GDPR og databehandling
Vedlikeholdt av: Aether365 Team Målgruppe: Personvernombud og juridiske team Omfang: GDPR-roller, registrertes rettigheter og Aether365 sine samsvarsforpliktelser
Aether365 er designet for å hjelpe organisasjoner med GDPR-forpliktelser, men som SaaS-plattform behandler den også personopplysninger på dine vegne. Denne siden forklarer det rettslige grunnlaget for behandling, dine rettigheter og hvordan du kan utøve dem.
Roller under GDPR
| Rolle | Part | Omfang |
|---|---|---|
| Behandlingsansvarlig | Din organisasjon | Du bestemmer formålene og midlene for behandling (du valgte å koble M365-leietakeren din til Aether365) |
| Databehandler | Aether365 | Vi behandler data på dine instruksjoner (kjører sikkerhetssjekker mot leietakeren din) |
| Underdatabehandler | Vår skyinfrastrukturleverandør, Stripe osv. | Behandler data på vegne av Aether365 - se Datalagring |
Rettslig grunnlag for behandling
Aether365 behandler personopplysninger under følgende rettslige grunnlag:
| Behandlingsaktivitet | Rettslig grunnlag | Merknader |
|---|---|---|
| Kontooppretting og -administrasjon | Kontraktsoppfyllelse (Art. 6(1)(b)) | Påkrevd for å levere tjenesten |
| Skanning av Microsoft 365-konfigurasjon | Kontraktsoppfyllelse (Art. 6(1)(b)) | Kjernetjenestefunksjon |
| Lesing av Microsoft Graph-data | Berettiget interesse (Art. 6(1)(f)) | Sikkerhetsskanning krever lesing av konfigurasjonsdata |
| Sending av skannerapport-e-poster | Kontraktsoppfyllelse | Du konfigurerte e-postvarsler |
| Fakturering og betalingsbehandling | Kontraktsoppfyllelse | Påkrevd for betalte planer |
Personopplysninger som behandles
Når Aether365 skanner Microsoft 365-leietakeren din, kan den lese konfigurasjonsdata som inkluderer personlige identifikatorer:
- User Principal Names (UPNer) - E-postadresser brukt som identifikatorer i policytildelinger
- Objekt-IDer - Microsoft Entra-IDer for brukere, grupper og service principals
- Visningsnavn - Bruker- og gruppevisningsnavn i rolletildelingssammenhenger
Disse dataene brukes kun til å evaluere sikkerhetssjekker og lagres som en del av skanneresultatene. De brukes ikke til noe annet formål.
Ingen AI eller automatisert profilering
Aether365 bruker ikke kunstig intelligens eller maskinlæring til å behandle personopplysningene som leses fra leietakeren din. Konfigurasjonsdataene og skanneresultatene dine sendes aldri til noen AI- eller språkmodelltjeneste, brukes ikke til å trene AI-modeller, og underlegges ikke automatiserte avgjørelser eller profilering i betydningen til GDPR Article 22.
Registrertes rettigheter
Som behandlingsansvarlig er din organisasjon ansvarlig for å svare på forespørsler fra registrerte fra Microsoft 365-brukerne dine. Aether365 lagrer kun konfigurasjonsdata - individuelt e-postinnhold, personlige dokumenter eller personlig korrespondanse behandles aldri.
Som den registrerte for din egen Aether365-konto (e-postadressen og kontodataene dine) har du følgende rettigheter under GDPR:
| Rettighet | Hvordan utøve |
|---|---|
| Innsyn (Art. 15) | Send e-post til privacy@aether365.io |
| Retting (Art. 16) | Oppdater kontoen din i Innstillinger, eller send oss e-post |
| Sletting (Art. 17) | Send e-post til privacy@aether365.io for å be om full kontosletting |
| Portabilitet (Art. 20) | Eksporter skannedataene dine via CSV eller API, eller be om full dataeksport per e-post |
| Begrensning (Art. 18) | Send e-post til privacy@aether365.io |
| Protest (Art. 21) | Send e-post til privacy@aether365.io |
Vi svarer på alle forespørsler fra registrerte innen 30 dager.
Databehandlingsavtale
En databehandlingsavtale (DPA) er tilgjengelig for kunder på Pro- og Enterprise-planer. DPA-en:
- Dokumenterer Aether365 sine forpliktelser som databehandler
- Spesifiserer tekniske og organisatoriske sikkerhetstiltak
- Lister opp underdatabehandlere og deres lokasjoner
- Definerer prosedyrer for forespørsler fra registrerte, databrudd og revisjonsrettigheter
For å motta DPA-en, send e-post til privacy@aether365.io. Enterprise-kunder har DPA-en inkludert i kontrakten sin, mens Pro-kunder kan be om den uten ekstra kostnad.
Varsel om databrudd
Ved et personopplysningsbrudd som påvirker dataene dine, vil Aether365 varsle deg uten ugrunnet opphold og senest 72 timer etter å ha blitt kjent med bruddet, i samsvar med GDPR artikkel 33.
Varsler sendes til kontoeieres e-postadresse. Enterprise-kunder kan utpeke en separat sikkerhetskontaktadresse.
For å rapportere en sikkerhetshendelse: security@aether365.io
Tilsynsmyndighet
Aether365 er registrert i EU. Vår ledende tilsynsmyndighet er den svenske myndigheten for personvern (IMY - Integritetsskyddsmyndigheten).
Du har rett til å klage til din lokale tilsynsmyndighet hvis du mener vi har behandlet dataene dine i strid med loven.