La rétention

01Conserver avec une raison, supprimer avec une preuve #sec_9021b67c

La rétention ne consiste pas à appliquer la même durée à toute une base. Une plateforme de gouvernance contient des données de natures très différentes : informations de travail remplaçables, décisions probantes, secrets cryptographiques, journaux techniques et statistiques anonymisées. Les conserver ou les supprimer de la même manière produirait soit une accumulation injustifiée, soit la destruction prématurée d'une preuve.

REVIEWIT associe donc chaque catégorie de données à une classe, un déclencheur et une règle de fin de vie . La durée n'est qu'une partie de la règle. Pour certains objets, l'éligibilité à la purge dépend d'une relation : une attestation encore vivante peut prolonger son instantané, une obligation de remédiation ouverte ne peut pas être supprimée, un paquet de vérification suit exactement l'attestation qu'il sert.

Le principe directeur est double : ne rien conserver sans finalité, et ne jamais rendre une preuve invérifiable en supprimant l'un de ses composants trop tôt.

02Quatre classes, quatre fins de vie #sec_9eecf111

C1 — Données opérationnelles. Elles sont vivantes, remplaçables ou reproductibles : fichiers temporaires, caches, exports générés, notifications, journaux techniques. Leur fin de vie est généralement une suppression physique directe après une durée courte ou la fin de leur utilité.

C2 — Données probantes. Elles racontent un acte ou soutiennent une attestation : décisions de certification, piste d'audit, obligations de remédiation, manifestes et constats. Elles ne se purgent pas comme une ligne ordinaire. Lorsqu'elles participent à une chaîne d'intégrité, la purge travaille par ensemble cohérent et laisse un marqueur qui permet de détecter qu'un contenu a légitimement disparu.

C3 — Données cryptographiques. Clés, générations de secret, reçus et états d'autorité ont leur propre cycle gouverné par SEAL. Leur durée n'est pas calquée mécaniquement sur la donnée métier, mais elle ne peut jamais être plus courte que celle de la preuve qui en dépend.

C4 — Données dérivées. Statistiques et agrégats peuvent être conservés au-delà des données sources uniquement si leur anonymisation irréversible est démontrée.

La classe décrit le mécanisme de fin de vie, pas l'importance apparente de la donnée. Un document comptable conservé dix ans peut rester une donnée opérationnelle si, le moment venu, sa suppression est ordinaire.

03Une politique par profil, avec des bornes #sec_bf13aace

Le profil Standard donne un cadre immédiatement exploitable. À titre d'exemple, les résultats de certification et l'audit métier sont conservés trois ans, l'audit de sécurité douze mois, les journaux techniques quatre-vingt-dix jours, les exports trente jours et les sauvegardes dans une fenêtre glissante dédiée.

Des profils Régulé ou Personnalisé peuvent allonger certaines durées. La personnalisation n'est jamais une saisie libre « pour toujours » : elle porte un motif, un approbateur, une date d'effet et une date de revue. Sans reconduction, la règle revient au profil de référence.

Deux bornes empêchent les configurations incohérentes :

• une borne haute absolue, franchissable seulement par une dérogation nominative, motivée et réexaminée ;
• une borne basse pour les données exposées à un consommateur externe par flux incrémental, afin que la fenêtre de rejeu reste réellement utilisable.

La fenêtre de sauvegarde n'est pas une durée de conservation minimale. Elle indique le délai maximal avant l'effacement complet de toutes les copies. Une donnée peut disparaître des systèmes actifs après trente jours et ne devenir totalement effacée qu'après l'expiration des sauvegardes qui la contenaient.

04Les dépendances priment sur le calendrier #sec_3bbd8efa

Une date seule ne suffit pas toujours à autoriser une purge.

L'instantané d'une campagne est conservé tant qu'une attestation vivante le référence. Une obligation de remédiation ne devient éligible qu'après son entrée dans un état terminal, puis reste protégée par les attestations auxquelles elle est liée. Les dépêches, constats et actes de runbook suivent l'obligation qu'ils documentent. Le paquet de vérification suit l'attestation comme une unité indissociable.

À l'inverse, les journaux techniques d'exécution n'acquièrent pas une longue rétention simplement parce qu'ils ont contribué à une opération probante. REVIEWIT conserve le résultat et la preuve utile, pas indéfiniment chaque détail d'exploitation.

Ce graphe de dépendances évite deux erreurs classiques : supprimer un support encore nécessaire, ou garder tout « au cas où » faute de savoir ce qui est réellement indispensable.

05Prouver la purge sans conserver la donnée purgée #sec_6d46e81c

Chaque cycle de rétention produit un registre d'exécution : périmètre évalué, règle appliquée, volumes traités et motifs des non-purges. Ce registre n'est pas supprimé par le mécanisme qu'il documente.

Pour les données chaînées ou scellées, REVIEWIT conserve une preuve technique non identifiante de la purge. Elle permet de distinguer un retrait autorisé d'une altération clandestine, sans recréer un identifiant d'objet ni conserver le contenu supprimé.

Archivage et purge restent deux opérations différentes. L'archivage déplace un contenu vers un stockage froid tout en maintenant sa capacité de restitution. La purge le détruit sans retour. Le système rend cette frontière visible dans ses états et dans les rapports produits.

06En résumé #sec_e5d20280

La rétention dans REVIEWIT est un moteur de gouvernance, pas un minuteur global. Elle tient compte de la nature des données, de leurs dépendances et des garanties attendues. Elle sait expliquer pourquoi une donnée reste, pourquoi une autre part, et produire une preuve durable de la suppression sans conserver ce qui devait disparaître.