Inicio Funcionalidades Seguridad Cómo funciona Tarifas
Iniciar sesión Iniciar mi diagnóstico gratuito

Política de privacidad

Aviso sobre el idioma. Documento: Política de privacidad. Pasajes mostrados en inglés: 18 de 154. La versión francesa de este documento es la versión de referencia. Para obtener una versión en su idioma, escriba a contact@syaga.eu.

Versión 1.0 - Ultima actualización : 25 de junio de 2026

Preámbulo

La presente Política de privacidad tiene por objeto informar a los usuarios y clientes del servicio SYAGA Audit sobre la manera en que sus datos reales de carácter personal son recopilados, tratados y protegidos, de conformidad con el Reglamento (UE) 2016/679 de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (RGPD) y con la Ley francesa n° 78-17 de 6 de enero de 1978 modificada, relativa a la informática, los ficheros y las libertades.

SYAGA Audit es un servicio de auditoría de seguridad y conformidad del entorno Microsoft 365, que opera en modo de solo lectura sobre las configuraciones y metadatos del tenant Microsoft 365 del cliente. El Servicio no accede al contenido de los mensajes, archivos o correos electrónicos de los usuarios del tenant auditado, y no almacena ninguna contraseña.

El presente documento cumple con la obligación de información prevista en los artículos 13 (recopilación directa) y 14 (recopilación indirecta) del RGPD.

1. Identidad y datos de contacto del responsable del tratamiento

El responsable del tratamiento para los datos de cuenta y de gestión de la relación con el cliente es :

SYAGA CONSULTING

Articulación encargado del tratamiento / responsable del tratamiento : para los datos de configuración y metadatos del tenant Microsoft 365 recopilados durante la auditoría, SYAGA actúa en calidad de encargado del tratamiento en el sentido del artículo 28 del RGPD, permaneciendo el cliente como responsable del tratamiento de sus propios datos M365. La presente política cubre el ámbito para el que SYAGA actúa en calidad de responsable del tratamiento (datos de cuenta, facturación, soporte). El tratamiento realizado por cuenta del cliente se rige por el Acuerdo de tratamiento de datos (DPA).

Contacto protección de datos

Para cualquier solicitud relativa a la protección de datos : dpo@syaga.eu

La designación de un delegado de protección de datos no es obligatoria en el sentido del artículo 37 del RGPD ; el responsable del tratamiento, en la persona del gerente, es el punto de contacto para cualquier cuestión relativa a los datos personales.

2. Datos de carácter personal recopilados

2.1 Datos de cuenta y de gestión de la relación con el cliente

SYAGA recopila, en calidad de responsable del tratamiento :

2.2 Datos de auditoría (configuración y metadatos Microsoft 365)

En el marco de la auditoría, el Servicio accede en modo de solo lectura, a través de la API Microsoft Graph, a los datos de configuración y metadatos del tenant M365 del cliente, en particular :

Lo que el Servicio no recopila : contenido de los correos electrónicos, archivos, documentos, mensajes, contraseñas, datos sensibles en el sentido del artículo 9 del RGPD.

Ephemeral architecture: the audit runs in memory inside a disposable scan container (no disk storage). Your results disappear at the earlier of two events: you tick the discharge box on your report page, once you have downloaded your files, and deletion is triggered by that action; failing that, by automatic expiry, no later than 2 hours after the end of the scan for your score, your findings and your report, and no later than 24 hours after you send them for the information you provide yourself (company profile, declarative questionnaire). The Microsoft session token is encrypted at rest (Fernet) and does not live longer than 58 minutes; the technical token used during the scan expires automatically no later than 3 hours after it is issued. You can revoke access at any time from your Microsoft Enterprise Applications, without asking us. SYAGA then retains only billing data, for 10 years from the close of the financial year, as the law requires of any company.

2.3 Cookies y trazadores

El sitio syaga.eu utiliza únicamente cookies estrictamente necesarias para el funcionamiento del Servicio :

No se deposita ninguna cookie de medición de audiencia (Google Analytics, Matomo o equivalente) ni ninguna cookie publicitaria. Estas cookies estrictamente necesarias están exentas del consentimiento previo de conformidad con las directrices de la CNIL de 4 de julio de 2023 (fuente : cnil.fr -- cookies et traceurs). Basta con una nota informativa sobre estas cookies.

3. Finalidades y bases jurídicas del tratamiento

De conformidad con el artículo 6 del RGPD, cada tratamiento se basa en una base jurídica identificada :

FinalidadBase jurídica (Art. 6 RGPD)
Prestación y ejecución del Servicio de auditoría ; creación y gestión de la cuenta de clienteEjecución del contrato -- Art. 6.1.b
Facturación, contabilidad, cobroObligación legal (Código de comercio francés, art. L.123-22) y ejecución del contrato -- Art. 6.1.c y 6.1.b
Soporte y asistencia técnicaEjecución del contrato -- Art. 6.1.b
Seguridad del Servicio, prevención del fraude, registro de eventosInterés legítimo -- Art. 6.1.f
Cookies estrictamente necesariasExentas de consentimiento (directrices de la AEPD)

Para los datos de auditoría del tenant (sección 2.2), SYAGA actúa siguiendo las instrucciones del cliente (responsable del tratamiento). Véase el DPA.

4. Destinatarios y encargados del tratamiento

Los datos solo se comunican a las personas habilitadas dentro de SYAGA CONSULTING así como a los encargados del tratamiento que intervienen en las condiciones del artículo 28 del RGPD :

Ningún dato se vende ni se cede a terceros con fines comerciales.

Los datos pueden ser comunicados a autoridades administrativas o judiciales cuando la ley lo exija.

5. Plazos de conservación

Los datos se conservan durante un tiempo que no exceda el necesario para las finalidades perseguidas (art. 5.1.e RGPD) :

Categoría de datosPlazo de conservación
Datos de auditoría brutos (findings, token de acceso)Nothing is written to disk: your results live in memory only. They are deleted as soon as you tick the discharge box on your report, and in any event no later than 2 hours after the end of the scan (24 hours for the information you send us yourself).
Datos de cuenta de cliente activoDuración de la relación contractual, y a continuación supresión en un plazo de 30 días tras la resolución
Datos de facturación y documentos contables10 años a partir del cierre del ejercicio (obligación legal, art. L.123-22 del Código de comercio francés)
Registros técnicos (logs de conexión)12 meses (recomendación de la AEPD)
Proof that you accepted our contractual documents (DPA, terms of sale, privacy policy) and that your Microsoft administrator authorised the read access5 years at most after the end of the contractual relationship. That is how long a claim can still be brought between businesses (French Commercial Code, art. L. 110-4; French Civil Code, art. 2224): beyond that, the proof serves no purpose and we have no reason to keep it.

What we keep, and what we never keep

Zero-knowledge covers what we must not know: the contents of your information system. It does not cover the fact that you are our customer, nor the proof that you authorised us to work. Those two things, the law requires us to be able to demonstrate (GDPR, art. 5.2 and 24.1).

We keep, within the retention periods above:

We never keep:

The dividing line, in one sentence: we keep what proves the work was authorised and invoiced; we keep nothing of what the work revealed.

You may ask us for a copy of the register entry concerning you, at the address given in section 10.

6. Transferencias de datos fuera de la Unión Europea

La infraestructura que aloja el Servicio SYAGA Audit está localizada en Francia. En principio, SYAGA no realiza ninguna transferencia de datos fuera de la UE / EEE.

En cuanto a Microsoft : el Responsable del tratamiento reconoce que la API Microsoft Graph es operada por Microsoft Corporation (Estados Unidos). Las eventuales transferencias que impliquen a Microsoft se rigen por sus cláusulas contractuales tipo aprobadas por la Comisión Europea y, en su caso, por su adhesión al marco EU-U.S. Data Privacy Framework. Los datos auditados son los del propio tenant Microsoft 365 del Cliente, consultados en modo de solo lectura por su cuenta a través de Microsoft Graph. Microsoft actúa como proveedor del Cliente. Las eventuales transferencias que impliquen la infraestructura de Microsoft se rigen por las cláusulas contractuales tipo aprobadas por la Comisión Europea y la adhesión de Microsoft al marco EU-U.S. Data Privacy Framework.

Stripe Payments Europe, Limited realiza transferencias fuera de la UE amparadas por mecanismos conformes con el capítulo V del RGPD. Las transferencias hacia Stripe se rigen por el EU-U.S. Data Privacy Framework, al que Stripe está certificado, y, con carácter subsidiario, por las Cláusulas Contractuales Tipo de la Comisión Europea (2021) integradas en el Data Transfers Addendum de Stripe.

7. Derechos de las personas afectadas

De conformidad con los artículos 15 a 22 del RGPD, toda persona afectada dispone de los siguientes derechos :

Importante para los datos de auditoría : para los datos de configuración y metadatos del tenant, las solicitudes de ejercicio de derechos deben dirigirse al cliente (responsable del tratamiento), que recurrirá a SYAGA si fuera necesario (art. 28.3.e RGPD).

Modalidades de ejercicio

Estos derechos se ejercen dirigiendo una solicitud a dpo@syaga.eu o por correo postal a SYAGA CONSULTING 2 Impasse Paul Langevin, 13110 Port-de-Bouc. Se aporta una respuesta en un plazo de un mes (art. 12.3 RGPD), prorrogable dos meses en caso de complejidad.

Reclamación ante la AEPD

Toda persona afectada dispone del derecho a presentar una reclamación ante la AEPD (art. 77 RGPD) :

CNIL -- 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 -- www.cnil.fr

8. Seguridad de los datos (art. 32 RGPD)

SYAGA implementa medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (art. 32 RGPD) :

Alineación multi-marco de referencia

Las medidas de seguridad de SYAGA Audit se conciben en coherencia con varios marcos de seguridad reconocidos. SYAGA no reivindica ninguna certificación formal sobre estos marcos las medidas están alineadas con los requisitos de la norma ISO/IEC 27001, habiéndose iniciado un proceso de certificación, sin certificación obtenida a día de hoy ; las medidas están alineadas con e inspiradas en estos marcos :

SYAGA Audit ayuda precisamente a sus clientes a medir su propia conformidad con estos marcos de referencia (RGPD, NIS2, INCIBE) dentro de su entorno Microsoft 365.

9. Modificaciones de la presente política

La presente Política puede ser actualizada para reflejar la evolución legal, reglamentaria o técnica. La versión vigente es la publicada en https://syaga.eu/confidentialite.html. En caso de modificación sustancial, los usuarios registrados serán informados por correo electrónico en un plazo razonable antes de la entrada en vigor de las modificaciones.

10. Contacto

Para cualquier cuestión relativa a la presente política o a la protección de sus datos reales :

Referencias legales y documentales