DPA Support Light — art.28 limité

Article 1 — Objet et durée

Le présent DPA s'applique exclusivement pendant les interventions de support urgence 72h réalisées par Natalia SAS (le « Sous-traitant ») sur le Logiciel déployé sur l'infrastructure du Client (le « Responsable de traitement »). Le DPA est activé par une autorisation d'intervention signée par le Responsable et prend fin à la clôture du ticket d'intervention.

Article 2 — Nature et finalité du traitement

Diagnostic et résolution d'un incident critique identifié par le Responsable dans l'exploitation du Logiciel, dans la limite du périmètre décrit dans l'autorisation du Responsable. Aucun traitement analytique n'est réalisé dans le cadre de l'intervention.

Article 3 — Catégories de données et personnes concernées

Strictement limitées aux catégories de données personnelles nécessaires au diagnostic de l'incident : typiquement entrées de logs structurés, fichiers de configuration, stack traces anonymisées. Aucun audio d'appel, aucune liste exhaustive de numéros, aucune liste exhaustive d'employés. Les personnes concernées sont les personnes physiques dont les CDR ou comptes sont impliqués dans le périmètre de l'incident.

Article 4 — Obligations du Sous-traitant (art.28 §3 RGPD)

(a) Instruction écrite documentée. Le Sous-traitant agit uniquement sur instruction écrite documentée du Responsable, matérialisée par l'autorisation d'intervention. Toute modification de périmètre en cours d'intervention fait l'objet d'une nouvelle autorisation écrite.

(b) Engagement de confidentialité. Le Sous-traitant s'assure que les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité couverte par leur contrat de travail ou un accord dédié.

(c) Mesures de sécurité. Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées : chiffrement bout en bout du canal d'accès temporaire, authentification individuelle des opérateurs, journal d'intervention immuable, restriction des accès aux opérateurs impliqués dans le ticket.

(d) Autorisation de sous-traitance ultérieure. Le Sous-traitant ne recourt à aucun sous-sous-traitant dans ce périmètre sans autorisation écrite préalable du Responsable. En cas d'intervention d'un partenaire intégrateur (SN2O), le Responsable en est informé préalablement et le partenaire signe un DPA back-to-back.

(e) Assistance aux demandes de droits. Le Sous-traitant assiste le Responsable dans le respect des droits des personnes concernées, dans la limite des données accédées pendant l'intervention.

(f) Assistance aux obligations de sécurité. Le Sous-traitant assiste le Responsable dans le respect des obligations art.32 à 36 RGPD, notamment la notification d'une violation de données dans un délai de 48h après détection.

(g) Effacement ou restitution des données. À la fin de l'intervention, le Sous-traitant supprime les artefacts techniques accédés dans un délai de 30 jours, à l'exception du journal d'intervention structuré conservé 12 mois à des fins d'audit. Un certificat de destruction est émis sur demande du Responsable.

(h) Information et audit. Le Sous-traitant met à disposition du Responsable, sur demande écrite, les éléments nécessaires à la démonstration du respect du présent DPA (journal d'intervention, mesures de sécurité appliquées). Un audit peut être réalisé une fois par an par un tiers indépendant désigné par le Responsable, sous réserve d'un préavis de 30 jours.

Article 5 — Journal d'intervention

Pour chaque intervention, le Sous-traitant tient un journal structuré immuable contenant : date et heure, référence ticket, opérateurs identifiés, périmètre d'accès, actions réalisées, données accédées (catégorie et volume), résultat. Le journal est partagé avec le Responsable à la clôture du ticket et conservé 12 mois par les deux Parties.

Article 6 — Retour au mode déconnecté strict

À la fin de l'intervention, le canal d'accès temporaire est fermé par le Responsable, le Logiciel revient en mode déconnecté strict, et Natalia retourne à la qualification juridique d'éditeur de logiciel décrite à la page RGPD on-premise.

Article 7 — Responsabilité

Le Sous-traitant est responsable des dommages résultant d'un manquement à ses obligations art.28, dans la limite du contrat-cadre signé entre les Parties. Les exclusions et plafonds du contrat-cadre s'appliquent.