Etusivu Ominaisuudet Tietoturva Näin se toimii Hinnat
Kirjaudu sisään Käynnistä maksuton diagnoosi

Tietosuojaseloste

Kieltä koskeva ilmoitus. Asiakirja: Tietosuojaseloste. Englanniksi näytettävät kohdat: 18 / 154. Tämän asiakirjan ranskankielinen versio on viiteversio. Saat version omalla kielelläsi osoitteesta contact@syaga.eu.

Versio 1.0 - Viimeisin päivitys: 25. kesäkuuta 2026

Johdanto

Tämän tietosuojaselosteen tarkoituksena on kertoa SYAGA Audit -palvelun käyttäjille ja asiakkaille, miten heidän henkilötietojaan kerätään, käsitellään ja suojataan, 27.4.2016 annetun asetuksen (EU) 2016/679 (luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä, GDPR) ja muutetun 6.1.1978 annetun lain n:o 78-17 (tietotekniikka, tiedostot ja vapaudet) mukaisesti.

SYAGA Audit on Microsoft 365 -ympäristön tietoturva- ja vaatimustenmukaisuusauditointipalvelu, joka toimii vain luku -oikeuksin asiakkaan Microsoft 365 -tenantin määrityksiin ja metatietoihin. Palvelu ei pääse käsiksi auditoidun tenantin käyttäjien viestien, tiedostojen tai sähköpostien sisältöön eikä tallenna mitään salasanoja.

Tämä asiakirja täyttää GDPR-asetuksen 13 artiklan (suora keräys) ja 14 artiklan (välillinen keräys) mukaisen tiedonantovelvollisuuden.

1. Rekisterinpitäjän tiedot ja yhteystiedot

Tili- ja asiakassuhdetietojen rekisterinpitäjä on:

SYAGA CONSULTING

Käsittelijän ja rekisterinpitäjän välinen suhde: auditoinnin yhteydessä kerättyjen Microsoft 365 -tenantin määritys- ja metatietojen osalta SYAGA toimii GDPR-asetuksen 28 artiklan mukaisena henkilötietojen käsittelijänä, ja asiakas pysyy omien M365-tietojensa rekisterinpitäjänä. Tämä käytäntö kattaa sen osa-alueen, jossa SYAGA toimii rekisterinpitäjänä (tilitiedot, laskutus, tuki). Asiakkaan puolesta tehtävää käsittelyä säätelee tietojenkäsittelysopimus (DPA).

Tietosuojayhteydenotot

Kaikki tietosuojaa koskevat pyynnöt: dpo@syaga.eu

Tietosuojavastaavan nimittäminen ei ole pakollista GDPR-asetuksen 37 artiklan tarkoittamalla tavalla; rekisterinpitäjä, toimitusjohtajan henkilössä, on yhteyshenkilö kaikissa henkilötietoja koskevissa kysymyksissä.

2. Kerätyt henkilötiedot

2.1 Tili- ja asiakassuhdetiedot

SYAGA kerää rekisterinpitäjänä:

2.2 Auditointitiedot (Microsoft 365:n määritys- ja metatiedot)

Auditoinnin yhteydessä Palvelu käyttää vain luku -oikeuksin, Microsoft Graph -rajapinnan kautta, asiakkaan M365-tenantin määritys- ja metatietoja, muun muassa:

Mitä Palvelu ei kerää: sähköpostien, tiedostojen, asiakirjojen ja viestien sisältöä, salasanoja, GDPR-asetuksen 9 artiklan tarkoittamia arkaluonteisia tietoja.

Ephemeral architecture: the audit runs in memory inside a disposable scan container (no disk storage). Your results disappear at the earlier of two events: you tick the discharge box on your report page, once you have downloaded your files, and deletion is triggered by that action; failing that, by automatic expiry, no later than 2 hours after the end of the scan for your score, your findings and your report, and no later than 24 hours after you send them for the information you provide yourself (company profile, declarative questionnaire). The Microsoft session token is encrypted at rest (Fernet) and does not live longer than 58 minutes; the technical token used during the scan expires automatically no later than 3 hours after it is issued. You can revoke access at any time from your Microsoft Enterprise Applications, without asking us. SYAGA then retains only billing data, for 10 years from the close of the financial year, as the law requires of any company.

2.3 Evästeet ja seurantatekniikat

Sivusto syaga.eu käyttää ainoastaan Palvelun toiminnan kannalta ehdottoman välttämättömiä evästeitä:

Mitään kävijäseurantaevästeitä (Google Analytics, Matomo tai vastaava) tai mainontaevästeitä ei aseteta. Nämä ehdottoman välttämättömät evästeet on vapautettu ennakkosuostumusvaatimuksesta CNIL:n 4.7.2023 antamien ohjeiden mukaisesti (lähde: cnil.fr -- evästeet ja seurantatekniikat). Näistä evästeistä kertova ilmoitus riittää.

3. Käsittelyn tarkoitukset ja oikeusperusteet

GDPR-asetuksen 6 artiklan mukaisesti jokainen käsittely perustuu tunnistettuun oikeusperusteeseen:

TarkoitusOikeusperuste (GDPR 6 artikla)
Auditointipalvelun tarjoaminen ja suorittaminen; asiakastilin luonti ja hallintaSopimuksen täytäntöönpano -- GDPR 6.1.b artikla
Laskutus, kirjanpito, perintäLakisääteinen velvoite (kauppalain L.123-22 artikla) ja sopimuksen täytäntöönpano -- GDPR 6.1.c ja 6.1.b artikla
Tuki ja tekninen apuSopimuksen täytäntöönpano -- GDPR 6.1.b artikla
Palvelun tietoturva, petostentorjunta, lokitusOikeutettu etu -- GDPR 6.1.f artikla
Ehdottoman välttämättömät evästeetVapautettu suostumusvaatimuksesta (CNIL:n ohjeet)

Tenantin auditointitietojen osalta (kohta 2.2) SYAGA toimii asiakkaan (rekisterinpitäjän) ohjeiden mukaisesti. Ks. DPA.

4. Vastaanottajat ja käsittelijät

Tietoja luovutetaan ainoastaan SYAGA CONSULTINGin sisällä valtuutetuille henkilöille sekä GDPR-asetuksen 28 artiklan ehdoin toimiville käsittelijöille:

Mitään tietoa ei myydä eikä luovuteta kolmansille osapuolille kaupallisiin tarkoituksiin.

Tietoja voidaan luovuttaa hallinto- tai oikeusviranomaisille, kun laki sitä edellyttää.

5. Säilytysajat

Tietoja säilytetään ainoastaan niin kauan kuin käyttötarkoitus edellyttää (GDPR-asetuksen 5.1.e artikla):

TietoluokkaSäilytysaika
Auditoinnin raakadata (havainnot, käyttöoikeustoken)Nothing is written to disk: your results live in memory only. They are deleted as soon as you tick the discharge box on your report, and in any event no later than 2 hours after the end of the scan (24 hours for the information you send us yourself).
Aktiivisen asiakastilin tiedotSopimussuhteen keston ajan, minkä jälkeen tiedot poistetaan 30 päivän kuluessa irtisanomisesta
Laskutustiedot ja kirjanpitoasiakirjat10 vuotta tilikauden päättymisestä (lakisääteinen velvoite, kauppalain L.123-22 artikla)
Tekniset lokit (kirjautumislokit)12 kuukautta (CNIL:n suositus)
Proof that you accepted our contractual documents (DPA, terms of sale, privacy policy) and that your Microsoft administrator authorised the read access5 years at most after the end of the contractual relationship. That is how long a claim can still be brought between businesses (French Commercial Code, art. L. 110-4; French Civil Code, art. 2224): beyond that, the proof serves no purpose and we have no reason to keep it.

What we keep, and what we never keep

Zero-knowledge covers what we must not know: the contents of your information system. It does not cover the fact that you are our customer, nor the proof that you authorised us to work. Those two things, the law requires us to be able to demonstrate (GDPR, art. 5.2 and 24.1).

We keep, within the retention periods above:

We never keep:

The dividing line, in one sentence: we keep what proves the work was authorised and invoiced; we keep nothing of what the work revealed.

You may ask us for a copy of the register entry concerning you, at the address given in section 10.

6. Tiedonsiirrot Euroopan unionin ulkopuolelle

SYAGA Audit -palvelun infrastruktuuri sijaitsee Ranskassa. SYAGA ei lähtökohtaisesti siirrä tietoja EU:n/ETA:n ulkopuolelle.

Microsoftin osalta: rekisterinpitäjä tunnustaa, että Microsoft Graph -rajapintaa ylläpitää Microsoft Corporation (Yhdysvallat). Mahdolliset Microsoftia koskevat tiedonsiirrot on suojattu Euroopan komission hyväksymillä vakiosopimuslausekkeilla ja tarvittaessa Microsoftin osallistumisella EU-U.S. Data Privacy Framework -kehykseen. Auditoidut tiedot ovat Asiakkaan oman Microsoft 365 -tenantin tietoja, joita luetaan Asiakkaan puolesta vain luku -oikeuksin Microsoft Graphin kautta. Microsoft toimii Asiakkaan toimittajana. Mahdolliset Microsoftin infrastruktuuria koskevat tiedonsiirrot on suojattu Euroopan komission hyväksymillä vakiosopimuslausekkeilla ja Microsoftin osallistumisella EU-U.S. Data Privacy Framework -kehykseen.

Stripe Payments Europe, Limited suorittaa EU:n ulkopuolisia tiedonsiirtoja, jotka on suojattu GDPR-asetuksen V luvun mukaisilla mekanismeilla. Stripelle siirrettävät tiedot on suojattu EU-U.S. Data Privacy Framework -kehyksellä, johon Stripe on sertifioitu, ja toissijaisesti Euroopan komission vakiosopimuslausekkeilla (2021), jotka on sisällytetty Stripen Data Transfers Addendumiin.

7. Rekisteröidyn oikeudet

GDPR-asetuksen 15-22 artiklan mukaisesti jokaisella rekisteröidyllä on seuraavat oikeudet:

Tärkeää auditointitietojen osalta: tenantin määritys- ja metatietojen osalta oikeuksien käyttöä koskevat pyynnöt tulee osoittaa asiakkaalle (rekisterinpitäjä), joka tarvittaessa kääntyy SYAGA:n puoleen (GDPR-asetuksen 28.3.e artikla).

Käyttötavat

Näitä oikeuksia käytetään lähettämällä pyyntö osoitteeseen dpo@syaga.eu tai postitse osoitteeseen SYAGA CONSULTING, 2 Impasse Paul Langevin, 13110 Port-de-Bouc. Vastaus annetaan kuukauden kuluessa (GDPR-asetuksen 12.3 artikla), määräaikaa voidaan pidentää kahdella kuukaudella monimutkaisissa tapauksissa.

Valitus CNIL:lle

Jokaisella rekisteröidyllä on oikeus tehdä valitus CNIL:lle (GDPR-asetuksen 77 artikla):

CNIL (Ranskan tietosuojaviranomainen) -- 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 -- www.cnil.fr

8. Tietoturva (GDPR-asetuksen 32 artikla)

SYAGA toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet riskiä vastaavan tietoturvatason varmistamiseksi (GDPR-asetuksen 32 artikla):

Usean säädöksen yhteensovittaminen

SYAGA Auditin tietoturvatoimenpiteet on suunniteltu yhdenmukaisiksi useiden tunnustettujen tietoturvaviitekehysten kanssa. SYAGA ei väitä omaavansa muodollista sertifiointia näihin viitekehyksiin; toimenpiteet on linjattu ISO/IEC 27001 -standardin vaatimusten kanssa, sertifiointiprosessi on käynnissä mutta sertifikaattia ei ole tähän mennessä saatu; toimenpiteet ovat näiden kehysten mukaisia ja niistä inspiroituneita:

SYAGA Audit auttaa nimenomaan asiakkaitaan arvioimaan omaa vaatimustenmukaisuuttaan näiden viitekehysten (GDPR, NIS2, ANSSI) suhteen omassa Microsoft 365 -ympäristössään.

9. Tämän tietosuojaselosteen muutokset

Tätä tietosuojaselostetta voidaan päivittää lainsäädännön, sääntelyn tai tekniikan muuttuessa. Voimassa oleva versio on aina osoitteessa https://syaga.eu/confidentialite.html julkaistu versio. Merkittävästä muutoksesta rekisteröityneille käyttäjille ilmoitetaan sähköpostitse kohtuullisessa ajassa ennen muutosten voimaantuloa.

10. Yhteystiedot

Kaikki tätä tietosuojaselostetta tai tietojesi suojaa koskevat kysymykset:

Oikeudelliset ja dokumentaariset viittaukset