Rétention et effacement
Vérifié avec Cortex le 2 octobre 2026
Cortex garde les conversations tant qu’aucune durée de conservation n’est configurée : tant qu’aucune politique n’existe, rien n’est supprimé. Cette page de la console, sous « Rétention » (page « Rétention et effacement »), permet de fixer cette durée, de purger sur demande et d’effacer définitivement les données d’une personne. Elle est réservée au rôle « Administrateur ». Son sous-titre mentionne la Loi 25 : ces fonctions sont conçues pour vous aider à respecter vos obligations, elles ne remplacent pas votre analyse.
Trois cartes résument l’état : « Politique actuelle » (« Non configurée » au départ), « Purgeable maintenant » et « Dernière purge ». Deux onglets suivent : « Durées de conservation » et « Historique ».
Durées de conservation
La politique porte sur les « Conversations de clavardage » : les messages des employés et les réponses du modèle. Une conversation est purgée quand elle est inactive depuis plus longtemps que la durée choisie. La purge supprime la conversation avec ses messages, ses « Caviardages » et ses « Jetons de ré-identification ».
- Dans l’onglet « Durées de conservation », activez l’interrupteur « Purge auto » de la ligne « Conversations de clavardage ».
- Choisissez la « Conservation » : 30, 60, 90 (par défaut), 180, 365 ou 730 jours.
- Cliquez sur « Enregistrer les durées ». Tant que vous ne l’avez pas fait, le message « Modifications non enregistrées — elles s'appliquent à la prochaine purge. » reste affiché.
Pour retirer la politique, désactivez « Purge auto » puis enregistrez : plus rien n’est purgé. Une modification de la politique est consignée au journal d’audit sous « Politique de rétention modifiée ».
La passerelle applique la purge toutes les heures, pour tous les locataires actifs. Sous Docker Compose, cet intervalle est fixe : RETENTION_PURGE_INTERVAL_MS n’est pas transmise à la passerelle. Elle ne s’applique qu’à une passerelle lancée directement sur l’hôte, ou une fois ajoutée au bloc environment: de la passerelle. Voir Configuration.
Pour purger tout de suite, cliquez sur « Purger maintenant », dans l’en-tête de la carte « Durées par catégorie de données ». La fenêtre affiche les volumes exacts qui seront supprimés; cliquez de nouveau sur « Purger maintenant » pour confirmer. « Purge terminée » rapporte ce qui a été supprimé. Cette action est irréversible. Sans politique enregistrée, elle ne supprime rien.
Effacer une personne
Le bouton « Nouvel effacement… » se trouve en haut de la page. L’effacement vise soit « Un utilisateur (tout son contenu) », soit « Une seule conversation » (on saisit son identifiant UUID).
- Cliquez sur « Nouvel effacement… », choisissez la cible (l’utilisateur dans la liste « Choisir un utilisateur… », ou l’identifiant de la conversation), puis cliquez sur « Continuer ».
- La fenêtre « Confirmer l'effacement définitif » affiche un aperçu des volumes exacts : « Conversations », « Messages », « Caviardages » et « Jetons de ré-identification ». La ligne « Entrées du journal d'audit » indique « conservées ». Cette confirmation est valide 5 minutes.
- Cochez « Je confirme que cette demande a été vérifiée et que l'effacement ne peut pas être annulé. »
- Saisissez le mot
EFFACERdans le champ « Étape 2 — saisissez EFFACER pour confirmer ». La casse n’importe pas. - Cliquez sur « Effacer définitivement ». « Effacement terminé » rapporte les volumes réellement effacés; cliquez sur « Fermer ».
Le bouton « Effacer définitivement » reste inactif tant que la case n’est pas cochée et que le mot n’est pas saisi. Si la confirmation expire ou échoue, elle est brûlée : cliquez sur « Demander une nouvelle confirmation ». Si la cible n’existe plus, la fenêtre l’indique.
Pour un utilisateur, Cortex supprime toutes ses conversations, puis réduit son compte à un identifiant opaque : courriel, nom, identifiants et rôles sont supprimés, et ses sessions actives sont révoquées. L’effacement ne couvre que les conversations et le compte. Cortex vide aussi le cache de réponses du locataire. Pour créer ou désactiver des comptes, voir Utilisateurs et accès.
Ce que l’audit garde
Les purges de rétention et l’effacement d’une personne ou d’une conversation ne touchent jamais le journal d’audit. Seule la désinstallation de l’instance, qui supprime la base de données, le retire; la procédure d’effacement du tenant détruit des clés de chiffrement et ajoute une entrée, elle ne supprime aucune ligne d’audit. Le journal est en ajout seulement (« Append-only ») et chaîné par empreintes, de sorte qu’une altération est détectable (voir Journal d’audit). Un effacement supprime donc le contenu, jamais la trace de l’événement. L’opération est elle-même consignée sous votre identité, sous « Utilisateur effacé » ou « Conversation effacée », avec des identifiants et des compteurs. Les entrées déjà écrites au sujet de la personne demeurent. Selon le texte de la console, l’entrée d’audit n’enregistre que des types d’entités, jamais leurs valeurs.
Historique
L’onglet « Historique » (« Historique des purges et effacements ») est en lecture seule. Il liste les 30 événements les plus récents tirés du journal d’audit : « Horodatage », « Événement » (« Purge planifiée », « Purge manuelle », « Conversation effacée » ou « Utilisateur effacé »), « Opérateur » (« Système » pour une purge planifiée) et « Réf. audit ». Le lien « Tout voir dans Audit » ouvre le journal complet. Une purge qui ne supprime rien n’y laisse aucune ligne.