Transformer une durée générale en chronologie pour chaque donnée

Nommer l’objet avant de retenir un nombre

Dressez des lignes distinctes pour profil du compte, texte des conversations, pièce audio ou visuelle, souvenir enregistré, événement d’activité, intérêt déduit, dossier d’avis, lien partagé, export, demande d’assistance et journal de sécurité. Ajoutez la finalité actuelle de chaque ligne. Une conversation gardée pour être rouverte n’est ni un bref journal technique, ni une preuve de récupération du compte, ni une préférence construite à partir de plusieurs séances. Les orientations de l’ICO relient la conservation à la finalité, à la nécessité et à la révision plutôt qu’à un délai universel. Si la notice annonce une période sans définir les objets couverts, inscrivez « périmètre inconnu ». N’appliquez pas le délai des conversations visibles aux fichiers, souvenirs ou traces techniques sans texte explicite.

Repérer l’événement qui démarre ou relance l’horloge

Trente jours ou deux ans ne permettent aucune vérification tant que le point de départ manque. Le compteur peut commencer à la collecte, à la dernière utilisation, à l’inactivité du compte, à la fin d’un abonnement, à la demande de suppression, à la clôture d’un dossier ou à la résolution d’un incident. Demandez si rouvrir une ancienne conversation, restaurer le compte, envoyer un avis ou reconnecter un service remet le compteur à zéro. Lorsque c’est pertinent, notez le fuseau et l’emploi de jours calendaires ou d’heures écoulées. Après la formule « à compter de la suppression », gardez quatre horodatages : acceptation de la demande, disparition de l’écran, fin du délai annoncé et contrôle final. Ils évitent de confondre réception, attente, traitement et vérification.

Séparer activité, archivage, sauvegarde et file de suppression

Le stockage actif sert la fonction courante. Une archive intermédiaire peut être isolée pour une autre finalité déclarée. Une sauvegarde est une copie de reprise soumise à une rotation et à des procédures de restauration. La file de suppression est un état du processus, pas une preuve de disparition immédiate. La CNIL distingue l’usage en base active, l’archivage intermédiaire, puis la destruction ou l’anonymisation finale. Pour l’application, vérifiez si l’archive reste recherchable, alimente la personnalisation ou demeure accessible aux équipes ordinaires. Demandez aussi si une restauration peut ramener un ancien objet et si les marqueurs de suppression sont alors rejoués. Quand un élément quitte l’écran principal, consignez le nom d’état donné par le service et sa prochaine transition, sans écrire trop tôt « effacé partout ».

Donner une horloge propre aux dérivés et aux destinataires

Effacer la conversation source ne dit pas ce que deviennent un souvenir extrait, une transcription, une miniature, un signal de contrôle, une statistique agrégée ou une préférence inférée. Pour chacun, cherchez le lien avec la source, les règles de mise à jour et l’éventuelle durée autonome. Un sous-traitant, un service connecté, la personne qui a ouvert un lien public ou celle qui a téléchargé un export peuvent conserver une copie différente. Le fournisseur peut annoncer le moment où il ordonne l’effacement à un prestataire ; il ne peut pas récupérer un fichier enregistré par quelqu’un sur son propre appareil. Ajoutez donc une ligne par destinataire : rôle, données reçues, finalité, indice de durée, responsable de la suppression et voie de confirmation. La durée de la première partie ne devient ainsi jamais, par supposition, l’échéance de toutes les copies sorties.

Lire étroitement les exceptions et conserver les inconnues

Une notice peut prévoir un maintien limité pour sécurité, gestion d’un différend, prévention des abus, tenue de documents ou reprise technique. Recopiez seulement la catégorie annoncée, la restriction d’accès, la condition de fin et l’éventuel retour dans les fonctions ordinaires. Ne convertissez pas « aussi longtemps que nécessaire » en nombre inventé et ne formulez pas de conclusion juridique pour le pays du lecteur. La FTC rappelle que garder sans besoin courant crée une exposition évitable. Pour décider au quotidien, observez si l’exception est expliquée, si les données sont isolées de l’usage normal, si une fin est définie et quel contact officiel peut répondre. Une case sans réponse reste une inconnue datée, au lieu d’être comblée par une supposition rassurante ou alarmante.

Faire un test de suppression daté et borné

Créez une conversation d’essai avec une expression unique, anodine et sans détail personnel. Notez compte, appareil, objets créés et documentation du jour. Utilisez la voie de suppression publiée, puis contrôlez historique, recherche, souvenir, fichiers, liens, export et autre appareil connecté. Attendez uniquement la période annoncée par ce service, jamais le chiffre d’un concurrent, puis recommencez. Le reçu contient l’heure de demande, le retrait visible, l’indication de file ou d’archive, la date de vérification et les inconnues restantes ; il ne conserve pas le contenu test. Refaites l’exercice après fermeture du compte, évolution importante de la notice ou nouvelle connexion. Le résultat décrit le parcours et la version observés, sans prétendre révéler le contenu de sauvegardes inaccessibles.

Continuer sur ce thème