Politique de rétention des données
Article 5.1.e RGPD · Dernière mise à jour : 2026-10-02
Le tableau ci-dessous détaille, par catégorie de donnée, la durée de conservation, la base légale et la manière dont la donnée est supprimée. Il décrit ce que le service fait réellement : lorsqu'aucune suppression automatique n'est en place, il le dit.
En particulier, les données d'un dossier restent accessibles au moins 12 mois à compter de son premier lancement, et GELOC ne les supprime pas automatiquement à l'issue de ce délai : elles restent conservées jusqu'à ce que le Client supprime le dossier, en demande la suppression ou clôture son compte. Le Client, responsable de traitement pour les données contenues dans ses documents, décide de leur durée de conservation.
| Catégorie | Stockage | Durée | Base légale | Purge |
|---|---|---|---|---|
| Documents déposés dans un dossier (PDF, DOCX…) | Supabase Storage `dd-documents` + `dd_documents` rows | Au moins 12 mois à compter du premier lancement de l'analyse du dossier (CGU art. 6 et 14). Aucune suppression automatique n'est en place : les documents restent conservés jusqu'à ce que le Client supprime le dossier, en demande la suppression ou clôture son compte | Instruction du Client : GELOC agit en tant que sous-traitant (DPA §3 et §16) | Suppression du dossier par le Client (cascade), ou par GELOC sous 30 jours sur demande ou à la clôture du compte, opération faite à la main. Aucune suppression automatique à l'échéance des 12 mois. Seul le job quotidien `cleanup-old-doc-versions` supprime automatiquement les versions intermédiaires d'un document de plus de 30 jours. |
| Points à instruire (constats) et extraits indexés des documents | `dd_findings`, `dd_chunks` (embeddings voyage-law-2) | Comme les documents du dossier | Instruction du Client (analyse dérivée des documents) | Cascade `ON DELETE` lors de la suppression du dossier |
| Commentaires et notes de la deal room | `dd_deal_room_comments`, `dd_comment_mentions` | Comme les documents du dossier | Instruction du Client | Cascade `ON DELETE` lors de la suppression du dossier |
| Conversations du copilote | `dd_copilot_chats`, `dd_copilot_messages` | Tant que le dossier existe (suppression avec le dossier ou sur demande) | Instruction du Client ; conversations rattachées au dossier | Suppression avec le dossier (cascade), ou par le Client depuis les paramètres. Aucune purge automatique. |
| Synthèse de dossier pour l'amélioration du service (CGU art. 13) | Supabase Storage `knowledge` (privé, accès réservé à GELOC) + `dd_deal_reviews` | Aucune durée fixée à ce jour : la synthèse n'est pas supprimée automatiquement, y compris lorsque le dossier est supprimé | Intérêt légitime de GELOC à améliorer ses règles d'analyse, dans les limites de l'article 13 des CGU | Suppression par GELOC sur demande du Client à orpheo@geloc.eu. Aucune purge automatique. |
| Dépôt de documents par e-mail | Boîte de réception (Google Workspace) + Supabase Storage `raw-emails` | Copie brute de l'e-mail dans le stockage de GELOC : 30 jours. Message d'origine dans la boîte de réception : conservé, aucune suppression automatique | Instruction du Client (dépôt de pièces dans un dossier) | Copie brute supprimée automatiquement après 30 jours. Les pièces jointes versées au dossier suivent la durée des documents du dossier. |
| Consultations des liens de partage | `dd_share_link_visits` | Tant que le dossier existe | Intérêt légitime : informer le Client des consultations de son lien de partage, sécurité | Adresse IP jamais stockée en clair (empreinte salée, sel renouvelé chaque jour). Cascade lors de la suppression du dossier ou du lien. |
| Journal d'audit (immuable) | `dd_audit_log`, `dd_tabular_audit_log`, `dd_doc_edit_audit` | 5 ans | Intérêt légitime : sécurité et traçabilité des accès aux dossiers (art. 32 RGPD) | Pseudonymisation du `user_id` lors d'une demande d'effacement (la ligne reste pour la traçabilité). Aucune purge automatique à 5 ans n'est en place à ce jour (la plus ancienne ligne date de mars 2026). |
| Comptes utilisateurs | `auth.users`, `profiles` | Tant que le compte est actif. Aucune suppression automatique d'un compte inactif n'est en place | Exécution du contrat (art. 6.1.b RGPD) | Effacement sur demande (art. 17), sous un mois au plus. |
| Facturation | Stripe (paiements, factures) | 10 ans à compter de la clôture de l'exercice | Obligation légale de conservation des pièces comptables (art. L. 123-22 du code de commerce) | Conservation chez Stripe ; aucune donnée de carte n'est stockée par GELOC. |
| Erreurs techniques et enregistrements de navigation | Sentry (région UE) | 90 jours (durée fixée par l'offre du fournisseur) | Intérêt légitime : correction des erreurs et sécurité du service | Effacement automatique par le fournisseur à l'échéance. |
| Traces techniques des appels d'IA | Langfuse (États-Unis) | Durée fixée par l'offre souscrite chez le fournisseur ; GELOC n'a programmé aucune suppression | Intérêt légitime : surveillance de la qualité et du coût du service | Contenu des documents, des questions et des réponses retiré avant l'envoi ; seuls l'identifiant du compte, celui du dossier et des données techniques sont transmis. |
| Mesure d'audience et de fonctionnement | PostHog UE (`eu.i.posthog.com`), Vercel Analytics | 12 mois pour les événements bruts, sans limite pour les agrégats | Navigateur : consentement (bandeau cookies). Serveur (événements techniques liés au compte ou au dossier, sans contenu de document) : intérêt légitime | Refus ou retrait du consentement : arrêt de la mesure dans le navigateur. Événements serveur : opposition par e-mail à orpheo@geloc.eu. |
| Prospection et liste d'attente (GELOC responsable de traitement) | Attio, Google Workspace, table `waitlist` | Prospection : 3 ans après le dernier échange. Liste d'attente : jusqu'à la demande de suppression, aucune suppression automatique | Intérêt légitime (prospection auprès de professionnels) ; demande de la personne (liste d'attente) | En cas d'opposition, seuls le nom, l'adresse et la date de l'opposition sont gardés 3 ans, pour ne plus contacter la personne. |
| Jurisprudence et textes de loi (corpus public) | `dd_jurisprudence` (voyage-4) | Indéfinie (données publiques Légifrance) | Données publiques — aucune donnée des clients | Sans objet |
| Sauvegardes de la base de données | Supabase (offre Pro) | 7 jours | Continuité du service | Effacement automatique par l'hébergeur à l'issue de la fenêtre de 7 jours. |
Droit à l'effacement (Article 17)
L'utilisateur peut supprimer ses dossiers, ses revues et ses conversations depuis les réglages de son compte (onglet « Confidentialité & Données »). Il peut demander l'effacement de son compte et de toutes ses données à tout moment par e-mail à orpheo@geloc.eu. Délai de traitement : 1 mois maximum (Article 12.3).
L'audit log conserve une trace de la suppression (horodatage, action, identifiants techniques), mais le user_id est pseudonymisé en 00000000-0000-0000-0000-000000000000 — il est impossible de retrouver l'utilisateur à partir des entrées d'audit après suppression. Cette pseudonymisation est techniquement appliquée via une fonction SQL SECURITY DEFINERprivilégiée qui contourne le trigger d'immutabilité de l'audit log uniquement pour les besoins de l'Article 17 (compromis documenté).
Droit à la portabilité (Article 20)
L'utilisateur peut télécharger ses données depuis les réglages de son compte (onglet « Confidentialité & Données »). L'archive fournie contient les dossiers, les points à instruire, les commentaires et les métadonnées des documents au format JSON, ainsi qu'un manifeste qui liste ce qui est inclus ou exclu, avec la raison.
Sauvegardes
Les sauvegardes de la base de données faites par l'hébergeur (Supabase) couvrent une fenêtre de 7 jours. Une donnée supprimée peut donc subsister dans une sauvegarde jusqu'à 7 jours, après quoi elle est effacée automatiquement par l'hébergeur.
Contact
Toute question sur cette politique : orpheo@geloc.eu