Aller au contenu
Concorde WorkforceDocumentation
Administrateur9 min de lecture

Rétention des données et conformité RGPD

Fixez vos durées de conservation — vous êtes le responsable de traitement, elles engagent votre conformité.

À lire avant

Sommaire de l’article

Qui répond de quoi : vous êtes le responsable de traitement

L’écran de rétention affiche un avertissement en tête, et ce n’est pas une formule de style : « Durées de conservation des données personnelles — clause 13.3 du contrat éditeur. Vous êtes le responsable de traitement : ces valeurs engagent votre conformité RGPD. » Autrement dit, les durées que vous saisissez ici sont votre décision, pas celle de l’éditeur. L’éditeur agit comme sous-traitant au sens de l’article 28 du RGPD : il exécute la politique que vous définissez, il ne la définit pas à votre place.

Votre entrepriseL’éditeur (Concorde)
Qualification RGPDResponsable de traitementSous-traitant (article 28)
Fixe les durées de conservationOui — sur cet écranNon
Exécute les purgesNonOui — automatiquement, une fois par jour
Répond aux demandes des salariésOui — via votre DPO, ou à défaut votre service RHNon
Un salarié qui souhaite exercer ses droits s’adresse au DPO de son employeur ou, à défaut, à son service RH — jamais à l’éditeur.

Ne comptez pas sur l’éditeur pour votre conformité

L’erreur classique consiste à supposer que la conformité RGPD des pointages est prise en charge de bout en bout par la plateforme, et à ne jamais ouvrir cet écran. Ce qui se passe alors : ce sont les durées par défaut qui s’appliquent (365 jours d’anonymisation, 1 825 jours de suppression, 180 jours d’audit), sans qu’aucune décision documentée ne les justifie. C’est déroutant parce que rien ne signale l’absence de réglage — les purges tournent quand même. Ce qu’il faut faire : ouvrir l’écran, arbitrer chaque durée avec votre DPO, enregistrer, et conserver la trace de cet arbitrage.

L’écran n’est pas visible sur tous les packs

« Rétention RGPD » et Journaux d’audit disparaissent complètement de la barre latérale hors pack Premium. Un administrateur qui ne trouve pas l’entrée conclut à un bug ou à un problème de droits : c’est en réalité le pack. Vérifiez votre formule dans Packs, modules optionnels et ce qui apparaît dans votre menu avant de chercher plus loin. Et retenez le point important : sans le pack, les durées par défaut s’appliquent malgré tout, et les purges tournent.

Régler l’anonymisation des pointages

AdministrationRétention RGPDPointages

L’anonymisation est le premier étage de la politique. L’infobulle du champ — l’icône ⓘ posée à côté de son libellé — est explicite : les notes libres sont effacées au-delà de ce seuil, les heures travaillées agrégées restent en base pour la paie. C’est un effacement ciblé : ce qui part, ce sont les commentaires saisis à la main sur les journées — ceux qui peuvent contenir un motif nominatif ou une appréciation. Ce qui reste, ce sont les heures.

Anonymiser un pointage ne rend pas la journée anonyme

Un DPO règle l’anonymisation à 365 jours, attend la purge, puis constate que les heures travaillées sont toujours visibles et toujours rattachées nominativement au salarié. C’est déroutant, car le mot « anonymisation » laisse attendre autre chose. C’est pourtant le comportement voulu : seules les notes libres sont effacées, les agrégats horaires restent parce qu’ils sont nécessaires à la paie, aux états légaux et à l’historique. L’effacement complet d’une journée relève de la « Suppression définitive des pointages », pas de ce champ.

Retenez la valeur par défaut : 365 jours. La plage autorisée va de 90 à 1 825 jours.

Régler la suppression définitive des pointages

Le second étage est irréversible. L’infobulle du champ ne laisse aucune ambiguïté : les lignes sont supprimées de la base et ne peuvent plus être restaurées ; la valeur recommandée est de 1 825 jours (5 ans, limite légale). La valeur par défaut est 1 825 jours ; la plage va de 180 à 1 825 jours. Cette limite haute de 5 ans n’est pas arbitraire : elle correspond à la durée de conservation des relevés d’heures prévue à l’article L3171-3 du Code du travail.

Une purge de pointages ne se rattrape pas

Ce qui se passe : la purge quotidienne supprime définitivement les lignes de pointage plus anciennes que la durée réglée. Pourquoi c’est coûteux : le jour où un contrôle URSSAF, une inspection du travail ou un contentieux prud’homal porte sur une période ancienne, les relevés d’heures sont introuvables — et c’est vous, responsable de traitement et employeur, qui devez les produire. Ce qu’il faut faire : conservez la valeur recommandée de 1 825 jours sauf décision documentée de votre DPO, et vérifiez ce réglage avant la première purge quotidienne, pas après.

La suppression doit toujours être postérieure à l’anonymisation

Ce qui se passe : vous saisissez une suppression à 180 jours alors que l’anonymisation est à 365 ; le bouton « Enregistrer » reste inactif et un bandeau orange affiche « La suppression définitive des pointages doit intervenir APRÈS leur anonymisation. » C’est déroutant parce que les deux champs sont valides pris isolément — c’est leur combinaison qui est refusée. Ce qu’il faut faire : le nombre de jours de « Suppression définitive des pointages » doit être supérieur ou égal à celui d’« Anonymisation des pointages ». Le couple cohérent de référence est 365 j / 1 825 j.

Les sept durées à arbitrer, champ par champ

L’écran regroupe sept durées en trois sections : « Pointages », « Journaux d’audit » et « Données techniques ». Toutes sont obligatoires : vider un champ le ramène à zéro, donc hors bornes, et l’enregistrement se bloque.

Politique de rétention RGPD

Chaque champ affiche sa plage autorisée juste en dessous. Une valeur hors bornes affiche « Doit être entre X et Y jours. » et désactive l’enregistrement.

Anonymisation des pointagesobligatoireNombre de jours — 90 à 1 825

Efface les notes libres des journées au-delà de ce seuil. Les heures travaillées agrégées restent en base pour la paie.

Exemple : 365 (défaut)

Suppression définitive des pointagesobligatoireNombre de jours — 180 à 1 825

Supprime les lignes de pointage sans restauration possible. Doit être supérieure ou égale à l’anonymisation. La limite haute de 1 825 jours correspond aux 5 ans du Code du travail (L3171-3).

Exemple : 1825 (défaut et valeur recommandée)

Conservation des journaux d’auditobligatoireNombre de jours — 30 à 730

Durée pendant laquelle les entrées d’audit (action, utilisateur, adresse IP) sont conservées avant purge automatique. Plafond de 2 ans.

Exemple : 180 (défaut, soit 6 mois)

Refresh tokens expirésobligatoireNombre de jours — 7 à 90

Conservation des jetons d’authentification après leur expiration, pour analyse forensique en cas d’incident de sécurité.

Exemple : 30 (défaut)

Devices connus inactifsobligatoireNombre de jours — 30 à 730

Appareils reconnus pour l’authentification, purgés s’ils n’ont plus été vus depuis ce délai.

Exemple : 365 (défaut)

Push tokens inactifsobligatoireNombre de jours — 30 à 365

Jetons de notification push désactivés (désinstallation de l’application, refus des notifications), purgés après inactivité. Voir Notifications et alertes.

Exemple : 90 (défaut)

Historique chats IAobligatoireNombre de jours — 7 à 365

Conversations avec l’assistant IA — elles peuvent contenir des questions nominatives sur vos collaborateurs. Voir Assistant RH IA, Guide et IA documentaire.

Exemple : 90 (défaut)

* Champ obligatoire.

Les bornes ne sont pas négociables, et c’est délibéré

Ce qui se passe : une saisie hors plage affiche « Doit être entre X et Y jours. » et le bouton « Enregistrer » reste inactif. Pourquoi ces garde-fous existent : les limites hautes protègent le principe de minimisation (on ne conserve pas indéfiniment), les limites basses protègent la valeur probante de vos données (un journal d’audit purgé au bout de 5 jours ne prouve plus rien). Ce qu’il faut faire : arbitrer à l’intérieur de la plage. Si votre convention ou votre DPO exige une valeur hors bornes, c’est un sujet à porter au support, pas un champ à forcer.

Enregistrer votre politique de rétention

AdministrationRétention RGPD

La procédure complète

  1. Ouvrez Administration › Rétention RGPD

    L’écran s’intitule « Politique de rétention RGPD ». Il est réservé aux administrateurs.

    Si l’entrée n’apparaît pas dans le menu, c’est votre pack : voir la section précédente.

  2. Section « Pointages » : réglez d’abord l’anonymisation

    Saisissez la durée au-delà de laquelle les notes libres des journées sont effacées. Défaut : 365 jours.

  3. Section « Pointages » : réglez ensuite la suppression définitive

    Saisissez une valeur supérieure ou égale à la précédente. La valeur recommandée est 1 825 jours, soit les 5 ans de la limite légale française.

    Si vous descendez sous la valeur d’anonymisation, l’enregistrement est bloqué.

  4. Section « Journaux d’audit » : réglez la conservation

    Défaut 180 jours, maximum 730 jours. Cette durée conditionne jusqu’où vous pourrez remonter dans les journaux d’audit pour identifier l’auteur d’une action.

  5. Section « Données techniques » : ajustez les quatre durées restantes

    « Refresh tokens expirés », « Devices connus inactifs », « Push tokens inactifs », « Historique chats IA ».

  6. Cliquez sur Enregistrer

    Le message de confirmation est : « Politique de rétention enregistrée. Les purges quotidiennes appliqueront ces nouvelles durées dès la prochaine exécution. »

  7. Vérifiez la traçabilité en bas de page

    La mention « Dernière mise à jour : <date> par <utilisateur> » atteste de qui a fixé la politique et quand. C’est cette ligne que vous produirez en cas de contrôle.

Transports Guillon — 63 salariés, Le MansExemple

Le DPO du transporteur veut coller au strict minimum légal : 5 ans pour les relevés d’heures, afin de couvrir un contrôle URSSAF ou une inspection du travail ; un an de journaux d’audit pour instruire les litiges internes ; et une purge rapide de l’historique des conversations avec l’assistant IA, jugé le point le plus sensible.

Anonymisation des pointages
365 jours
Suppression définitive des pointages
1825 jours
Conservation des journaux d’audit
365 jours
Refresh tokens expirés
30 jours
Devices connus inactifs
180 jours
Push tokens inactifs
90 jours
Historique chats IA
30 jours

Résultat

Message « Politique de rétention enregistrée. Les purges quotidiennes appliqueront ces nouvelles durées dès la prochaine exécution. » À chaque passage quotidien : les notes libres des pointages de plus d’un an sont effacées — les heures agrégées restent disponibles pour la paie ; les pointages de plus de 5 ans sont supprimés définitivement ; les journaux d’audit de plus d’un an disparaissent. Le pied de page affiche « Dernière mise à jour : 15/07/2026 10:32:14 par mgullion ».

Ce que les purges quotidiennes appliquent réellement

Vos durées ne s’exécutent pas au moment où vous cliquez sur « Enregistrer ». Elles sont appliquées par des travaux automatiques qui tournent une fois par jour, en arrière-plan, et qui balaient les données expirées. Le message de confirmation le dit : les purges appliqueront les nouvelles durées « dès la prochaine exécution ». Ne comptez pas sur une heure de passage précise : le cycle est de 24 heures, sans rendez-vous fixe dans la journée. Une durée que vous venez de raccourcir peut donc produire son effet dans les minutes qui suivent comme le lendemain.

  • Les notes libres des pointages plus anciens que la durée d’anonymisation sont effacées ; les heures travaillées agrégées ne sont pas touchées.
  • Les lignes de pointage plus anciennes que la durée de suppression définitive sont retirées de la base, sans restauration possible.
  • Les entrées d’audit plus anciennes que la durée de conservation disparaissent, avec leur auteur, leur horodatage et leur adresse IP.
  • Les jetons d’authentification expirés, les appareils connus inactifs et les jetons de notification push inactifs sont purgés selon leurs durées respectives.
  • Les conversations avec l’assistant IA plus anciennes que la durée fixée sont supprimées.

Réglez avant de produire, pas après

Une politique de rétention se décide au démarrage de l’espace, quand il n’y a encore rien à purger. Réglée deux ans plus tard, la première exécution supprime d’un coup tout ce qui dépasse le seuil — sans écran de confirmation ni aperçu de ce qui va partir.

Ce qui n’est jamais purgé automatiquement : les employés sortis

Les dossiers des anciens salariés restent en place indéfiniment

Ce qui se passe : aucune purge automatique ne concerne les collaborateurs sortis de l’entreprise. Leur fiche, leur historique et leurs données restent en base tant que vous ne les traitez pas. Pourquoi c’est déroutant : un DPO qui a soigneusement réglé les sept durées de cet écran croit légitimement que le nettoyage des dossiers d’anciens salariés en fait partie. Ce n’est pas le cas — et c’est un choix explicite, parce que la durée de conservation d’un dossier de sortie dépend de vos obligations légales de paie (5 ans en France), donc de votre seule responsabilité de responsable de traitement. Ce qu’il faut faire : organiser vous-même cette épuration, et l’inscrire dans votre registre des traitements. Voir Faire sortir un collaborateur.

La même logique s’applique aux contrats et aux pièces déposées dans le coffre-fort numérique : ce sont des registres de l’employeur, pas des données d’usage.

Traiter une demande de suppression de compte d’un salarié

Un collaborateur peut demander la suppression de son compte depuis une page publique, accessible sans connexion : /suppression-compte, intitulée « Suppression de compte et des données — Concorde Workly ». Cette page existe parce que Google Play l’exige — son adresse est déclarée dans la console du magasin et vérifiée sans connexion par les relecteurs —, mais elle sert aussi de point d’entrée légitime à l’exercice des droits. La demande est transmise au support et à l’administrateur de l’entreprise.

/suppression-compteDemander la suppression de mon compte

Le parcours du salarié

  1. Ouvrir /suppression-compte, ou passer par Profil dans l’application

    La page est bilingue français / anglais et ne nécessite pas d’être connecté pour être consultée.

  2. Cliquer sur Demander la suppression de mon compte

    Si le collaborateur n’est pas connecté, le bouton affiche « Se connecter pour supprimer mon compte » et redirige vers l’écran de connexion.

  3. Saisir le code à 6 chiffres reçu par e-mail

    Le flux est en deux étapes précisément pour éviter qu’un tiers ne déclenche la suppression du compte de quelqu’un d’autre.

  4. Cliquer sur Confirmer la suppression

    Message affiché : « Votre demande de suppression a été confirmée. Elle sera traitée sous 30 jours et vous recevrez une confirmation par e-mail. »

  5. En cas de perte d’accès à l’application, écrire au support

    Adresse : contact@concorde-tech.fr, objet « Suppression de compte », en indiquant le nom, l’e-mail de connexion et le nom de l’entreprise.

Ce que la suppression de compte effaceCe qui reste chez l’employeur
Identité : nom, prénom, e-mail, téléphone, adresse postaleLes relevés de temps de travail (5 ans en France)
Photo de profil et documents téléversésLes éléments de paie
Données d’authentification : mot de passe, jeton biométrique Face ID / Touch ID, 2FALes contrats
Identifiants techniques : identifiant d’appareil, jeton de notification pushLes pièces comptables
Position GPS associée aux pointages (anonymisée puis supprimée)
Le délai de traitement annoncé est de 30 jours maximum, avec confirmation par e-mail une fois la suppression ou l’anonymisation effectuée.

Supprimer un compte n’efface pas les registres légaux

Ce qui se passe : le salarié demande la suppression de son compte et s’attend à ce que ses pointages et ses éléments de paie disparaissent. Pourquoi c’est déroutant : les deux périmètres portent le même mot « suppression » mais ne recouvrent pas la même chose. La suppression de compte efface les données personnelles d’usage ; les enregistrements requis par la loi (paie, temps de travail, contrats, comptabilité) restent sous votre responsabilité pour la durée légale applicable. Ce qu’il faut faire : l’expliquer au collaborateur en citant le texte de la page — « Concorde Workly est un service RH professionnel (B2B). Certaines données constituent des registres légaux de votre employeur et doivent être conservées pour répondre à des obligations légales (paie, temps de travail, contrats, comptabilité), même après la suppression de votre compte. »

Votre checklist de conformité

Avant de considérer le volet RGPD comme réglé

0/9
Je n’ai jamais ouvert cet écran. Que se passe-t-il ?
Les durées par défaut s’appliquent et les purges tournent quand même : 365 jours d’anonymisation, 1 825 jours de suppression des pointages, 180 jours de journaux d’audit. Rien n’est cassé, mais aucune décision documentée ne soutient ces valeurs — ce que l’on vous demandera en cas de contrôle.
Puis-je récupérer des pointages supprimés par une purge ?
Non. L’infobulle du champ est sans ambiguïté : les lignes sont supprimées de la base et ne peuvent plus être restaurées. Il n’y a ni corbeille, ni sauvegarde de rattrapage à votre main. C’est pourquoi ce réglage se vérifie avant la première exécution, jamais après.
Pourquoi ne puis-je pas conserver mes journaux d’audit plus de 2 ans ?
La plage du champ « Conservation des journaux d’audit » va de 30 à 730 jours. Le plafond applique le principe de minimisation : un journal d’audit trace des actions nominatives avec adresse IP, sa conservation illimitée ne se justifie pas.
Un manager peut-il consulter ces écrans ?
Non. « Rétention RGPD » comme « Journaux d’audit » sont réservés aux administrateurs. Les journaux couvrent tout le périmètre de l’entreprise, tous sites confondus, et n’ont aucune dimension site : un manager y verrait des actions concernant des établissements qui ne le regardent pas. Voir Rôles, droits et périmètre par site.
Le suivi GPS des salariés relève-t-il de cet écran ?
Non. Le suivi de position en temps réel est conditionné à un consentement explicite du salarié, révocable, indépendamment des durées réglées ici. Un collaborateur qui n’a pas consenti — ou qui a retiré son consentement — n’apparaît jamais sur la carte. Voir Sécurité des comptes et suivi de position.
Journaux d’auditRetrouver qui a fait quoi, quand et depuis quelle adresse — et exporter la preuve.Sécurité des comptesDouble authentification, verrouillage, biométrie et encadrement du suivi GPS.Faire sortir un collaborateurCouper l’accès en conservant l’historique — la purge des sortants reste à votre main.