Politique d'archivage

1. Objet et périmètre

Ce document décrit comment Registeo conserve le registre des objets mobiliers de ses utilisateurs : ce qui est conservé, pendant combien de temps, par quels moyens l'intégrité en est garantie, comment il est restitué et comment il est détruit au terme du délai légal.

Il couvre :

• les écritures du registre et le journal d'audit qui les scelle ;
• les pièces jointes — photographies d'objets, documents du vendeur, signatures ;
• les journaux — consultations, activité, contrôles d'intégrité ;
• les sauvegardes de l'ensemble.

Textes applicables : articles 321-7 et R. 321-3 à R. 321-6-1 du code pénal, arrêté du 15 mai 2020 pris pour l'application de R. 321-8, et pour les professionnels concernés l'article L834-6 du code de commerce.

2. Rôles et responsabilités

L'exploitant — le professionnel utilisateur — est tenu de la tenue de son registre. L'obligation légale lui appartient et ne se délègue pas par contrat. Il est responsable de traitement au sens du RGPD pour les données de ses vendeurs.

Registeo est sous-traitant et opérateur du système. Nous répondons de la disponibilité du service, de l'intégrité de ce qui y est inscrit, de la sécurité des accès et de la restitution des données. Nous ne répondons pas de l'exactitude de ce qui est saisi.

3. Entrée des écritures

Une écriture entre par l'interface ou par l'API. Elle est contrôlée à la saisie : les mentions exigées par R. 321-3 à R. 321-5 sont obligatoires, une écriture incomplète est refusée. Le numéro d'ordre est attribué automatiquement, de façon continue, et n'est jamais réutilisé.

Elle est scellée au moment de sa validation : une empreinte SHA-256 est calculée sur son contenu et chaînée à l'empreinte de l'écriture précédente. Il n'existe pas d'état intermédiaire non scellé.

4. Intégrité et datation

La chaîne d'empreintes rend toute altération détectable : modifier une écriture ancienne invaliderait toutes les suivantes, et la réparation supposerait de recalculer l'ensemble.

Ce recalcul est rendu impossible par un horodatage qualifié. L'empreinte de tête de chaîne est soumise chaque jour à 3 h à une autorité de certification qualifiée eIDAS, selon la norme RFC 3161. Le jeton est conservé sous sa forme brute. La date des enregistrements est donc établie par un tiers que nous ne contrôlons pas.

Aucune écriture n'est réécrite. Une correction crée une écriture supplémentaire portant la valeur antérieure, la valeur nouvelle, son auteur et son horodatage. Le numéro d'ordre et l'identité de l'agent sont techniquement figés. Une suppression conserve le numéro d'ordre et laisse sa trace.

5. Contrôle périodique de l'intégrité

La chaîne est vérifiée chaque jour, avant tout horodatage : sceller sans avoir contrôlé reviendrait à graver dans le temps des empreintes dont on ignore si elles se tiennent.

Chaque contrôle laisse un relevé daté — verdict, nombre d'écritures, divergences éventuelles, empreinte de tête. Ces relevés ne sont jamais purgés : c'est leur série qui atteste que la vérification est périodique, et non la seule existence du dispositif.

Si la chaîne diverge, aucun horodatage n'est demandé et une alerte est émise. Le scellement ne reprend qu'après explication ou réparation.

6. Sécurité

• Données nominatives chiffrées en AES-256-GCM au niveau du champ, dans la base elle-même et non sur le seul disque ;
• chiffrement en transit ;
• hébergement en France, sans transfert hors Union européenne ;
• authentification de chaque accès, journalisation des consultations ;
• les interventions de l'équipe Registeo dans un compte client sont inscrites à son nom, avec un motif saisi avant l'ouverture de la session.

7. Durées de conservation

8. Destruction au terme du délai

Au-delà de dix ans, une écriture n'a plus de fondement à être conservée : la garder reviendrait à maintenir indéfiniment des données nominatives — identités, domiciles, pièces d'identité — sans finalité qui le justifie.

La purge s'exécute chaque jour, avec trois garde-fous :

• elle ne porte que sur des écritures couvertes par un horodatage qualifié — supprimer ce dont aucun tiers n'a attesté l'intégrité rendrait la destruction indéfendable ;
• une entrée du registre dont une écriture est postérieure à la coupure est conservée, même si sa création est plus ancienne : le délai court par enregistrement, non par objet ;
• elle n'a lieu qu'après le contrôle d'intégrité du jour.

La chaîne est consommée par son début. L'empreinte de la dernière écriture supprimée devient l'ancre à partir de laquelle la vérification repart : la chaîne demeure vérifiable de bout en bout, depuis un point documenté au lieu de son origine. Chaque purge ajoute une ancre à la précédente ; leur succession justifie chaque maillon manquant.

La destruction est définitive et n'est pas réversible.

9. Sauvegarde et restauration

Les sauvegardes sont chiffrées et répliquées sur des sites géographiquement distincts. Elles servent la reprise après incident, non la conservation légale : celle-ci est assurée par la base de production et sa chaîne d'empreintes.

Toute restauration est suivie, dans la journée, de la réapplication automatique des purges — décennale et journaux. Une donnée effacée ne peut donc pas réapparaître durablement par le biais d'une restauration.

10. Pérennité des formats

Le registre lui-même est conservé sous forme de données structurées, indépendantes de tout format documentaire. Sa lisibilité ne dépend donc d'aucun logiciel de lecture.

Les exports PDF ne sont pas archivés : ils sont régénérés à la demande. Si un autre format devenait le standard, les exports seraient produits dans ce format sans que le registre soit affecté.

Les pièces jointes sont stockées en WebP, lu nativement par les navigateurs actuels. Leur lecture relève de notre responsabilité : le rendu des exports est opéré par nos soins, et nous restons tenus de produire un document lisible quelle que soit l'évolution des formats.

11. Restitution

Le registre est présentable à l'écran à tout instant, et exportable en PDF comme en CSV. Chaque export PDF porte un code permettant d'établir en ligne, sur registeo.fr/verifier, qu'il correspond exactement à la base — par code ou par empreinte du fichier déposé.

La fin d'un abonnement ne suspend ni la consultation ni les exports : elle interdit la saisie de nouvelles écritures. Les données ne sont effacées que sur demande explicite de l'exploitant, sous réserve de ses propres obligations de conservation.

12. Révision

Cette politique est revue à chaque évolution du dispositif technique ou du cadre réglementaire. Les durées et les mécanismes qu'elle décrit correspondent à l'état du service à la date indiquée en tête de document.