AVG en gegevensverwerking
Onderhouden door: Aether365 Team Doelgroep: Functionarissen voor gegevensbescherming en juridische teams Scope: AVG-rollen, rechten van betrokkenen en compliancetoezeggingen van Aether365
Aether365 is ontworpen om organisaties te helpen met AVG-verplichtingen, maar als SaaS-platform verwerkt het ook persoonsgegevens namens jou. Deze pagina legt de rechtsgrondslag voor verwerking uit, je rechten en hoe je deze kunt uitoefenen.
Rollen onder de AVG
| Rol | Partij | Bereik |
|---|---|---|
| Verwerkingsverantwoordelijke | Jouw organisatie | Jij bepaalt de doeleinden en middelen van de verwerking (je hebt ervoor gekozen je M365 tenant te koppelen aan Aether365) |
| Verwerker | Aether365 | Wij verwerken gegevens op jouw instructie (beveiligingscontroles uitvoeren op je tenant) |
| Subverwerker | Onze cloudinfrastructuurprovider, Stripe, etc. | Verwerken gegevens namens Aether365 - zie Gegevenslocatie |
Rechtsgrondslag voor verwerking
Aether365 verwerkt persoonsgegevens op basis van de volgende rechtsgrondslagen:
| Verwerkingsactiviteit | Rechtsgrondslag | Opmerkingen |
|---|---|---|
| Aanmaak en beheer van accounts | Uitvoering van de overeenkomst (Art. 6(1)(b)) | Nodig om de dienst te leveren |
| Scannen van Microsoft 365-configuratie | Uitvoering van de overeenkomst (Art. 6(1)(b)) | Kernfunctie van de dienst |
| Lezen van Microsoft Graph-gegevens | Gerechtvaardigd belang (Art. 6(1)(f)) | Beveiligingsscanning vereist het lezen van configuratiegegevens |
| Versturen van scanrapport-e-mails | Uitvoering van de overeenkomst | Je hebt e-mailmeldingen geconfigureerd |
| Facturering en betalingsverwerking | Uitvoering van de overeenkomst | Vereist voor betaalde abonnementen |
Verwerkte persoonsgegevens
Wanneer Aether365 je Microsoft 365 tenant scant, kan het configuratiegegevens lezen die persoonlijke identificatoren bevatten:
- User Principal Names (UPN's) - E-mailadressen die worden gebruikt als identificatoren in beleidstoewijzingen
- Object-ID's - Microsoft Entra-ID's voor gebruikers, groepen en service principals
- Weergavenamen - Weergavenamen van gebruikers en groepen in de context van roltoewijzingen
Deze gegevens worden uitsluitend gebruikt om beveiligingscontroles te evalueren en worden opgeslagen als onderdeel van scanresultaten. Ze worden niet voor andere doeleinden gebruikt.
Geen AI of geautomatiseerde profilering
Aether365 gebruikt geen kunstmatige intelligentie of machine learning om de persoonsgegevens te verwerken die het uit je tenant leest. Je configuratiegegevens en scanresultaten worden nooit naar een AI- of grote-taalmodeldienst gestuurd, gebruikt om AI-modellen te trainen of onderworpen aan geautomatiseerde besluitvorming of profilering in de zin van GDPR Article 22.
Rechten van betrokkenen
Als verwerkingsverantwoordelijke is jouw organisatie verantwoordelijk voor het reageren op verzoeken van betrokkenen van je Microsoft 365-gebruikers. Aether365 slaat alleen configuratiegegevens op - individuele e-mailinhoud, persoonlijke documenten of persoonlijke correspondentie worden nooit verwerkt.
Als betrokkene van je eigen Aether365-account (je e-mailadres en accountgegevens) heb je de volgende rechten onder de AVG:
| Recht | Hoe uit te oefenen |
|---|---|
| Inzage (Art. 15) | Mail privacy@aether365.io |
| Rectificatie (Art. 16) | Werk je account bij in Instellingen, of mail ons |
| Wissing (Art. 17) | Mail privacy@aether365.io om volledige accountverwijdering aan te vragen |
| Overdraagbaarheid (Art. 20) | Exporteer je scangegevens via CSV of API, of vraag een volledige gegevensexport per e-mail aan |
| Beperking (Art. 18) | Mail privacy@aether365.io |
| Bezwaar (Art. 21) | Mail privacy@aether365.io |
Wij reageren op alle verzoeken van betrokkenen binnen 30 dagen.
Verwerkersovereenkomst
Een verwerkersovereenkomst (DPA) is beschikbaar voor klanten met een Pro- of Enterprise-abonnement. De DPA:
- Documenteert de verplichtingen van Aether365 als verwerker
- Specificeert technische en organisatorische beveiligingsmaatregelen
- Vermeldt subverwerkers en hun locaties
- Definieert procedures voor verzoeken van betrokkenen, gegevensinbreuken en auditrechten
Om de DPA te ontvangen, mail naar privacy@aether365.io. Enterprise-klanten hebben de DPA opgenomen in hun contract; Pro-klanten kunnen deze zonder extra kosten aanvragen.
Melding van gegevensinbreuken
In geval van een inbreuk op persoonsgegevens die je gegevens treft, zal Aether365 je zonder onredelijke vertraging en uiterlijk 72 uur nadat wij op de hoogte zijn van de inbreuk informeren, in overeenstemming met AVG Artikel 33.
Meldingen worden verstuurd naar het e-mailadres van de accounteigenaar. Enterprise-klanten kunnen een apart beveiligingscontactadres aanwijzen.
Om een beveiligingsincident te melden: security@aether365.io
Toezichthoudende autoriteit
Aether365 is gevestigd in de EU. Onze leidende toezichthoudende autoriteit is de Zweedse autoriteit voor privacybescherming (IMY - Integritetsskyddsmyndigheten).
Je hebt het recht een klacht in te dienen bij je lokale toezichthoudende autoriteit als je van mening bent dat wij je gegevens onrechtmatig hebben verwerkt.