapportering inom en tjänsteorganisation. Detta speglar tjänsteorganisationens efterlevnad av policyer och rutiner genom övervakning, utbildning och verifiering av policyer och rutiner.

14. Partnerskap och status#

Nonli är en officiell partner till Facebook, Instagram och LinkedIn. Nonli anslöt sig till programmet Google Startup Pack och blev senare Google Partner.

Nonli har erhållit statusen Innovative Young Company, utfärdad av forskningsministeriet.

Q&A

15. Säkerställer Nonli efterlevnad av lagstadgade lagringstider för data? Lagringstider och motivering.#

Ja, vi följer de lagstadgade lagringstiderna för data och motiverar dem med våra juridiska och regulatoriska skyldigheter. Vi tillämpar rutiner för regelbunden radering och arkivering av data utifrån deras lagstadgade lagringstid.