Bilaga om personuppgiftsbehandling

Personuppgiftsansvarig

Kunden, för allt Securenix läser i kundens Microsoft 365-tenant och lokala miljö.

Personuppgiftsbiträde

Technix IT AB, org.nr 559237-0711.

Drift

swedencentral

Microsoft Azure. App Service, Azure SQL och Key Vault körs i samma region; inget kopieras till någon annan region.

Riktning

Endast läsning

Securenix har enbart läsrättigheter och skriver aldrig något i en kunds tenant. En skrivrättighet vore ett nytt medgivande, inte en ny inställning.

§ 1

Källor

Securenix läser från fyra ställen och inga andra. Två av dem innehåller personuppgifter om kundens medarbetare, ett innehåller inga, och det fjärde är Technix egen personal.

	Källa	Ägare	Transport	Frekvens	Personuppgifter
1	Microsoft 365 och Entra ID	Kund	Microsoft Graph, app-only-token efter admin consent	Per scan, vid begäran	Ja
2	Publik DNS	Publik	DNS-resolver, på servern	Per scan, vid begäran	Nej
3	Lokal insamlare	Kund	HTTPS-uppladdning med kundunik token	Per uppladdning	Ja
4	Inloggning för Technix-personal	Technix	OpenID Connect-id-token	Per inloggning	Ja

Det finns inget schema: en scan körs när en tekniker startar den, och en lokal granskning finns bara om någon kört insamlaren. Inget hämtas i bakgrunden.

§ 2

Rättigheter kunden godkänner

Applikationsrättigheter

RoleManagement.Read.DirectoryDirectory.Read.AllOrganization.Read.AllSecurityEvents.Read.AllPolicy.Read.AllAuditLog.Read.AllDomain.Read.AllDeviceManagementConfiguration.Read.AllDeviceManagementManagedDevices.Read.AllUser.Read.AllSharePointTenantSettings.Read.All

Consent-länken begär .default, vilket ger exakt de rättigheter som är konfigurerade på app-registreringen — Securenix kan aldrig begära ett scope som registreringen inte redan har. Listan vid godkännandet sparas på medgivandeposten, så det är känt vem som behöver godkänna igen om den ändras.

Samtliga rättigheter är läsrättigheter. Det finns inget skriv-scope, och att lägga till ett skulle innebära ett nytt godkännande för varje kund, inte en konfigurationsändring. Varje kontroll deklarerar vilka rättigheter den behöver, och listan ovan är exakt deras union.

Läses inte

Inget innehåll i postlådor, filer, SharePoint, OneDrive, Teams eller kalendrar. Inga lösenordshashar och inga hemligheter. Inloggningsloggar läses endast för kontrollen av äldre autentisering, för de senaste 30 dagarna, och bara klientapp och konto sparas.

§ 3

Vad varje kontrollområde läser

Varje kontroll begär namngivna egenskaper från Graph med $select, följer sidindelningen och sparar som underlag bara det iakttagelsen måste visa. Namn och adresser från Graph renderas alltid som ren text, i applikationen och i rapporten.

Kontrollområde	Endpoints som läses	Sparas som underlag
Identitet och administratörer	/directoryRoles, /directoryRoles/{id}/members, /roleManagement/directory/roleEligibilityScheduleInstances, /subscribedSkus, /reports/authenticationMethods/userRegistrationDetails, /users	Antal administratörer per privilegierad roll; användarnamn (UPN) och visningsnamn för administratörer utan registrerad MFA-metod, för nödkonto-kandidater och för privilegierade roller som ligger på vanliga användarkonton.
Secure Score	/security/secureScores, /security/secureScoreControlProfiles	Poäng, maximum och de viktigaste förbättringsåtgärderna. Inga personuppgifter.
MFA och Conditional Access	/policies/identitySecurityDefaultsEnforcementPolicy, /identity/conditionalAccess/policies, /reports/authenticationMethods/userRegistrationDetails, /auditLogs/signIns	Policynamn och tillstånd; antal användare utan MFA och högst 50 av deras användarnamn (UPN); högst 20 konton och de klientappar som setts i lyckade äldre inloggningar de senaste 30 dagarna.
Domäner och e-postsäkerhet	/domains	Verifierade domännamn och deras SPF-, DKIM- och DMARC-poster. Inga personuppgifter.
Intune och enhetshantering	/deviceManagement, /deviceManagement/deviceConfigurations, /deviceManagement/deviceCompliancePolicies, /deviceManagement/configurationPolicies, /deviceManagement/intents, /deviceManagement/managedDevices, /deviceAppManagement/mobileApps	Namn på policyer, baslinjer och appar med tilldelningsstatus; enhetsnamn, operativsystem, efterlevnadsstatus och senaste incheckning per hanterad enhet. Ingen enhetsägare läses.
Snabbkontroller	/users, /policies/authorizationPolicy, /admin/sharepoint/settings, /organization	Antal gäster och gästernas användarnamn (UPN); licensierade konton utan inloggning på länge, med datum för senaste inloggning; inställningarna för användarmedgivande och extern delning; tenantens aviseringsadresser för säkerhet och teknik.

Specifikationens område för partnerrelationer är inte byggt: GDAP-API:et kan bara läsas från partnerns egen tenant, så Securenix app-only-token i kundens tenant befinner sig på fel sida av det gränssnittet. Ingen rättighet begärs för det.

§ 4

DNS-uppslag

SPF, DKIM och DMARC är publika DNS-poster och kräver ingen rättighet i tenanten. Uppslagen görs på servern och endast för domäner på kundens sparade lista: tenantens verifierade domäner från Graph plus de domäner en tekniker lagt till på kundsidan, validerade på väg in. Ett värdnamn går aldrig från en förfrågan in i resolvern.

TXT <domain> · TXT _dmarc.<domain> · CNAME/TXT selector1._domainkey.<domain> · CNAME/TXT selector2._domainkey.<domain>

Posterna i sig är publika policydata och innehåller inga personuppgifter. Resultaten cachas inte mellan scanningar.

§ 5

Lokal insamlare

Valfri, och används bara där kunden har en lokal miljö och godkänner det. En tekniker laddar ner ett kundunikt PowerShell-skript, kör det inne i kundens nät, och det laddar upp ett JSON-dokument över HTTPS med en tidsbegränsad, återkallbar token knuten till just den kunden. Securenix ansluter aldrig självt till kundens nät.

Active Directory

Lösenordspolicy, medlemskap i privilegierade grupper, inaktuella och avstängda konton, konton med lösenord som inte går ut eller är gamla, förtroenden, LAPS, domänkontrollanter och hybridkonfiguration. Kontonamn och gruppmedlemskap är personuppgifter.

Servrar

Operativsystem och patchnivå, brandvägg, SMB- och NTLM-konfiguration, TLS, RDP, slutpunktsskydd, backup, BitLocker, händelseloggning och lokala administratörer. Servernamn och lokala kontonamn ingår.

Det uppladdade dokumentet sparas ordagrant som underlag, tillsammans med de iakttagelser som härleds ur det, och omfattas av kundraderingen. Uppladdningen behandlas som ej betrodda data och renderas alltid som ren text.

§ 6

Inloggning för Technix-personal

Inloggning sker med Entra ID mot Technix tenant, och åtkomst kräver medlemskap i en säkerhetsgrupp i Entra. Följande claims läses från id-token:

oid, preferred_username, name

De ligger i sessionskakan under sessionen. Användarnamnet (UPN) stämplas på revisionsrader och på de scanningar och länkar teknikern skapar. Det finns ingen separat inloggningstabell, och varken IP-adress eller webbläsare sparas.

§ 7

Vad Securenix självt skapar

Utöver det Securenix läser sparar systemet egna poster. Alla utom revisionsloggen tillhör en enda kund och raderas med den kunden.

Post	Innehåll	Syfte
Kund	Företagsnamn, Entra-tenant-id, teknikeranteckningar och eventuella manuellt tillagda domäner.	Det aggregat allt annat hänger under, och vägen för radering.
Medgivande	Tenant-id som godkände, status, rättighetslistan vid tillfället, tidsstämplar för godkännande och återkallande, samt eventuell felkod.	Det som avgör om en scan får köras över huvud taget.
Scankörning	Start och slut, status, hälsopoäng och vilken tekniker som startade den.	En komplett ögonblicksbild; skrivs innan första Graph-anropet så att ett försök aldrig försvinner.
Iakttagelse och underlag	Kontroll-id, färg på bedömningen, allvarlighetsgrad, text som resursnycklar, och det underlag kontrollen såg som JSON. Underlaget är det enda ställe där personuppgifter förekommer.	Bedömningen och vad den bygger på, så att en tekniker kan agera på den.
Rapportlänk	SHA-256-hash av en 256-bitars token, språk, slutdatum, återkallande, antal visningar och tidpunkt för senaste visning. Varken token själv, IP-adress eller webbläsare sparas.	Att lämna rapporten till kunden utan att ge kunden en inloggning.
Uppladdningstoken	SHA-256-hash av en 256-bitars token knuten till en enda kund, med slutdatum, återkallande och antal användningar.	Låter insamlaren ladda upp utan inloggning; kunden härleds ur token, aldrig ur uppladdningen.
Revisionslogg	Åtgärd, vilken tekniker som utförde den, företagsnamn, berört objekt och neutrala detaljer som ett slutdatum eller en rättighetslista.	Spårbarhet. Överlever den radering den dokumenterar och innehåller inga personuppgifter om den raderade kunden.
Bevis på medgivande	Händelsen (inbjudan skickad, villkor godkända, medgivande lämnat), tidpunkten, företagsnamnet, e-postadressen till inbjudans mottagare eller till den som godkände villkoren, villkorsversionen och tenant-id som godkände.	Bevis på att kunden gick med på granskningen. Överlever raderingen av kunden.
Driftloggar	Azure Monitor och Application Insights: förfrågningar, undantag och korrelations-id från Graph. Token i en rapport-URL maskeras innan förfrågan loggas, och HTTP-loggar skickas inte till arbetsytan.	Drift och felsökning. 90 dagar i produktion.

Autentisering och hemligheter

Scanningsappen autentiserar med ett certifikat från Key Vault i Azure, som nås med hanterad identitet. Access-tokens sparas aldrig: de finns i minnet per tenant-id under en körning. Databasen använder enbart Entra-autentisering, så ingen anslutningssträng innehåller ett lösenord. Ingen hemlighet, token eller certifikat skrivs någonsin till en logg.

§ 8

Isolering och gallring

Varje kundägd rad bär kund-id, och varje fråga avgränsas explicit med det. Att hämta en körning, iakttagelse eller rapport via id kontrollerar också att den tillhör kunden i adressen — ett felaktigt id ger 404, aldrig en annan kunds data.
Innan något sparas jämförs tenant-id i den hämtade token med kundens sparade tenant-id. Vid avvikelse läser scanen ingenting och skriver ingenting.
Endast Technix-personal i en säkerhetsgrupp i Entra kan logga in, vilket slås fast av en global auktoriseringspolicy och inte av gömda knappar. Den delade rapportlänken är den enda anonyma ytan, och den visar en scan för en kund utan väg in i applikationen.
Scanningar och iakttagelser skrivs bara till: ett slutgiltigt resultat skrivs aldrig om och en ny scan är en ny körning. Det finns ingen automatisk gallring i den här versionen — uppgifterna sparas till kunden raderas.
Att radera en kund kaskaderar till medgivanden, körningar, iakttagelser, underlag, rapportlänkar, lokala granskningar och uppladdningstokens, och lämnar en enda revisionsrad utan personuppgifter.

§ 9

Särskilda kategorier

Securenix behandlar inga särskilda kategorier av personuppgifter enligt artikel 9 och inga personnummer. Inget av det som läses är innehåll: namn, adresser och enhetsnamn förekommer bara som identifierare för de konton och maskiner vars säkerhetskonfiguration bedöms.

Kontakt

Frågor om den här bilagan, eller om en källa du inte hittar här, ställs till Technix på adressen nedan.

dpo@technix.se Personuppgifter i Securenix