Heim Eiginleikar Öryggi Hvernig þetta virkar Verð
Skrá inn Hefja ókeypis greininguna mína

Persónuverndarstefna

Upplýsingar um tungumál. Skjal: Persónuverndarstefna. Kaflar sem birtast á ensku: 18 af 154. Franska útgáfan af þessu skjali er viðmiðunarútgáfan. Til að fá útgáfu á þínu tungumáli, sendu tölvupóst á contact@syaga.eu.

Útgáfa 1.0 - Síðast uppfært: 25. júní 2026

Formáli

Þessi persónuverndarstefna hefur það markmið að upplýsa notendur og viðskiptavini þjónustunnar SYAGA Audit um það hvernig persónuupplýsingar þeirra eru safnaðar, unnar og varðar, í samræmi við reglugerð (ESB) 2016/679 frá 27. apríl 2016 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga (GDPR) og frönsk lög nr. 78-17 frá 6. janúar 1978, með breytingum, um upplýsingatækni, skrár og frelsi.

SYAGA Audit er þjónusta sem framkvæmir öryggis- og regluvörsluúttekt á Microsoft 365-umhverfinu, og starfar eingöngu með lestraraðgangi að stillingum og lýsigögnum Microsoft 365-leigjanda viðskiptavinarins. Þjónustan nálgast ekki efni tölvupósta, skráa né notendaskilaboða í þeim leigjanda sem er skoðaður, og geymir engin lykilorð.

Þetta skjal uppfyllir upplýsingaskylduna sem kveðið er á um í 13. gr. (bein söfnun) og 14. gr. (óbein söfnun) GDPR.

1. Auðkenni og tengiliðaupplýsingar ábyrgðaraðila

Ábyrgðaraðili fyrir gögn um reikning og stjórnun viðskiptasambands er:

SYAGA CONSULTING

Samspil vinnsluaðila / ábyrgðaraðila: fyrir stillingargögn og lýsigögn leigjandans sem safnað er við úttektina, kemur SYAGA fram sem vinnsluaðili í skilningi 28. gr. GDPR, en viðskiptavinurinn er áfram ábyrgðaraðili eigin M365-gagna. Þessi stefna nær yfir það svið þar sem SYAGA kemur fram sem ábyrgðaraðili (gögn tengd reikningi, reikningagerð, þjónustuaðstoð). Vinnsla sem fram fer fyrir hönd viðskiptavinarins lýtur vinnslusamningnum (DPA).

Tengiliður vegna persónuverndar

Fyrir öll erindi er varða persónuvernd: dpo@syaga.eu

Ekki er skylt að tilnefna persónuverndarfulltrúa í skilningi 37. gr. GDPR; ábyrgðaraðilinn, í persónu framkvæmdastjórans, er tengiliður fyrir öll erindi er varða persónuupplýsingar.

2. Söfnun persónuupplýsinga

2.1 Gögn um reikning og stjórnun viðskiptasambands

SYAGA safnar, í hlutverki ábyrgðaraðila:

2.2 Úttektargögn (Microsoft 365-stillingar og lýsigögn)

Í tengslum við úttektina fær Þjónustan eingöngu lestraraðgang, í gegnum Microsoft Graph API, að stillingargögnum og lýsigögnum M365-leigjanda viðskiptavinarins, meðal annars:

Það sem Þjónustan safnar ekki: efni tölvupósta, skráa, skjala, skilaboða, lykilorð, viðkvæm gögn í skilningi 9. gr. GDPR.

Ephemeral architecture: the audit runs in memory inside a disposable scan container (no disk storage). Your results disappear at the earlier of two events: you tick the discharge box on your report page, once you have downloaded your files, and deletion is triggered by that action; failing that, by automatic expiry, no later than 2 hours after the end of the scan for your score, your findings and your report, and no later than 24 hours after you send them for the information you provide yourself (company profile, declarative questionnaire). The Microsoft session token is encrypted at rest (Fernet) and does not live longer than 58 minutes; the technical token used during the scan expires automatically no later than 3 hours after it is issued. You can revoke access at any time from your Microsoft Enterprise Applications, without asking us. SYAGA then retains only billing data, for 10 years from the close of the financial year, as the law requires of any company.

2.3 Vefkökur og rekjarar

Vefsvæðið syaga.eu notar eingöngu bráðnauðsynlegar vefkökur fyrir starfsemi Þjónustunnar:

Engar áhorfsmælingakökur (Google Analytics, Matomo eða sambærilegt) né auglýsingakökur eru settar. Þessar bráðnauðsynlegu vefkökur eru undanþegnar fyrirfram samþykki í samræmi við leiðbeiningar CNIL frá 4. júlí 2023 (heimild: cnil.fr - vefkökur og rekjarar). Upplýsingatilkynning um þessar vefkökur nægir.

3. Tilgangur og lagagrundvöllur vinnslu

Samkvæmt 6. gr. GDPR byggist hver vinnsla á tilgreindum lagagrundvelli:

TilgangurLagagrundvöllur (6. gr. GDPR)
Að veita og framkvæma úttektarþjónustuna; stofnun og umsjón viðskiptavinareikningsFramkvæmd samnings -- 6.1.b gr.
Reikningagerð, bókhald, innheimtaLagaskylda (skv. L.123-22 gr. franska verslunarlögbókarinnar) og framkvæmd samnings -- 6.1.c og 6.1.b gr.
Stuðningur og tækniaðstoðFramkvæmd samnings -- 6.1.b gr.
Öryggi Þjónustunnar, forvarnir gegn svikum, skráning atburðaLögmætir hagsmunir -- 6.1.f gr.
Bráðnauðsynlegar vefkökurUndanþegin samþykki (leiðbeiningar CNIL)

Fyrir úttektargögn leigjandans (kafli 2.2) kemur SYAGA fram samkvæmt fyrirmælum viðskiptavinarins (ábyrgðaraðila). Sjá vinnslusamninginn (DPA).

4. Viðtakendur og vinnsluaðilar

Gögnin eru einungis afhent þeim starfsmönnum SYAGA CONSULTING sem hafa til þess heimild, ásamt vinnsluaðilum sem koma að vinnslunni með þeim skilyrðum sem fram koma í 28. gr. GDPR:

Engin gögn eru seld né afhent þriðja aðila í viðskiptalegum tilgangi.

Gögnin geta verið afhent stjórnvöldum eða dómsyfirvöldum þegar lög krefjast þess.

5. Varðveislutími

Gögnin eru varðveitt í tíma sem fer ekki fram úr því sem nauðsynlegt er fyrir tilganginn (skv. 5.1.e gr. GDPR):

GagnaflokkurVarðveislutími
Hrá úttektargögn (niðurstöður, aðgangstákn)Nothing is written to disk: your results live in memory only. They are deleted as soon as you tick the discharge box on your report, and in any event no later than 2 hours after the end of the scan (24 hours for the information you send us yourself).
Gögn um virkan viðskiptavinareikningÁ meðan samningssambandið varir, síðan eytt innan 30 daga eftir uppsögn
Gögn um reikningagerð og bókhaldsgögn10 ár frá lokum reikningsársins (lagaskylda, skv. L.123-22 gr. franska verslunarlögbókarinnar)
Tæknilegir annálar (innskráningarannálar)12 mánuðir (tilmæli CNIL)
Proof that you accepted our contractual documents (DPA, terms of sale, privacy policy) and that your Microsoft administrator authorised the read access5 years at most after the end of the contractual relationship. That is how long a claim can still be brought between businesses (French Commercial Code, art. L. 110-4; French Civil Code, art. 2224): beyond that, the proof serves no purpose and we have no reason to keep it.

What we keep, and what we never keep

Zero-knowledge covers what we must not know: the contents of your information system. It does not cover the fact that you are our customer, nor the proof that you authorised us to work. Those two things, the law requires us to be able to demonstrate (GDPR, art. 5.2 and 24.1).

We keep, within the retention periods above:

We never keep:

The dividing line, in one sentence: we keep what proves the work was authorised and invoiced; we keep nothing of what the work revealed.

You may ask us for a copy of the register entry concerning you, at the address given in section 10.

6. Gagnaflutningur utan Evrópusambandsins

Innviðirnir sem hýsa SYAGA Audit-þjónustuna eru staðsettir í Frakklandi. Í grunninn flytur SYAGA engin gögn út fyrir ESB/EES.

Varðandi Microsoft: Ábyrgðaraðilinn viðurkennir að Microsoft Graph API-viðmótið er rekið af Microsoft Corporation (Bandaríkjunum). Hugsanlegir flutningar sem varða Microsoft eru tryggðir með stöðluðum samningsskilmálum sem framkvæmdastjórn Evrópusambandsins hefur samþykkt og, eftir atvikum, með þátttöku Microsoft í EU-U.S. Data Privacy Framework. Gögnin sem eru könnuð eru gögn úr eigin Microsoft 365-leigjanda Viðskiptavinarins, skoðuð eingöngu með lestri fyrir hans hönd í gegnum Microsoft Graph. Microsoft kemur fram sem birgir Viðskiptavinarins. Hugsanlegir flutningar sem varða innviði Microsoft eru tryggðir með stöðluðum samningsskilmálum sem framkvæmdastjórn Evrópusambandsins hefur samþykkt og þátttöku Microsoft í EU-U.S. Data Privacy Framework.

Stripe Payments Europe, Limited annast gagnaflutninga utan ESB sem falla undir aðferðir í samræmi við V. kafla GDPR. Flutningur til Stripe er tryggður með EU-U.S. Data Privacy Framework, sem Stripe er vottað samkvæmt, og til vara með stöðluðum samningsákvæðum framkvæmdastjórnar Evrópusambandsins (2021) sem eru felld inn í Data Transfers Addendum Stripe.

7. Réttindi skráðra einstaklinga

Samkvæmt 15.-22. gr. GDPR á sérhver skráður einstaklingur eftirfarandi réttindi:

Mikilvægt varðandi úttektargögn: fyrir stillingargögn og lýsigögn leigjandans skal beiðnum um beitingu réttinda beint til viðskiptavinarins (ábyrgðaraðila), sem leitar til SYAGA ef nauðsyn krefur (skv. 28.3.e gr. GDPR).

Hvernig réttindum er beitt

Þessum réttindum er beitt með því að senda beiðni á dpo@syaga.eu eða með bréfi til SYAGA CONSULTING, 2 Impasse Paul Langevin, 13110 Port-de-Bouc, Frakklandi. Svar berst innan eins mánaðar (skv. 12.3. gr. GDPR), sem framlengja má um tvo mánuði ef málið er flókið.

Kvörtun til CNIL

Sérhver skráður einstaklingur á rétt á að leggja fram kvörtun til CNIL (skv. 77. gr. GDPR):

CNIL -- 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Frakklandi -- www.cnil.fr

8. Öryggi gagna (32. gr. GDPR)

SYAGA innleiðir viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja öryggisstig í samræmi við áhættuna (skv. 32. gr. GDPR):

Samræmi við mörg viðmið

Öryggisráðstafanir SYAGA Audit eru hannaðar í samræmi við nokkur viðurkennd öryggisviðmið. SYAGA gerir ekki tilkall til neinnar formlegrar vottunar á þessum viðmiðum ráðstafanirnar eru í samræmi við kröfur staðalsins ISO/IEC 27001, vottunarferli er hafið, en engin vottun hefur enn fengist; ráðstafanirnar eru í samræmi við og innblásnar af þessum römmum:

SYAGA Audit hjálpar einmitt viðskiptavinum sínum að meta eigin regluvörslu gagnvart þessum viðmiðum (GDPR, NIS2, ANSSI) innan Microsoft 365-umhverfis þeirra.

9. Breytingar á þessari stefnu

Þessi stefna kann að vera uppfærð til að endurspegla breytingar á lögum, reglum eða tækni. Gildandi útgáfa er sú sem birt er á https://syaga.eu/confidentialite.html. Ef um verulegar breytingar er að ræða verða skráðir notendur upplýstir með tölvupósti með hæfilegum fyrirvara áður en breytingarnar taka gildi.

10. Tengiliður

Fyrir öll erindi er varða þessa stefnu eða vernd gagnanna þinna:

Lagalegar og skjalfestar heimildir