Politique de conservation des données StackSense

Objectif

Définir pendant combien de temps StackSense conserve chaque catégorie de données personnelles, pourquoi et comment elles sont supprimées. Ce document soutient la section 7 de la Politique de confidentialité et est requis par l'article 5(1)(e) du RGPD, la Loi 25 du Québec et plusieurs lois étatiques sur la vie privée.

Il s'agit à la fois d'un engagement public et d'une spécification technique interne.

1. Principes de conservation

1. Nous ne collectons que le minimum de données nécessaire
2. Nous ne les conservons que le temps nécessaire pour fournir le service ou répondre à une obligation légale
3. Nous les supprimons selon un calendrier documenté
4. Les utilisateurs peuvent déclencher une suppression anticipée via le panneau de droits des données
5. Certaines catégories doivent être conservées plus longtemps parce que la loi l'exige (facturation, fiscalité)
6. Les sauvegardes sont supprimées sur un cycle glissant, pas instantanément, et les utilisateurs en sont informés

2. Calendrier de conservation par catégorie de données

Catégorie de données	Source	Conservation pendant le compte actif	Conservation après suppression du compte	Base juridique du délai de conservation
Adresse e-mail et mot de passe haché	Inscription de l'utilisateur	Jusqu'à la suppression du compte	Suppression logique immédiate. Suppression définitive sous 90 jours.	Exécution du contrat pendant la période active. Conservation limitée après suppression pour le cycle de sauvegarde.
Journaux de suppléments, peptides et dosages	Saisie utilisateur	Jusqu'à la suppression du compte	Suppression définitive sous 90 jours depuis la base de données principale. Jusqu'à 6 mois en sauvegarde.	Exécution du contrat. La suppression des données de santé est obligatoire en vertu du droit d'effacement du RGPD.
Journaux de symptômes	Saisie utilisateur	Jusqu'à la suppression du compte	Suppression définitive sous 90 jours. Jusqu'à 6 mois en sauvegarde.	Idem.
Données de composition corporelle	Saisie utilisateur	Jusqu'à la suppression du compte	Suppression définitive sous 90 jours.	Idem.
Notes sur les sites d'injection	Saisie utilisateur	Jusqu'à la suppression du compte	Suppression définitive sous 90 jours.	Idem.
Photos jointes aux journaux	Téléversement utilisateur	Jusqu'à la suppression du compte ou la suppression de la photo par l'utilisateur	Suppression définitive sous 90 jours.	Idem.
Notes de protocole / plans de cycle	Saisie utilisateur	Jusqu'à la suppression du compte	Suppression définitive sous 90 jours.	Idem.
Niveau et statut d'abonnement	Stripe + notre base	Jusqu'à la suppression du compte	Anonymisation après suppression. Le niveau n'est plus lié.	Prestation du service.
Dossiers de facturation (factures, historique de paiement)	Stripe	7 ans à partir de l'émission	7 ans à partir de l'émission	Loi fiscale canadienne (Loi de l'impôt sur le revenu), loi québécoise sur la protection du consommateur, principes comptables.
Enregistrements client Stripe	Stripe	Jusqu'à la suppression du compte	Anonymisation dans Stripe (champs PII effacés) après 90 jours. Stripe conserve les enregistrements de transaction pour ses obligations de conformité (PCI-DSS, AML).	La DPA Stripe définit leur conservation.
Adresse IP (journaux serveur)	Serveur Web, Vercel	30 jours	30 jours	Fenêtre d'investigation de sécurité. Requise pour la prévention des abus.
Chaînes user-agent, type d'appareil	Serveur Web	30 jours	30 jours	Idem.
Événements analytiques PostHog / Plausible	Application	90 jours	n/a (anonymisés à la collecte)	Analyse des tendances. Au-delà de 90 jours, nous utilisons des agrégats.
Rapports de plantage Sentry (si opt-in)	Application	90 jours	90 jours	Investigation de bugs.
Correspondance e-mail (privacy@, support@)	Gmail/Workspace	3 ans	3 ans	Délai de prescription pour les réclamations des consommateurs. Nous pourrons réduire cela après avis juridique.
Dossiers de conformité (DPA, registre des violations, AIPD, journaux d'audit)	Interne	Indéfini pour les dossiers actifs, 7 ans après mise hors service	Idem	Requis pour inspection des régulateurs.
Registres d'acceptation des CGU et de la Politique de confidentialité	Base de données	Indéfini tant que le compte existe, 7 ans après suppression	7 ans	Requis pour prouver le consentement en cas de litige.

3. Définitions

• Suppression logique : le compte est marqué comme supprimé, l'utilisateur ne peut plus se connecter, les données ne sont plus accessibles via l'application, mais la ligne existe pendant la période de grâce.
• Suppression définitive : la ligne est supprimée de la base de données principale.
• Suppression des sauvegardes : les données sont supprimées de la base de données principale mais peuvent persister dans des sauvegardes chiffrées pendant la durée du cycle de rotation. Après cette durée, les sauvegardes deviennent inutilisables et les données disparaissent.
• Anonymisation : les champs PII sont nuls ou remplacés par des valeurs non identifiantes. L'enregistrement existe toujours pour une finalité requise légalement (par exemple, facturation) mais ne peut plus être rattaché à l'utilisateur.

4. Période de grâce de suppression

Lorsque un utilisateur supprime son compte, nous appliquons la période de grâce suivante afin d'éviter les accidents :

• 0 à 24 heures après la demande de suppression : le compte est supprimé logiquement. L'utilisateur peut se reconnecter et annuler la suppression en cliquant sur un lien de récupération dans l'e-mail de confirmation de suppression.
• 24 heures à 7 jours après la suppression : le compte reste supprimé logiquement. La récupération nécessite d'écrire à privacy@stacksense.ca avec une preuve d'identité.
• Après 7 jours : la suppression définitive est effectuée lors du prochain travail cron nocturne. La récupération n'est plus possible.
• 7 à 90 jours : les données sont purgées de la base de données principale. Les sauvegardes sont supprimées selon leur cycle normal.
• Après 90 jours : toutes les données de santé identifiantes sont supprimées des systèmes principaux. Les sauvegardes peuvent encore contenir des instantanés vieux de 6 mois. Nous ne supprimons pas sélectivement des sauvegardes. Lorsque les sauvegardes arrivent en fin de cycle, les données disparaissent.

Nous informons les utilisateurs de cela explicitement dans le flux de suppression et dans la Politique de confidentialité.

6. Exception : conservation juridique

Si StackSense reçoit une mesure de conservation judiciaire ou une ordonnance de régulateur, la tâche de suppression doit ignorer les utilisateurs concernés.

Lorsqu'une conservation est en place, l'utilisateur reste supprimé logiquement mais les données sont conservées. Informer l'utilisateur qu'une ordonnance légale a été reçue (sauf si la loi interdit de le faire).

7. Exception : dossiers de facturation

Les dossiers clients Stripe et nos propres dossiers de facturation locale sont conservés 7 ans à compter de la date de transaction. Cela permet de satisfaire :

• La Loi de l'impôt sur le revenu canadienne (6 ans)
• La période de contestation de la Loi sur la protection du consommateur du Québec
• Les principes comptables généralement reconnus
• Les délais potentiels de rétrofacturation

Lorsque vous supprimez votre compte, vos données de santé sont effacées de notre base de données active sous 90 jours. Vos dossiers de facturation sont conservés pendant 7 ans parce que la loi fiscale l'exige. Ces dossiers ne montrent que que vous avez payé pour le service, le montant et la date. Ils n'incluent pas de données de santé.

8. Suppressions partielles déclenchées par l'utilisateur

Les utilisateurs peuvent également supprimer des entrées individuelles (une saisie incorrecte, une note privée) sans supprimer l'ensemble du compte. Ces suppressions suivent la même règle de cycle de sauvegarde : elles disparaissent de la base principale immédiatement, et des sauvegardes lors de leur rotation.

9. Responsabilités des fournisseurs

Fournisseur	Engagement de conservation	Où documenté
Supabase	Respecte la suppression dans le délai standard des sauvegardes	DPA
Vercel	Journaux auto-supprimés selon le calendrier, pas de PII utilisateur persistante	DPA
Stripe	Anonymise les PII client sur demande, conserve les données de transaction pour sa conformité	DPA
Anthropic	Pas de données personnelles envoyées via notre intégration. Requêtes génériques sur les composés uniquement.	DPA + revue d'architecture
PostHog / Plausible	Anonymisés à la collecte, conservation de 90 jours	Paramètres de confidentialité + DPA
Sentry	Conservation de 90 jours que nous contrôlons	Paramètres de projet

Lorsque nous supprimons un utilisateur, nous déclenchons la suppression en aval chez chaque fournisseur concerné.

10. Communication aux utilisateurs

Lorsque vous supprimez votre compte, vos données de santé sont supprimées de notre base de données active sous 90 jours. Les sauvegardes s'effilent au cours des 6 mois suivants. Vos dossiers de facturation sont conservés pendant 7 ans parce que la loi l'exige.

11. Révision

Cette politique est révisée annuellement, ou chaque fois que :

• Une nouvelle catégorie de données est ajoutée
• Un nouveau fournisseur est engagé
• Des changements législatifs l'exigent
• Un incident révèle une lacune

Dernière révision : 20/05/26

Fin de la politique de conservation des données. Version 1.0.