Strona główna Funkcje Bezpieczeństwo Jak to działa Cennik
Zaloguj się Uruchom bezpłatną diagnozę

Polityka prywatności

Informacja o języku. Dokument: Polityka prywatności. Fragmenty wyświetlane w języku angielskim: 18 z 154. Wersja francuska tego dokumentu jest wersją referencyjną. Aby otrzymać wersję w swoim języku, napisz na adres contact@syaga.eu.

Wersja 1.0 - Ostatnia aktualizacja: 25 czerwca 2026 r.

Preambuła

Niniejsza Polityka prywatności ma na celu poinformowanie użytkowników i klientów usługi SYAGA Audit o sposobie zbierania, przetwarzania i ochrony ich danych osobowych, zgodnie z Rozporządzeniem (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (RODO) oraz z francuską ustawą nr 78-17 z dnia 6 stycznia 1978 r., z późniejszymi zmianami, o informatyce, plikach i wolnościach.

SYAGA Audit to usługa audytu bezpieczeństwa i zgodności środowiska Microsoft 365, działająca w trybie tylko do odczytu na konfiguracjach i metadanych tenanta Microsoft 365 klienta. Usługa nie uzyskuje dostępu do treści wiadomości, plików ani e-maili użytkowników audytowanego tenanta i nie przechowuje żadnego hasła.

Niniejszy dokument spełnia obowiązek informacyjny przewidziany w art. 13 (zbieranie bezpośrednie) i art. 14 (zbieranie pośrednie) RODO.

1. Tożsamość i dane kontaktowe administratora danych

Administratorem danych w zakresie danych konta oraz zarządzania relacją z klientem jest:

SYAGA CONSULTING

Podział ról: podmiot przetwarzający / administrator danych: w odniesieniu do danych konfiguracyjnych i metadanych tenanta Microsoft 365 zbieranych podczas audytu, SYAGA działa jako podmiot przetwarzający w rozumieniu art. 28 RODO, przy czym klient pozostaje administratorem swoich własnych danych M365. Niniejsza polityka obejmuje zakres, w którym SYAGA działa jako administrator danych (dane konta, rozliczenia, wsparcie). Przetwarzanie realizowane na zlecenie klienta regulowane jest przez Umowę powierzenia przetwarzania danych (DPA).

Kontakt w sprawie ochrony danych

W sprawach dotyczących ochrony danych: dpo@syaga.eu

Wyznaczenie inspektora ochrony danych nie jest obowiązkowe w rozumieniu art. 37 RODO; administrator danych, w osobie zarządzającego, jest punktem kontaktowym w każdej sprawie dotyczącej danych osobowych.

2. Zbierane dane osobowe

2.1 Dane konta i zarządzania relacją z klientem

SYAGA zbiera, w charakterze administratora danych:

2.2 Dane z audytu (konfiguracja i metadane Microsoft 365)

W ramach audytu Usługa uzyskuje dostęp w trybie tylko do odczytu, za pośrednictwem interfejsu API Microsoft Graph, do danych konfiguracyjnych i metadanych tenanta M365 klienta, w szczególności:

Czego Usługa nie zbiera: treści e-maili, plików, dokumentów, wiadomości, haseł, danych szczególnych kategorii w rozumieniu art. 9 RODO.

Ephemeral architecture: the audit runs in memory inside a disposable scan container (no disk storage). Your results disappear at the earlier of two events: you tick the discharge box on your report page, once you have downloaded your files, and deletion is triggered by that action; failing that, by automatic expiry, no later than 2 hours after the end of the scan for your score, your findings and your report, and no later than 24 hours after you send them for the information you provide yourself (company profile, declarative questionnaire). The Microsoft session token is encrypted at rest (Fernet) and does not live longer than 58 minutes; the technical token used during the scan expires automatically no later than 3 hours after it is issued. You can revoke access at any time from your Microsoft Enterprise Applications, without asking us. SYAGA then retains only billing data, for 10 years from the close of the financial year, as the law requires of any company.

2.3 Pliki cookie i technologie śledzące

Strona syaga.eu wykorzystuje wyłącznie pliki cookie ściśle niezbędne do działania Usługi:

Nie są stosowane żadne pliki cookie do pomiaru odwiedzin (Google Analytics, Matomo lub podobne) ani żadne reklamowe pliki cookie. Te ściśle niezbędne pliki cookie są zwolnione z wymogu uprzedniej zgody zgodnie z wytycznymi CNIL z dnia 4 lipca 2023 r. (źródło: cnil.fr, pliki cookie i inne technologie śledzące). Wystarczająca jest informacja na ich temat.

3. Cele i podstawy prawne przetwarzania

Zgodnie z art. 6 RODO, każde przetwarzanie opiera się na określonej podstawie prawnej:

CelPodstawa prawna (art. 6 RODO)
Dostarczenie i realizacja Usługi audytu; utworzenie i zarządzanie kontem klientaWykonanie umowy, art. 6.1.b
Fakturowanie, księgowość, windykacjaObowiązek prawny (Kodeks handlowy, art. L.123-22) oraz wykonanie umowy, art. 6.1.c i 6.1.b
Wsparcie i pomoc technicznaWykonanie umowy, art. 6.1.b
Bezpieczeństwo Usługi, zapobieganie oszustwom, rejestrowanie zdarzeńPrawnie uzasadniony interes, art. 6.1.f
Pliki cookie ściśle niezbędneZwolnione z obowiązku zgody (wytyczne CNIL)

W odniesieniu do danych z audytu tenanta (sekcja 2.2), SYAGA działa na polecenie klienta (administratora danych). Patrz DPA.

4. Odbiorcy i podmioty przetwarzające

Dane są przekazywane wyłącznie osobom upoważnionym w ramach SYAGA CONSULTING oraz podmiotom przetwarzającym działającym na warunkach określonych w art. 28 RODO:

Żadne dane nie są sprzedawane ani przekazywane podmiotom trzecim w celach handlowych.

Dane mogą być przekazywane organom administracyjnym lub sądowym, gdy wymaga tego prawo.

5. Okresy przechowywania

Dane są przechowywane przez okres nieprzekraczający tego, który jest niezbędny do realizacji celów przetwarzania (art. 5.1.e RODO):

Kategoria danychOkres przechowywania
Surowe dane z audytu (ustalenia, token dostępu)Nothing is written to disk: your results live in memory only. They are deleted as soon as you tick the discharge box on your report, and in any event no later than 2 hours after the end of the scan (24 hours for the information you send us yourself).
Dane aktywnego konta klientaCzas trwania relacji umownej, a następnie usunięcie w terminie 30 dni po rozwiązaniu umowy
Dane rozliczeniowe i dokumenty księgowe10 lat od zamknięcia roku obrotowego (obowiązek prawny, art. L.123-22 francuskiego Kodeksu handlowego)
Dzienniki techniczne (logi połączeń)12 miesięcy (zalecenie CNIL)
Proof that you accepted our contractual documents (DPA, terms of sale, privacy policy) and that your Microsoft administrator authorised the read access5 years at most after the end of the contractual relationship. That is how long a claim can still be brought between businesses (French Commercial Code, art. L. 110-4; French Civil Code, art. 2224): beyond that, the proof serves no purpose and we have no reason to keep it.

What we keep, and what we never keep

Zero-knowledge covers what we must not know: the contents of your information system. It does not cover the fact that you are our customer, nor the proof that you authorised us to work. Those two things, the law requires us to be able to demonstrate (GDPR, art. 5.2 and 24.1).

We keep, within the retention periods above:

We never keep:

The dividing line, in one sentence: we keep what proves the work was authorised and invoiced; we keep nothing of what the work revealed.

You may ask us for a copy of the register entry concerning you, at the address given in section 10.

6. Transfery danych poza Unię Europejską

Infrastruktura hostująca Usługę SYAGA Audit znajduje się we Francji. Co do zasady SYAGA nie dokonuje żadnego transferu danych poza UE / EOG.

W odniesieniu do Microsoft: Administrator danych przyjmuje do wiadomości, że interfejs API Microsoft Graph jest obsługiwany przez Microsoft Corporation (Stany Zjednoczone). Ewentualne transfery danych z udziałem Microsoft są objęte jego standardowymi klauzulami umownymi zatwierdzonymi przez Komisję Europejską oraz, w stosownych przypadkach, uczestnictwem w ramach EU-U.S. Data Privacy Framework. Audytowane dane to dane własnego tenanta Microsoft 365 Klienta, przeglądane w trybie tylko do odczytu w jego imieniu za pośrednictwem Microsoft Graph. Microsoft działa jako dostawca Klienta. Ewentualne transfery z udziałem infrastruktury Microsoft są objęte standardowymi klauzulami umownymi zatwierdzonymi przez Komisję Europejską oraz uczestnictwem Microsoft w ramach EU-U.S. Data Privacy Framework.

Stripe Payments Europe, Limited dokonuje transferów poza UE, objętych mechanizmami zgodnymi z rozdziałem V RODO. Transfery do Stripe są objęte ramami EU-U.S. Data Privacy Framework, do których Stripe jest certyfikowany, a pomocniczo Standardowymi Klauzulami Umownymi Komisji Europejskiej (2021) włączonymi do Data Transfers Addendum Stripe.

7. Prawa osób, których dane dotyczą

Zgodnie z art. 15-22 RODO, każdej osobie, której dane dotyczą, przysługują następujące prawa:

Ważne w przypadku danych z audytu: w odniesieniu do danych konfiguracyjnych i metadanych tenanta żądania dotyczące wykonania praw należy kierować do klienta (administratora danych), który w razie potrzeby zwróci się do SYAGA (art. 28.3.e RODO).

Sposoby wykonania

Prawa te wykonuje się, kierując żądanie na adres dpo@syaga.eu lub listownie na adres SYAGA CONSULTING, 2 Impasse Paul Langevin, 13110 Port-de-Bouc. Odpowiedź udzielana jest w terminie jednego miesiąca (art. 12.3 RODO), z możliwością przedłużenia o dwa miesiące w przypadku złożoności sprawy.

Skarga do CNIL

Każda osoba, której dane dotyczą, ma prawo złożyć skargę do CNIL (art. 77 RODO):

CNIL -- 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 -- www.cnil.fr

8. Bezpieczeństwo danych (art. 32 RODO)

SYAGA wdraża odpowiednie środki techniczne i organizacyjne w celu zapewnienia poziomu bezpieczeństwa odpowiadającego ryzyku (art. 32 RODO):

Zgodność z wieloma referencjami

Środki bezpieczeństwa SYAGA Audit są zaprojektowane w sposób spójny z kilkoma uznanymi referencjami bezpieczeństwa. SYAGA nie rości sobie żadnej formalnej certyfikacji w oparciu o te referencje; środki są dostosowane do wymogów normy ISO/IEC 27001, przy czym proces certyfikacji został rozpoczęty, ale certyfikacja nie została jeszcze uzyskana; środki są dostosowane do i inspirowane przez następujące ramy:

SYAGA Audit pomaga właśnie swoim klientom mierzyć ich własną zgodność z tymi referencjami (RODO, NIS2, ANSSI) w ramach ich środowiska Microsoft 365.

9. Zmiany niniejszej polityki

Niniejsza Polityka może być aktualizowana w celu odzwierciedlenia zmian prawnych, regulacyjnych lub technicznych. Obowiązująca wersja jest publikowana pod adresem https://syaga.eu/confidentialite.html. W przypadku istotnej zmiany zarejestrowani użytkownicy zostaną poinformowani mailowo z odpowiednim wyprzedzeniem przed jej wejściem w życie.

10. Kontakt

W przypadku pytań dotyczących niniejszej polityki lub ochrony Państwa rzeczywistych danych:

Odniesienia prawne i dokumentacyjne