Avaleht Funktsioonid Turvalisus Kuidas see toimib Hinnad
Logi sisse Alusta tasuta diagnostikat

Privaatsuspoliitika

Teave keele kohta. Dokument: Privaatsuspoliitika. Inglise keeles kuvatavad lõigud: 18 / 154. Selle dokumendi prantsuskeelne versioon on viiteversioon. Oma keeles versiooni saamiseks kirjutage aadressil contact@syaga.eu.

Versioon 1.0 - Viimane uuendus: 25. juuni 2026

Sissejuhatus

Käesoleva privaatsuspoliitika eesmärk on teavitada SYAGA Audit teenuse kasutajaid ja kliente sellest, kuidas nende isikuandmeid kogutakse, töödeldakse ja kaitstakse, kooskõlas 27. aprilli 2016. aasta määrusega (EL) 2016/679, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel (GDPR), ning 6. jaanuari 1978. aasta muudetud seadusega nr 78-17, mis käsitleb infotehnoloogiat, andmefaile ja vabadusi.

SYAGA Audit on Microsoft 365 keskkonna turva- ja vastavusauditi teenus, mis toimib ainult lugemisõigusega kliendi Microsoft 365 tenandi konfiguratsioonide ja metaandmete osas. Teenus ei pääse ligi auditeeritava tenandi kasutajate sõnumite, failide ega e-kirjade sisule ega salvesta ühtegi parooli.

Käesolev dokument täidab isikuandmete kaitse üldmääruse artiklites 13 (otsene kogumine) ja 14 (kaudne kogumine) sätestatud teavitamiskohustuse.

1. Vastutava töötleja andmed ja kontaktandmed

Konto- ja kliendisuhte haldamise andmete vastutav töötleja on:

SYAGA CONSULTING

Volitatud töötleja ja vastutava töötleja rollide jaotus: auditi käigus kogutavate Microsoft 365 tenandi konfiguratsiooni- ja metaandmete osas tegutseb SYAGA isikuandmete kaitse üldmääruse artikli 28 tähenduses volitatud töötlejana, klient jääb oma M365 andmete vastutavaks töötlejaks. Käesolev poliitika hõlmab valdkonda, kus SYAGA tegutseb vastutava töötlejana (konto-, arveldus- ja toeandmed). Kliendi nimel teostatavat töötlemist reguleerib andmetöötlusleping (DPA).

Andmekaitsekontakt

Andmekaitsega seotud küsimuste jaoks: dpo@syaga.eu

Andmekaitsespetsialisti määramine ei ole isikuandmete kaitse üldmääruse artikli 37 tähenduses kohustuslik; vastutav töötleja, juhataja isikus, on kontaktisik kõigis isikuandmetega seotud küsimustes.

2. Kogutavad isikuandmed

2.1 Konto- ja kliendisuhte haldamise andmed

SYAGA kogub vastutava töötlejana:

2.2 Auditiandmed (Microsoft 365 konfiguratsioon ja metaandmed)

Auditi käigus pääseb Teenus ainult lugemisõigusega Microsoft Graph API kaudu ligi kliendi M365 tenandi konfiguratsiooni- ja metaandmetele, muu hulgas:

Mida Teenus ei kogu: e-kirjade, failide, dokumentide, sõnumite sisu, paroolid, isikuandmete kaitse üldmääruse artikli 9 tähenduses tundlikud andmed.

Ephemeral architecture: the audit runs in memory inside a disposable scan container (no disk storage). Your results disappear at the earlier of two events: you tick the discharge box on your report page, once you have downloaded your files, and deletion is triggered by that action; failing that, by automatic expiry, no later than 2 hours after the end of the scan for your score, your findings and your report, and no later than 24 hours after you send them for the information you provide yourself (company profile, declarative questionnaire). The Microsoft session token is encrypted at rest (Fernet) and does not live longer than 58 minutes; the technical token used during the scan expires automatically no later than 3 hours after it is issued. You can revoke access at any time from your Microsoft Enterprise Applications, without asking us. SYAGA then retains only billing data, for 10 years from the close of the financial year, as the law requires of any company.

2.3 Küpsised ja jälgimisvahendid

Sait syaga.eu kasutab ainult Teenuse toimimiseks rangelt vajalikke küpsiseid:

Ühtegi külastatavuse mõõtmise küpsist (Google Analytics, Matomo või samaväärne) ega reklaamiküpsist ei salvestata. Need rangelt vajalikud küpsised on CNIL-i 4. juuli 2023. aasta suuniste kohaselt vabastatud eelnevast nõusolekust (allikas: cnil.fr, küpsised ja jälgimisvahendid). Nende küpsiste kohta piisab teavitusest.

3. Töötlemise eesmärgid ja õiguslikud alused

Vastavalt isikuandmete kaitse üldmääruse artiklile 6 põhineb iga töötlemine kindlaks määratud õiguslikul alusel:

EesmärkÕiguslik alus (GDPR art 6)
Auditeenuse osutamine ja täitmine; kliendikonto loomine ja haldamineLepingu täitmine, art 6.1.b
Arveldamine, raamatupidamine, sissenõudmineSeadusjärgne kohustus (kaubandusseadustiku art L.123-22) ja lepingu täitmine, art 6.1.c ja 6.1.b
Tehniline tugi ja abiLepingu täitmine, art 6.1.b
Teenuse turvalisus, pettuste ennetamine, logimineÕigustatud huvi, art 6.1.f
Rangelt vajalikud küpsisedVabastatud nõusolekust (CNIL-i suunised)

Tenandi auditiandmete osas (jaotis 2.2) tegutseb SYAGA kliendi (vastutava töötleja) juhistel. Vt andmetöötluslepingut (DPA).

4. Saajad ja volitatud töötlejad

Andmeid edastatakse ainult SYAGA CONSULTINGu volitatud isikutele ning artiklis 28 sätestatud tingimustel tegutsevatele volitatud töötlejatele:

Ühtegi andmeid ei müüda ega loovutata kolmandatele isikutele ärilistel eesmärkidel.

Andmeid võidakse seaduse nõudmisel edastada haldus- või kohtuasutustele.

5. Säilitusajad

Andmeid säilitatakse ainult nii kaua, kui see on eesmärkide saavutamiseks vajalik (GDPR art 5.1.e):

AndmekategooriaSäilitusaeg
Auditi toorandmed (leiud, juurdepääsutoken)Nothing is written to disk: your results live in memory only. They are deleted as soon as you tick the discharge box on your report, and in any event no later than 2 hours after the end of the scan (24 hours for the information you send us yourself).
Aktiivse kliendikonto andmedLepingulise suhte kestuse ajal, seejärel kustutatakse 30 päeva jooksul pärast lepingu lõpetamist
Arveldusandmed ja raamatupidamisdokumendid10 aastat alates majandusaasta lõpust (seadusjärgne kohustus, kaubandusseadustiku art L.123-22)
Tehnilised logid (ühenduse logid)12 kuud (CNIL-i soovitus)
Proof that you accepted our contractual documents (DPA, terms of sale, privacy policy) and that your Microsoft administrator authorised the read access5 years at most after the end of the contractual relationship. That is how long a claim can still be brought between businesses (French Commercial Code, art. L. 110-4; French Civil Code, art. 2224): beyond that, the proof serves no purpose and we have no reason to keep it.

What we keep, and what we never keep

Zero-knowledge covers what we must not know: the contents of your information system. It does not cover the fact that you are our customer, nor the proof that you authorised us to work. Those two things, the law requires us to be able to demonstrate (GDPR, art. 5.2 and 24.1).

We keep, within the retention periods above:

We never keep:

The dividing line, in one sentence: we keep what proves the work was authorised and invoiced; we keep nothing of what the work revealed.

You may ask us for a copy of the register entry concerning you, at the address given in section 10.

6. Andmete edastamine väljapoole Euroopa Liitu

SYAGA Audit teenust majutav infrastruktuur asub Prantsusmaal. Põhimõtteliselt ei teosta SYAGA ühtegi andmeedastust väljapoole ELi/EMPd.

Microsofti osas: vastutav töötleja tunnistab, et Microsoft Graph API-d haldab Microsoft Corporation (USA). Microsofti puudutavad edastused on reguleeritud tema Euroopa Komisjoni heakskiidetud standardsete lepingutingimustega ja vajaduse korral tema osalemisega EL-USA andmekaitseraamistikus. Auditeeritavad andmed on kliendi enda Microsoft 365 tenandi andmed, mida vaadatakse tema nimel ainult lugemisõigusega Microsoft Graphi kaudu. Microsoft tegutseb Kliendi teenusepakkujana. Microsofti infrastruktuuri puudutavad edastused on reguleeritud Euroopa Komisjoni heakskiidetud standardsete lepingutingimustega ja Microsofti osalemisega EL-USA andmekaitseraamistikus.

Stripe Payments Europe, Limited teostab väljaspool ELi toimuvaid edastusi, mis on reguleeritud isikuandmete kaitse üldmääruse V peatükiga kooskõlas olevate mehhanismidega. Edastused Stripele on reguleeritud EL-USA andmekaitseraamistikuga, millega Stripe on sertifitseeritud, ja täiendavalt Euroopa Komisjoni standardsete lepingutingimustega (2021), mis on lisatud Stripe'i Data Transfers Addendum'isse.

7. Andmesubjektide õigused

Vastavalt GDPR artiklitele 15 kuni 22 on igal andmesubjektil järgmised õigused:

Oluline auditiandmete kohta: tenandi konfiguratsiooni- ja metaandmete osas tuleb õiguste teostamise taotlused esitada kliendile (vastutavale töötlejale), kes pöördub vajaduse korral SYAGA poole (isikuandmete kaitse üldmääruse art 28.3.e).

Õiguste teostamise kord

Neid õigusi saab teostada, saates taotluse aadressile dpo@syaga.eu või postiga aadressile SYAGA CONSULTING, 2 Impasse Paul Langevin, 13110 Port-de-Bouc, Prantsusmaa. Vastus antakse ühe kuu jooksul (isikuandmete kaitse üldmääruse art 12.3), mida võib keerukuse korral pikendada kahe kuu võrra.

Kaebus CNIL-ile

Igal andmesubjektil on õigus esitada kaebus CNIL-ile (GDPR art 77):

CNIL - 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Prantsusmaa. Vt www.cnil.fr

8. Andmete turvalisus (GDPR art 32)

SYAGA rakendab riskile vastava turvataseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid (GDPR art 32):

Mitme raamistiku kooskola

SYAGA Audit turvameetmed on kavandatud kooskõlas mitme tunnustatud turvaraamistikuga. SYAGA ei väida omavat ühtegi ametlikku sertifikaati nende raamistike osas, meetmed on kooskõlastatud standardi ISO/IEC 27001 nõuetega ning sertifitseerimisprotsess on käimas, kuid sertifikaati ei ole seni saadud; meetmed on kooskõlas ja inspireeritud nendest raamistikest:

SYAGA Audit aitab oma klientidel just mõõta oma vastavust nendele raamistikele (GDPR, NIS2, ANSSI) nende Microsoft 365 keskkonnas.

9. Käesoleva poliitika muudatused

Käesolevat poliitikat võidakse uuendada, et kajastada õiguslikke, regulatiivseid või tehnilisi muudatusi. Kehtiv versioon on avaldatud aadressil https://syaga.eu/confidentialite.html. Olulise muudatuse korral teavitatakse registreeritud kasutajaid e-kirjaga mõistliku aja jooksul enne muudatuste jõustumist.

10. Kontakt

Käesoleva poliitika või teie andmete kaitsega seotud küsimuste korral:

Õiguslikud ja dokumentaalsed viited