Durées de conservation et purge

Les données personnelles ne se gardent que le temps nécessaire à leur finalité (article 5.1.e du RGPD). MyZapp purge chaque catégorie de données à la fin de la durée que vous fixez au registre des traitements, catégorie par catégorie, et garde la trace de chaque passage.

L'écran se trouve dans Protection des données › Durées de conservation. Tout le module peut le lire ; seuls les délégués à la protection des données (et les administrateurs) le modifient.

Ce que montre le tableau

Une ligne par catégorie de données que les modules savent purger : messages envoyés, requêtes réglementées, journaux (audit, connexions, accès sensibles…).

Fixer la durée : au registre

La durée se règle sur la fiche de l'activité de traitement, champ Durée de conservation (mois). Si plusieurs activités en vigueur portent la même source, la plus longue l'emporte : une donnée n'est jamais purgée avant la fin de sa plus longue finalité.

Sans durée au registre, la catégorie affiche Aucune durée au registre : rien n'est calculé, rien n'est purgé.

Simulation d'abord, puis application

Une catégorie est en simulation tant que vous ne l'avez pas passée en application. Chaque nuit, la tâche compte ce qui serait traité, sans rien toucher ; le journal l'indique. Simuler maintenant fait de même à la demande, sans jamais appliquer.

Quand le chiffre vous convient :

1. Dans la colonne Politique, choisissez Application et l'action finale.
2. Cliquez sur Enregistrer.

La purge part au passage de la nuit suivante, par lots. Un échec laisse les données intactes : la catégorie est reprise la nuit d'après.

Geler la purge (gel légal)

Un litige, un contrôle de l'autorité ou une enquête impose de garder les données en l'état.

1. Dans Gels légaux, choisissez la catégorie, ou Toutes les catégories.
2. Saisissez le motif, sans aucune donnée personnelle, et si possible une date À revoir le.
3. Cliquez sur Geler la purge.

Tant que le gel est en vigueur, la catégorie n'est plus purgée, y compris les requêtes réglementées. Une fois la date de revue passée, le gel affiche À revoir. Lever le gel, avec une note, rétablit la purge.

Comptes inactifs et tickets

• Comptes inactifs : un compte qui ne s'est pas connecté depuis la durée fixée au registre (activité des comptes utilisateurs) est désactivé : il ne peut plus se connecter, ses sessions ouvertes sont coupées, et un administrateur peut le réactiver. Si vous choisissez l'action Anonymiser, le compte est anonymisé comme lors d'une suppression. Les administrateurs, le compte Système et les comptes synchronisés depuis un annuaire ne sont jamais touchés.
  • Relance : en application, la personne reçoit d'abord un courriel qui lui annonce la date de désactivation. Le compte n'est désactivé (ou anonymisé) que 30 jours plus tard, et seulement s'il ne s'est pas connecté entre-temps : une connexion annule tout. Le délai se règle dans la configuration (Users:Inactivity:NoticeDays, 0 = sans relance). En simulation, aucun courriel ne part.
• Accès invités aux tickets : une fois le lien d'accès expiré ou révoqué, l'adresse de l'invité est supprimée au bout de la durée du registre. Le ticket et ses échanges restent.
• Marques de lecture des tickets (qui a lu quel ticket, et quand) : supprimées au bout de la durée du registre.

Archive intermédiaire (accès restreint)

Entre la fin de l'usage courant et la purge, certaines données passent en archive intermédiaire : elles restent en base, mais disparaissent des écrans, des recherches et des exports courants. Seuls le délégué (groupe PRIVACY_DPO) et les membres du groupe PRIVACY_ARCHIVES (contentieux, contrôle) les voient encore, et chaque consultation est tracée au journal des accès sensibles.

• La durée se fixe au registre, sur l'activité : « Usage courant (mois), puis archive ». Elle doit être plus courte que la durée de conservation. Vide : pas d'archive intermédiaire.
• L'archivage suit la même règle que la purge : simulation d'abord, application ensuite, et un gel légal le suspend. Le journal des purges porte une ligne « Archiver (accès restreint) ».
• Aujourd'hui, les requêtes réglementées closes (sans recours en cours) s'archivent ainsi. Le demandeur garde l'accès à ses propres requêtes, et l'exécution d'une demande de droits les retrouve toujours.
• Les projets terminés ou annulés s'archivent aussi : ils quittent la liste et les tableaux de bord de tous, membres compris ; le délégué et le groupe des archives les ouvrent en lecture seule.
• Les tickets clos s'archivent de la même façon : ils quittent la liste, les grilles, les recherches, les exports et les statistiques des agents. Le demandeur garde l'accès à ses propres tickets ; le délégué et le groupe des archives les lisent, chaque ouverture étant tracée. Rouvrir un ticket le fait revenir dans l'usage courant.
• Les inscriptions à l'Académie sans activité s'archivent aussi : elles quittent l'écran du formateur et ne déclenchent plus de relance. L'apprenant les retrouve et les reprend ; toute activité les rend à l'usage courant. Les certifications ne sont jamais archivées : ce sont des preuves.
• Les contacts et prospects du CRM sans aucune activité (courriel, appel, rendez-vous, devis, opportunité) depuis la durée d'usage courant s'archivent aussi : ils quittent les listes, les recherches, les exports et l'API, même pour leur propriétaire ; le délégué et le groupe des archives les ouvrent en lecture seule. Un contact d'une organisation qui a un contrat actif ou une facture non soldée n'est jamais archivé. Toute nouvelle activité rend la fiche à l'usage courant.

Catégories réglées ailleurs

• Journaux (audit, connexions, accès refusés, appels d'API, accès sensibles) : leur durée se règle sur le serveur, par catégorie de journal. Le tableau affiche ce réglage ; la purge reste celle des journaux, qui garde la preuve de chaque suppression.
• Conversations de l'assistant (une durée par public) et transcriptions d'appels du CRM : leur durée se règle dans les réglages de l'assistant et du CRM. Le tableau l'affiche.
• Requêtes réglementées : leur durée vient du modèle pays, allongée par l'entité dans les réglages du guichet. Le tableau indique « Durées fixées par le module » ; le gel légal s'y applique.

Journal des purges

Chaque passage écrit une ligne par catégorie : date, mode, date limite, éléments échus, éléments traités, issue (Simulé, Appliqué, Gelé, Sans durée, Interrompu (temps), Échec). Le journal ne contient aucune donnée personnelle et se garde deux ans.