Home Functionaliteiten Beveiliging Hoe het werkt Tarieven
Inloggen Start mijn gratis diagnose

Privacybeleid

Taalmelding. Document: Privacybeleid. In het Engels weergegeven passages: 18 van 154. De Franse versie van dit document is de referentieversie. Schrijf naar contact@syaga.eu voor een versie in uw taal.

Versie 1.0 - Laatste update: 25 juni 2026

Preambule

Dit Privacybeleid heeft tot doel gebruikers en klanten van de dienst SYAGA Audit te informeren over de wijze waarop hun persoonsgegevens worden verzameld, verwerkt en beschermd, overeenkomstig Verordening (EU) 2016/679 van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens (AVG) en de gewijzigde Franse wet nr.° 78-17 van 6 januari 1978 betreffende informatica, bestanden en vrijheden.

SYAGA Audit is een dienst voor beveiligings- en complianceaudits van de Microsoft 365-omgeving, die uitsluitend in leesmodus werkt op de configuraties en metadata van de Microsoft 365-tenant van de klant. De Dienst heeft geen toegang tot de inhoud van berichten, bestanden of e-mails van de gebruikers van de geauditeerde tenant, en slaat geen enkel wachtwoord op.

Dit document voldoet aan de informatieplicht van artikel 13 (rechtstreekse verzameling) en artikel 14 (indirecte verzameling) van de AVG.

1. Identiteit en gegevens van de verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke voor de account- en klantrelatiegegevens is:

SYAGA CONSULTING

Verhouding verwerker / verwerkingsverantwoordelijke: voor de configuratiegegevens en metadata van de Microsoft 365-tenant die tijdens de audit worden verzameld, treedt SYAGA op als verwerker in de zin van artikel 28 van de AVG, waarbij de klant verwerkingsverantwoordelijke blijft voor zijn eigen M365-gegevens. Dit beleid dekt het gedeelte waarvoor SYAGA optreedt als verwerkingsverantwoordelijke (accountgegevens, facturatie, support). De verwerking namens de klant wordt geregeld door de verwerkersovereenkomst (DPA).

Contact gegevensbescherming

Voor elk verzoek met betrekking tot gegevensbescherming: dpo@syaga.eu

De aanstelling van een functionaris voor gegevensbescherming is niet verplicht in de zin van artikel 37 van de AVG; de verwerkingsverantwoordelijke, in de persoon van de bestuurder, is het aanspreekpunt voor elke vraag met betrekking tot persoonsgegevens.

2. Verzamelde persoonsgegevens

2.1 Account- en klantrelatiegegevens

SYAGA verzamelt, als verwerkingsverantwoordelijke:

2.2 Auditgegevens (configuratie en metadata Microsoft 365)

In het kader van de audit krijgt de Dienst uitsluitend leestoegang, via de Microsoft Graph-API, tot de configuratiegegevens en metadata van de M365-tenant van de klant, met name:

Wat de Dienst niet verzamelt: inhoud van e-mails, bestanden, documenten, berichten, wachtwoorden, gevoelige gegevens in de zin van artikel 9 van de AVG.

Ephemeral architecture: the audit runs in memory inside a disposable scan container (no disk storage). Your results disappear at the earlier of two events: you tick the discharge box on your report page, once you have downloaded your files, and deletion is triggered by that action; failing that, by automatic expiry, no later than 2 hours after the end of the scan for your score, your findings and your report, and no later than 24 hours after you send them for the information you provide yourself (company profile, declarative questionnaire). The Microsoft session token is encrypted at rest (Fernet) and does not live longer than 58 minutes; the technical token used during the scan expires automatically no later than 3 hours after it is issued. You can revoke access at any time from your Microsoft Enterprise Applications, without asking us. SYAGA then retains only billing data, for 10 years from the close of the financial year, as the law requires of any company.

2.3 Cookies en trackers

De website syaga.eu gebruikt uitsluitend strikt noodzakelijke cookies voor de werking van de Dienst:

Er wordt geen enkele analytische cookie (Google Analytics, Matomo of gelijkwaardig) noch enige reclamecookie geplaatst. Deze strikt noodzakelijke cookies zijn vrijgesteld van voorafgaande toestemming overeenkomstig de richtsnoeren van de CNIL van 4 juli 2023 (bron: cnil.fr, cookies en trackers). Een informatienotitie over deze cookies volstaat.

3. Doeleinden en rechtsgrondslagen van de verwerking

Overeenkomstig artikel 6 van de AVG berust elke verwerking op een geïdentificeerde rechtsgrondslag:

DoelRechtsgrondslag (art. 6 AVG)
Levering en uitvoering van de auditdienst; aanmaak en beheer van het klantaccountUitvoering van de overeenkomst, art. 6.1.b
Facturatie, boekhouding, invorderingWettelijke verplichting (Franse Code de commerce art. L.123-22) en uitvoering van de overeenkomst, art. 6.1.c en 6.1.b
Support en technische bijstandUitvoering van de overeenkomst, art. 6.1.b
Beveiliging van de Dienst, fraudepreventie, loggingGerechtvaardigd belang, art. 6.1.f
Strikt noodzakelijke cookiesVrijgesteld van toestemming (CNIL-richtsnoeren)

Voor de auditgegevens van de tenant (paragraaf 2.2) handelt SYAGA op instructie van de klant (verwerkingsverantwoordelijke). Zie de DPA.

4. Ontvangers en verwerkers

De gegevens worden uitsluitend meegedeeld aan de daartoe bevoegde personen binnen SYAGA CONSULTING en aan de verwerkers die optreden onder de voorwaarden van artikel 28 van de AVG:

Geen enkel gegeven wordt verkocht of aan derden overgedragen voor commerciële doeleinden.

De gegevens kunnen worden meegedeeld aan bestuurlijke of gerechtelijke autoriteiten wanneer de wet dit vereist.

5. Bewaartermijnen

De gegevens worden bewaard gedurende een termijn die niet langer is dan nodig voor de nagestreefde doeleinden (art. 5.1.e AVG):

GegevenscategorieBewaartermijn
Ruwe auditgegevens (bevindingen, toegangstoken)Nothing is written to disk: your results live in memory only. They are deleted as soon as you tick the discharge box on your report, and in any event no later than 2 hours after the end of the scan (24 hours for the information you send us yourself).
Gegevens van actief klantaccountDuur van de contractuele relatie, gevolgd door verwijdering binnen 30 dagen na beëindiging
Facturatiegegevens en boekhoudkundige stukken10 jaar vanaf de afsluiting van het boekjaar (wettelijke verplichting, art. L.123-22 Code de commerce)
Technische logboeken (verbindingslogs)12 maanden (CNIL-aanbeveling)
Proof that you accepted our contractual documents (DPA, terms of sale, privacy policy) and that your Microsoft administrator authorised the read access5 years at most after the end of the contractual relationship. That is how long a claim can still be brought between businesses (French Commercial Code, art. L. 110-4; French Civil Code, art. 2224): beyond that, the proof serves no purpose and we have no reason to keep it.

What we keep, and what we never keep

Zero-knowledge covers what we must not know: the contents of your information system. It does not cover the fact that you are our customer, nor the proof that you authorised us to work. Those two things, the law requires us to be able to demonstrate (GDPR, art. 5.2 and 24.1).

We keep, within the retention periods above:

We never keep:

The dividing line, in one sentence: we keep what proves the work was authorised and invoiced; we keep nothing of what the work revealed.

You may ask us for a copy of the register entry concerning you, at the address given in section 10.

6. Gegevensoverdrachten buiten de Europese Unie

De infrastructuur waarop de Dienst SYAGA Audit wordt gehost, bevindt zich in Frankrijk. In beginsel voert SYAGA geen enkele gegevensoverdracht buiten de EU / EER uit.

Wat Microsoft betreft: de Verwerkingsverantwoordelijke erkent dat de Microsoft Graph-API wordt beheerd door Microsoft Corporation (Verenigde Staten). Eventuele overdrachten met Microsoft worden geregeld door de door de Europese Commissie goedgekeurde modelcontractbepalingen en, in voorkomend geval, door de deelname van Microsoft aan het EU-U.S. Data Privacy Framework. De geauditeerde gegevens zijn die van de eigen Microsoft 365-tenant van de Klant, geraadpleegd in leesmodus voor zijn rekening via Microsoft Graph. Microsoft treedt op als leverancier van de Klant. Eventuele overdrachten met de Microsoft-infrastructuur worden geregeld door de door de Europese Commissie goedgekeurde modelcontractbepalingen en de deelname van Microsoft aan het EU-U.S. Data Privacy Framework.

Stripe Payments Europe, Limited voert overdrachten buiten de EU uit die worden geregeld door mechanismen die conform hoofdstuk V van de AVG zijn. De overdrachten naar Stripe worden geregeld door het EU-U.S. Data Privacy Framework, waarvoor Stripe gecertificeerd is, en subsidiair door de modelcontractbepalingen van de Europese Commissie (2021), geïntegreerd in de Data Transfers Addendum van Stripe.

7. Rechten van betrokkenen

Overeenkomstig de artikelen 15 tot en met 22 van de AVG heeft elke betrokkene de volgende rechten:

Belangrijk voor auditgegevens: voor de configuratiegegevens en metadata van de tenant moeten verzoeken tot uitoefening van rechten worden gericht aan de klant (verwerkingsverantwoordelijke), die zo nodig SYAGA zal raadplegen (art. 28.3.e AVG).

Wijze van uitoefening

Deze rechten worden uitgeoefend door een verzoek te richten aan dpo@syaga.eu of per post aan SYAGA CONSULTING, 2 Impasse Paul Langevin, 13110 Port-de-Bouc. Er wordt binnen een maand geantwoord (art. 12.3 AVG), verlengbaar met twee maanden in geval van complexiteit.

Klacht indienen bij de CNIL

Elke betrokkene heeft het recht een klacht in te dienen bij de CNIL (art. 77 AVG):

CNIL -- 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 -- www.cnil.fr

8. Beveiliging van de gegevens (art. 32 AVG)

SYAGA treft passende technische en organisatorische maatregelen om een aan het risico aangepast beveiligingsniveau te waarborgen (art. 32 AVG):

Multi-raamwerk koppeling

De beveiligingsmaatregelen van SYAGA Audit zijn opgezet in lijn met verschillende erkende beveiligingsraamwerken. SYAGA claimt geen enkele formele certificering op deze raamwerken: de maatregelen zijn afgestemd op de vereisten van de norm ISO/IEC 27001, waarbij een certificeringstraject is gestart, zonder dat certificering tot op heden is behaald; de maatregelen zijn afgestemd op en geïnspireerd door deze kaders:

SYAGA Audit helpt zijn klanten precies om hun eigen compliance met deze raamwerken (AVG, NIS2, ANSSI) binnen hun Microsoft 365-omgeving te meten.

9. Wijzigingen van dit beleid

Dit Beleid kan worden bijgewerkt om wettelijke, regelgevende of technische ontwikkelingen weer te geven. De geldende versie is de versie gepubliceerd op https://syaga.eu/confidentialite.html. Bij een substantiële wijziging worden geregistreerde gebruikers per e-mail geïnformeerd binnen een redelijke termijn vóór de inwerkingtreding van de wijzigingen.

10. Contact

Voor elke vraag over dit beleid of de bescherming van uw echte gegevens:

Wettelijke en documentaire referenties