GDPR og databehandling
Aether365 er designet til at hjaelpe organisationer med GDPR-forpligtelser, men som SaaS-platform behandler den ogsaa personoplysninger paa dine vegne. Denne side forklarer retsgrundlaget for behandling, dine rettigheder, og hvordan du udoever dem.
Roller under GDPR
| Rolle | Part | Omfang |
|---|---|---|
| Dataansvarlig | Din organisation | Du bestemmer formaalene med og midlerne til behandling (du valgte at forbinde din M365-tenant til Aether365) |
| Databehandler | Aether365 | Vi behandler data efter dine instruktioner (koerer sikkerhedskontroller mod din tenant) |
| Underdatabehandler | Vores cloud-infrastrukturudbyder, Stripe m.fl. | Behandler data paa Aether365's vegne - se Dataopbevaring |
Retsgrundlag for behandling
Aether365 behandler personoplysninger paa foelgende retsgrundlag:
| Behandlingsaktivitet | Retsgrundlag | Noter |
|---|---|---|
| Kontooprettelse og -administration | Kontraktopfyldelse (art. 6, stk. 1, litra b) | Noedvendigt for at levere tjenesten |
| Scanning af Microsoft 365-konfiguration | Kontraktopfyldelse (art. 6, stk. 1, litra b) | Kernetjenestefunktion |
| Laesning af Microsoft Graph-data | Legitim interesse (art. 6, stk. 1, litra f) | Sikkerhedsscanning kraever laesning af konfigurationsdata |
| Afsendelse af scanningsrapport-e-mails | Kontraktopfyldelse | Du konfigurerede e-mailnotifikationer |
| Fakturering og betalingsbehandling | Kontraktopfyldelse | Noedvendigt for betalte planer |
Behandlede personoplysninger
Naar Aether365 scanner din Microsoft 365-tenant, kan den laese konfigurationsdata, der indeholder personlige identifikatorer:
- User Principal Names (UPN'er) - E-mailadresser brugt som identifikatorer i politiktildelinger
- Objekt-ID'er - Microsoft Entra-ID'er for brugere, grupper og tjenesteprincipaler
- Visningsnavne - Bruger- og gruppevisningsnavne i rolletildelingssammenhaenge
Disse data bruges udelukkende til at evaluere sikkerhedskontroller og gemmes som en del af scanningsresultater. De bruges ikke til andre formaal.
Ingen AI eller automatisk profilering
Aether365 anvender ikke kunstig intelligens eller maskinlaering til at behandle de personoplysninger, der laeses fra din tenant. Dine konfigurationsdata og scanningsresultater sendes aldrig til nogen AI-tjeneste eller stor sprogmodel, bruges ikke til at traene AI-modeller og underkastes ikke automatiske afgoerelser eller profilering som omhandlet i GDPR Article 22.
Den registreredes rettigheder
Som dataansvarlig er din organisation ansvarlig for at besvare anmodninger fra registrerede fra dine Microsoft 365-brugere. Aether365 gemmer kun konfigurationsdata - individuelt e-mailindhold, personlige dokumenter eller personlig korrespondance behandles aldrig.
Som registreret for din egen Aether365-konto (din e-mailadresse og kontodata) har du foelgende rettigheder under GDPR:
| Rettighed | Saaledes udoeves den |
|---|---|
| Adgang (art. 15) | Send e-mail til privacy@aether365.io |
| Berigtigelse (art. 16) | Opdatér din konto under Indstillinger, eller send os en e-mail |
| Sletning (art. 17) | Send e-mail til privacy@aether365.io for at anmode om fuld kontosletning |
| Portabilitet (art. 20) | Eksportér dine scanningsdata via CSV eller API, eller anmod om fuld dataeksport via e-mail |
| Begraensning (art. 18) | Send e-mail til privacy@aether365.io |
| Indsigelse (art. 21) | Send e-mail til privacy@aether365.io |
Vi besvarer alle anmodninger fra registrerede inden for 30 dage.
Databehandleraftale
En databehandleraftale (DPA) er tilgaengelig for kunder paa Pro- og Enterprise-planerne. DPA'en:
- Dokumenterer Aether365's forpligtelser som databehandler
- Specificerer tekniske og organisatoriske sikkerhedsforanstaltninger
- Opremser underdatabehandlere og deres placeringer
- Definerer procedurer for anmodninger fra registrerede, databrud og revisionsrettigheder
For at modtage DPA'en, send en e-mail til privacy@aether365.io. Enterprise-kunder har DPA'en inkluderet i deres kontrakt; Pro-kunder kan rekvirere den uden ekstra omkostninger.
Underretning om databrud
I tilfaelde af et brud paa personoplysninger, der paavirker dine data, vil Aether365 underrette dig uden unoedig forsinkelse og senest 72 timer efter at vaere blevet opmærksom paa bruddet, i overensstemmelse med GDPR artikel 33.
Underretninger sendes til kontoindehaverens e-mailadresse. Enterprise-kunder kan udpege en separat sikkerhedskontaktadresse.
For at rapportere en sikkerhedshaendelse: security@aether365.io
Tilsynsmyndighed
Aether365 er registreret i EU. Vores ledende tilsynsmyndighed er den svenske myndighed for beskyttelse af privatlivets fred (IMY - Integritetsskyddsmyndigheten).
Du har ret til at indgive en klage til din lokale tilsynsmyndighed, hvis du mener, at vi har behandlet dine data ulovligt.