Piste d'audit, vie privée, conservation et accès régulateur

La vue d'administration

Le tableau de bord d'administration résume l'organisation - profil, personnes et permissions, capacité du forfait et activité d'audit récente - et renvoie vers les pages de gestion. Il n'est visible que des propriétaires et administrateurs.

La piste d'audit

La piste d'audit enregistre qui a fait quoi, sur quelle fiche et quand : créations, mises à jour, publications, validations, réponses fournisseurs, changements de justificatifs et de sessions, et provisionnement au niveau plateforme. Elle se filtre par entité, action et période, et s'exporte en CSV pour un auditeur.

La piste est traitée comme une preuve immuable. La conservation ne la purge jamais, et aucune interface ne modifie ni ne supprime une entrée - c'est le but. Un changement machine est attribué comme tel plutôt que doté d'un acteur humain fictif.

Transmettre la piste d'audit à un SIEM

Sous Réglages, Flux d'audit, un propriétaire ou un administrateur peut envoyer chaque entrée d'audit à un SIEM dès qu'elle est enregistrée : un collecteur HTTPS (requêtes signées HMAC-SHA256 dans x-dpp-signature, comme les webhooks), un HTTP Event Collector Splunk ou Datadog. Le secret du collecteur est chiffré et n'est plus jamais affiché.

Les entrées partent dans l'ordre de la chaîne et au moins une fois : chacune porte son numéro de séquence et son empreinte de chaîne SHA-256, pour dédoublonner et vérifier la copie. Un collecteur en échec est relancé avec temporisation, exactement là où il s'était arrêté. La chaîne entière peut aussi être téléchargée en NDJSON.

Demandes de vie privée

Un export de personne rassemble les données personnelles détenues sur un contact fournisseur, un détenteur, un locataire ou un membre, afin de répondre à une demande sans fouiller les tables.

L'effacement anonymise les champs personnels plutôt que de supprimer des lignes : la fiche demeure, car les entrées d'audit, les preuves et la traçabilité de rappel doivent survivre. Il exige une confirmation explicite car il est irréversible, et chaque demande est consignée avec son résultat, afin que vous puissiez montrer ce que vous avez fait.

Conservation

Les réglages de conservation fixent la durée de conservation de la télémétrie d'exploitation - scans de supports, tentatives de livraison de webhooks, indices de demandes de vie privée - avec des valeurs par défaut de plateforme et des dérogations par organisation. L'aperçu montre ce qu'une purge retirerait avant de l'exécuter, et une purge planifiée applique ces fenêtres quotidiennement.

La piste d'audit est explicitement exclue, et les documents de preuve vous appartiennent. La conservation concerne le bruit d'exploitation, pas la trace de ce que vous avez déclaré.

Accès régulateur et tiers

Plutôt que d'envoyer un tableur à quiconque le demande, émettez une autorisation : un objet, les marchés et catégories couverts, une date d'échéance, avec approbation d'un propriétaire ou administrateur. Le jeton est affiché une fois et stocké haché, et il peut être révoqué à tout moment.

Le titulaire obtient un registre de conformité à portée limitée et un registre de preuves - métadonnées de documents, jamais le contenu des fichiers - et peut être refusé s'il demande hors de son périmètre. Chaque lecture est auditée comme accès régulateur, afin que vous voyiez exactement ce qui a été consulté et quand. Un jeton en attente, inconnu, expiré ou révoqué est refusé sans explication.

Rapports de cycle de vie des réparateurs et recycleurs

Un partenaire disposant d'un accès approuvé peut aussi déclarer ce qu'il a fait sur un produit : un réparateur (accès service) déclare réparations, inspections et reconditionnements ; un recycleur déclare recyclage et inspections ; un opérateur à intérêt légitime déclare inspections et retours. Il utilise POST /regulator/passports/{id}/reports avec son x-regulator-token.

Un rapport ne modifie rien seul : il attend dans Lifecycle reports et la boîte d'actions qu'un propriétaire ou administrateur l'accepte - ce qui enregistre l'événement sur le passeport et met à jour le statut de l'article - ou le rejette avec un motif visible du partenaire.

Comment le titulaire d'une autorisation lit-il les données restreintes ?

Chaque passeport public dispose d'une vue autorisée, accessible depuis sa section d'accès. Le titulaire d'une autorisation y colle son jeton ; il est envoyé dans un en-tête de requête, jamais dans l'adresse, et la page affiche les champs restreints du niveau de l'autorisation - l'état de santé pour un intérêt légitime, les informations de démontage pour un réparateur ou un recycleur - avec les mêmes libellés et unités que la page publique. Chaque consultation est inscrite au journal d'audit comme accès autorité.

La page publique liste elle-même les champs qui en sont retenus et les niveaux pouvant lire chacun, pour qu'un lecteur sache à qui s'adresser.

Référence page par page

Ces pages ont été vérifiées dans la console de l'organisation le 8 octobre 2026 avec une organisation de démonstration isolée. Les commandes varient selon le rôle, le forfait, l'état du dossier et les fournisseurs configurés. Les explications pratiques et les noms des commandes ci-dessous suivent l'interface anglaise vérifiée.

Organization overview (/admin)

Owners and administrators see team size, subscription capacity, recent organization audit events and shortcuts to the settings they control.

Use the overview to identify which administrative area needs attention: member capacity, subscription capacity, or a recent audit event. Follow its shortcut into the corresponding settings page for the actual change. The summary is a starting point; the detailed page shows the permissions, limits, and confirmation controls for that operation.

Editor and viewer roles do not get this administrative page.

Commandes et options

• Manage team opens invitations and membership controls.
• Plan capacity compares current use with limits; open Billing to see subscription details.
• Recent audit activity links to the searchable audit log.
• Admin shortcuts open billing, webhooks, custom rules and privacy settings.

Audit log (/admin/audit)

The audit table records an action, entity, actor and time for organization changes. It is a trace of events, not an editable record.

Set a narrow date range and entity type before exporting when you need to investigate one change. Match the event time, actor, action, and entity identifier against the record's own version or review history. This view is an organization change trace, so it is useful for reconstruction and accountability rather than editing the recorded event.

Audit entries are retained separately from operational retention windows.

Commandes et options

• Filter by action and entity type or restrict From and To dates, then Apply filters.
• Clear returns to the full recent list; pagination continues through the log.
• Export CSV downloads the current audit data for offline review.
• Use the entity identifier and timestamp together when reconciling a change with a passport version or document review.

Lifecycle reports (/lifecycle-reports)

Approved external partners can submit repair, inspection, return or recycling reports, but each report waits for an organization decision.

Open a pending partner report and compare its item, event, and evidence with the organization's record. Acceptance records the lifecycle event and may update the item state; rejection sends a reason back to the reporter. Leave the report pending when the evidence is incomplete, because pending submissions do not change the passport.

A pending report changes no passport state.

Commandes et options

• Filter reports by status and open one to inspect source, event, item and evidence.
• Accept records the lifecycle event on the passport and updates the reported item where applicable.
• Reject requires a reason visible to the reporting partner.
• Manage access grants controls who may submit in the first place.

Audit log streaming (/settings/audit-streams)

Audit streams forward signed, chained organization events to an HTTPS collector, Splunk HEC or Datadog.

Choose the destination type and HTTPS collector, then configure the receiver to verify signed, chained events before relying on the stream. Starting from now avoids a historical replay; choose backfill only when the collector is ready for the full chain. Watch delivery and sequence status after creation, and deduplicate by event identity or sequence on the receiver.

The collector credential is stored sealed and is not shown again.

Commandes et options

• Name a stream, choose collector type and HTTPS endpoint, and provide its signing secret or token.
• Start from now or request the whole chain when an authorized backfill is needed.
• Create stream, then inspect delivery status and retry information.
• Use sequence numbers and hashes to deduplicate and verify the receiver's copy.

Regulator access (/settings/regulators)

A grant limits an external authority to an approved purpose, market, category, access tier and expiry.

Define a grant by authority, purpose, market, product category, tier, and expiry before sharing a token. Copy the one-time token through an approved channel and verify the recipient can see only the intended registry or evidence metadata. Revoke the grant when its purpose ends rather than relying solely on a distant expiry date.

Read-only registry and evidence metadata remain bounded by the grant; file contents are not automatically exposed.

Commandes et options

• Enter authority, contact reference and purpose; choose markets and product categories.
• Set expiry and the appropriate access tier before Create grant.
• Copy the one-time token securely to the authorized recipient.
• Review grant status and revoke access when the purpose ends.

Privacy requests (/settings/privacy)

Privacy tools find a subject's organization data and record export or anonymization outcomes.

Identify the subject with the exact reference used in the organization, then inspect the proposed export before responding to a request. Erasure anonymizes eligible personal fields only after confirmation and records the action; it must preserve necessary product and audit trace. Use the request log to reconcile the requested action, actor, time, and outcome.

Anonymization preserves necessary audit and product trace while removing personal fields.

Commandes et options

• Choose subject type and supply the exact email or tenant reference.
• Export data produces a reviewable subject package and logs the request.
• Erase (anonymise) requires explicit confirmation and records the reason and result.
• Check the request log before replying to the requester.

Data retention (/settings/retention)

Retention windows cover operational telemetry such as scan events and delivery attempts, with preview before cleanup.

Set the window for each operational record class, then preview the number of rows affected before a sweep. A dry run shows the impact without deleting telemetry; use the real sweep only after reviewing those counts and the policy exclusions. Audit history and uploaded evidence follow their own retention rules and are not removed by these windows.

The audit chain and uploaded evidence are not swept by these telemetry settings.

Commandes et options

• Set days per record class within the displayed limits and Save windows.
• Preview impact counts records that would be removed under current windows.
• Dry run sweep reports the effect without deletion; Run sweep now applies it after review.
• Read Policy notes for excluded evidence and audit records.