Politique de conservation des données

Traduction de courtoisie. En cas de divergence, le texte italien prévaut.

Ce document est celui où figurent toutes les durées de conservation du Service BGates. Les autres documents — la Politique de confidentialité, la Notice pour les personnes autorisées à ouvrir un Accès, l’Accord sur le traitement des données, les Conditions — y renvoient et en reprennent certaines pour faciliter la lecture. Si un autre document indiquait un chiffre différent de celui écrit ici, c’est celui écrit ici qui fait foi.

Nous n’utilisons, à aucun endroit, la formule « pendant la durée nécessaire ». Là où il y a une durée, il y a un chiffre, et à côté du chiffre, il y a le motif.

Responsable du traitement : Business Gates S.r.l., Via Ripamonti 44, 20141 Milano, P.IVA 05759280968. Pour toute demande relative à ce document : info@bgates.it.

1. Comment lire ce document

Les tableaux ont toujours les six mêmes colonnes.

• Catégorie — de quelle donnée il s’agit, avec le nom que nous utilisons dans tous les documents.
• Pourquoi nous la conservons — la finalité. Ce n’est pas une liste de bonnes intentions : c’est ce qui justifie la durée de la colonne suivante.
• Combien de temps — le chiffre.
• Pourquoi précisément cette durée — la justification du chiffre. Une durée sans motif est une durée qu’on ne peut pas défendre.
• Ce qui se passe ensuite — la modalité : effacement, anonymisation ou masquage. Ce sont trois choses différentes, et dans ce document elles ne sont jamais confondues (section 2).
• Où se trouve la règle technique — l’endroit du Service qui applique concrètement la règle. Presque toutes les règles sont appliquées par une tâche nocturne (section 8) ; certaines sont appliquées par la rotation des journaux système ; une est appliquée par la réinitialisation d’usine de l’Appareil.

Les tableaux sont divisés en deux, parce que toutes les données ne sont pas les nôtres : la section 4 contient les données de l’Accès, dont le Client est responsable du traitement et pour lesquelles nous sommes sous-traitant pour son compte ; la section 5, celles dont nous sommes nous-mêmes responsables du traitement. La distinction n’est pas formelle : elle détermine qui peut décider d’une durée plus courte et à qui les demandes doivent être adressées.

2. Les trois mots que nous utilisons, et que nous ne confondons jamais

Effacement. La ligne ou le champ disparaissent des systèmes actifs. Ils restent dans les sauvegardes pendant la durée de la rotation (section 7), puis disparaissent aussi de là.

Anonymisation. La ligne reste, mais elle perd les données qui permettent de remonter à une personne : le nom est supprimé et, du numéro de téléphone, il ne reste que les trois derniers chiffres. Ce qui reste est un événement — « le 3 mars à 18:42, quelqu’un a ouvert » — qui n’est plus une donnée personnelle et qu’on ne peut pas faire revenir en arrière.

Masquage. La donnée est toujours dans nos archives, mais à l’écran on n’en voit que les trois derniers chiffres. C’est une mesure qui protège contre celui qui regarde, et non contre celui qui a accès à la base de données : c’est pourquoi, là où il y a un masquage, il y a toujours aussi, à côté, une durée d’effacement ou d’anonymisation. Le masquage seul n’est pas une politique de conservation.

Lorsqu’on lit dans ce document « ligne technique », il faut entendre l’événement privé du nom et du numéro, c’est-à-dire ce qui reste après l’anonymisation.

3. Deux choses qui valent pour tous les tableaux

Aucune durée ne dépend d’un consentement. Nous ne te demandons pas l’autorisation de conserver les données, et nous ne te la demandons pas parce que le consentement n’est pas la base juridique de ces traitements : ce sont le contrat, une obligation légale ou un intérêt légitime, et ils sont indiqués un par un dans la Politique de confidentialité (/privacy). Par conséquent, il n’existe aucune case à cocher pour allonger une durée, et aucune case à décocher pour la raccourcir : pour demander un effacement anticipé, il y a la section 11.

Les durées s’appliquent aussi pendant que la relation est en cours. Elles ne sont pas un effet de la cessation. Le Journal des ouvertures d’un Accès actif est anonymisé au bout de 12 mois exactement comme celui d’un Accès mis hors service.

4. Les données de l’Accès : le Client décide, nous conservons pour lui

Pour ces données, le Client est responsable du traitement et BGates est sous-traitant au sens de l’art. 28 du RGPD (Règlement (UE) 2016/679). Le Client peut nous demander des durées plus courtes pour son Accès ; il ne peut pas nous en demander de plus longues que celles déclarées ici.

5. Les données dont nous sommes nous-mêmes responsables du traitement

6. Ce que signifie le fait que les durées courent à partir d’aujourd’hui

Ces durées s’appliquent à partir de la présente version du document, et à partir de la même date fonctionnent les effacements automatiques qui les appliquent : la tâche nocturne de la section 8, le nettoyage des jetons de session, la rotation des journaux et des sauvegardes.

Il faut le dire avec précision, parce que la différence entre une règle écrite et une règle en service est exactement ce qui compte : avant la présente version, le Service conservait les données applicatives sans durée déclarée. Ce n’est pas une nuance, et c’est la raison pour laquelle ce document existe. Les données déjà présentes à la date d’entrée en vigueur suivent les mêmes durées, calculées à partir du moment où elles ont été collectées.

La seule règle de ce document qui n’est pas encore en service est l’effacement des fichiers que l’Appareil téléverse sur le serveur de maintenance : elle est écrite à la section 14 et nulle part ailleurs.

7. Les sauvegardes

Chaque nuit, nous faisons une copie des bases de données et des fichiers de configuration. La copie est chiffrée avec GPG AES-256, elle est accompagnée d’une somme de contrôle qui en vérifie l’intégrité, et elle est conservée dans un dossier lisible uniquement par l’utilisateur système qui la produit. La durée de conservation est de 14 jours, par rotation automatique.

Ce que cela signifie pour toi : lorsqu’une donnée est effacée des systèmes actifs, elle peut rester dans les sauvegardes jusqu’à 14 jours, puis elle disparaît aussi de là. Nous ne restaurons pas une sauvegarde pour récupérer une donnée effacée à la demande de quelqu’un.

Deux faits que nous indiquons parce qu’ils sont vrais, et non parce qu’ils nous arrangent :

• les sauvegardes se trouvent sur la même machine que celle qui fournit le Service. Il n’existe pas aujourd’hui de sauvegarde hors site : la perte de la machine serait aussi la perte des sauvegardes. C’est une mesure décidée mais pas encore en service, et elle est enregistrée comme telle dans notre analyse d’impact ;
• les sauvegardes ne comprennent pas les pièces jointes et les messages vocaux de la correspondance d’assistance, ni les archives des environnements de test internes.

8. Où se trouve la règle technique : la tâche nocturne

Presque toutes les règles des tableaux sont appliquées par une seule tâche nocturne du logiciel de gestion, qui démarre chaque nuit à 04:40 et inscrit, à chaque exécution, une ligne indiquant le nombre d’éléments qu’elle a anonymisés et effacés. Chaque durée est une clé de configuration, exprimée en jours, et elle ne peut être que raccourcie : l’allonger au-delà de la valeur déclarée dans ce document rendrait le document mensonger.

Restent en dehors de cette tâche, et nous le disons pour que tu saches que tout ne se trouve pas au même endroit :

• le nettoyage des jetons de session, qui s’exécute chaque nuit à 04:17 et qui était le seul effacement automatique de données déjà en service avant ce document ;
• la réduction des données brutes des événements de paiement et l’effacement des enregistrements techniques des appels vers l’opérateur SIM, effectués par le système d’activation ;
• le masquage à l’écran du numéro de celui qui appelle sans être autorisé, qui n’est pas une tâche : il a lieu au moment où la ligne est affichée, immédiatement ;
• la rotation des journaux système (14 et 60 jours) et des sauvegardes (14 jours), qui sont des règles du système d’exploitation et non du logiciel de gestion ;
• l’effacement du Répertoire embarqué, qui s’exécute sur l’Appareil et non sur nos serveurs.

9. Ce qui se passe quand tu supprimes ton Compte

La suppression du Compte depuis son Espace personnel, et l’effacement intégral qui s’ensuit, sont en service depuis la date d’entrée en vigueur de la présente version.

Tu peux supprimer ton Compte depuis ton Espace personnel : dans le logiciel de gestion, depuis le menu du profil, rubrique « Documents légaux et tes données », ou à l’adresse https://app.bgates.it/profilo. La confirmation se fait au moyen d’un code envoyé à ton adresse e-mail. Si tu préfères, tu peux toujours nous le demander en écrivant à info@bgates.it.

Quand tu le fais :

• nous effaçons les données de ta fiche d’identification, ton Répertoire personnel, tes notifications, tes préférences de notification et tes abonnements aux notifications push ;
• nous remplaçons ton numéro par ses seuls trois derniers chiffres dans les Invitations qui te concernent ;
• nous révoquons les Numéros autorisés qui correspondent à ton numéro : l’effacement définitif a lieu après les 30 jours de réalignement du Répertoire embarqué ;
• nous anonymisons ton nom et ton numéro dans le Journal des ouvertures : les lignes restent en tant qu’événements, sans toi ;
• nous conservons les données comptables et fiscales pendant les 10 ans de l’art. 2220 du Codice civile, et les enregistrements des acceptations pendant 10 ans à compter de la fin de la relation, parce qu’ils sont la preuve de ce que tu as accepté ;
• nous grillons ton nom d’utilisateur : il n’est réattribué à personne. Ce n’est pas une brimade, c’est une mesure de sécurité — sans elle, un nouveau Compte portant le même nom hériterait des sessions du précédent.

Des copies de tes données restent dans les sauvegardes jusqu’à 14 jours (section 7).

Ce qui reste ne reste pas caché : c’est exactement cette liste, et l’écran qui te demande confirmation doit dire la même chose. Si tu lis à l’écran une phrase plus forte que celle-ci, signale-la-nous à info@bgates.it : c’est la phrase à l’écran qui est erronée, et non ce document.

10. Fin de la relation et mise hors service de l’Appareil

À la cessation de l’Abonnement, le Client choisit entre la restitution et l’effacement des données traitées pour son compte. Les délais de ce choix — 30 jours pour le communiquer, 15 jours pour mettre l’export à disposition, 30 jours pour l’effacement, 14 jours pour la rotation des sauvegardes, 10 jours pour l’attestation écrite — figurent dans l’Accord sur le traitement des données (/dpa), section « Fin de la relation ».

Lorsqu’un Appareil est mis hors service, revendu ou change de propriétaire, sa mise hors service comprend : la réinitialisation d’usine avec vérification que le Répertoire embarqué est effectivement vide ; l’effacement des fichiers éventuellement téléchargés depuis l’Appareil pour l’assistance ; la révocation des QR codes et des liens d’activation ; la dissociation de la SIM ; et une trace écrite de tout cela.

11. Demander un effacement avant l’échéance

Tu peux nous demander d’effacer des données avant l’échéance indiquée dans ces tableaux. Écris à info@bgates.it : nous te répondons dans un délai d’un mois.

Ce que nous pouvons faire, et ce que nous ne pouvons pas faire :

• nous pouvons effacer plus tôt les données dont nous sommes responsables du traitement, lorsque nous n’avons plus de raison de les conserver ;
• nous ne pouvons pas effacer les données comptables et fiscales avant dix ans : c’est une obligation légale et elle n’est pas à notre disposition ;
• nous ne pouvons pas décider seuls pour les données de l’Accès (section 4), parce que le responsable du traitement est le Client : dans ce cas, nous lui transmettons la demande sans retard et nous te disons que nous l’avons fait. Si tu as besoin de savoir à qui elle a été transmise, demande-le-nous ;
• nous ne pouvons pas effacer de manière sélective dans une sauvegarde : nous attendons la rotation de 14 jours.

Tu peux aussi t’opposer au traitement fondé sur un intérêt légitime (art. 21 du RGPD). Si tu t’y opposes, nous devons cesser, à moins qu’il n’existe des motifs légitimes impérieux qui prévalent : nous effectuons la vérification au cas par cas et nous t’écrivons pour te dire ce qu’il en est.

12. Une durée peut être suspendue, et nous disons quand

Dans trois cas, une donnée reste au-delà de la durée écrite dans les tableaux. Ils sont trois, ce sont ceux-ci, et il n’y en a pas d’autres :

1. une obligation légale nous impose de la conserver plus longtemps ;
2. un litige en cours, judiciaire ou extrajudiciaire, porte précisément sur cette donnée : dans ce cas, nous la conservons pendant la durée du litige et pendant le délai de recours, et rien de plus ;
3. une demande d’une autorité nous demande de la conserver : nous la vérifions, nous l’enregistrons et nous ne conservons que ce qui nous est demandé.

En dehors de ces trois cas, une durée dépassée est une donnée qui n’aurait plus dû exister.

13. Ce que conservent les fournisseurs, et pendant combien de temps

Certaines données passent par des fournisseurs qui ont leurs propres durées de conservation, sur lesquelles nous ne décidons pas. Nous les indiquons ici parce qu’elles font partie de la réponse honnête à la question « combien de temps mes données restent-elles ». La liste complète des fournisseurs, avec leur rôle et leur pays, figure dans le document Fournisseurs (/fornitori).

14. Ce qui n’a pas encore de durée

Cette section existe parce qu’un document sur la conservation qui passerait sous silence ses propres lacunes serait le plus inutile des documents. Aujourd’hui, restent sans règle écrite :

• les fichiers téléchargés depuis l’Appareil pour l’assistance, déposés sur le serveur de service (section 4, dernière ligne) : la durée est de 90 jours, mais l’effacement automatique de ces fichiers n’est pas encore en service et il est aujourd’hui effectué manuellement à la clôture de l’intervention ;
• la boîte de réception de la messagerie de service, qui conserve aujourd’hui indéfiniment les messages reçus, y compris ceux non sollicités envoyés par des tiers : le Service les lit pour les traiter, mais ne les efface pas et ne les marque même pas comme lus. Du côté du fournisseur de messagerie, la durée est celle déclarée à la section 13 ; de notre côté, il n’y a encore aucune durée.
• le journal des alertes de sécurité de la machine, qui n’a aujourd’hui pas de rotation. Il contient des décomptes agrégés et non des données personnelles, mais il croît sans limite et doit de toute façon être maîtrisé ;
• les archives des environnements de test internes, qui contiennent des données d’exemple.

Pour chacun de ces points, la règle sera écrite dans ce document, et le document changera de version.

15. Modifications de la présente politique

La présente politique change lorsqu’une durée change ou lorsque l’un des points de la section 14 est réglé. Chaque version a un numéro et une date d’entrée en vigueur, en bas de la page.

Une précision qui ne vaut que pour ce document : une durée plus longue est toujours une modification substantielle, et elle n’entre pas en vigueur en silence. Une durée plus courte entre en vigueur immédiatement, parce qu’elle est en ta faveur et qu’il n’y a rien à accepter.

Version 2026.10.20-1 — en vigueur depuis le 20 octobre 2026. Quand nous modifions quelque chose de substantiel — une nouvelle finalité, un nouveau fournisseur, une durée de conservation plus longue — nous publions ici la nouvelle version, avec sa date, et si tu as un Compte, nous te le communiquons par e-mail. Ce document ne s’accepte pas : il se lit, et nous ne te demandons de cocher aucune case. Les corrections de forme ne changent pas la version. Les versions précédentes restent disponibles sur demande à info@bgates.it.