Avertissement : document type, à faire relire par un professionnel du droit avant la mise en ligne. Il ne constitue pas un conseil juridique.
Champs à compléter (back-office, Paramètres) : DATE_VERSION, RAISON_SOCIALE, SITE_SAUVEGARDE_PLATEFORME, PAYS_SAUVEGARDE_PLATEFORME, EMAIL_RGPD.
Politique de conservation des données
Version du [À COMPLÉTER : DATE_VERSION] — [À COMPLÉTER : RAISON_SOCIALE]
Cette politique indique combien de temps NeverWiped conserve chaque catégorie de données, et ce qui déclenche leur suppression. Les durées marquées d’un astérisque sont des paramètres de la plateforme : la valeur affichée est celle appliquée aujourd’hui. Les durées accompagnées de la mention « durée proposée, non appliquée automatiquement : à décider » ne sont pas encore appliquées par un effacement automatique.
1. Sauvegardes des clients (contenu chiffré)
| Situation | Conservation |
|---|---|
| Abonnement actif | Selon la formule : au moins 4 semaines (Essentiel), 30 jours (Pro) ou 90 jours (Business), sauf si le Client choisit pour un serveur une conservation plus courte dans son espace client (jamais moins que les 7 dernières sauvegardes quotidiennes, ou les 2 dernières hebdomadaires en Essentiel ; une réduction ne s’applique que 7 jours après la demande, annoncée par e-mail et annulable jusque-là). Le nettoyage, lancé par l’agent au plus une fois tous les 7 jours, supprime les sauvegardes plus anciennes ; au début, la plus ancienne sauvegarde de la période est aussi gardée. |
| Fin d’un essai gratuit sans abonnement | Suppression 7 jours* après la fin de l’essai. |
| Impayé | Nouvelles sauvegardes suspendues à J+10*, préavis à J+31*, suppression définitive à J+45* après l’échec du paiement. |
| Résiliation | Suppression 30 jours* après la fin de la période payée. |
| Suppression d’un serveur dans l’espace client | Suppression immédiate du dépôt de ce serveur. |
| Désinstallation de l’agent | Les sauvegardes restent stockées jusqu’à la suppression du serveur dans l’espace client, la résiliation ou la suppression du compte. L’option --delete-backups ne supprime rien : elle envoie au titulaire du compte un lien vers cette suppression. |
| Suppression du compte | Suppression de tous les dépôts 7 jours* après la demande (voir §7). Pendant ce délai, rien n’est supprimé et le titulaire peut annuler. |
Les exports de bases de données créés par l’agent sur le serveur du Client (/var/lib/neverwiped/dumps) sont effacés de ce serveur après chaque sauvegarde.
2. Compte et données associées
| Donnée | Conservation |
|---|---|
| Compte (e-mail, nom, mot de passe haché, pays, informations de facturation, IP d’inscription) | Pendant toute la vie du compte ; supprimé à la suppression effective du compte (7 jours* après la demande, §7). Compte sans abonnement ni sauvegarde depuis 3 ans : suppression après avertissement (durée proposée, non appliquée automatiquement : à décider). |
| Sessions de connexion | 30 jours glissants ; supprimées à la déconnexion, au changement de mot de passe et à la suppression du compte. Les sessions expirées sont inutilisables et sont effacées automatiquement de la base 30 jours après leur expiration. |
| Liens de vérification d’e-mail et de réinitialisation du mot de passe | Valables 24 heures (vérification) et 1 heure (réinitialisation), à usage unique ; supprimés avec le compte. Effacés automatiquement de la base 30 jours après leur expiration. |
| Étapes de connexion en attente du second facteur ou d’une clé d’accès | Valables 10 minutes au plus ; effacées automatiquement de la base un jour après leur expiration. |
| Clés d’API (empreinte seulement) | Jusqu’à leur révocation, puis avec le compte. |
| Serveurs enregistrés et historique des sauvegardes (dates, tailles, statut, messages d’erreur) | Tant que le serveur existe dans l’espace client ; supprimés avec le serveur ou le compte. Historique limité à 13 mois (durée proposée, non appliquée automatiquement : à décider). |
3. Facturation et paiement
| Donnée | Conservation |
|---|---|
| Factures et avoirs | 10 ans à compter de la clôture de l’exercice (article L. 123-22 du Code de commerce). À la suppression du compte, ils sont détachés du compte et conservés avec l’instantané des informations client figé à l’émission. |
| Paiements (références Mollie, montants, statuts, empreinte hachée du moyen de paiement) | 10 ans, avec les factures ; détachés du compte à sa suppression. |
| Procédures d’impayé (étapes, dates) | Avec l’abonnement ; supprimées avec le compte. |
| Données de carte et IBAN | Non conservés par NeverWiped : ils sont détenus par le prestataire de paiement Mollie B.V. |
4. Parrainage
| Donnée | Conservation |
|---|---|
Cookie de parrainage nw_ref | 30 jours* dans le navigateur. |
| Clics, inscriptions et conversions (dont l’IP du clic et les signaux anti-abus) | Pendant la vie du compte du parrain ; supprimés avec ce compte. Clics sans inscription : 12 mois (durée proposée, non appliquée automatiquement : à décider). |
| Mois offerts et mois en banque | Jusqu’à leur utilisation ou leur expiration (24 mois* pour la banque de mois), puis avec le compte. |
5. E-mails et journaux
| Donnée | Conservation |
|---|---|
| Journal des e-mails envoyés (destinataire, modèle, objet, statut) | 12 mois (durée proposée, non appliquée automatiquement : à décider). Actuellement, les lignes sont conservées sans limite tant que le compte existe ; à la suppression du compte, toutes les lignes du compte ou adressées à son e-mail sont effacées, et l’e-mail confirmant la suppression est journalisé sans l’adresse. |
| Journal d’audit des accès d’administration (administrateur, action, cible, IP, navigateur) | 12 mois (durée proposée, non appliquée automatiquement : à décider). |
| Journal d’audit des actions du Client sur son compte (connexions, sécurité, équipe, clés, serveurs, facturation) | 12 mois (durée proposée, non appliquée automatiquement : à décider). À la suppression du compte, les lignes décrivant les actions du titulaire sont conservées pour la sécurité de la plateforme, mais sans son e-mail, son adresse IP, son navigateur ni leurs détails ; les lignes des accès du support restent telles quelles. |
| Limites de débit (adresse IP, compteur) | Quelques minutes à une heure en mémoire (Redis), puis effacement automatique. |
| Journaux techniques des serveurs (accès, erreurs) | Rotation automatique : journaux des conteneurs limités à 5 fichiers de 10 Mo par service (les plus anciens sont effacés au fil de l’eau) ; journaux de supervision de l’hôte : 12 semaines. |
Journal local de l’agent sur le serveur du Client (/var/log/neverwiped.log) | Sous la seule maîtrise du Client ; non supprimé à la désinstallation, sauf option --remove-log. |
6. Sauvegardes de la plateforme
La base de données de la plateforme, hébergée dans l’UE, est elle-même sauvegardée, chiffrée, sur un second site ([À COMPLÉTER : SITE_SAUVEGARDE_PLATEFORME], pays : [À COMPLÉTER : PAYS_SAUVEGARDE_PLATEFORME]). Une donnée supprimée de la plateforme disparaît de ces sauvegardes à l’expiration de leur propre durée de conservation : 14 sauvegardes quotidiennes, 8 hebdomadaires et 12 mensuelles, soit 12 mois au plus. Ces sauvegardes ne contiennent jamais le contenu des sauvegardes des clients.
7. Suppression du compte : calendrier
| Moment | Ce qui se passe |
|---|---|
| Demande (espace client, « Mon compte », mot de passe et confirmation écrite) | Rien n’est supprimé. Un e-mail au titulaire donne la date de suppression, l’heure et l’adresse IP de la demande. Les sauvegardes continuent et restent restaurables ; aucun prélèvement ni nouvelle tentative de paiement n’a lieu. Le titulaire peut annuler jusqu’à la date. |
| 7 jours* après la demande | Les dépôts de tous les serveurs du compte sont supprimés du stockage et leur absence est vérifiée ; si un dépôt ne peut pas être supprimé, rien d’autre n’est supprimé et l’opération est relancée automatiquement. Puis : mandat de paiement révoqué et client supprimé chez le prestataire de paiement ; compte, serveurs, historique des sauvegardes, clés et jetons d’API, sessions, seconds facteurs, équipe et invitations, parrainage, avis envoyés et journal des e-mails du compte supprimés ; adresse effacée des invitations bêta, adresse IP du clic effacée du parrainage. Un e-mail au titulaire donne un numéro de suppression ; les membres de l’équipe perdent leur accès et sont prévenus. |
| Après la suppression | Conservés : les factures, avoirs et paiements (10 ans, §3), détachés du compte ; les lignes du journal d’audit décrivant les actions du titulaire, sans e-mail, adresse IP ni navigateur (§5) ; une ligne de suppression (numéro, dates, nombres d’éléments supprimés et conservés, identifiant aléatoire de l’ancien compte), sans e-mail, nom ni adresse IP, pour prouver la suppression et la refaire si la base de la plateforme était restaurée à une date antérieure. Durée de cette ligne : TODO_LEGAL(durée de conservation de la ligne de suppression). |
| Au plus 12 mois après | Les sauvegardes de la base de la plateforme (§6) qui contiennent encore le compte expirent. Si l’une d’elles était restaurée, les suppressions effectuées depuis sont refaites avant la remise en service. |
| Chez les prestataires | Le prestataire de paiement conserve ses propres données sur les paiements passés, selon ses propres obligations, TODO_LEGAL(durée de conservation chez Mollie). Le prestataire d’envoi d’e-mails conserve ses journaux d’envoi selon sa propre durée, TODO_LEGAL(durée des journaux du prestataire d’envoi d’e-mails). |
Le contenu des sauvegardes est chiffré sur le serveur du Client avant l’envoi : une fois les fichiers du dépôt supprimés du stockage, ils ne sont plus lisibles sans la clé du Client, qui n’est jamais transmise à NeverWiped. Les disques du serveur de stockage sont eux-mêmes chiffrés.
8. Exercice des droits
Le Client peut à tout moment exporter toutes les données de son compte (format JSON) et supprimer son compte depuis son espace client, rubrique « Mon compte ». Pour toute question : [À COMPLÉTER : EMAIL_RGPD].