Home Funzionalità Sicurezza Come funziona Prezzi
Accedi Avvia la mia diagnosi gratuita

Informativa sulla privacy

Avviso sulla lingua. Documento: Informativa sulla privacy. Passaggi visualizzati in inglese: 18 su 154. La versione francese di questo documento è la versione di riferimento. Per ottenerne una versione nella sua lingua, scriva a contact@syaga.eu.

Versione 1.0 - Ultimo aggiornamento: 25 giugno 2026

Preambolo

La presente Informativa sulla privacy ha lo scopo di informare gli utenti e i clienti del servizio SYAGA Audit sulle modalità di raccolta, trattamento e protezione dei loro dati personali, conformemente al Regolamento (UE) 2016/679 del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali (GDPR) e alla legge francese n. 78-17 del 6 gennaio 1978 e successive modifiche, relativa all'informatica, agli archivi e alle libertà.

SYAGA Audit è un servizio di audit di sicurezza e conformità dell'ambiente Microsoft 365, che opera in sola lettura sulle configurazioni e i metadati del tenant Microsoft 365 del cliente. Il Servizio non accede al contenuto di messaggi, file o email degli utenti del tenant sottoposto ad audit e non memorizza alcuna password.

Il presente documento soddisfa l'obbligo di informativa previsto agli articoli 13 (raccolta diretta) e 14 (raccolta indiretta) del GDPR.

1. Identità e recapiti del titolare del trattamento

Il titolare del trattamento per i dati di account e di gestione della relazione con il cliente è:

SYAGA CONSULTING

Rapporto responsabile del trattamento per conto terzi / titolare del trattamento: per i dati di configurazione e i metadati del tenant Microsoft 365 raccolti durante l'audit, SYAGA agisce in qualità di responsabile del trattamento per conto terzi ai sensi dell'articolo 28 del GDPR, restando il cliente titolare del trattamento dei propri dati M365. La presente informativa copre il perimetro per il quale SYAGA agisce in qualità di titolare del trattamento (dati account, fatturazione, supporto). Il trattamento effettuato per conto del cliente è disciplinato dall'Accordo sul trattamento dei dati (DPA).

Contatto protezione dei dati

Per qualsiasi richiesta relativa alla protezione dei dati: dpo@syaga.eu

La designazione di un responsabile della protezione dei dati non è obbligatoria ai sensi dell'articolo 37 del GDPR; il titolare del trattamento, nella persona dell'amministratore, è il punto di contatto per qualsiasi domanda relativa ai dati personali.

2. Dati personali raccolti

2.1 Dati di account e di gestione della relazione con il cliente

SYAGA raccoglie, in qualità di titolare del trattamento:

2.2 Dati di audit (configurazione e metadati Microsoft 365)

Nell'ambito dell'audit, il Servizio accede in sola lettura, tramite l'API Microsoft Graph, ai dati di configurazione e ai metadati del tenant M365 del cliente, in particolare:

Ciò che il Servizio non raccoglie: contenuto di email, file, documenti, messaggi, password, dati sensibili ai sensi dell'articolo 9 del GDPR.

Ephemeral architecture: the audit runs in memory inside a disposable scan container (no disk storage). Your results disappear at the earlier of two events: you tick the discharge box on your report page, once you have downloaded your files, and deletion is triggered by that action; failing that, by automatic expiry, no later than 2 hours after the end of the scan for your score, your findings and your report, and no later than 24 hours after you send them for the information you provide yourself (company profile, declarative questionnaire). The Microsoft session token is encrypted at rest (Fernet) and does not live longer than 58 minutes; the technical token used during the scan expires automatically no later than 3 hours after it is issued. You can revoke access at any time from your Microsoft Enterprise Applications, without asking us. SYAGA then retains only billing data, for 10 years from the close of the financial year, as the law requires of any company.

2.3 Cookie e traccianti

Il sito syaga.eu utilizza esclusivamente cookie strettamente necessari al funzionamento del Servizio:

Non viene depositato alcun cookie di misurazione dell'audience (Google Analytics, Matomo o equivalente) né alcun cookie pubblicitario. Questi cookie strettamente necessari sono esentati dal consenso preventivo conformemente alle linee guida della CNIL del 4 luglio 2023 (fonte: cnil.fr -- cookie e traccianti). Un'informativa su tali cookie è sufficiente.

3. Finalità e basi giuridiche del trattamento

Conformemente all'articolo 6 del GDPR, ogni trattamento si fonda su una base giuridica individuata:

FinalitàBase giuridica (Art. 6 GDPR)
Fornitura ed esecuzione del Servizio di audit; creazione e gestione dell'account clienteEsecuzione del contratto -- Art. 6.1.b
Fatturazione, contabilità, recupero creditiObbligo legale (Codice di commercio francese art. L.123-22) ed esecuzione del contratto -- Art. 6.1.c e 6.1.b
Supporto e assistenza tecnicaEsecuzione del contratto -- Art. 6.1.b
Sicurezza del Servizio, prevenzione delle frodi, logLegittimo interesse -- Art. 6.1.f
Cookie strettamente necessariEsentati dal consenso (linee guida CNIL)

Per i dati di audit del tenant (sezione 2.2), SYAGA agisce su istruzione del cliente (titolare del trattamento). Vedere il DPA.

4. Destinatari e responsabili del trattamento per conto terzi

I dati sono comunicati esclusivamente alle persone autorizzate all'interno di SYAGA CONSULTING nonché ai responsabili del trattamento per conto terzi che intervengono alle condizioni dell'articolo 28 del GDPR:

Nessun dato viene venduto né ceduto a terzi per finalità commerciali.

I dati possono essere comunicati ad autorità amministrative o giudiziarie quando la legge lo richiede.

5. Periodi di conservazione

I dati sono conservati per una durata non superiore a quella necessaria alle finalità perseguite (art. 5.1.e GDPR):

Categoria di datiPeriodo di conservazione
Dati di audit grezzi (findings, token di accesso)Nothing is written to disk: your results live in memory only. They are deleted as soon as you tick the discharge box on your report, and in any event no later than 2 hours after the end of the scan (24 hours for the information you send us yourself).
Dati dell'account cliente attivoDurata del rapporto contrattuale, poi cancellazione entro 30 giorni dalla disdetta
Dati di fatturazione e documenti contabili10 anni a decorrere dalla chiusura dell'esercizio (obbligo legale, art. L.123-22 Codice di commercio francese)
Log tecnici (log di connessione)12 mesi (raccomandazione CNIL)
Proof that you accepted our contractual documents (DPA, terms of sale, privacy policy) and that your Microsoft administrator authorised the read access5 years at most after the end of the contractual relationship. That is how long a claim can still be brought between businesses (French Commercial Code, art. L. 110-4; French Civil Code, art. 2224): beyond that, the proof serves no purpose and we have no reason to keep it.

What we keep, and what we never keep

Zero-knowledge covers what we must not know: the contents of your information system. It does not cover the fact that you are our customer, nor the proof that you authorised us to work. Those two things, the law requires us to be able to demonstrate (GDPR, art. 5.2 and 24.1).

We keep, within the retention periods above:

We never keep:

The dividing line, in one sentence: we keep what proves the work was authorised and invoiced; we keep nothing of what the work revealed.

You may ask us for a copy of the register entry concerning you, at the address given in section 10.

6. Trasferimenti di dati al di fuori dell'Unione europea

L'infrastruttura che ospita il Servizio SYAGA Audit è localizzata in Francia. In linea di principio, nessun trasferimento di dati viene effettuato da SYAGA al di fuori dell'UE / SEE.

Per quanto riguarda Microsoft: il Titolare del trattamento riconosce che l'API Microsoft Graph è gestita da Microsoft Corporation (Stati Uniti). Eventuali trasferimenti che coinvolgono Microsoft sono disciplinati dalle sue clausole contrattuali tipo approvate dalla Commissione europea e, ove applicabile, dalla sua partecipazione al quadro EU-U.S. Data Privacy Framework. I dati sottoposti ad audit sono quelli del tenant Microsoft 365 proprio del Cliente, consultati in sola lettura per suo conto tramite Microsoft Graph. Microsoft agisce come fornitore del Cliente. Eventuali trasferimenti che coinvolgono l'infrastruttura Microsoft sono disciplinati dalle clausole contrattuali tipo approvate dalla Commissione europea e dalla partecipazione di Microsoft al quadro EU-U.S. Data Privacy Framework.

Stripe Payments Europe, Limited effettua trasferimenti extra-UE disciplinati da meccanismi conformi al capo V del GDPR. I trasferimenti verso Stripe sono disciplinati dall'EU-U.S. Data Privacy Framework, a cui Stripe è certificata, e, in via sussidiaria, dalle Clausole Contrattuali Tipo della Commissione europea (2021) integrate nel Data Transfers Addendum di Stripe.

7. Diritti degli interessati

Conformemente agli articoli da 15 a 22 del GDPR, ogni interessato dispone dei seguenti diritti:

Importante per i dati di audit: per i dati di configurazione e i metadati del tenant, le richieste di esercizio dei diritti devono essere indirizzate al cliente (titolare del trattamento), che coinvolgerà SYAGA se necessario (art. 28.3.e GDPR).

Modalità di esercizio

Questi diritti si esercitano inviando una richiesta a dpo@syaga.eu o per posta a SYAGA CONSULTING, 2 Impasse Paul Langevin, 13110 Port-de-Bouc (Francia). Una risposta viene fornita entro un mese (art. 12.3 GDPR), prorogabile di due mesi in caso di complessità.

Reclamo presso la CNIL

Ogni interessato ha il diritto di presentare un reclamo presso la CNIL (art. 77 GDPR):

CNIL -- 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (Francia) -- www.cnil.fr

8. Sicurezza dei dati (art. 32 GDPR)

SYAGA mette in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adatto al rischio (art. 32 GDPR):

Allineamento multi-referenziale

Le misure di sicurezza di SYAGA Audit sono concepite in coerenza con diversi referenziali di sicurezza riconosciuti. SYAGA non rivendica alcuna certificazione formale su questi referenziali: le misure sono allineate ai requisiti della norma ISO/IEC 27001, essendo stato avviato un percorso di certificazione, senza che sia stata a oggi ottenuta alcuna certificazione; le misure sono allineate a e ispirate da questi framework:

SYAGA Audit aiuta appunto i propri clienti a misurare la propria conformità a questi referenziali (GDPR, NIS2, ANSSI) all'interno del loro ambiente Microsoft 365.

9. Modifiche alla presente informativa

La presente Informativa può essere aggiornata per riflettere le evoluzioni legali, normative o tecniche. La versione in vigore è quella pubblicata su https://syaga.eu/confidentialite.html. In caso di modifica sostanziale, gli utenti registrati saranno informati via email entro un termine ragionevole prima dell'entrata in vigore delle modifiche.

10. Contatti

Per qualsiasi domanda relativa alla presente informativa o alla protezione dei vostri dati reali:

Riferimenti normativi e documentali