Hjem Funksjoner Sikkerhet Slik fungerer det Priser
Logg inn Start gratis diagnose

Personvernerklæring

Versjon 1.0 - Sist oppdatert: 25. juni 2026

Innledning

Denne personvernerklæringen har til formål å informere brukere og kunder av tjenesten SYAGA Audit om hvordan deres personopplysninger samles inn, behandles og beskyttes, i samsvar med forordning (EU) 2016/679 av 27. april 2016 om beskyttelse av fysiske personer i forbindelse med behandling av personopplysninger (GDPR) og fransk lov nr. 78-17 av 6. januar 1978, endret, om databehandling, filer og friheter.

SYAGA Audit er en tjeneste for sikkerhets- og etterlevelsesrevisjon av Microsoft 365-miljøet, og opererer med kun lesetilgang til konfigurasjoner og metadata i kundens Microsoft 365-tenant. Tjenesten får ikke tilgang til innholdet i meldinger, filer eller e-poster til brukerne i den reviderte tenanten, og lagrer ingen passord.

Dette dokumentet oppfyller informasjonsplikten i artikkel 13 (direkte innsamling) og artikkel 14 (indirekte innsamling) i GDPR.

1. Identitet og kontaktopplysninger for behandlingsansvarlig

Behandlingsansvarlig for konto- og kunderelasjonsdata er:

SYAGA CONSULTING

Rollefordeling databehandler / behandlingsansvarlig: for konfigurasjonsdata og metadata om Microsoft 365-tenanten som samles inn under revisjonen, opptrer SYAGA som databehandler i henhold til artikkel 28 i GDPR, mens kunden forblir behandlingsansvarlig for sine egne M365-data. Denne policyen dekker det omfanget der SYAGA opptrer som behandlingsansvarlig (kontodata, fakturering, support). Behandlingen som gjøres på vegne av kunden, reguleres av databehandleravtalen (DPA).

Kontakt for personvern

For enhver henvendelse om databeskyttelse: contact@syaga.fr

Det er ikke obligatorisk å utpeke et personvernombud i henhold til artikkel 37 i GDPR; behandlingsansvarlig, i form av daglig leder, er kontaktpunktet for alle spørsmål knyttet til personopplysninger.

2. Personopplysninger som samles inn

2.1 Konto- og kunderelasjonsdata

SYAGA samler inn, i egenskap av behandlingsansvarlig:

2.2 Revisjonsdata (konfigurasjon og metadata Microsoft 365)

Som del av revisjonen får Tjenesten kun lesetilgang, via Microsoft Graph-API-et, til konfigurasjonsdata og metadata om kundens M365-tenant, blant annet:

Det Tjenesten ikke samler inn: innhold i e-poster, filer, dokumenter, meldinger, passord, sensitive opplysninger som definert i artikkel 9 i GDPR.

Flyktig arkitektur: revisjonen kjøres i arbeidsminnet i en engangs skannecontainer (ingen disklagring). Rapporten leveres én gang til kunden, deretter slettes rådataene fra skanningen og tilgangstokenet. Tokenet er kryptert i hvile (Fernet) i løpet av revisjonen. Maksimal sikkerhets-TTL: 2 timer. SYAGA lagrer på serversiden kun fakturaopplysninger, i samsvar med lovpålagte forpliktelser.

2.3 Informasjonskapsler og sporingsteknologi

Nettstedet syaga.eu bruker kun strengt nødvendige informasjonskapsler for at Tjenesten skal fungere:

Ingen informasjonskapsler for besøksstatistikk (Google Analytics, Matomo eller lignende) og ingen reklameinformasjonskapsler settes. Disse strengt nødvendige informasjonskapslene er unntatt fra krav om forhåndssamtykke i samsvar med CNILs retningslinjer av 4. juli 2023 (kilde: cnil.fr, informasjonskapsler og sporingsteknologi). En informasjonsmerknad om disse informasjonskapslene er tilstrekkelig.

3. Formål og rettslig grunnlag for behandlingen

I samsvar med artikkel 6 i GDPR bygger hver behandling på et identifisert rettslig grunnlag:

FormålRettslig grunnlag (Art. 6 GDPR)
Levering og gjennomføring av revisjonstjenesten; opprettelse og administrasjon av kundekontoenOppfyllelse av avtale, Art. 6.1.b
Fakturering, regnskap, inndrivelseLovpålagt forpliktelse (fransk handelslov art. L.123-22) og oppfyllelse av avtale, Art. 6.1.c og 6.1.b
Support og teknisk assistanseOppfyllelse av avtale, Art. 6.1.b
Sikkerheten til Tjenesten, forebygging av svindel, loggingBerettiget interesse, Art. 6.1.f
Strengt nødvendige informasjonskapslerUnntatt fra samtykke (CNILs retningslinjer)

For revisjonsdata om tenanten (avsnitt 2.2) opptrer SYAGA etter instruks fra kunden (behandlingsansvarlig). Se databehandleravtalen (DPA).

4. Mottakere og databehandlere

Dataene formidles kun til autoriserte personer innen SYAGA CONSULTING samt til databehandlere som opptrer under vilkårene i artikkel 28 i GDPR:

Ingen data selges eller overdras til tredjeparter for kommersielle formål.

Dataene kan formidles til forvaltnings- eller rettsmyndigheter når loven krever det.

5. Lagringstid

Dataene lagres ikke lenger enn nødvendig for formålene (art. 5.1.e GDPR):

DatakategoriLagringstid
Rå revisjonsdata (funn, tilgangstoken)Ingen lagring på serversiden: slettes ved levering av Rapporten (flyktig arkitektur, maksimal TTL 2 timer)
Data om aktiv kundekontoVarigheten av avtaleforholdet, deretter sletting innen 30 dager etter oppsigelse
Fakturaopplysninger og regnskapsbilag10 år fra avslutning av regnskapsåret (lovpålagt forpliktelse, art. L.123-22 i den franske handelsloven)
Tekniske logger (tilkoblingslogger)12 måneder (CNIL-anbefaling)

6. Overføringer av data utenfor EU

Infrastrukturen som er vert for Tjenesten SYAGA Audit, er lokalisert i Frankrike. I prinsippet gjennomfører ikke SYAGA noen dataoverføringer utenfor EU/EØS.

Vedrørende Microsoft: behandlingsansvarlig erkjenner at Microsoft Graph-API-et driftes av Microsoft Corporation (USA). Eventuelle overføringer som involverer Microsoft, er regulert av selskapets standard kontraktsklausuler godkjent av EU-kommisjonen, og eventuelt av deltakelsen i EU-U.S. Data Privacy Framework. De reviderte dataene er kundens egen Microsoft 365-tenant, konsultert med kun lesetilgang på vegne av kunden via Microsoft Graph. Microsoft opptrer som leverandør til Kunden. Eventuelle overføringer som involverer Microsofts infrastruktur, er regulert av EU-kommisjonens standard kontraktsklausuler og Microsofts deltakelse i EU-U.S. Data Privacy Framework.

Stripe Inc. gjennomfører overføringer utenfor EU underlagt mekanismer i samsvar med kapittel V i GDPR. Overføringer til Stripe er regulert av EU-U.S. Data Privacy Framework, som Stripe er sertifisert under, og, subsidiært, av EU-kommisjonens standard kontraktsklausuler (2021) innarbeidet i Stripes Data Transfers Addendum.

7. Rettighetene til registrerte

I samsvar med artikkel 15 til 22 i GDPR har enhver registrert person følgende rettigheter:

Viktig for revisjonsdata: for konfigurasjonsdata og metadata om tenanten skal forespørsler om å utøve rettigheter rettes til kunden (behandlingsansvarlig), som eventuelt kontakter SYAGA ved behov (art. 28.3.e GDPR).

Fremgangsmåte for å utøve rettighetene

Disse rettighetene utøves ved å sende en henvendelse til contact@syaga.fr eller per post til SYAGA CONSULTING, 2 Impasse Paul Langevin, 13110 Port-de-Bouc, Frankrike. Svar gis innen én måned (art. 12.3 GDPR), som kan forlenges med to måneder ved kompleksitet.

Klage til CNIL

Enhver registrert person har rett til å klage til CNIL (art. 77 GDPR):

CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Frankrike, www.cnil.fr

8. Datasikkerhet (art. 32 GDPR)

SYAGA iverksetter hensiktsmessige tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå tilpasset risikoen (art. 32 GDPR):

Tilpasning til flere rammeverk

Sikkerhetstiltakene i SYAGA Audit er utformet i tråd med flere anerkjente sikkerhetsrammeverk. SYAGA hevder ingen formell sertifisering på disse rammeverkene: tiltakene er tilpasset kravene i standarden ISO/IEC 27001, en sertifiseringsprosess er igangsatt, uten at sertifisering er oppnådd per i dag; tiltakene er tilpasset og inspirert av disse rammeverkene:

SYAGA Audit hjelper nettopp sine kunder med å måle sin egen etterlevelse av disse rammeverkene (GDPR, NIS2, ANSSI) i sitt Microsoft 365-miljø.

9. Endringer i denne policyen

Denne policyen kan oppdateres for å gjenspeile juridiske, regulatoriske eller tekniske endringer. Gjeldende versjon er den som publiseres på https://syaga.eu/confidentialite.html. Ved vesentlige endringer varsles registrerte brukere per e-post innen rimelig tid før endringene trer i kraft.

10. Kontakt

For spørsmål om denne policyen eller om beskyttelsen av dine data:

Juridiske og dokumentariske referanser