Start Funktioner Säkerhet Så fungerar det Priser
Logga in Starta min gratis diagnos

Integritetspolicy

Information om språk. Dokument: Integritetspolicy. Avsnitt som visas på engelska: 18 av 154. Den franska versionen av detta dokument är referensversionen. Skriv till contact@syaga.eu för att få en version på ditt språk.

Version 1.0 - Senast uppdaterad: 25 juni 2026

Inledning

Syftet med denna integritetspolicy är att informera användare och kunder av tjänsten SYAGA Audit om hur deras personuppgifter samlas in, behandlas och skyddas, i enlighet med förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter (GDPR) och den ändrade franska lagen nr 78-17 av den 6 januari 1978 om dataregister och friheter (Informatique et Libertés).

SYAGA Audit är en tjänst för säkerhets- och efterlevnadsgranskning av Microsoft 365-miljöer, som verkar i skrivskyddat läge mot konfigurationer och metadata i kundens Microsoft 365-tenant. Tjänsten kommer inte åt innehållet i meddelanden, filer eller e-post hos användarna i den granskade tenanten, och sparar inga lösenord.

Detta dokument uppfyller informationsskyldigheten enligt artikel 13 (direkt insamling) och artikel 14 (indirekt insamling) i GDPR.

1. Den personuppgiftsansvariges identitet och kontaktuppgifter

Personuppgiftsansvarig för konto- och kundrelationsdata är:

SYAGA CONSULTING

Förhållandet personuppgiftsbiträde / personuppgiftsansvarig: för konfigurationsdata och metadata från Microsoft 365-tenanten som samlas in under granskningen agerar SYAGA som personuppgiftsbiträde i den mening som avses i artikel 28 i GDPR, medan kunden förblir personuppgiftsansvarig för sina egna M365-data. Denna policy omfattar det område där SYAGA agerar som personuppgiftsansvarig (konto-, faktura- och supportdata). Den behandling som utförs för kundens räkning regleras av personuppgiftsbiträdesavtalet (DPA).

Kontakt för dataskydd

För alla frågor om skydd av personuppgifter: dpo@syaga.eu

Att utse ett dataskyddsombud är inte obligatoriskt enligt artikel 37 i GDPR. Den personuppgiftsansvarige, i egenskap av verkställande direktör, är kontaktpunkten för alla frågor om personuppgifter.

2. Personuppgifter som samlas in

2.1 Konto- och kundrelationsdata

SYAGA samlar in, i egenskap av personuppgiftsansvarig:

2.2 Granskningsdata (konfiguration och metadata från Microsoft 365)

Inom ramen för granskningen kommer Tjänsten, i skrivskyddat läge och via API:et Microsoft Graph, åt konfigurationsdata och metadata i kundens M365-tenant, bland annat:

Vad Tjänsten inte samlar in: innehåll i e-post, filer, dokument, meddelanden, lösenord, känsliga uppgifter i den mening som avses i artikel 9 i GDPR.

Ephemeral architecture: the audit runs in memory inside a disposable scan container (no disk storage). Your results disappear at the earlier of two events: you tick the discharge box on your report page, once you have downloaded your files, and deletion is triggered by that action; failing that, by automatic expiry, no later than 2 hours after the end of the scan for your score, your findings and your report, and no later than 24 hours after you send them for the information you provide yourself (company profile, declarative questionnaire). The Microsoft session token is encrypted at rest (Fernet) and does not live longer than 58 minutes; the technical token used during the scan expires automatically no later than 3 hours after it is issued. You can revoke access at any time from your Microsoft Enterprise Applications, without asking us. SYAGA then retains only billing data, for 10 years from the close of the financial year, as the law requires of any company.

2.3 Cookies och spårare

Webbplatsen syaga.eu använder endast cookies som är strikt nödvändiga för Tjänstens funktion:

Ingen cookie för besöksstatistik (Google Analytics, Matomo eller motsvarande) och ingen reklamcookie placeras. Dessa strikt nödvändiga cookies är undantagna från krav på förhandssamtycke i enlighet med CNIL:s riktlinjer av den 4 juli 2023 (källa: cnil.fr -- cookies och spårare). En informationsnotis om dessa cookies är tillräcklig.

3. Ändamål och rättsliga grunder för behandlingen

I enlighet med artikel 6 i GDPR grundar sig varje behandling på en identifierad rättslig grund:

ÄndamålRättslig grund (Art. 6 GDPR)
Tillhandahållande och utförande av granskningstjänsten; skapande och hantering av kundkontotFullgörande av avtal -- Art. 6.1.b
Fakturering, bokföring, indrivningLagstadgad skyldighet (den franska handelslagen art. L.123-22) och fullgörande av avtal -- Art. 6.1.c och 6.1.b
Support och teknisk assistansFullgörande av avtal -- Art. 6.1.b
Tjänstens säkerhet, förebyggande av bedrägeri, loggningBerättigat intresse -- Art. 6.1.f
Strikt nödvändiga cookiesUndantagna från samtyckeskrav (CNIL:s riktlinjer)

För granskningsdata från tenanten (avsnitt 2.2) agerar SYAGA på kundens instruktion (personuppgiftsansvarig). Se DPA.

4. Mottagare och personuppgiftsbiträden

Uppgifterna lämnas endast ut till behöriga personer inom SYAGA CONSULTING samt till personuppgiftsbiträden som agerar enligt villkoren i artikel 28 i GDPR:

Ingen data säljs eller överlåts till tredje part i kommersiellt syfte.

Uppgifterna kan lämnas ut till förvaltningsmyndigheter eller domstolar när lagen kräver det.

5. Lagringstider

Uppgifterna sparas inte längre än vad som är nödvändigt för de ändamål de samlats in för (art. 5.1.e GDPR):

DatakategoriLagringstid
Rådata från granskningen (findings, åtkomsttoken)Nothing is written to disk: your results live in memory only. They are deleted as soon as you tick the discharge box on your report, and in any event no later than 2 hours after the end of the scan (24 hours for the information you send us yourself).
Data för aktivt kundkontoUnder avtalsförhållandets löptid, därefter radering inom 30 dagar efter uppsägning
Faktureringsdata och räkenskapshandlingar10 år från räkenskapsårets utgång (lagstadgad skyldighet, art. L.123-22 i den franska handelslagen)
Tekniska loggar (anslutningsloggar)12 månader (CNIL:s rekommendation)
Proof that you accepted our contractual documents (DPA, terms of sale, privacy policy) and that your Microsoft administrator authorised the read access5 years at most after the end of the contractual relationship. That is how long a claim can still be brought between businesses (French Commercial Code, art. L. 110-4; French Civil Code, art. 2224): beyond that, the proof serves no purpose and we have no reason to keep it.

What we keep, and what we never keep

Zero-knowledge covers what we must not know: the contents of your information system. It does not cover the fact that you are our customer, nor the proof that you authorised us to work. Those two things, the law requires us to be able to demonstrate (GDPR, art. 5.2 and 24.1).

We keep, within the retention periods above:

We never keep:

The dividing line, in one sentence: we keep what proves the work was authorised and invoiced; we keep nothing of what the work revealed.

You may ask us for a copy of the register entry concerning you, at the address given in section 10.

6. Dataöverföringar utanför Europeiska unionen

Infrastrukturen som driftar tjänsten SYAGA Audit finns i Frankrike. I princip görs ingen dataöverföring utanför EU/EES av SYAGA.

Angående Microsoft: den personuppgiftsansvarige är medveten om att API:et Microsoft Graph drivs av Microsoft Corporation (USA). Eventuella överföringar som involverar Microsoft regleras av Microsofts standardavtalsklausuler godkända av Europeiska kommissionen och, i förekommande fall, av Microsofts deltagande i ramverket EU-U.S. Data Privacy Framework. De data som granskas är Kundens egen Microsoft 365-tenant, som läses för Kundens räkning via Microsoft Graph. Microsoft agerar som Kundens leverantör. Eventuella överföringar som involverar Microsofts infrastruktur regleras av standardavtalsklausulerna godkända av Europeiska kommissionen och Microsofts deltagande i ramverket EU-U.S. Data Privacy Framework.

Stripe Payments Europe, Limited genomför överföringar utanför EU som regleras av mekanismer i enlighet med kapitel V i GDPR. Överföringar till Stripe regleras av EU-U.S. Data Privacy Framework, som Stripe är certifierat enligt, och i andra hand av Europeiska kommissionens standardavtalsklausuler (2021) som ingår i Stripes Data Transfers Addendum.

7. De registrerades rättigheter

I enlighet med artiklarna 15-22 i GDPR har varje registrerad person följande rättigheter:

Viktigt gällande granskningsdata: för konfigurationsdata och metadata i tenanten ska begäranden om att utöva sina rättigheter riktas till kunden (personuppgiftsansvarig), som vid behov vänder sig till SYAGA (art. 28.3.e GDPR).

Så utövar du dina rättigheter

Dessa rättigheter utövas genom att skicka en begäran till dpo@syaga.eu eller per post till SYAGA CONSULTING, 2 Impasse Paul Langevin, 13110 Port-de-Bouc. Svar lämnas inom en månad (art. 12.3 GDPR), vilket kan förlängas med två månader vid komplexa ärenden.

Klagomål till CNIL

Varje registrerad person har rätt att lämna in ett klagomål till CNIL (art. 77 GDPR):

CNIL -- 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 -- www.cnil.fr

8. Datasäkerhet (art. 32 GDPR)

SYAGA vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är anpassad till risken (art. 32 GDPR):

Koppling till flera regelverk

Säkerhetsåtgärderna i SYAGA Audit är utformade i linje med flera erkända säkerhetsramverk. SYAGA gör inte anspråk på någon formell certifiering mot dessa ramverk. Åtgärderna är i linje med kraven i standarden ISO/IEC 27001, ett certifieringsarbete har inletts, utan att någon certifiering har erhållits i dagsläget. Åtgärderna är i linje med och inspirerade av dessa ramverk:

SYAGA Audit hjälper just sina kunder att mäta sin egen efterlevnad av dessa regelverk (GDPR, NIS2, ANSSI) i sin Microsoft 365-miljö.

9. Ändringar av denna policy

Denna policy kan komma att uppdateras för att spegla ändringar i lagstiftning, regelverk eller teknik. Den gällande versionen är den som publiceras på https://syaga.eu/confidentialite.html. Vid en väsentlig ändring informeras registrerade användare via e-post inom rimlig tid innan ändringarna träder i kraft.

10. Kontakt

För frågor om denna policy eller om skyddet av dina uppgifter:

Rättsliga och dokumentära referenser