Politique d'archivage

1. Objet et périmètre

Ce document décrit comment Registeo conserve le registre des objets mobiliers de ses utilisateurs : ce qui est conservé, pendant combien de temps, par quels moyens l'intégrité en est garantie, comment il est restitué et comment il est détruit au terme du délai légal.

Il couvre :

• les écritures du registre et le journal d'audit qui les scelle ;
• les pièces jointes — photographies d'objets, documents du vendeur, signatures ;
• les journaux — consultations, activité, contrôles d'intégrité ;
• les sauvegardes de l'ensemble.

Textes applicables : articles 321-7 et R. 321-3 à R. 321-6-1 du code pénal, arrêté du 15 mai 2020 pris pour l'application de R. 321-8, et pour les professionnels concernés l'article L834-6 du code de commerce.

2. Référentiel appliqué

L'article 3 de l'arrêté du 15 mai 2020 impose que le traitement automatisé respecte les principes de la norme ISO 14641-1 — le pendant international de la norme française NF Z 42-013 — qui définit la conception et l'exploitation d'un système d'archivage électronique.

La norme n'exige pas de certification : elle énonce des exigences. Le tableau ci-dessous indique, pour chacune, où elle est décrite dans ce document et quel élément permet de la vérifier. Registeo n'est pas certifié NF 461 ; les preuves listées ici ne reposent pas sur notre parole.

3. Rôles et responsabilités

L'exploitant — le professionnel utilisateur — est tenu de la tenue de son registre. L'obligation légale lui appartient et ne se délègue pas par contrat. Il est responsable de traitement au sens du RGPD pour les données de ses vendeurs.

Registeo est sous-traitant et opérateur du système. Nous répondons de la disponibilité du service, de l'intégrité de ce qui y est inscrit, de la sécurité des accès et de la restitution des données. Nous ne répondons pas de l'exactitude de ce qui est saisi.

4. Entrée des écritures

Une écriture entre par l'interface ou par l'API. Elle est contrôlée à la saisie : les mentions exigées par R. 321-3 à R. 321-5 sont obligatoires, une écriture incomplète est refusée. Le numéro d'ordre est attribué automatiquement, de façon continue, et n'est jamais réutilisé.

Elle est scellée au moment de sa validation : une empreinte SHA-256 est calculée sur son contenu et chaînée à l'empreinte de l'écriture précédente. Il n'existe pas d'état intermédiaire non scellé.

5. Intégrité et datation

La chaîne d'empreintes rend toute altération détectable : modifier une écriture ancienne invaliderait toutes les suivantes, et la réparation supposerait de recalculer l'ensemble.

Ce recalcul est rendu impossible par un horodatage qualifié. L'empreinte de tête de chaîne est soumise chaque jour à 3 h à une autorité de certification qualifiée eIDAS, selon la norme RFC 3161. Le jeton est conservé sous sa forme brute. La date des enregistrements est donc établie par un tiers que nous ne contrôlons pas.

Aucune écriture n'est réécrite. Une correction crée une écriture supplémentaire portant la valeur antérieure, la valeur nouvelle, son auteur et son horodatage — y compris lorsqu'il s'agit de compléter une donnée manquante. Le numéro d'ordre et l'identité de l'agent sont techniquement figés. Une suppression conserve le numéro d'ordre et laisse sa trace.

Registeo n'écrit jamais dans le registre d'un exploitant : seuls l'exploitant, ses utilisateurs et ses connecteurs y portent des écritures. Nos interventions dans un compte se font en lecture seule, et aucune donnée n'y est complétée ni corrigée de notre fait.

Le mode de calcul des empreintes peut évoluer. Chaque écriture conserve alors celui qui l'a scellée, et en porte le numéro de version : un nouveau calcul ne s'applique qu'aux écritures à venir. Aucune écriture existante n'est recalculée, et les horodatages déjà obtenus restent vérifiables tels quels.

6. Contrôle périodique de l'intégrité

La chaîne est vérifiée chaque jour, avant tout horodatage : sceller sans avoir contrôlé reviendrait à graver dans le temps des empreintes dont on ignore si elles se tiennent.

Chaque contrôle laisse un relevé daté — verdict, nombre d'écritures, divergences éventuelles, empreinte de tête. Ces relevés ne sont jamais purgés : c'est leur série qui atteste que la vérification est périodique, et non la seule existence du dispositif.

Si la chaîne diverge, aucun horodatage n'est demandé et une alerte est émise. Le scellement ne reprend qu'après explication ou réparation.

7. Sécurité

• Données nominatives chiffrées en AES-256-GCM au niveau du champ, dans la base elle-même et non sur le seul disque ;
• chiffrement en transit ;
• hébergement en France, sans transfert hors Union européenne ;
• authentification de chaque accès, journalisation des consultations ;
• l'équipe Registeo n'intervient dans un compte client qu'avec l'accord de l'exploitant, recueilli par e-mail. L'intervention se fait en lecture seule ; elle est inscrite au journal des consultations de l'exploitant au nom de l'intervenant, avec un motif saisi avant l'ouverture de la session.

8. Durées de conservation

9. Destruction au terme du délai

Au-delà de dix ans, une écriture n'a plus de fondement à être conservée : la garder reviendrait à maintenir indéfiniment des données nominatives — identités, domiciles, pièces d'identité — sans finalité qui le justifie.

La purge s'exécute chaque jour, avec trois garde-fous :

• elle ne porte que sur des écritures couvertes par un horodatage qualifié — supprimer ce dont aucun tiers n'a attesté l'intégrité rendrait la destruction indéfendable ;
• une entrée du registre dont une écriture est postérieure à la coupure est conservée, même si sa création est plus ancienne : le délai court par enregistrement, non par objet ;
• elle n'a lieu qu'après le contrôle d'intégrité du jour.

La chaîne est consommée par son début. L'empreinte de la dernière écriture supprimée devient l'ancre à partir de laquelle la vérification repart : la chaîne demeure vérifiable de bout en bout, depuis un point documenté au lieu de son origine. Chaque purge ajoute une ancre à la précédente ; leur succession justifie chaque maillon manquant.

La destruction est définitive et n'est pas réversible.

10. Sauvegarde et restauration

Les sauvegardes sont chiffrées et répliquées sur des sites géographiquement distincts. Elles servent la reprise après incident, non la conservation légale : celle-ci est assurée par la base de production et sa chaîne d'empreintes.

Toute restauration est suivie, dans la journée, de la réapplication automatique des purges — décennale et journaux. Une donnée effacée ne peut donc pas réapparaître durablement par le biais d'une restauration.

11. Pérennité des formats

Le registre lui-même est conservé sous forme de données structurées, indépendantes de tout format documentaire. Sa lisibilité ne dépend donc d'aucun logiciel de lecture.

Les exports PDF ne sont pas archivés : ils sont régénérés à la demande. Si un autre format devenait le standard, les exports seraient produits dans ce format sans que le registre soit affecté.

Les pièces jointes sont stockées en WebP, lu nativement par les navigateurs actuels. Leur lecture relève de notre responsabilité : le rendu des exports est opéré par nos soins, et nous restons tenus de produire un document lisible quelle que soit l'évolution des formats.

12. Restitution

Le registre est présentable à l'écran à tout instant, et exportable en PDF comme en CSV. Chaque export PDF porte un code permettant d'établir en ligne, sur registeo.fr/verifier, qu'il correspond exactement à la base — par code ou par empreinte du fichier déposé.

La fin d'un abonnement ne suspend ni la consultation ni les exports : elle interdit la saisie de nouvelles écritures. Les données ne sont effacées que sur demande explicite de l'exploitant, sous réserve de ses propres obligations de conservation.

13. Vérification par un tiers

Une conformité qui repose sur une déclaration ne se vérifie pas. Les éléments suivants s'examinent sans notre concours, et pour certains sans nous faire confiance du tout.

• Le jeton d'horodatage. Au format RFC 3161, signé par une autorité de certification qualifiée inscrite sur la liste de confiance européenne. Il se contrôle hors ligne, contre le certificat de cette autorité, et établit qu'une empreinte donnée existait à une date donnée. Nous ne pouvons ni le forger ni l'antidater.
• La chaîne d'empreintes. Chaque écriture porte l'empreinte de la précédente, et la version du calcul qui l'a scellée. Qui dispose des données recalcule la chaîne et constate qu'elle se tient — ou qu'elle ne se tient pas. Aucune confiance n'est requise, seulement l'algorithme.
• Un export PDF. Chaque export porte un code permettant d'établir sur registeo.fr/verifier qu'il correspond exactement à la base, par code ou par empreinte du fichier déposé.
• L'état du registre. L'exploitant dispose dans son espace d'un écran de conformité et d'une attestation datée : nombre d'écritures, continuité des numéros d'ordre, dernier horodatage qualifié et dernier contrôle d'intégrité.

14. Révision

Cette politique est revue à chaque évolution du dispositif technique ou du cadre réglementaire. Les durées et les mécanismes qu'elle décrit correspondent à l'état du service à la date indiquée en tête de document.