Úvod Funkce Bezpečnost Jak to funguje Ceník
Přihlásit se Spustit bezplatnou diagnostiku

Zásady ochrany osobních údajů

Informace o jazyce. Dokument: Zásady ochrany osobních údajů. Pasáže zobrazené v angličtině: 18 z 154. Francouzská verze tohoto dokumentu je referenční verzí. Chcete-li získat verzi ve svém jazyce, napište na contact@syaga.eu.

Verze 1.0 - Poslední aktualizace: 25. června 2026

Preambule

Účelem těchto Zásad ochrany osobních údajů je informovat uživatele a klienty služby SYAGA Audit o způsobu, jakým jsou jejich osobní údaje shromažďovány, zpracovávány a chráněny, v souladu s nařízením (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (GDPR) a se zákonem č. 78-17 ze dne 6. ledna 1978 v platném znění o výpočetní technice, souborech a svobodách.

SYAGA Audit je služba bezpečnostního auditu a auditu souladu prostředí Microsoft 365, fungující výhradně v režimu čtení nad konfiguracemi a metadaty tenantu Microsoft 365 klienta. Služba nepřistupuje k obsahu zpráv, souborů ani e-mailů uživatelů auditovaného tenantu a neukládá žádná hesla.

Tento dokument splňuje informační povinnost stanovenou v článcích 13 (přímý sběr) a 14 (nepřímý sběr) GDPR.

1. Identifikace a kontaktní údaje správce

Správcem údajů pro data účtu a řízení vztahu s klientem je:

SYAGA CONSULTING

Vztah zpracovatel / správce: u konfiguračních dat a metadat tenantu Microsoft 365 shromážděných při auditu vystupuje SYAGA jako zpracovatel ve smyslu článku 28 GDPR, přičemž klient zůstává správcem svých vlastních dat M365. Tyto zásady se vztahují na rozsah, v němž SYAGA vystupuje jako správce (data účtu, fakturace, podpora). Zpracování prováděné jménem klienta se řídí Smlouvou o zpracování údajů (DPA).

Kontakt pro ochranu osobních údajů

Pro jakýkoli požadavek týkající se ochrany dat: dpo@syaga.eu

Jmenování pověřence pro ochranu osobních údajů není podle článku 37 GDPR povinné; kontaktní osobou pro veškeré dotazy týkající se osobních údajů je správce údajů v osobě jednatele.

2. Shromažďované osobní údaje

2.1 Data účtu a řízení vztahu s klientem

SYAGA jako správce shromažďuje:

2.2 Auditní data (konfigurace a metadata Microsoft 365)

V rámci auditu Služba přistupuje výhradně ke čtení, prostřednictvím rozhraní Microsoft Graph API, ke konfiguračním datům a metadatům tenantu M365 klienta, zejména:

Co Služba neshromažďuje: obsah e-mailů, souborů, dokumentů, zpráv, hesla, citlivé údaje ve smyslu článku 9 GDPR.

Ephemeral architecture: the audit runs in memory inside a disposable scan container (no disk storage). Your results disappear at the earlier of two events: you tick the discharge box on your report page, once you have downloaded your files, and deletion is triggered by that action; failing that, by automatic expiry, no later than 2 hours after the end of the scan for your score, your findings and your report, and no later than 24 hours after you send them for the information you provide yourself (company profile, declarative questionnaire). The Microsoft session token is encrypted at rest (Fernet) and does not live longer than 58 minutes; the technical token used during the scan expires automatically no later than 3 hours after it is issued. You can revoke access at any time from your Microsoft Enterprise Applications, without asking us. SYAGA then retains only billing data, for 10 years from the close of the financial year, as the law requires of any company.

2.3 Cookies a sledovací nástroje

Web syaga.eu používá výhradně cookies nezbytně nutné pro fungování Služby:

Neukládá se žádný cookie pro měření návštěvnosti (Google Analytics, Matomo či obdobný nástroj) ani žádný reklamní cookie. Tyto nezbytně nutné cookies jsou v souladu s pokyny CNIL ze dne 4. července 2023 vyňaty z povinnosti předchozího souhlasu (zdroj: cnil.fr, cookies a sledovací nástroje). Postačuje informační sdělení o těchto cookies.

3. Účely a právní základy zpracování

V souladu s článkem 6 GDPR se každé zpracování opírá o identifikovaný právní základ:

ÚčelPrávní základ (čl. 6 GDPR)
Poskytování a plnění auditní Služby; vytvoření a správa klientského účtuPlnění smlouvy, čl. 6.1.b
Fakturace, účetnictví, vymáhání pohledávekZákonná povinnost (obchodní zákoník, čl. L.123-22) a plnění smlouvy, čl. 6.1.c a 6.1.b
Podpora a technická asistencePlnění smlouvy, čl. 6.1.b
Bezpečnost Služby, prevence podvodů, protokolováníOprávněný zájem, čl. 6.1.f
Nezbytně nutné cookiesVyňaty z povinnosti souhlasu (pokyny CNIL)

U auditních dat tenantu (oddíl 2.2) jedná SYAGA na pokyn klienta (správce). Viz DPA.

4. Příjemci a zpracovatelé

Data jsou sdělována pouze oprávněným osobám v rámci SYAGA CONSULTING a zpracovatelům jednajícím za podmínek článku 28 GDPR:

Žádná data se neprodávají ani nepředávají třetím stranám pro komerční účely.

Data mohou být sdělena správním nebo soudním orgánům, vyžaduje-li to zákon.

5. Doby uchovávání

Data jsou uchovávána po dobu nepřesahující dobu nezbytnou pro sledované účely (čl. 5.1.e GDPR):

Kategorie datDoba uchovávání
Surová auditní data (zjištění, přístupový token)Nothing is written to disk: your results live in memory only. They are deleted as soon as you tick the discharge box on your report, and in any event no later than 2 hours after the end of the scan (24 hours for the information you send us yourself).
Data aktivního klientského účtuPo dobu trvání smluvního vztahu, poté smazání do 30 dnů po ukončení
Fakturační data a účetní doklady10 let od uzávěrky účetního období (zákonná povinnost, čl. L.123-22 francouzského obchodního zákoníku)
Technické protokoly (protokoly připojení)12 měsíců (doporučení CNIL)
Proof that you accepted our contractual documents (DPA, terms of sale, privacy policy) and that your Microsoft administrator authorised the read access5 years at most after the end of the contractual relationship. That is how long a claim can still be brought between businesses (French Commercial Code, art. L. 110-4; French Civil Code, art. 2224): beyond that, the proof serves no purpose and we have no reason to keep it.

What we keep, and what we never keep

Zero-knowledge covers what we must not know: the contents of your information system. It does not cover the fact that you are our customer, nor the proof that you authorised us to work. Those two things, the law requires us to be able to demonstrate (GDPR, art. 5.2 and 24.1).

We keep, within the retention periods above:

We never keep:

The dividing line, in one sentence: we keep what proves the work was authorised and invoiced; we keep nothing of what the work revealed.

You may ask us for a copy of the register entry concerning you, at the address given in section 10.

6. Přenosy dat mimo Evropskou unii

Infrastruktura, na které je Služba SYAGA Audit hostována, se nachází ve Francii. SYAGA v zásadě nepřevádí žádná data mimo EU/EHP.

Ohledně Microsoftu: Správce uznává, že rozhraní Microsoft Graph API provozuje společnost Microsoft Corporation (Spojené státy). Případné přenosy dat týkající se Microsoftu se řídí jeho standardními smluvními doložkami schválenými Evropskou komisí a případně jeho účastí v rámci EU-U.S. Data Privacy Framework. Auditovaná data jsou daty vlastního tenantu Microsoft 365 Klienta, k nimž se přistupuje pouze ke čtení jeho jménem prostřednictvím Microsoft Graph. Microsoft vystupuje jako dodavatel Klienta. Případné přenosy dat týkající se infrastruktury Microsoftu se řídí standardními smluvními doložkami schválenými Evropskou komisí a účastí Microsoftu v rámci EU-U.S. Data Privacy Framework.

Stripe Payments Europe, Limited provádí přenosy dat mimo EU řízené mechanismy v souladu s kapitolou V GDPR. Přenosy dat společnosti Stripe se řídí rámcem EU-U.S. Data Privacy Framework, ke kterému je Stripe certifikován, a podpůrně standardními smluvními doložkami Evropské komise (2021) začleněnými do Data Transfers Addendum společnosti Stripe.

7. Práva subjektů údajů

V souladu s články 15 až 22 GDPR má každý subjekt údajů následující práva:

Důležité pro auditní data: u konfiguračních dat a metadat tenantu je třeba žádosti o uplatnění práv směřovat na klienta (správce), který v případě potřeby osloví SYAGA (čl. 28.3.e GDPR).

Způsob uplatnění

Tato práva lze uplatnit zasláním žádosti na dpo@syaga.eu nebo poštou na adresu SYAGA CONSULTING, 2 Impasse Paul Langevin, 13110 Port-de-Bouc, Francie. Odpověď je poskytnuta do jednoho měsíce (čl. 12.3 GDPR), s možností prodloužení o dva měsíce v případě složitosti žádosti.

Stížnost u CNIL

Každý subjekt údajů má právo podat stížnost u CNIL (čl. 77 GDPR):

CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Francie, www.cnil.fr

8. Zabezpečení dat (čl. 32 GDPR)

SYAGA zavádí vhodná technická a organizační opatření k zajištění úrovně zabezpečení odpovídající riziku (čl. 32 GDPR):

Soulad s více referenčními rámci

Bezpečnostní opatření SYAGA Audit jsou navržena v souladu s několika uznávanými bezpečnostními referenčními rámci. SYAGA si nenárokuje žádnou formální certifikaci podle těchto rámců; opatření jsou v souladu s požadavky normy ISO/IEC 27001, přičemž proces certifikace byl zahájen, ale certifikace zatím nebyla získána; opatření jsou v souladu s těmito rámci a inspirována jimi:

SYAGA Audit přesně pomáhá svým klientům měřit jejich vlastní soulad s těmito referenčními rámci (GDPR, NIS2, ANSSI) v rámci jejich prostředí Microsoft 365.

9. Změny těchto zásad

Tyto Zásady mohou být aktualizovány tak, aby odrážely právní, regulační nebo technické změny. Platnou verzí je verze zveřejněná na https://syaga.eu/confidentialite.html. V případě podstatné změny budou registrovaní uživatelé informováni e-mailem v přiměřené lhůtě před nabytím účinnosti změn.

10. Kontakt

Pro jakýkoli dotaz týkající se těchto zásad nebo ochrany vašich dat:

Právní a dokumentační odkazy