Forside Funktioner Sikkerhed Sådan fungerer det Priser
Log ind Start min gratis diagnose

Privatlivspolitik

Oplysning om sprog. Dokument: Privatlivspolitik. Afsnit vist på engelsk: 18 af 154. Den franske version af dette dokument er referenceversionen. Skriv til contact@syaga.eu for at få en version på dit sprog.

Version 1.0 - Sidst opdateret: 25. juni 2026

Indledning

Nærværende Privatlivspolitik har til formål at informere brugere og kunder af tjenesten SYAGA Audit om, hvordan deres personoplysninger indsamles, behandles og beskyttes, i overensstemmelse med EU-forordning 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger (GDPR) og den franske lov nr. 78-17 af 6. januar 1978 med senere ændringer om databehandling, registre og frihedsrettigheder.

SYAGA Audit er en tjeneste til sikkerheds- og compliance-audit af Microsoft 365-miljøet, der udelukkende opererer i læsetilstand på konfigurationer og metadata i kundens Microsoft 365-tenant. Tjenesten tilgår ikke indholdet af meddelelser, filer eller e-mails hos brugerne i den auditerede tenant, og opbevarer ingen adgangskoder.

Nærværende dokument opfylder oplysningsforpligtelsen i artikel 13 (direkte indsamling) og artikel 14 (indirekte indsamling) i GDPR.

1. Den dataansvarliges identitet og kontaktoplysninger

Den dataansvarlige for konto- og kunderelationsdata er:

SYAGA CONSULTING

Fordeling af roller mellem databehandler og dataansvarlig: for konfigurationsdata og metadata fra Microsoft 365-tenanten, der indsamles under auditten, optræder SYAGA som databehandler jf. GDPR artikel 28, mens kunden forbliver dataansvarlig for sine egne M365-data. Nærværende politik dækker det område, hvor SYAGA optræder som dataansvarlig (konto-, faktura- og supportdata). Den databehandling, der udføres på kundens vegne, er reguleret af databehandleraftalen (DPA).

Kontakt vedrørende databeskyttelse

For enhver henvendelse vedrørende databeskyttelse: dpo@syaga.eu

Udpegning af en databeskyttelsesrådgiver (DPO) er ikke obligatorisk i henhold til GDPR artikel 37; den dataansvarlige, i form af direktøren, er kontaktpunktet for alle spørgsmål vedrørende personoplysninger.

2. Indsamlede personoplysninger

2.1 Konto- og kunderelationsdata

SYAGA indsamler, i egenskab af dataansvarlig:

2.2 Auditdata (Microsoft 365-konfiguration og metadata)

Som led i auditten tilgår Tjenesten, udelukkende i læsetilstand, via Microsoft Graph-API'et, konfigurationsdata og metadata i kundens M365-tenant, herunder:

Det, Tjenesten ikke indsamler: indhold af e-mails, filer, dokumenter, beskeder, adgangskoder, følsomme oplysninger som defineret i GDPR artikel 9.

Ephemeral architecture: the audit runs in memory inside a disposable scan container (no disk storage). Your results disappear at the earlier of two events: you tick the discharge box on your report page, once you have downloaded your files, and deletion is triggered by that action; failing that, by automatic expiry, no later than 2 hours after the end of the scan for your score, your findings and your report, and no later than 24 hours after you send them for the information you provide yourself (company profile, declarative questionnaire). The Microsoft session token is encrypted at rest (Fernet) and does not live longer than 58 minutes; the technical token used during the scan expires automatically no later than 3 hours after it is issued. You can revoke access at any time from your Microsoft Enterprise Applications, without asking us. SYAGA then retains only billing data, for 10 years from the close of the financial year, as the law requires of any company.

2.3 Cookies og sporing

Sitet syaga.eu anvender udelukkende strengt nødvendige cookies for Tjenestens funktion:

Der placeres hverken trafikmålingscookies (Google Analytics, Matomo eller lignende) eller reklamecookies. Disse strengt nødvendige cookies er fritaget for forudgående samtykke i overensstemmelse med CNIL's retningslinjer af 4. juli 2023 (kilde: cnil.fr -- cookies et traceurs). En informationsmeddelelse om disse cookies er tilstrækkelig.

3. Formål og retsgrundlag for behandlingen

I overensstemmelse med GDPR artikel 6 hviler enhver behandling på et identificeret retsgrundlag:

FormålRetsgrundlag (GDPR art. 6)
Levering og udførelse af audit-tjenesten; oprettelse og administration af kundekontoOpfyldelse af kontrakt -- art. 6.1.b
Fakturering, bogholderi, inddrivelseLovpligtig forpligtelse (den franske handelslovs art. L.123-22) og opfyldelse af kontrakt -- art. 6.1.c og 6.1.b
Support og teknisk assistanceOpfyldelse af kontrakt -- art. 6.1.b
Tjenestens sikkerhed, forebyggelse af svindel, logningLegitim interesse -- art. 6.1.f
Strengt nødvendige cookiesFritaget for samtykke (CNIL's retningslinjer)

For auditdata fra tenanten (afsnit 2.2) handler SYAGA på kundens instruks (dataansvarlig). Se DPA'en.

4. Modtagere og databehandlere

Data videregives kun til autoriserede personer i SYAGA CONSULTING samt til databehandlere, der handler på de vilkår, der følger af GDPR artikel 28:

Ingen data sælges eller overdrages til tredjepart til kommercielle formål.

Data kan videregives til administrative eller retslige myndigheder, når loven kræver det.

5. Opbevaringsperioder

Data opbevares ikke længere end nødvendigt til de formål, de behandles til (GDPR art. 5.1.e):

DatakategoriOpbevaringsperiode
Rå auditdata (fund, adgangstoken)Nothing is written to disk: your results live in memory only. They are deleted as soon as you tick the discharge box on your report, and in any event no later than 2 hours after the end of the scan (24 hours for the information you send us yourself).
Data for aktiv kundekontoVarigheden af kundeforholdet, herefter sletning inden for 30 dage efter opsigelse
Faktureringsdata og regnskabsbilag10 år fra afslutningen af regnskabsåret (lovpligtig forpligtelse, den franske handelslovs art. L.123-22)
Tekniske logs (login-logs)12 måneder (CNIL's anbefaling)
Proof that you accepted our contractual documents (DPA, terms of sale, privacy policy) and that your Microsoft administrator authorised the read access5 years at most after the end of the contractual relationship. That is how long a claim can still be brought between businesses (French Commercial Code, art. L. 110-4; French Civil Code, art. 2224): beyond that, the proof serves no purpose and we have no reason to keep it.

What we keep, and what we never keep

Zero-knowledge covers what we must not know: the contents of your information system. It does not cover the fact that you are our customer, nor the proof that you authorised us to work. Those two things, the law requires us to be able to demonstrate (GDPR, art. 5.2 and 24.1).

We keep, within the retention periods above:

We never keep:

The dividing line, in one sentence: we keep what proves the work was authorised and invoiced; we keep nothing of what the work revealed.

You may ask us for a copy of the register entry concerning you, at the address given in section 10.

6. Dataoverførsler uden for EU

Infrastrukturen, der hoster tjenesten SYAGA Audit, er placeret i Frankrig. SYAGA overfører som udgangspunkt ingen data uden for EU/EØS.

Vedrørende Microsoft: Den dataansvarlige anerkender, at Microsoft Graph-API'et drives af Microsoft Corporation (USA). Eventuelle overførsler, der involverer Microsoft, er reguleret af Microsofts standardkontraktbestemmelser godkendt af Europa-Kommissionen og, hvor relevant, af Microsofts deltagelse i EU-U.S. Data Privacy Framework. De data, der auditeres, er Kundens egen Microsoft 365-tenant, som tilgås i læsetilstand på Kundens vegne via Microsoft Graph. Microsoft optræder som Kundens leverandør. Eventuelle overførsler, der involverer Microsofts infrastruktur, er reguleret af Europa-Kommissionens standardkontraktbestemmelser og Microsofts deltagelse i EU-U.S. Data Privacy Framework.

Stripe Payments Europe, Limited foretager overførsler uden for EU, reguleret af mekanismer i overensstemmelse med GDPR kapitel V. Overførsler til Stripe er reguleret af EU-U.S. Data Privacy Framework, som Stripe er certificeret under, og subsidiært af Europa-Kommissionens standardkontraktbestemmelser (2021), der indgår i Stripes Data Transfers Addendum.

7. De registreredes rettigheder

I overensstemmelse med GDPR artikel 15-22 har enhver registreret følgende rettigheder:

Vigtigt vedrørende auditdata: for konfigurationsdata og metadata fra tenanten skal anmodninger om udøvelse af rettigheder rettes til kunden (dataansvarlig), som om nødvendigt vil kontakte SYAGA (GDPR art. 28.3.e).

Sådan udøves rettigheden

Disse rettigheder udøves ved at rette henvendelse til dpo@syaga.eu eller pr. post til SYAGA CONSULTING, 2 Impasse Paul Langevin, 13110 Port-de-Bouc, Frankrig. Der svares inden for en frist på én måned (GDPR art. 12.3), som kan forlænges med to måneder ved kompleksitet.

Klage til CNIL

Enhver registreret har ret til at indgive en klage til CNIL (GDPR art. 77):

CNIL (den franske databeskyttelsesmyndighed) -- 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Frankrig -- www.cnil.fr

8. Datasikkerhed (GDPR art. 32)

SYAGA gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen (GDPR art. 32):

Tilpasning til flere referencerammer

SYAGA Audits sikkerhedsforanstaltninger er udformet i overensstemmelse med flere anerkendte sikkerhedsreferencerammer. SYAGA gør ikke krav på nogen formel certificering i forhold til disse referencerammer; foranstaltningerne er tilpasset kravene i standarden ISO/IEC 27001, hvor en certificeringsproces er igangsat, men ingen certificering er opnået på nuværende tidspunkt; foranstaltningerne er tilpasset og inspireret af disse rammer:

SYAGA Audit hjælper netop sine kunder med at måle deres egen compliance i forhold til disse referencerammer (GDPR, NIS2, ANSSI) i deres Microsoft 365-miljø.

9. Ændringer af nærværende politik

Nærværende Politik kan opdateres for at afspejle retlige, regulatoriske eller tekniske ændringer. Den gældende version er den, der er offentliggjort på https://syaga.eu/confidentialite.html. Ved væsentlige ændringer vil registrerede brugere blive informeret pr. e-mail inden for en rimelig frist, før ændringerne træder i kraft.

10. Kontakt

Ved spørgsmål vedrørende nærværende politik eller beskyttelsen af dine oplysninger:

Retlige og dokumentariske referencer