Effacement RGPD : ce que Kastel efface, et ce qu’il n’efface pas.

La revue - lire la file et décider - depuis la console (plans hébergés, ou Enterprise auto-hébergé) : écran « Effacements RGPD », dans Paramètres. Réservé au propriétaire et aux administrateurs, lecture comprise ; ce n’est pas une question de formule, c’est une question de rôle.

Le levier complet - effacer tout ce que Kastel conserve d’une personne, d’une boîte mail ou d’un connecteur - reste en ligne de commande, sur l’instance : kastel erase. Si votre Kastel est hébergé par nous, écrivez-nous : c’est une opération d’exploitant, exécutée sur demande écrite du responsable de traitement.

« X a quitté l’entreprise, coupez son accès » et « X exerce son droit à l’effacement » arrivent souvent le même jour et n’ont pas la même réponse.

Couper un accès n’efface rien. Un départ ne supprime jamais ce que la personne a écrit : ce savoir appartient à l’entreprise. Si la demande est bien un effacement au sens de l’article 17, coupez d’abord l’accès, puis suivez cette page-ci.

Vos connecteurs conservent une copie de ce qu’ils ont lu. Quand l’original disparaît chez sa source - un fichier supprimé sur un espace partagé, un message effacé - votre Kastel ne supprime pas la copie de sa propre initiative. Il la conserve, la signale, et vous demande.

Ces signalements s’accumulent dans une file : « Suppressions en attente de votre décision ». Chaque ligne dit de quel connecteur vient la copie et à quelle date la disparition a été constatée. La copie reste consultable tant que rien n’est décidé.

Pourquoi cet écran est réservé au propriétaire et aux administrateurs, y compris en lecture : une copie brute de connecteur n’appartient au périmètre de personne. La filtrer par périmètre aurait vidé la file pour tout le monde, propriétaire compris, en donnant l’illusion d’un écran vide et rassurant. Le mur correct est donc le rôle, et il est dit franchement.

Deux réponses, et une seule est irréversible.

• Effacer définitivement : la copie et tout ce qui en dérive disparaissent. L’opération est scellée dans votre journal d’audit. Rien ne se restaure.
• Conserver : le signalement est levé, le contenu reste. « Conserver » n’annule pas un effacement déjà fait - il n’existe aucun chemin de retour.

Une confirmation nomme le nombre de documents concernés avant d’agir, et le dit dans ces termes. Les faits gouvernés de votre Kastel qui citaient la source effacée ne sont pas supprimés : ils sont signalés, et reviennent dans la file « À valider » pour qu’un humain décide de leur sort. C’est délibéré : effacer une source ne doit pas faire disparaître en silence une décision d’entreprise qui s’appuyait dessus.

Le même écran liste les boîtes mail dont votre Kastel détient des copies. Cette liste sert à instruire une demande ; elle ne permet pas d’effacer - c’est le levier de la section suivante.

Effacer tout ce que votre Kastel conserve d’une personne est une opération à part, plus large que la file ci-dessus, et volontairement hors console. Elle couvre, en une seule fois : ses copies brutes, son historique de questions, ses retours sur les réponses, son relevé de consultation et les traces de travail qui lui sont attribuées.

Sur un Kastel que vous hébergez, c’est kastel erase --person suivi de l’identifiant de la personne. Les variantes couvrent une boîte mail entière (--mailbox), un connecteur entier (--connector) ou un document précis (--raw). Le nom du demandeur est enregistré dans la ligne d’audit - jamais le contenu.

Sur un Kastel hébergé par nous, vous n’avez pas d’accès système à votre instance : la demande passe par nous, et nous l’exécutons sur instruction écrite. Le résultat est le même, et il est scellé de la même façon dans votre chaîne d’audit.

C’est le paragraphe à recopier dans votre registre de traitements. L’effacement couvre votre déploiement Kastel : les copies brutes, l’index dérivé, et il déclenche la revue humaine des faits qui en dérivaient. Il n’atteint pas :

• La chaîne d’audit scellée. Elle n’est jamais élaguée - une preuve qu’on peut réécrire n’est plus une preuve. Ce qu’elle contient des consultations est agrégé au jour, jamais le texte des pages.
• L’historique versionné de votre Kastel. Votre Kastel conserve l’historique de ce que votre entreprise a su, et quand. Retirer un contenu de cet historique est une opération d’exploitant, destructrice et coordonnée : elle se demande explicitement, elle ne se déclenche jamais toute seule.
• Vos sauvegardes hors Kastel (instantanés d’infrastructure, copies de base) : elles relèvent de votre propre politique de rétention.
• Le système source lui-même. Tant que le document existe dans l’outil d’origine, une synchronisation le ramènerait. Excluez la personne à l’ingestion d’abord, effacez ensuite.

Un effacement laisse toujours une trace scellée dans votre chaîne d’audit, quel que soit votre plan. Ce que Kastel Enterprise ajoute, c’est une attestation signée : un document cryptographiquement signé, émis depuis la ligne d’effacement du journal de conformité, qui nomme le déploiement et le numéro de l’enregistrement scellé.

Elle se vérifie hors ligne, avec la clé publique de votre organisation, sans passer par Kastel. C’est la différence entre « nous avons effacé » et « voici la preuve, que vous pouvez contrôler sans nous croire sur parole ».