GDPR og databehandling
Vedlikeholdt av: Aether365 Team Målgruppe: Personvernombud og juridiske team Omfang: GDPR-roller, registrertes rettigheter og Aether365 sine samsvarsforpliktelser
Aether365 er designet for å hjelpe organisasjoner med GDPR-forpliktelser, men som SaaS-plattform behandler den også personopplysninger på dine vegne. Denne siden forklarer det rettslige grunnlaget for behandling, dine rettigheter og hvordan du kan utøve dem.
Roller under GDPR
| Rolle | Part | Omfang |
|---|---|---|
| Behandlingsansvarlig | Din organisasjon | Du bestemmer formålene og midlene for behandling (du valgte å koble M365-leietakeren din til Aether365) |
| Databehandler | Aether365 | Vi behandler data på dine instruksjoner (kjører sikkerhetssjekker mot leietakeren din) |
| Underdatabehandler | Vår skyinfrastrukturleverandør, Stripe osv. | Behandler data på vegne av Aether365 - se Datalagring |
Rettslig grunnlag for behandling
Aether365 behandler personopplysninger under følgende rettslige grunnlag:
| Behandlingsaktivitet | Rettslig grunnlag | Merknader |
|---|---|---|
| Kontooppretting og -administrasjon | Kontraktsoppfyllelse (Art. 6(1)(b)) | Påkrevd for å levere tjenesten |
| Skanning av Microsoft 365-konfigurasjon | Kontraktsoppfyllelse (Art. 6(1)(b)) | Kjernetjenestefunksjon |
| Lesing av Microsoft Graph-data | Berettiget interesse (Art. 6(1)(f)) | Sikkerhetsskanning krever lesing av konfigurasjonsdata |
| Sending av skannerapport-e-poster | Kontraktsoppfyllelse | Du konfigurerte e-postvarsler |
| Fakturering og betalingsbehandling | Kontraktsoppfyllelse | Påkrevd for betalte planer |
Personopplysninger som behandles
Når Aether365 skanner Microsoft 365-leietakeren din, kan den lese konfigurasjonsdata som inkluderer personlige identifikatorer:
- User Principal Names (UPNer) - E-postadresser brukt som identifikatorer i policytildelinger
- Objekt-IDer - Microsoft Entra-IDer for brukere, grupper og service principals
- Visningsnavn - Bruker- og gruppevisningsnavn i rolletildelingssammenhenger
Disse dataene brukes kun til å evaluere sikkerhetssjekker og lagres som en del av skanneresultatene. De brukes ikke til noe annet formål.
Ingen AI eller automatisert profilering
Aether365 bruker ikke kunstig intelligens eller maskinlæring til å behandle personopplysningene som leses fra leietakeren din. Konfigurasjonsdataene og skanneresultatene dine sendes aldri til noen AI- eller språkmodelltjeneste, brukes ikke til å trene AI-modeller, og underlegges ikke automatiserte avgjørelser eller profilering i betydningen til GDPR Article 22.
Registrertes rettigheter
Som behandlingsansvarlig er din organisasjon ansvarlig for å svare på forespørsler fra registrerte fra Microsoft 365-brukerne dine. Aether365 lagrer kun konfigurasjonsdata - individuelt e-postinnhold, personlige dokumenter eller personlig korrespondanse behandles aldri.
Som den registrerte for din egen Aether365-konto (e-postadressen og kontodataene dine) har du følgende rettigheter under GDPR:
| Rettighet | Hvordan utøve |
|---|---|
| Innsyn (Art. 15) | Send e-post til privacy@aether365.io |
| Retting (Art. 16) | Oppdater kontoen din i Innstillinger, eller send oss e-post |
| Sletting (Art. 17) | Send e-post til privacy@aether365.io for å be om full kontosletting |
| Portabilitet (Art. 20) | Eksporter skannedataene dine via CSV eller API, eller be om full dataeksport per e-post |
| Begrensning (Art. 18) | Send e-post til privacy@aether365.io |
| Protest (Art. 21) | Send e-post til privacy@aether365.io |
Vi svarer på alle forespørsler fra registrerte innen 30 dager.
Databehandlingsavtale
En databehandlingsavtale (DPA) er tilgjengelig for kunder på betalte planer. DPA-en:
- Dokumenterer Aether365 sine forpliktelser som databehandler
- Spesifiserer tekniske og organisatoriske sikkerhetstiltak
- Lister opp underdatabehandlere og deres lokasjoner
- Definerer prosedyrer for forespørsler fra registrerte, databrudd og revisjonsrettigheter
For å motta DPA-en, send e-post til privacy@aether365.io. DPA-en er tilgjengelig for kunder på betalte planer uten ekstra kostnad.
Varsel om databrudd
Ved et personopplysningsbrudd som påvirker dataene dine, vil Aether365 varsle deg uten ugrunnet opphold og senest 72 timer etter å ha blitt kjent med bruddet, i samsvar med GDPR artikkel 33.
Varsler sendes til kontoeieres e-postadresse. Kunder på betalte planer kan utpeke en separat sikkerhetskontaktadresse.
For å rapportere en sikkerhetshendelse: security@aether365.io
Tilsynsmyndighet
Aether365 er registrert i EU. Vår ledende tilsynsmyndighet er den svenske myndigheten for personvern (IMY - Integritetsskyddsmyndigheten).
Du har rett til å klage til din lokale tilsynsmyndighet hvis du mener vi har behandlet dataene dine i strid med loven.