Início Funcionalidades Segurança Como funciona Preços
Iniciar sessão Iniciar o meu diagnóstico gratuito

Política de Privacidade

Aviso sobre o idioma. Documento: Política de Privacidade. Passagens apresentadas em inglês: 18 de 154. A versão francesa deste documento é a versão de referência. Para obter uma versão no seu idioma, escreva para contact@syaga.eu.

Versão 1.0 - Última atualização: 25 de junho de 2026

Preâmbulo

A presente Política de Privacidade tem por objetivo informar os utilizadores e clientes do serviço SYAGA Audit sobre a forma como os seus dados reais pessoais são recolhidos, tratados e protegidos, em conformidade com o Regulamento (UE) 2016/679, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais (RGPD) e com a lei francesa n.º 78-17, de 6 de janeiro de 1978, alterada, relativa à informática, aos ficheiros e às liberdades.

A SYAGA Audit é um serviço de auditoria de segurança e de conformidade do ambiente Microsoft 365, que opera em modo de leitura apenas sobre as configurações e os metadados do tenant Microsoft 365 do cliente. O Serviço não acede ao conteúdo das mensagens, ficheiros ou e-mails dos utilizadores do tenant auditado, e não armazena qualquer palavra-passe.

O presente documento satisfaz a obrigação de informação prevista nos artigos 13.º (recolha direta) e 14.º (recolha indireta) do RGPD.

1. Identidade e dados de contacto do responsável pelo tratamento

O responsável pelo tratamento dos dados de conta e de gestão da relação com o cliente é:

SYAGA CONSULTING

Articulação subcontratante / responsável pelo tratamento: para os dados de configuração e metadados do tenant Microsoft 365 recolhidos durante a auditoria, a SYAGA atua na qualidade de subcontratante na aceção do artigo 28.º do RGPD, permanecendo o cliente responsável pelo tratamento dos seus próprios dados M365. A presente política abrange o âmbito para o qual a SYAGA atua na qualidade de responsável pelo tratamento (dados de conta, faturação, apoio). O tratamento realizado por conta do cliente é regido pelo Acordo de Tratamento de Dados (DPA).

Contacto para a proteção de dados

Para qualquer pedido relativo à proteção de dados: dpo@syaga.eu

A designação de um encarregado da proteção de dados não é obrigatória na aceção do artigo 37.º do RGPD; o responsável pelo tratamento, na pessoa do gerente, é o ponto de contacto para qualquer questão relativa aos dados pessoais.

2. Dados pessoais recolhidos

2.1 Dados de conta e de gestão da relação com o cliente

A SYAGA recolhe, na qualidade de responsável pelo tratamento:

2.2 Dados de auditoria (configuração e metadados Microsoft 365)

No âmbito da auditoria, o Serviço acede, em modo de leitura apenas, através da API Microsoft Graph, aos dados de configuração e metadados do tenant M365 do cliente, nomeadamente:

O que o Serviço não recolhe: conteúdo dos e-mails, ficheiros, documentos, mensagens, palavras-passe, dados sensíveis na aceção do artigo 9.º do RGPD.

Ephemeral architecture: the audit runs in memory inside a disposable scan container (no disk storage). Your results disappear at the earlier of two events: you tick the discharge box on your report page, once you have downloaded your files, and deletion is triggered by that action; failing that, by automatic expiry, no later than 2 hours after the end of the scan for your score, your findings and your report, and no later than 24 hours after you send them for the information you provide yourself (company profile, declarative questionnaire). The Microsoft session token is encrypted at rest (Fernet) and does not live longer than 58 minutes; the technical token used during the scan expires automatically no later than 3 hours after it is issued. You can revoke access at any time from your Microsoft Enterprise Applications, without asking us. SYAGA then retains only billing data, for 10 years from the close of the financial year, as the law requires of any company.

2.3 Cookies e traçadores

O sítio syaga.eu utiliza apenas cookies estritamente necessários ao funcionamento do Serviço:

Não é colocado nenhum cookie de medição de audiência (Google Analytics, Matomo ou equivalente) nem qualquer cookie publicitário. Estes cookies estritamente necessários estão isentos de consentimento prévio, em conformidade com as diretrizes da CNIL de 4 de julho de 2023 (fonte: cnil.fr - cookies e traçadores). Um aviso informativo sobre estes cookies é suficiente.

3. Finalidades e bases jurídicas do tratamento

Em conformidade com o artigo 6.º do RGPD, cada tratamento assenta numa base jurídica identificada:

FinalidadeBase jurídica (Art. 6.º do RGPD)
Fornecimento e execução do Serviço de auditoria; criação e gestão da conta de clienteExecução do contrato - Art. 6.º, n.º 1, alínea b)
Faturação, contabilidade, cobrançaObrigação legal (Código Comercial francês, art. L.123-22) e execução do contrato - Art. 6.º, n.º 1, alíneas c) e b)
Apoio e assistência técnicaExecução do contrato - Art. 6.º, n.º 1, alínea b)
Segurança do Serviço, prevenção da fraude, registo de eventosInteresse legítimo - Art. 6.º, n.º 1, alínea f)
Cookies estritamente necessáriosIsentos de consentimento (diretrizes da CNIL)

Para os dados de auditoria do tenant (secção 2.2), a SYAGA atua por instrução do cliente (responsável pelo tratamento). Ver o DPA.

4. Destinatários e subcontratantes

Os dados só são comunicados às pessoas habilitadas dentro da SYAGA CONSULTING, bem como aos subcontratantes que intervêm nas condições do artigo 28.º do RGPD:

Nenhum dado é vendido nem cedido a terceiros para fins comerciais.

Os dados podem ser comunicados a autoridades administrativas ou judiciais quando a lei o exigir.

5. Prazos de conservação

Os dados são conservados por um prazo que não excede o necessário para as finalidades prosseguidas (art. 5.º, n.º 1, alínea e), do RGPD):

Categoria de dadosPrazo de conservação
Dados brutos de auditoria (findings, token de acesso)Nothing is written to disk: your results live in memory only. They are deleted as soon as you tick the discharge box on your report, and in any event no later than 2 hours after the end of the scan (24 hours for the information you send us yourself).
Dados de conta de cliente ativoDuração da relação contratual, seguida de eliminação no prazo de 30 dias após a resolução
Dados de faturação e documentos contabilísticos10 anos a contar do encerramento do exercício (obrigação legal, art. L.123-22 do Código Comercial francês)
Registos técnicos (logs de ligação)12 meses (recomendação da CNIL)
Proof that you accepted our contractual documents (DPA, terms of sale, privacy policy) and that your Microsoft administrator authorised the read access5 years at most after the end of the contractual relationship. That is how long a claim can still be brought between businesses (French Commercial Code, art. L. 110-4; French Civil Code, art. 2224): beyond that, the proof serves no purpose and we have no reason to keep it.

What we keep, and what we never keep

Zero-knowledge covers what we must not know: the contents of your information system. It does not cover the fact that you are our customer, nor the proof that you authorised us to work. Those two things, the law requires us to be able to demonstrate (GDPR, art. 5.2 and 24.1).

We keep, within the retention periods above:

We never keep:

The dividing line, in one sentence: we keep what proves the work was authorised and invoiced; we keep nothing of what the work revealed.

You may ask us for a copy of the register entry concerning you, at the address given in section 10.

6. Transferências de dados para fora da União Europeia

A infraestrutura que aloja o Serviço SYAGA Audit está localizada em França. Em princípio, a SYAGA não realiza qualquer transferência de dados para fora da UE / EEE.

Relativamente à Microsoft: o Responsável pelo tratamento reconhece que a API Microsoft Graph é operada pela Microsoft Corporation (Estados Unidos). As eventuais transferências que envolvam a Microsoft são enquadradas pelas suas cláusulas contratuais-tipo aprovadas pela Comissão Europeia e, se aplicável, pela sua participação no EU-U.S. Data Privacy Framework. Os dados auditados são os do próprio tenant Microsoft 365 do Cliente, consultados em modo de leitura apenas por conta deste, através do Microsoft Graph. A Microsoft atua como fornecedora do Cliente. As eventuais transferências que envolvam a infraestrutura Microsoft são enquadradas pelas cláusulas contratuais-tipo aprovadas pela Comissão Europeia e pela participação da Microsoft no EU-U.S. Data Privacy Framework.

A Stripe Payments Europe, Limited efetua transferências fora da UE enquadradas por mecanismos conformes com o capítulo V do RGPD. As transferências para a Stripe são enquadradas pelo EU-U.S. Data Privacy Framework, ao qual a Stripe está certificada, e, subsidiariamente, pelas Cláusulas Contratuais-Tipo da Comissão Europeia (2021) integradas no Data Transfers Addendum da Stripe.

7. Direitos dos titulares dos dados

Em conformidade com os artigos 15.º a 22.º do RGPD, qualquer titular dos dados dispõe dos seguintes direitos:

Importante para os dados de auditoria: para os dados de configuração e metadados do tenant, os pedidos de exercício de direitos devem ser dirigidos ao cliente (responsável pelo tratamento), que solicitará a SYAGA se necessário (art. 28.º, n.º 3, alínea e), do RGPD).

Modalidades de exercício

Estes direitos exercem-se dirigindo um pedido para dpo@syaga.eu ou por correio para SYAGA CONSULTING, 2 Impasse Paul Langevin, 13110 Port-de-Bouc, França. É dada resposta no prazo de um mês (art. 12.º, n.º 3, do RGPD), prorrogável por dois meses em caso de complexidade.

Reclamação junto da CNIL

Qualquer titular dos dados dispõe do direito de apresentar reclamação junto da CNIL (art. 77.º do RGPD):

CNIL - 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, França - www.cnil.fr

8. Segurança dos dados (art. 32.º do RGPD)

A SYAGA implementa medidas técnicas e organizativas adequadas para assegurar um nível de segurança ajustado ao risco (art. 32.º do RGPD):

Alinhamento multirreferencial

As medidas de segurança da SYAGA Audit são concebidas em coerência com vários referenciais de segurança reconhecidos. A SYAGA não reivindica nenhuma certificação formal sobre estes referenciais; as medidas estão alinhadas com as exigências da norma ISO/IEC 27001, estando em curso um processo de certificação, sem certificação obtida até à data; as medidas estão alinhadas com e inspiradas em estes quadros:

A SYAGA Audit ajuda precisamente os seus clientes a medir a sua própria conformidade com estes referenciais (RGPD, NIS2, ANSSI) dentro do seu ambiente Microsoft 365.

9. Alterações à presente política

A presente Política pode ser atualizada para refletir a evolução legal, regulamentar ou técnica. A versão em vigor é a publicada em https://syaga.eu/confidentialite.html. Em caso de alteração substancial, os utilizadores registados serão informados por e-mail dentro de um prazo razoável antes da entrada em vigor das alterações.

10. Contacto

Para qualquer questão relativa à presente política ou à proteção dos seus dados reais:

Referências legais e documentais