Strona główna Funkcje Bezpieczeństwo Jak to działa Cennik
Zaloguj się Uruchom bezpłatną diagnozę

Umowa powierzenia przetwarzania danych (DPA)

Informacja o języku. Dokument: Umowa powierzenia przetwarzania danych (DPA). Fragmenty wyświetlane w języku angielskim: 4 z 161. Wersja francuska tego dokumentu jest wersją referencyjną. Aby otrzymać wersję w swoim języku, napisz na adres contact@syaga.eu.

Zawarte na podstawie art. 28 Rozporządzenia (UE) 2016/679 (RODO) (źródło: gdpr-info.eu/art-28-gdpr)

Usługa objęta umową: SYAGA Audit, audyt bezpieczeństwa i zgodności Microsoft 365, tylko do odczytu

Wersja: 1.0 -- Data: 27 czerwca 2026 r. -- Data wejścia w życie: 27 czerwca 2026 r.

Identyfikacja Stron

Podmiot przetwarzający:

SYAGA CONSULTING, spółka z ograniczoną odpowiedzialnością (EURL) o kapitale 20 000 euro, wpisana do RCS Aix-en-Provence pod numerem SIREN 518 489 471, utworzona 08.12.2009, reprezentowana przez zarządzającego Sébastiena Questiera, z siedzibą pod adresem 2 Impasse Paul Langevin, 13110 Port-de-Bouc, wydawca usługi SYAGA Audit, zwana dalej Podmiotem przetwarzającym.

ORAZ

Administrator danych: Klient, który wykupił usługę SYAGA Audit na warunkach OWS dostępnych pod adresem cgu.html, którego dane kontaktowe są tymi podanymi przy rejestracji, zwany dalej Administratorem danych.

Zwane dalej łącznie Stronami.

Preambuła

Niniejsza Umowa powierzenia przetwarzania danych (DPA) zawarta jest na podstawie art. 28 RODO, który wymaga, aby przetwarzanie realizowane przez podmiot przetwarzający na rzecz administratora danych było regulowane umową określającą przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora danych.

Niniejsza DPA stanowi załącznik do Ogólnych Warunków Sprzedaży i Świadczenia Usług (OWS) SYAGA Audit (Umowa główna). W przypadku sprzeczności między niniejszą DPA a Umową główną w kwestii dotyczącej ochrony danych, niniejsza DPA ma pierwszeństwo. W przypadku sprzeczności dotyczącej ochrony danych osobowych, niniejsza DPA ma pierwszeństwo przed OWU.

Wykupując usługę SYAGA Audit, Klient akceptuje warunki niniejszej DPA. Akceptacja elektroniczna jest równoznaczna z akceptacją DPA zgodnie z przepisami mającymi zastosowanie do zawierania umów drogą elektroniczną.

Artykuł 1 -- Przedmiot i doktryna usługi

Niniejsza DPA określa warunki, na jakich Podmiot przetwarzający zobowiązuje się wykonywać, na rzecz i na udokumentowane polecenie Administratora danych, czynności przetwarzania danych osobowych niezbędne do świadczenia usługi SYAGA Audit.

SYAGA Audit przeprowadza audyt bezpieczeństwa i zgodności środowiska Microsoft 365 Administratora danych w trybie tylko do odczytu: Usługa nigdy nie zapisuje, nie modyfikuje ani nie usuwa żadnych danych w audytowanym tenancie.

The Processor applies a zero-knowledge doctrine: collection and pseudonymisation run in the Client's browser (extension). The Processor never receives the raw tenant data nor the Client's Microsoft access token: only pseudonymised fingerprints. Tokenised audit results are retained on the server side only for the periods set out in Article 2.3, for as long as the Client needs to download its files; they are re-contextualised in clear text only on the Client's own workstation, which alone keeps the durable copy.

Artykuł 2 -- Charakter, cel i czas trwania przetwarzania

2.1 Charakter operacji. Operacje obejmują: zbieranie (odczyt, najmniejsze uprawnienia) za pośrednictwem interfejsów API Microsoft, wykonywane przez rozszerzenie przeglądarki działające na stacji Klienta; lokalną pseudonimizację; analizę przez Podmiot przetwarzający wyłącznie pseudonimizowanych odcisków w świetle referencji bezpieczeństwa (ANSSI, rekomendacje Microsoft, RODO, NIS2); przekazanie w formie raportów rekontekstualizowanych na stacji Klienta.

2.2 Wyłączny cel. Celem jest ocena postawy bezpieczeństwa i zgodności tenanta Microsoft 365 Administratora danych oraz sporządzanie związanych z tym raportów z audytu. Żaden inny cel (marketing, profilowanie, ponowne wykorzystanie do własnych celów Podmiotu przetwarzającego) nie jest dozwolony.

2.3 Duration. The processing is carried out for the duration of the main Contract. Pseudonymised audit data is deleted as soon as the Controller gives the signal from its report (retrieval discharge), in accordance with the choice open to it under Article 28(3)(g) GDPR. Failing such signal, it is deleted automatically no later than two (2) hours after completion of the scan, that period being extended to twenty-four (24) hours for the sole data that the Controller supplies itself (company profile, answers to the declarative questionnaire). The Microsoft session token is encrypted at rest and its lifetime does not exceed fifty-eight (58) minutes; the technical token used during the scan expires no later than three (3) hours after it is issued. Billing data is retained for ten (10) years from the close of the financial year, pursuant to Article L. 123-22 of the French Commercial Code.

Artykuł 3 -- Kategorie przetwarzanych danych osobowych

Podmiot przetwarzający przetwarza następujące kategorie danych:

Wyraźne wyłączenia. Podmiot przetwarzający nie przetwarza treści wiadomości e-mail, plików ani dokumentów. Przetwarzane są wyłącznie metadane i dane konfiguracyjne.

Szczególne kategorie danych. Przetwarzanie nie ma za przedmiot przetwarzania szczególnych kategorii danych w rozumieniu art. 9 RODO. Administrator danych zobowiązuje się nie konfigurować usługi w sposób prowadzący do takiego przetwarzania.

Artykuł 4 -- Kategorie osób, których dane dotyczą

Osobami, których dane dotyczą, są posiadacze kont i tożsamości w ramach tenanta Microsoft 365 Administratora danych: pracownicy, kadra kierownicza, administratorzy, dostawcy i goście posiadający konto w audytowanym katalogu.

Artykuł 5 -- Udokumentowane polecenia Administratora danych

Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora danych (art. 28.3.a RODO), w tym w zakresie transferów do państwa trzeciego, chyba że wynika to z bezwzględnie obowiązującego przepisu prawa (w takim przypadku informuje o tym Administratora danych przed przetwarzaniem, chyba że prawo tego zabrania).

Niniejsza DPA, jej załączniki oraz OWS stanowią wstępne udokumentowane polecenia. Podmiot przetwarzający niezwłocznie informuje Administratora danych, jeśli uzna, że dane polecenie stanowi naruszenie RODO (art. 28.3, ostatni akapit RODO).

Artykuł 6 -- Poufność

Podmiot przetwarzający dba o to, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegały odpowiedniemu prawnemu obowiązkowi poufności (art. 28.3.b RODO) oraz otrzymały niezbędne szkolenie z zakresu ochrony danych. Zobowiązanie to trwa po zakończeniu funkcji oraz po wygaśnięciu niniejszej DPA.

Artykuł 7 -- Środki bezpieczeństwa (art. 32 RODO) i zgodność z referencjami

Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne w celu zapewnienia poziomu bezpieczeństwa odpowiadającego ryzyku (art. 32 RODO). Wdrożone środki obejmują w szczególności:

Zgodność z uznanymi ramami bezpieczeństwa

Powyższe środki są zaprojektowane w sposób spójny z następującymi referencjami. SYAGA nie rości sobie żadnej formalnej certyfikacji w oparciu o te referencje; środki są dostosowane do wymogów normy ISO/IEC 27001, przy czym proces certyfikacji został rozpoczęty, ale certyfikacja nie została jeszcze uzyskana; jest to zgodność funkcjonalna:

ReferencjaZnaczenie dla SYAGA AuditŹródło oficjalne
RODO (UE) 2016/679 Podstawa regulacyjna mająca bezpośrednie zastosowanie. Art. 32: środki techniczne i organizacyjne. Architektura efemeryczna to środek minimalizacji zgodny z art. 5.1.e. eur-lex.europa.eu CELEX:32016R0679
Dyrektywa NIS2 (UE) 2022/2555 Środki zarządzania ryzykiem cyberbezpieczeństwa (art. 21 NIS2): ciągłość działania, zarządzanie incydentami, bezpieczeństwo sieci, szyfrowanie. SYAGA Audit pomaga klientom oceniać ich własną zgodność z NIS2 w ich tenancie M365. SYAGA, której zatrudnienie i obrót pozostają poniżej progów podmiotów ważnych w rozumieniu dyrektywy (UE) 2022/2555 (50 pracowników lub 10 mln EUR), nie wchodzi w zakres podmiotów objętych NIS2. SYAGA Audit pomaga jednak swoim klientom mierzyć ich zgodność z tą referencją. eur-lex.europa.eu CELEX:32022L2555
Rozporządzenie DORA (UE) 2022/2554 Cyfrowa odporność operacyjna dla regulowanych podmiotów finansowych. SYAGA Audit może pomóc klientom z sektora finansowego udokumentować ich postawę DORA w swoim tenancie M365. Ponieważ SYAGA nie jest regulowanym podmiotem finansowym, DORA nie ma do niej bezpośredniego zastosowania; obowiązki umowne mogą mieć zastosowanie w indywidualnych przypadkach wobec klientów z sektora finansowego podlegających DORA. eur-lex.europa.eu CELEX:32022R2554
ISO/IEC 27001 Ramy SZBI: polityka bezpieczeństwa, zarządzanie ryzykiem, kontrola dostępu, szyfrowanie, rejestrowanie zdarzeń. Środki SYAGA Audit są dostosowane do odpowiednich kontroli ISO 27002. Środki SYAGA Audit są dostosowane do wymogów normy ISO/IEC 27001, przy czym proces certyfikacji został rozpoczęty, ale certyfikacja nie została jeszcze uzyskana. iso.org/standard/27001
Rekomendacje ANSSI Przewodnik higieny informatycznej, rekomendacje dotyczące bezpieczeństwa systemów informatycznych. Środki inspirowane rekomendacjami ANSSI w zakresie zarządzania kontami, szyfrowania i rejestrowania zdarzeń. SYAGA Audit ocenia konfiguracje M365 w świetle rekomendacji ANSSI. ssi.gouv.fr

Pełny opis środków technicznych i organizacyjnych znajduje się w Załączniku 1.

Artykuł 8 -- Korzystanie z dalszych podmiotów przetwarzających

Administrator danych upoważnia Podmiot przetwarzający do korzystania z dalszych podmiotów przetwarzających wymienionych w Załączniku 2. W przypadku każdego nowego podmiotu przetwarzającego lub jego zastąpienia, Podmiot przetwarzający informuje Administratora danych na piśmie co najmniej trzydzieści (30) dni przed wejściem zmiany w życie, przy czym Administrator danych dysponuje terminem trzydziestu (30) dni na wniesienie sprzeciwu z uzasadnionych powodów związanych z ochroną danych (art. 28.2 i 28.4 RODO). Te terminy i zasady mają zastosowanie, chyba że Strony uzgodnią inaczej.

Podmiot przetwarzający nakłada na dalszych podmiotów przetwarzających, na mocy umowy, te same obowiązki ochrony danych, które przewiduje niniejsza DPA (art. 28.4 RODO), i pozostaje w pełni odpowiedzialny wobec Administratora danych za ich wykonanie.

Artykuł 9 -- Wsparcie dla Administratora danych

9.1 Prawa osób, których dane dotyczą (art. 12-22 i 28.3.e RODO). Podmiot przetwarzający przekazuje niezwłocznie Administratorowi danych każde żądanie wykonania praw otrzymane bezpośrednio od osoby, której dane dotyczą, i wspiera go w udzieleniu odpowiedzi.

9.2 Bezpieczeństwo i DPIA (art. 32-36 i 28.3.f RODO). Podmiot przetwarzający wspiera Administratora danych w zakresie bezpieczeństwa przetwarzania, przeprowadzenia oceny skutków dla ochrony danych (DPIA), jeśli to konieczne, oraz uprzedniej konsultacji z CNIL, jeśli zajdzie taka potrzeba.

9.3 Naruszenia danych (art. 33 i 34 RODO). Podmiot przetwarzający zgłasza Administratorowi danych każde naruszenie ochrony danych w maksymalnym terminie czterdziestu ośmiu (48) godzin od jego wykrycia, tak szybko jak to możliwe, aby umożliwić Administratorowi danych dotrzymanie terminu 72 godzin przewidzianego w art. 33 RODO, przekazując informacje przydatne do ewentualnego zgłoszenia.

Artykuł 10 -- Losy danych po zakończeniu umowy

Po zakończeniu niniejszej DPA, Podmiot przetwarzający w terminie trzydziestu (30) dni od zakończenia umowy postępuje, zgodnie z wyborem Administratora danych zgłoszonym na piśmie (art. 28.3.g RODO):

Uwaga: ze względu na efemeryczną architekturę usługi, żadne dane z audytu nie są przechowywane po zakończeniu świadczenia usługi; przechowywane są wyłącznie dane rozliczeniowe, zgodnie z obowiązkami prawnymi (10 lat).

In accordance with the ephemeral architecture of the service, pseudonymised audit data is deleted as soon as the Controller gives the signal from its report (retrieval discharge), and failing that by automatic expiry within the periods set out in Article 2.3. The Processor provides, on request, a certificate of deletion.

Artykuł 11 -- Audyty i kontrole

Podmiot przetwarzający udostępnia Administratorowi danych wszystkie informacje niezbędne do wykazania przestrzegania obowiązków wynikających z art. 28 RODO i umożliwia przeprowadzenie audytów, w tym inspekcji (art. 28.3.h RODO).

Audyty podlegają następującym warunkom: pisemne powiadomienie z wyprzedzeniem co najmniej trzydziestu (30) dni roboczych, przeprowadzenie w godzinach pracy, maksymalna częstotliwość jednego (1) audytu na okres dwunastu (12) miesięcy, chyba że zachodzi okoliczność wyjątkowa (w szczególności potwierdzony incydent bezpieczeństwa), koszty ponosi Administrator danych, poufność uzyskanych informacji.

Artykuł 12 -- Transfery poza Unię Europejską

12.1 Główna lokalizacja. Dane są przetwarzane i hostowane we Francji. SYAGA CONSULTING jest podmiotem prawa francuskiego. Pośredniej ekspozycji na Cloud Act za pośrednictwem zewnętrznych dostawców nie można całkowicie wykluczyć; SYAGA ogranicza to ryzyko poprzez hosting we Francji (OVH SAS), a przede wszystkim poprzez pseudonimizację: usługa otrzymuje wyłącznie tokeny, nigdy Państwa dane w postaci jawnej.

12.2 Korzystanie z Microsoft. Administrator danych przyjmuje do wiadomości, że interfejs API Microsoft Graph jest obsługiwany przez Microsoft Corporation (Stany Zjednoczone). Transfery z udziałem Microsoft są objęte standardowymi klauzulami umownymi zatwierdzonymi przez Komisję Europejską oraz, w stosownych przypadkach, ramami EU-U.S. Data Privacy Framework. Audytowane dane to dane własnego tenanta Microsoft 365 Klienta, przeglądane w trybie tylko do odczytu w jego imieniu za pośrednictwem Microsoft Graph. Microsoft działa jako dostawca Klienta; SYAGA nie jest jego dalszym podmiotem przetwarzającym.

12.3 Ogólne gwarancje. Każdy transfer poza UE dokonywany przez Podmiot przetwarzający lub dalszy podmiot przetwarzający jest uzależniony od wdrożenia mechanizmu ważnego w rozumieniu rozdziału V RODO (decyzja stwierdzająca odpowiedni poziom ochrony, standardowe klauzule umowne lub inna odpowiednia gwarancja).

Artykuł 13 -- Kontakt w sprawie ochrony danych

Podmiot przetwarzający (SYAGA CONSULTING): punkt kontaktowy ds. ochrony danych -- dpo@syaga.eu. Wyznaczenie inspektora ochrony danych nie jest obowiązkowe w rozumieniu art. 37 RODO; osobą odpowiedzialną za ochronę danych jest zarządzający, Sébastien Questier, punkt kontaktowy w każdej sprawie dotyczącej danych osobowych.

Administrator danych: kontakt w sprawach RODO wyznaczony przez Klienta zgodnie z jego własnymi obowiązkami.

Artykuł 14 -- Czas trwania, zmiana i prawo właściwe

Niniejsza DPA wchodzi w życie w momencie wykupienia usługi SYAGA Audit i pozostaje w mocy przez cały czas trwania przetwarzania realizowanego na rzecz Administratora danych.

Każda istotna zmiana jest przedmiotem uprzedniego powiadomienia Administratora danych. Dalsze korzystanie z usługi po upływie terminu powiadomienia oznacza akceptację zmian. Te zasady wprowadzania zmian są zgodne z wymogami art. 28 RODO dla umów powierzenia przetwarzania.

Niniejsza DPA podlega prawu francuskiemu. Wszelki spór podlega właściwości sądów okręgu Aix-en-Provence, z zastrzeżeniem bezwzględnie obowiązujących przepisów mających zastosowanie do sporów transgranicznych.

Załącznik 1, szczegółowy opis przetwarzania i środków bezpieczeństwa (art. 32 RODO)

ParametrOpis
CeleAudyt bezpieczeństwa i zgodności M365, sporządzanie raportów
Kategorie danychMetadane konfiguracyjne, metadane tożsamości (UPN, nazwy), dzienniki bezpieczeństwa
Szczególne kategorie danych (art. 9)Żadne
Osoby, których dane dotycząKonta i tożsamości tenanta Microsoft 365 Klienta
Przechowywanie po stronie serweraRaw tenant data: never transmitted (pseudonymisation in the browser). Tokenised results: retained on the server side until the Client's discharge, and no later than 2 hours after the end of the scan (24 hours for data supplied by the Client itself). Billing data: 10 years from the close of the financial year (Article L. 123-22 of the French Commercial Code).
Miejsce przetwarzaniaFrancja (infrastruktura SYAGA CONSULTING)
Szyfrowanie w tranzycieTLS 1.2/1.3, wszystkie komunikacje; SPF/DKIM/DMARC
Token MicrosoftNigdy nie opuszcza przeglądarki Klienta; nigdy nie otrzymywane przez Podmiot przetwarzający
ArchitekturaZbieranie i pseudonimizacja przez rozszerzenie w przeglądarce Klienta; Podmiot przetwarzający analizuje wyłącznie odciski
Zarządzanie dostępemZasada najmniejszych uprawnień; uprawnienia imienne
Ochrona przed nadużyciamiLimit 2 audytów dziennie na tenant; ochrona anty-DDoS
Rejestrowanie zdarzeńMinimalne dzienniki techniczne eksploatacji i bezpieczeństwa, bez osobowych danych z audytu, przechowywane przez około 12 miesięcy zgodnie z zaleceniami CNIL.
Zgodność z referencjami bezpieczeństwaŚrodki dostosowane do RODO art. 32, ISO/IEC 27001 (proces certyfikacji został rozpoczęty, ale certyfikacja nie została jeszcze uzyskana), rekomendacji ANSSI.

Załącznik 2, lista autoryzowanych dalszych podmiotów przetwarzających

Dalszy podmiot przetwarzającyŚwiadczenieLokalizacjaGwarancje transferu
Microsoft Corporation Interfejs API Microsoft Graph, dostęp odczytu do danych konfiguracyjnych tenanta UE i Stany Zjednoczone (infrastruktura Microsoft) Microsoft działa jako dostawca Klienta (nie jest dalszym podmiotem przetwarzającym SYAGA). Transfery objęte standardowymi klauzulami umownymi WE oraz uczestnictwem Microsoft w ramach EU-U.S. Data Privacy Framework.
OVH SAS (hosting, Roubaix, Francja) Hosting platformy SYAGA Audit Francja Nie dotyczy (UE)
Stripe Payments Europe, Limited Płatność, wyłącznie dane rozliczeniowe Klienta (bez danych tenanta) Stany Zjednoczone / UE EU-U.S. Data Privacy Framework (Stripe certyfikowany) oraz, pomocniczo, Standardowe Klauzule Umowne WE (2021), Data Transfers Addendum Stripe.

Odniesienia prawne