Ce que vous gardez, et pourquoi

01En une phrase #sec_4d0d24f2

La rétention ne se coche pas : elle se règle catégorie par catégorie, elle se constate au rapport, et elle se suspend par une mesure motivée quand une procédure l'exige.

02Où cela se trouve #sec_c23ce8a2

Paramètres › Politique de rétention. Cette page est la façade du sujet ; deux liens en tête de page mènent aux deux autres écrans.

03Les durées #sec_bc0d8abf

Trente-quatre catégories de données, groupées par déclencheur — clôture de campagne, émission d'une preuve, fin de souscription, au fil de l'eau. Le groupe répond à la première moitié de la seule question qu'on pose vraiment : à partir de quand, et combien de temps ?

La durée nominale n'est pas une date de disparition. L'effacement complet intervient trente-cinq jours plus tard, quand les sauvegardes ont expiré. La colonne de droite l'écrit sur deux lignes — combien de temps, puis à partir de quoi — parce que confondre les deux fait promettre une disparition qui n'a pas encore eu lieu.

Certaines durées sont un plancher. L'écran affiche alors au moins . Un instantané de campagne vit au minimum sa durée nominale, et au-delà tant qu'une preuve non purgée en dépend. Afficher la valeur seule serait faux.

On ne peut pas désactiver une durée, et ce n'est pas une fonction manquante. La liste des unités — jours, semaines, mois, années — ne sait pas exprimer l'infini, et le plafond de dix ans ferme le dernier chemin. Une conservation sans terme n'est pas une conservation, c'est un oubli d'effacer que personne ne pourra expliquer.

Certaines lignes ne se règlent pas du tout. Une durée imposée relève d'une obligation légale ou d'une donnée dont l'éditeur est responsable ; une durée dépendante suit strictement l'objet qu'elle accompagne. L'écran le dit avec un cadenas plutôt que de griser sans raison.

La dérogation

Sortir des bornes du profil exige une dérogation, et elle s'enregistre — elle ne se sollicite pas . La décision se prend hors du produit : avis juridique, comité, arbitrage interne. REVIEWIT fournit le mécanisme et la trace, pas l'arbitrage.

Trois champs sont obligatoires, et chacun répond à une question qu'un vérificateur posera des années plus tard : le motif , l' approbateur — nommé avec son identifiant, parce que « le RSSI » est introuvable dix ans après — et la date de revue . Lever une dérogation ne la supprime pas : elle a fondé une conservation, et le dossier doit pouvoir l'expliquer après coup.

04Ce qui est réellement purgé #sec_a5a1e708

L'écran affiche un compte honnête : N catégories sur 34 sont réellement purgées . Les autres ne sont pas oubliées — elles n'ont pas de mécanisme, et le dire vaut mieux que d'afficher trente-quatre durées dont la plupart ne s'appliqueraient à rien. Une politique affichée mais non appliquée fabrique une preuve de conformité fausse.

Une catégorie peut être purgée sans qu'aucune ligne ne disparaisse. Quand plusieurs catégories partagent le même enregistrement, la purge se fait champ par champ : le contenu part, la preuve de remise reste. L'écran l'annonce — appliqué — contenu vidé — parce qu'un lecteur qui vérifie en base trouverait ses lignes et conclurait que le dispositif ment.

05Le rapport #sec_a69c9127

Il ne démontre pas ce qui a été supprimé : il explique ce qui a été gardé . La carte sombre en est le cœur — conservé alors qu'éligible —, et c'est la partie que l'auditeur lit.

Quatre motifs de maintien, chacun avec ses trois colonnes : qui peut agir , quand ça se résout , quelle restriction d'usage . Sans elles, un chiffre par motif laisse encore poser la question « et alors ? ».

Aucun zéro là où rien ne compte. Un motif dont aucun mécanisme ne mesure les objets porte non compté , en pointillé. Un zéro affirmerait que rien n'est conservé à ce titre, ce qui serait faux.

Et un compteur qui n'existe nulle part ailleurs : le nombre de catégories qui n'ont rien supprimé du tout. Un rapport tout vert peut signifier que le dispositif est mort ; ce compteur existe pour que le silence ne passe pas inaperçu.

06Les mesures de conservation #sec_7e4f6ae9

Une mesure suspend la purge de sa cible et de ce qui en dépend. Elle ne la supprime pas : au terme, la purge reprend au cycle suivant.

Poser une mesure demande quatre choses, et aucune n'est décorative :

Le rayon d'action se calcule au moment de la pose, jamais recopié sur les objets tenus. C'est ce qui permet à la levée de ne déclencher aucun traitement : il n'y a rien à défaire, la mesure cesse simplement d'être trouvée.

Lever exige son propre motif. C'est le geste le plus exposé des deux : la pose protège, la levée retire une protection.

07Les deux pannes silencieuses #sec_07d6e553

Un cycle qui ne supprime plus rien ressemble trait pour trait à un cycle qui n'avait rien à faire. C'est pour cela que chaque passage laisse une ligne au registre même quand il ne purge rien, et que le rapport compte les catégories restées à zéro. Sans cette ligne, un dispositif en panne et un dispositif au repos sont indiscernables.

Une mesure dont la revue est échue tient toujours — mais plus personne n'a confirmé qu'elle devait tenir. C'est le seul rouge de l'écran des mesures, et il mérite ce traitement : un hold devenu non opposable est plus dangereux qu'un hold absent, parce qu'il ressemble à un hold valide.

08À retenir #sec_7ae9ae73

• La durée nominale n'est pas la date de disparition : comptez trente-cinq jours de plus.
• Au moins n'est pas une approximation : c'est un plancher, et une preuve peut le dépasser.
• On ne désactive pas une durée. Si vous cherchez ce bouton, la question est ailleurs.
• Le compte « N sur 34 » est la ligne la plus honnête de l'écran. Lisez-la avant les durées.
• Une mesure de conservation sans terme n'existe pas, et une revue échue n'est pas un détail.