Principe directeur
Une donnée n’est pas conservée parce que le stockage est disponible. Chaque catégorie possède une finalité, une base, un responsable, un point de départ, une durée ou un événement de fin, un niveau d’accès et un sort final documentés.
Trois espaces distincts
Base active : seules les équipes qui réalisent la finalité courante y accèdent. Archive intermédiaire : les dossiers clos encore nécessaires pour une obligation ou une preuve sont isolés et accessibles selon le registre des habilitations. Archive définitive : elle n’est utilisée que lorsqu’un fondement et un intérêt pérenne réels le justifient ; elle n’est jamais présumée.
Registre par catégorie
Prospects et CRM
Phase active : Finalité commerciale documentée, opposition et dernier contact. À la fin : Tri, restriction ou suppression selon le statut et la base applicable.
Clients et contrats
Phase active : Exécution, support et gestion de la relation. À la fin : Archivage probatoire ciblé après clôture.
Factures et comptabilité
Phase active : Émission, règlement, rapprochement et obligations fiscales. À la fin : Conservation selon les textes applicables, avec accès restreint.
Consentements et oppositions
Phase active : Démontrer le choix, son retrait et les usages autorisés. À la fin : Preuve minimale tant qu’elle reste nécessaire.
Sécurité et accès
Phase active : Détection, investigation et protection du service. À la fin : Fenêtre proportionnée au risque, puis purge ou archive motivée.
Secrets et jetons
Phase active : Fonctionnement de la connexion autorisée. À la fin : Révocation immédiate lorsqu’ils deviennent inutiles ; aucune archive de confort.
Pièces et livrables
Phase active : Production, recette, restitution et droits. À la fin : Tri par nature ; les copies intermédiaires ne suivent pas automatiquement le contrat.
Point de départ vérifiable
La durée court depuis un événement objectivement identifiable : dernier échange pertinent, clôture du dossier, fin du contrat, révocation, livraison, facture, résolution d’incident ou expiration d’une obligation. Une date de création technique ne remplace pas nécessairement cet événement.
Gel en cas de litige ou contrôle
Un gel suspend uniquement la suppression des éléments précisément nécessaires. Il indique le motif, le périmètre, l’autorité de décision, la date, les accès autorisés et la condition de levée. Il ne réactive ni les usages commerciaux, ni les comptes, ni les secrets.
Sauvegardes et copies
Les sauvegardes suivent une rotation définie et ne servent pas de base d’archive consultable. Les purges se propagent selon le cycle technique annoncé ; toute restauration réapplique les suppressions déjà dues. Exports, pièces jointes, caches et outils tiers entrent dans le contrôle.
Suppression, anonymisation et preuve
À échéance, la donnée est supprimée ou réellement anonymisée lorsque cette solution est justifiée. La preuve de purge conserve l’objet, la règle appliquée, la date, le résultat et les exceptions, sans recopier le contenu supprimé.
Révision et automatisation prudente
Des alertes préparent le tri, mais aucune purge sensible n’est lancée sur une règle ambiguë. Toute nouvelle finalité, catégorie, solution, client, connecteur ou obligation rouvre la durée concernée. Les écarts sont corrigés sans inventer rétroactivement une conformité.
Articulation JRbIA
Le dossier contractuel conserve les engagements et preuves nécessaires ; la politique de confidentialité informe les personnes ; la procédure de suppression traite les demandes ; l’annexe de sécurité protège les données pendant tout leur cycle.
Porte de validation
Avant activation d’un traitement : catégorie, finalité, base, durée, point de départ, espace actif ou archivé, habilitations, sauvegardes, fournisseurs, gel, purge, preuve et information des personnes sont contrôlés. Une mention générique « durée légale » ne suffit pas lorsque la règle exacte n’est pas identifiée.
Références
CNIL — Durées de conservation · CNIL — Conservation et archives · Service-Public — Documents des entreprises.