Sécurité Natalia Analyse Hébergement, accès, conservation des données
Référence pour RSSI et DPO : localisation des données, isolation entre organisations, accès et rôles, conservation et purge, sous-traitance.
Localisation des données
Les données des conversations (enregistrements audio, transcriptions, analyses) sont stockées en France (Paris) ; les lieux de traitement des sous-traitants figurent dans le DPA. La transcription et l'analyse s'appuient sur un moteur IA conforme RGPD. Les échanges entre votre navigateur et Natalia sont chiffrés (HTTPS).
Isolation entre organisations
Chaque donnée appartient à une organisation. Toute lecture vérifie d'abord que l'utilisateur est membre de cette organisation ; toute modification vérifie en plus la permission qu'elle exige. Un non-membre reçoit le même refus, que l'organisation existe ou non.
Un groupe lit ses agences ; une agence ne lit ni ses sœurs ni son groupe. Le versant fonctionnel est détaillé sur la page Gestion multi-tenant.
Accès et rôles
Chaque utilisateur se connecte avec un compte personnel. L'API s'utilise avec la session d'un utilisateur, jamais avec une clé partagée : chaque appel porte les droits de son auteur.
Deux rôles par organisation : Administrateur et Membre. Tout membre consulte les conversations, leurs enregistrements et Tendances ; seuls les administrateurs les modifient. Détail dans la section Rôles.
Rétention des données
Chaque organisation a sa propre durée de conservation des conversations, en jours, fixée selon votre contrat.
- Purge quotidienne. Chaque jour, une purge planifiée supprime les conversations qui dépassent la durée : l'enregistrement audio d'abord, puis la transcription, l'analyse et les corrections de score.
- Synthèses. Les synthèses par catégorie survivent à la purge de leurs sources et ne stockent aucun extrait de transcription.
- Suppression. Une conversation supprimée devient aussitôt inaccessible ; elle est effacée définitivement par la purge de conservation. Sans durée fixée, l'effacement définitif est réalisé sur demande, selon le DPA.
Une demande d'effacement d'une personne concernée se traite selon les modalités de votre contrat (DPA). L'export et la suppression d'une organisation sont décrits sur la page Réversibilité.
Sous-traitance
La liste des sous-traitants (hébergement, transcription, moteur IA) et les engagements qui l'accompagnent relèvent de votre contrat (DPA art. 28 RGPD). La liste à jour est disponible sur demande à [email protected].
Notification de violation et vulnérabilités
En cas de violation de données personnelles, Natalia notifie votre organisation au titre de l'article 33 du RGPD et dans le délai prévu par votre contrat. Contact : [email protected].
Signalement de vulnérabilité : voir getnatalia.com/.well-known/security.txt.