Conservation, suppression et fermeture

Principes

Chaque catégorie dispose d’une finalité, d’un déclencheur, d’une durée active, d’une éventuelle archive restreinte et d’une action finale. Les exceptions justifiées par un incident, un litige ou une obligation légale sont documentées et limitées.

Les durées ci-dessous sont des règles opérationnelles de référence. Lorsqu’une fonction n’est pas encore ouverte au public, son automatisation doit être vérifiée avant son activation.

Accès, invitations et contenus courants

• compte non vérifié : suppression du compte et de ses jetons après 30 jours ;
• invitation familiale expirée : jeton invalidé, métadonnées utiles conservées au plus 90 jours ;
• invitation d’événement : invalidation à la fin de l’événement ou après 90 jours sans date, puis métadonnées au plus 90 jours ;
• brouillon abandonné : suppression après 90 jours sans modification ;
• contenu supprimé : masquage immédiat puis purge du stockage actif sous 30 jours.

Archives familiales et mémoires

Les portraits, biographies, anecdotes, photos d’archive, légendes, provenances et identifications restent actifs tant que la famille et le contenu correspondant sont conservés, sous réserve des audiences, des droits des personnes et des demandes de suppression applicables. Cœur de Famille ne promet aucune conservation perpétuelle.

La suppression d’une photo entraîne la suppression de ses métadonnées d’archive et de ses identifications dans le stockage actif. Le retrait d’une identification conserve uniquement les éléments de décision et d’audit nécessaires pendant leur durée probatoire ; il ne supprime pas automatiquement la photo publiée par un tiers.

La mémoire d’une personne décédée ou sans compte peut être enrichie par les responsables habilités de la famille. Elle ne bénéficie pas d’un régime de conservation illimitée distinct de celui de la famille et aucun transfert post-mortem automatique n’est organisé.

Compte, sessions et inactivité

• sessions, MFA et jetons mobiles : révocation immédiate après suppression ou incident ;
• désactivation temporaire : conservation pendant 90 jours pour permettre une réactivation, puis suppression selon le choix confirmé ;
• compte durablement inactif : alerte après 24 mois, préavis de 30 jours, puis suppression des identifiants lorsque rien ne justifie leur maintien ;
• demande de suppression confirmée : révocation des accès sans délai et purge active visée sous 30 jours.

Famille, crédit épuisé et fermeture

L’épuisement du crédit ne supprime pas immédiatement les données. Il bloque les pages connectées liées à la famille derrière la facturation, tandis que le compte, la déconnexion et le changement de famille restent accessibles.

La fermeture d’une famille est un parcours distinct, précédé d’une information et, lorsque possible, d’une possibilité d’export des données du compte. La date de fermeture, le délai de grâce et la purge effective doivent être confirmés au moment de la demande. Aucun ancien délai de « lecture seule douze mois » n’est garanti.

Le produit actuel ne fournit pas d’export familial complet, de contact de confiance, de directives de transmission ni de transfert automatique de l’administration. Ces fonctions ne doivent pas être déduites de l’export individuel existant.

Journaux, signalements et preuves

• journaux techniques ordinaires : 6 mois ;
• journaux de sécurité et actions sensibles : 12 mois, sauf incident ou litige ;
• signalement clos : 12 mois, puis suppression ou anonymisation, sauf litige ;
• acceptations CGU ou CGV et autorisations de mineur ou d’image : 5 ans après leur fin d’effet, en archive restreinte ;
• décisions d’identification et provenance des modifications sensibles : durée probatoire proportionnée, en accès restreint ;
• demandes RGPD : 3 ans après clôture, avec suppression plus rapide des justificatifs d’identité ;
• transactions et contrats : 5 ans ou durée légale applicable ; factures et pièces comptables : 10 ans.

Compte et fiche familiale

La suppression du compte révoque l’authentification, les sessions, jetons, MFA et notifications. La fiche familiale est examinée séparément : certaines relations et certains contenus partagés licitement utiles aux autres membres peuvent subsister sous une forme adaptée, sans empêcher la personne d’exercer ses droits de rectification, masquage, limitation, opposition ou effacement.

Sauvegardes et restauration

La durée réelle des sauvegardes de production sera publiée après validation du contrat d’hébergement ; la cible est de 30 jours et la limite publique maximale prévue est de 90 jours. L’expiration suit le cycle technique, sans remise en ligne des données supprimées.

Un registre minimal de suppression permet de réappliquer les suppressions après restauration. Il ne doit jamais devenir une copie permanente des données effacées.

Propagation et contrôle

Une purge se propage au stockage principal, aux miniatures, caches, index, files de messages et prestataires concernés. Les traitements automatiques sont conçus pour être idempotents, journalisés sans recopier les données et surveillés.

Une demande peut être envoyée à coeurdefamille.app@gmail.com avec l’objet [RGPD].