Sicherheit und Datenschutz

01

Berechtigungen in Ihrem Mandanten

Managed GAL nutzt in Ihrem Mandanten genau zwei Anwendungsberechtigungen von Microsoft Graph. Die Zustimmung dazu erteilt ein Globaler Administrator oder ein Administrator für privilegierte Rollen Ihres Mandanten bei der Registrierung; „Zustimmung prüfen“ im Kundenportal zeigt, ob sie wirksam sind.

User.Read.All Anwendungsberechtigung, Microsoft Graph

Liest die Benutzer Ihres Verzeichnisses (Microsoft Entra ID) mit den Feldern unten. Daraus entstehen die Kontakte, und daraus ergibt sich, welche Postfächer den Kontaktordner bekommen. Geschrieben wird im Verzeichnis nichts.

Contacts.ReadWrite Anwendungsberechtigung, Microsoft Graph

Legt in jedem Zielpostfach den Kontaktordner an und schreibt, ändert und entfernt darin die Kontakte. Microsoft erteilt diese Berechtigung für die Kontakte aller Postfächer des Mandanten; der Dienst nutzt sie nur für seinen eigenen Ordner, wie unten beschrieben.

Weitere Anwendungsberechtigungen braucht der Dienst in Ihrem Mandanten nicht. Für die Anmeldung der Mitglieder Ihres Kundenkontos fragt der Dienst bei Microsoft nur die delegierten Anmeldeberechtigungen openid, profile und offline_access an. Sie gelten nur für die angemeldete Person: Microsoft Graph ruft der Dienst ausschließlich mit den Anwendungsberechtigungen oben auf. Die Benachrichtigungen per E-Mail versendet TOMORIS aus dem eigenen Mandanten; die Berechtigung Mail.Send gilt nur dort. Entziehen Sie die Zustimmung in Microsoft Entra ID, läuft keine Synchronisation mehr.

02

Welche Felder gelesen werden

Je Person liest der Dienst bei jedem Lauf diese Felder aus Ihrem Verzeichnis. Was „Im Kontakt“ steht, schreibt er in den Kontakt; die übrigen Felder dienen nur der Auswahl und der Zuordnung.

id Objekt-ID

Technische Kennzeichnung des Kontakts und Stand je Postfach

displayName Anzeigename

Im Kontakt

givenName Vorname

Im Kontakt

surname Nachname

Im Kontakt

mail E-Mail-Adresse

Im Kontakt; Personen ohne E-Mail-Adresse werden nicht übertragen

userPrincipalName Anmeldename

Ausschlussmuster; Name des Postfachs im Protokoll der Läufe

businessPhones Telefonnummern (geschäftlich)

Im Kontakt

mobilePhone Mobiltelefonnummer

Im Kontakt

jobTitle Position

Im Kontakt

department Abteilung

Im Kontakt

companyName Firma

Im Kontakt

officeLocation Standort

Im Kontakt

accountEnabled Kontostatus

Auswahl: deaktivierte Konten werden nie übertragen

userType Benutzertyp

Auswahl: Gäste werden nie übertragen

assignedLicenses Lizenzzuweisung

Auswahl: den Ordner bekommen nur Postfächer mit Lizenz; Konten ohne Lizenz, etwa gemeinsame Postfächer, werden in der Vorgabe nicht als Kontakte übertragen

03

Was gespeichert wird

TOMORIS speichert keine Kontaktinhalte. Die Kontaktdaten werden bei jedem Lauf frisch aus Ihrem Verzeichnis gelesen und nur in Ihre Postfächer geschrieben. Gespeichert werden je Postfach nur die Objekt-ID und der Anmeldename, die Kennung des Kontaktordners, ein Prüfwert (Hash) des Soll-Zustands und die Anzahl der Kontakte, dazu ein Protokoll der Läufe mit dem Ergebnis je Postfach. Die Läufe werden nach 90 Tagen gelöscht.

Für das Kundenkonto speichert TOMORIS Firmenname und Rechnungsdaten, die Mitglieder mit Name, Anmeldename und Rolle, Bestellungen und Verträge, die Benachrichtigungen per E-Mail mit Empfängern und Inhalt sowie ein Änderungsprotokoll. Änderungsprotokoll und Benachrichtigungen löscht TOMORIS nach festen Fristen, sobald die automatische Löschung eingeschaltet ist, zum Beispiel Anmeldungen nach zwölf Monaten und Benachrichtigungen 90 Tage nach dem Versand. Die vollständige Aufstellung mit allen Fristen steht in der Datenschutzerklärung und im Auftragsverarbeitungsvertrag (AVV).

04

Was in den Postfächern passiert

• Der Dienst arbeitet in jedem Postfach nur in seinem eigenen Kontaktordner (Vorgabe „Firmenkontakte“). Andere Kontaktordner und Ihre persönlichen Kontakte liest und ändert er nicht. Gibt es in einem Postfach schon einen Ordner gleichen Namens, liest er dessen Kontakte nur, um zu prüfen, ob sie von ihm stammen; stammen sie nicht von ihm, lässt er den Ordner unverändert und meldet einen Konflikt.
• Im eigenen Ordner gleicht der Dienst die Kontakte bei jedem Lauf mit Ihrem Verzeichnis ab: Er legt neue Personen an, aktualisiert geänderte und entfernt Kontakte mit seiner Kennzeichnung, deren Person nicht mehr dazugehört. Kontakte ohne seine Kennzeichnung, die jemand von Hand in diesen Ordner gelegt hat, lässt er stehen; er zählt sie nur im Lauf.
• Könnte ein Lauf neben Kontakten ohne Kennzeichnung eine zweite Kopie des Firmenadressbuchs anlegen, etwa nach einem Export und Import des Ordners, ändert er in diesem Postfach nichts, bis TOMORIS die Änderung geprüft hat.
• Beim Entfernen, über „Kontakte entfernen“ im Kundenportal oder durch TOMORIS, löscht der Dienst nur Kontakte mit seiner Kennzeichnung. Den Ordner selbst löscht er nur, wenn Microsoft Graph bestätigt, dass er danach leer ist; was jemand sonst hineingelegt hat, bleibt mit dem Ordner stehen.
• Ergibt Ihr Verzeichnis nach Ihrer Auswahl keinen einzigen Firmenkontakt, bricht der Lauf ab und ändert nichts. Sind es nach Ihrer Auswahl um mehr als 30 % weniger Firmenkontakte als beim letzten Lauf, bricht er ebenso ab und ändert nichts, bis TOMORIS die Änderung geprüft hat.
• Gäste und deaktivierte Konten werden nie übertragen.

05

Datenfluss

1. Ihr Browser → Cloudflare → Server von TOMORIS Kundenportal und diese Seiten, über HTTPS.
2. Server von TOMORIS → Microsoft Entra ID Anmeldung der Mitglieder Ihres Kundenkontos und Zugriffstoken für Ihren Mandanten mit den Berechtigungen oben. Der Dienst verwendet ein Token nur, wenn es auf die Mandanten-ID Ihres Unternehmens ausgestellt ist.
3. Server von TOMORIS → Microsoft Graph, Ihr Verzeichnis Lesen der Personen mit den Feldern oben.
4. Server von TOMORIS → Microsoft Graph, Ihre Postfächer Schreiben der Kontakte in den Kontaktordner jedes Zielpostfachs. Die Kontaktdaten werden dabei verarbeitet, nicht gespeichert.
5. Server von TOMORIS → Datenbank von TOMORIS Kundenkonto, Einstellungen, je Postfach Kennungen, Prüfwert und Anzahl, Protokoll der Läufe, Benachrichtigungen per E-Mail.
6. Microsoft 365 von TOMORIS → Ihre Kundenadministratoren und Ihre Rechnungs-E-Mail-Adresse Benachrichtigungen per E-Mail; an die Rechnungs-E-Mail-Adresse die Mitteilung neuer AGB und AVV und die Nachricht, wenn TOMORIS einen Vertrag oder das Kundenkonto beendet.
7. Microsoft 365 von TOMORIS → TOMORIS Nachrichten zu Bestellungen, Verlängerungen, Ablauf und Sperre und, wenn eingeschaltet, Meldungen gestörter Läufe, ohne Daten aus Ihrem Verzeichnis.

06

Betrieb und Zugang

Angaben von TOMORIS als Betreiber des Dienstes.

• Anwendung und Datenbank liegen auf eigenen Servern von TOMORIS. Standort der Server: Österreich. Vor diesen Seiten und dem Kundenportal steht Cloudflare als Netzwerk- und Sicherheitsdienst. Einzelheiten zu den Empfängern stehen in der Datenschutzerklärung.
• Anmeldung nur mit Microsoft (Microsoft Entra ID); Ihr Passwort erhält TOMORIS nie.
• Zugang hat nur, wer Mitglied Ihres Kundenkontos ist; eine E-Mail-Domain oder ein Mandant allein berechtigt nie. Eine Sitzung endet spätestens 12 Stunden nach der Anmeldung.
• Jede Aktion im Kundenportal und in der Administration hält ein Änderungsprotokoll fest.
• Bei Ihnen wird nichts installiert.