Données et conservation

Ce que RestoreProof enregistre chez lui, ce qui ne quitte jamais votre infrastructure, et combien de temps chaque chose vit.

Ce que le control plane enregistre

Objet	Ce qui est enregistré
Organisation	Nom, identifiant, réglages (double authentification exigée ou non).
Canaux de notification	Nom, type, langue, état, événements auxquels le canal est abonné. L'adresse d'un webhook ou le jeton d'un bot est enregistré chiffré et ne s'affiche plus ; pour un canal e-mail, les adresses des destinataires et leur état de confirmation.
Journal des envois	Pour chaque notification : l'événement, l'état, le nombre de tentatives, le code de réponse du service de destination et la raison d'un échec. Conservé 30 jours.
Membres	Nom, adresse e-mail, rôle, date de dernière connexion, date de confirmation de l'adresse. Le mot de passe est haché, jamais lisible. Le secret de double authentification est chiffré.
Runners	Nom, description, étiquettes, plateforme de déploiement, version, dernier battement de cœur, et la clé publique Ed25519 du runner. La clé d'API n'est stockée que hachée. Le runner signale aussi, à chaque synchronisation, le nom des références de secrets qu'il n'arrive pas à résoudre chez vous — des noms, jamais des valeurs.
Sources	Nom, type, configuration et références de secrets.
Plans	Nom, description, étapes de restauration, sondes, délai maximal.
Exécutions	Statut, origine du déclenchement, horodatages, avancement étape par étape, et le message d'erreur en cas d'échec.
Rapports	Verdict global, résultat de chaque sonde, mesures, journaux assainis, signature Ed25519, charge utile signée et son empreinte, clé publique de signature.
Journal d'audit	Qui a fait quoi, quand, depuis quelle adresse IP et quel navigateur.

La configuration d'une source contient des chemins

C'est le point à comprendre, parce qu'il nuance la règle générale.

Une source décrit où est la sauvegarde, du point de vue du runner. Pour un dépôt S3 c'est un point d'accès, un seau, un préfixe. Pour un dépôt local, c'est un chemin tel que le runner le voit — typiquement /mnt/sauvegardes, le point de montage que vous avez donné au conteneur du runner. Ce chemin est bien enregistré chez nous : sans lui, le runner ne saurait pas quoi ouvrir.

De même, les secrets sont enregistrés sous forme de références : env://S3_SECRET_KEY est un nom de variable, pas une valeur. Le runner seul sait ce qu'il y a derrière.

Une référence prend l'une de ces trois formes, et rien d'autre :

Forme	Ce que le runner lit
env://NOM_DE_VARIABLE	Une variable d'environnement du processus du runner
file://nom_de_fichier	Un fichier du dossier des secrets du runner
static://cle	Une clé de la table de secrets statiques du runner

Le serveur refuse l'enregistrement d'une source dont une référence n'a pas l'une de ces formes. Le message de refus nomme le champ en cause, jamais sa valeur.

En revanche, les chemins de votre hôte ne quittent jamais votre navigateur. L'assistant de déploiement du runner vous demande quels répertoires monter dans le conteneur, et s'en sert pour écrire la commande docker run ou le manifeste Kubernetes qu'il vous affiche. Cette saisie ne part pas vers le control plane : seuls le nom du runner, sa description, ses étiquettes et sa plateforme sont enregistrés.

Ce qui ne quitte jamais le runner

C'est une contrainte d'architecture, pas une option :

• les données de sauvegarde, à toutes les étapes : téléchargées, décompressées, restaurées ;
• la valeur des secrets — identifiants S3, mots de passe de bases, jetons — résolue sur la machine du runner à partir de son environnement, de ses fichiers ou de sa configuration ;
• le bac à sable et son contenu, détruits à la fin de l'exécution avec ses volumes et l'espace de travail.

Ce qui remonte, c'est le rapport : des verdicts, des mesures numériques, des noms d'objets, des empreintes, des journaux assainis, et la signature.

Voir la ligne que rien ne franchit.

La rétention : une durée de consultation

Chaque forfait porte une durée de rétention, visible dans l'application. Comprenez-la comme une durée de consultation : le temps pendant lequel un rapport reste ouvrable et téléchargeable depuis votre compte.

Passé ce délai, le contenu du rapport est effacé de l'application. Sont effacés les résultats de sondes, les mesures, les journaux assainis et la charge utile signée.

Ce qui reste, définitivement : l'identifiant du rapport, son verdict global (PASS, WARN ou FAIL), les identifiants de l'exécution et du runner, l'empreinte de sa charge utile signée, sa signature, la clé publique qui l'a signée, la date de réception et la date d'effacement.

Concrètement :

• le rapport disparaît de la liste des rapports ;
• son téléchargement répond 410 avec l'explication ;
• l'attestation publique continue de répondre. Elle confirme toujours que ce rapport nous est bien parvenu d'un runner enregistré sous cette clé, et ajoute la date à laquelle le contenu a été effacé. Une preuve téléchargée avant l'échéance reste donc vérifiable, empreinte comprise.

Le journal d'audit suit la même durée : les entrées plus anciennes que la rétention de votre forfait sont supprimées.

Gardez votre propre copie

Un rapport téléchargé est un fichier autonome : il se vérifie hors ligne, sans nous, et sans limite de temps. Si une preuve doit servir dans un dossier d'audit, d'assurance ou de conformité, exportez-la et archivez-la chez vous le jour où elle est produite. C'est le seul moyen de ne dépendre de personne. Voir Vérifier un rapport signé.

L'archive scellée de cinq ans

Au-delà de la durée de consultation, RestoreProof conserve le rapport complet pendant cinq ans à compter de sa date d'émission, à des fins de preuve. Le compte ne repart pas de l'effacement : il court depuis le jour où le rapport a été produit.

Cette archive est scellée : elle vit dans un espace séparé, hors de portée de l'application, et ni vous ni nous ne la consultons au fil de l'eau. Le rôle de base de données qui sert vos requêtes n'a aucun droit dessus, et c'est une contrainte du moteur, pas une règle du code. Elle est restituable sur demande, comme un service sur devis — le cas typique étant un contrôle ou un litige qui porte sur une période désormais hors de votre fenêtre de consultation.

Elle survit à la fermeture du compte, et c'est précisément là qu'elle sert. Si vous supprimez votre organisation, les rapports qui n'étaient pas encore archivés y sont versés au passage, et chacun y reste jusqu'à ses cinq ans. Vous pouvez donc en demander la restitution des années plus tard, dans les mêmes conditions.

L'hébergement

Le control plane et sa base de données sont hébergés chez Scaleway, hébergeur français, dans l'Union européenne. Les données décrites sur cette page n'en sortent pas. Scaleway intervient comme sous-traitant d'hébergement ; il n'a aucun accès applicatif à vos données. Vos sauvegardes, elles, ne transitent jamais par cet hébergement : elles restent sur votre runner.

L'attestation publique

Un auditeur qui reçoit un rapport téléchargé peut, sans compte et sans clé, demander une seule chose à notre API : l'empreinte de clé qu'il a sous les yeux est-elle bien celle enregistrée pour ce rapport à sa réception ?

GET /api/v1/public/attestations/{report_id}?fingerprint=<32 caractères hexadécimaux>

Elle ne rend aucune donnée client : l'identifiant du rapport, un key_match vrai ou faux, un key_recorded qui dit si la clé était enregistrée avec le rapport lui-même, la date de réception, la date d'enregistrement du runner, la date de la réponse, et le cas échéant la date d'effacement du contenu.

Elle répond pour un rapport dont la rétention a effacé le contenu : l'empreinte survit au contenu. Elle ne répond plus, en revanche, pour un rapport dont l'organisation a été supprimée : il ne reste rien de lui dans l'application. Sa réponse indique alors la marche à suivre, car ce rapport n'est pas perdu pour autant — il est dans l'archive scellée, et s'obtient sur demande écrite (voir Supprimer l'organisation).

Son débit est limité à part, à deux requêtes par seconde, pour que parcourir des identifiants de rapport reste aussi lent que c'est inutile. L'appel n'est jamais automatique : la page de vérification le propose sous forme d'un bouton.

Le détail est dans Vérifier un rapport signé.

Le journal d'audit

Chaque action sensible laisse une trace : connexion, déconnexion, inscription, création, modification et suppression d'objets, invitation et acceptation d'invitation, retrait d'un membre, régénération d'une clé, changement d'offre, déclenchement et annulation d'exécution, remise d'un rapport par un runner.

Chaque entrée porte l'auteur — un membre ou un runner —, l'action, le type et l'identifiant de l'objet concerné, quelques détails, l'adresse IP, le navigateur et l'horodatage.

Le journal est consultable par tous les rôles, filtrable, et exportable en CSV depuis l'application. Comme le reste, il est strictement limité à votre organisation.

Supprimer l'organisation

Un administrateur peut supprimer l'organisation depuis Paramètres, dans la zone de danger en bas de la page. Pour confirmer, il tape le nom exact de l'organisation. La suppression est immédiate :

• l'abonnement en cours est résilié ;
• tous les membres perdent l'accès : leurs comptes et leurs sessions sont supprimés, et un jeton d'accès déjà émis expire au plus quinze minutes plus tard ; les invitations en attente sont supprimées ;
• les runners ne peuvent plus se connecter ; les planifications et les déclencheurs sont supprimés ;
• runners, clés d'API, sources, plans de test, exécutions, rapports et journal d'audit sont effacés de la base.

C'est un effacement, pas une désactivation. Il ne reste dans l'application aucune ligne appartenant à l'organisation : rien à réactiver, rien à retrouver. Nous ne restaurons pas une organisation supprimée.

Une conséquence à connaître : l'attestation publique cesse de répondre pour vos rapports. Un rapport dont la rétention a seulement effacé le contenu garde son empreinte et reste attestable ; un rapport supprimé avec son organisation n'existe plus dans l'application, et l'attestation répond qu'elle ne trouve pas cet identifiant. Sa réponse dit aussi quoi faire : ce rapport est conservé en archive cinq ans après son émission, et s'obtient en écrivant à support@kolapsis.com. Si vous avez transmis un lien d'attestation à un auditeur ou à un assureur, il cessera donc de confirmer la clé tout seul, et la preuve devra nous être demandée.

Une seule chose n'est pas effacée : l'archive de cinq ans. Les rapports encore présents y sont versés au moment de la suppression, et chacun y reste jusqu'à cinq ans après son émission — fermer le compte ne raccourcit ni n'allonge ce délai. Elle vit hors de l'application : elle ne vous rouvre aucun accès, et n'est restituable que sur demande écrite, comme un service sur devis. Pour tout ce qui doit rester à portée de main, exportez-le avant.