Projet — à faire valider par un avocat spécialisé en protection des renseignements personnels avant le lancement. Les durées marquées « à confirmer » dépendent d'obligations légales (fiscales notamment) à vérifier.
Principes
- Nous ne gardons un renseignement que le temps nécessaire à la fin pour laquelle il a été recueilli ; ensuite, il est détruit ou anonymisé (plus aucun lien possible avec une personne).
- La destruction est automatique : la base de données calcule chaque jour ce qui arrive à échéance (tâche planifiée) et un processus du serveur efface les fichiers, puis l'inscrit au journal d'audit.
- Les durées les plus courtes s'appliquent par défaut ; seule une option payante choisie par l'organisation prolonge la conservation des vidéos originales.
Durées
| Renseignement | Durée de conservation | Fin de conservation |
|---|---|---|
| Vidéo originale téléversée | 7 jours après l'analyse (Découverte, Joueur premium), 14 jours (Passe tournoi), 30 jours (Équipe, Pro, Club, Institution) ; téléversement jamais analysé : même délai depuis le dépôt (au moins 30 jours si l'analyse est en cours) | suppression du fichier ; date inscrite (original_deleted_at) |
| Option « conserver les originaux » | jusqu'à la date payée par l'organisation | retour à la règle ci-dessus |
| Copie de visionnement (HLS) | 30 jours (Découverte), 1 an (Passe tournoi, Équipe), 2 ans (Pro, Club), selon contrat (Institution), à compter de la création du match | suppression du dossier ; date inscrite (playback_deleted_at) |
| Copie de visionnement d'un compte sans abonnement actif | la plus tardive de : 90 jours après la fin de l'abonnement, ou la durée du dernier forfait | suppression du dossier |
| Statistiques, événements, trajectoires, roster | tant que le compte de l'organisation existe | destruction avec l'organisation |
| Fiche d'un joueur retirée à sa demande | immédiatement | suppression de la fiche et de ses statistiques individuelles ; les statistiques d'équipe restent |
| Organisation fermée (suppression du compte de son seul propriétaire) | aucune : destruction immédiate | tous les fichiers des matchs, puis toutes les lignes de l'organisation |
| Compte utilisateur supprimé | 7 jours de délai d'annulation après la demande (au plus 30 jours) | suppression du compte, des adhésions et des facteurs d'authentification |
| Copies de sauvegarde de la base | 7 jours (sauvegardes quotidiennes Supabase ; plus si la restauration à un instant donné est activée) | expiration automatique |
| Journal d'audit (accès aux vidéos, exports, réglages, destructions) | 12 mois | purge mensuelle automatique |
| Journaux du serveur web (adresse IP tronquée) | 14 jours ; journal système : 30 jours au plus | rotation automatique |
| Demandes relatives aux droits (registre) | durée nécessaire pour démontrer leur traitement (proposition : 3 ans, à confirmer) | suppression |
| Registre des incidents de confidentialité | au moins 5 ans après la prise de connaissance de l'incident (à vérifier) | suppression |
| Dossiers de facturation (Stripe, comptabilité) | durée exigée par les lois fiscales (à confirmer, souvent 6 ans) | suppression |
| Données transitoires de calcul (images envoyées au GPU, plongements d'apparence) | durée du calcul d'un match | effacement en fin de tâche |
Exceptions
- Litige ou enquête : un renseignement visé par une procédure peut être gardé jusqu'à sa fin ; la décision est consignée par le responsable de la protection des renseignements personnels.
- Entraînement des modèles (seulement avec l'accord de l'équipe) : les images retenues sont supprimées quand l'équipe retire son accord ; les données dérivées non identifiantes peuvent être conservées.
Méthodes de destruction
- Stockage objet ou disque : suppression des objets (les fournisseurs effacent ensuite les supports selon leurs propres procédures).
- Base de données : suppression des lignes ; les sauvegardes expirent selon le tableau.
- Postes et appareils du fondateur : aucune copie de vidéo client hors des environnements prévus ; effacement sécurisé lors de la mise au rebut.
Mise en œuvre technique
Base : retention_sweep() (pg_cron, 04 h 23 UTC chaque jour), process_due_privacy_requests() (04 h 41), file retention_queue. Serveur : python -m ufs.retention (mode simulation --dry-run). Voir docs/PRIVACY.md.