GDPR ja tietojenkäsittely
Ylläpitäjä: Aether365-tiimi Kohderyhmä: Tietosuojavastaavat ja lakitiimit Laajuus: GDPR-roolit, rekisteröityjen oikeudet ja Aether365:n vaatimustenmukaisuussitoumukset
Aether365 on suunniteltu auttamaan organisaatioita GDPR-velvoitteiden noudattamisessa, mutta SaaS-alustana se myös käsittelee henkilötietoja puolestasi. Tämä sivu selittää käsittelyn oikeusperustan, oikeutesi ja miten niitä käytetään.
Roolit GDPR:n mukaan
| Rooli | Osapuoli | Laajuus |
|---|---|---|
| Rekisterinpitäjä | Organisaatiosi | Sinä määrität käsittelyn tarkoitukset ja keinot (valitsit yhdistää M365-vuokralaisesi Aether365:een) |
| Henkilötietojen käsittelijä | Aether365 | Käsittelemme tietoja ohjeidesi mukaisesti (suoritamme tietoturvatarkistuksia vuokralaistasi vasten) |
| Alikäsittelijä | Pilvi-infrastruktuurin tarjoajamme, Stripe jne. | Käsittelevät tietoja Aether365:n puolesta - katso Tietojen sijainti |
Käsittelyn oikeusperusta
Aether365 käsittelee henkilötietoja seuraavilla oikeusperusteilla:
| Käsittelytoiminto | Oikeusperusta | Huomiot |
|---|---|---|
| Tilin luominen ja hallinta | Sopimuksen täyttäminen (Art. 6(1)(b)) | Välttämätöntä palvelun toimittamiseksi |
| Microsoft 365 -kokoonpanon skannaus | Sopimuksen täyttäminen (Art. 6(1)(b)) | Palvelun ydintoiminto |
| Microsoft Graph -tietojen lukeminen | Oikeutettu etu (Art. 6(1)(f)) | Tietoturvaskannaus edellyttää kokoonpanotietojen lukemista |
| Skannausraporttien sähköpostilähetys | Sopimuksen täyttäminen | Olet määrittänyt sähköposti-ilmoitukset |
| Laskutus ja maksunkäsittely | Sopimuksen täyttäminen | Välttämätöntä maksullisille suunnitelmille |
Käsiteltävät henkilötiedot
Kun Aether365 skannaa Microsoft 365 -vuokralaistasi, se voi lukea kokoonpanotietoja, jotka sisältävät henkilötunnisteita:
- User Principal Names (UPN) - Sähköpostiosoitteet, joita käytetään tunnisteina käytäntömäärityksissä
- Object ID:t - Microsoft Entra -tunnisteet käyttäjille, ryhmille ja palvelutunnuksille
- Näyttönimet - Käyttäjien ja ryhmien näyttönimet roolimäärityskonteksteissa
Näitä tietoja käytetään ainoastaan tietoturvatarkistusten arviointiin ja ne tallennetaan osana skannaustuloksia. Niitä ei käytetä mihinkään muuhun tarkoitukseen.
Ei AI:ta tai automaattista profilointia
Aether365 ei käytä tekoälyä tai koneoppimista vuokralaisestasi luettujen henkilötietojen käsittelyyn. Kokoonpanotietojasi ja skannaustuloksiasi ei koskaan lähetetä mihinkään AI- tai suurten kielimallien palveluun, käytetä AI-mallien koulutukseen tai aseteta automaattisen päätöksenteon tai profiloinnin kohteeksi GDPR:n Article 22:n tarkoittamassa merkityksessä.
Rekisteröidyn oikeudet
Rekisterinpitäjänä organisaatiosi vastaa Microsoft 365 -käyttäjiesi rekisteröityjen pyyntöihin vastaamisesta. Aether365 tallentaa ainoastaan kokoonpanotietoja - yksittäisten sähköpostien sisältöä, henkilökohtaisia asiakirjoja tai henkilökohtaista kirjeenvaihtoa ei koskaan käsitellä.
Oman Aether365-tilisi rekisteröitynä (sähköpostiosoitteesi ja tilitietosi) sinulla on seuraavat oikeudet GDPR:n mukaan:
| Oikeus | Miten käytetään |
|---|---|
| Pääsy (Art. 15) | Sähköposti osoitteeseen privacy@aether365.io |
| Oikaisu (Art. 16) | Päivitä tilisi Asetuksissa tai lähetä meille sähköpostia |
| Poistaminen (Art. 17) | Sähköposti osoitteeseen privacy@aether365.io tilin täydellisen poiston pyytämiseksi |
| Siirrettävyys (Art. 20) | Vie skannaustietosi CSV:nä tai API:n kautta, tai pyydä täydellinen tietojen vienti sähköpostitse |
| Rajoittaminen (Art. 18) | Sähköposti osoitteeseen privacy@aether365.io |
| Vastustaminen (Art. 21) | Sähköposti osoitteeseen privacy@aether365.io |
Vastaamme kaikkiin rekisteröityjen pyyntöihin 30 päivän kuluessa.
Tietojenkäsittelysopimus
Tietojenkäsittelysopimus (DPA) on saatavilla Pro- ja Enterprise-suunnitelmien asiakkaille. DPA:
- Dokumentoi Aether365:n velvoitteet henkilötietojen käsittelijänä
- Määrittelee tekniset ja organisatoriset turvatoimet
- Listaa alikäsittelijät ja niiden sijainnit
- Määrittelee menettelyt rekisteröityjen pyynnöille, tietoturvaloukkauksille ja tarkastusoikeuksille
DPA:n saamiseksi lähetä sähköpostia osoitteeseen privacy@aether365.io. Enterprise-asiakkailla DPA sisältyy sopimukseen; Pro-asiakkaat voivat pyytää sen ilman lisäkustannuksia.
Tietoturvaloukkausilmoitus
Henkilötietojen tietoturvaloukkauksen sattuessa Aether365 ilmoittaa sinulle ilman aiheetonta viivästystä ja viimeistään 72 tuntia loukkauksen havaitsemisen jälkeen GDPR:n artiklan 33 mukaisesti.
Ilmoitukset lähetetään tilin omistajan sähköpostiosoitteeseen. Enterprise-asiakkaat voivat nimetä erillisen turvallisuusyhteyshenkilön osoitteen.
Tietoturvatapahtuman raportoimiseksi: security@aether365.io
Valvontaviranomainen
Aether365 on rekisteröity EU:ssa. Johtava valvontaviranomaisemme on Ruotsin yksityisyydensuojaviranomainen (IMY - Integritetsskyddsmyndigheten).
Sinulla on oikeus tehdä valitus paikalliselle valvontaviranomaisellesi, jos katsot, että olemme käsitelleet tietojasi lainvastaisesti.