Gestion et cycle de vie des données

1. Où vivent vos données

Chaque réponse soumise est écrite immédiatement dans la base de données de tepConnect : par défaut, vos données y sont isolées de celles des autres clients et inaccessibles hors de votre organisation, même sur une infrastructure partagée, avec un hébergement dédié dans le pays de votre choix offert en option. C'est la seule source de vérité : le tableau de bord, l'explorateur de données, le rapport de campagne (Word/PDF) et tous les exports (CSV, Excel, GeoJSON, KML) lisent directement cette même donnée, en direct, jamais une copie séparée qui pourrait diverger.

2. Ce qui part ailleurs reste une copie, jamais un remplacement

Si vous configurez une destination (un courriel, une base de données, un tableur Google Sheets ou un classeur OneDrive/SharePoint, un compartiment S3), chaque réponse y est en plus envoyée automatiquement, jamais à la place de son enregistrement local. Une destination injoignable ne fait jamais perdre une réponse : la donnée reste intacte chez tepConnect, et l'envoi en échec est retenté automatiquement, à intervalles croissants, pendant un peu plus de trois jours, puis peut être relancé à la main.

3. Clôturer une campagne ne supprime rien

Clôturer arrête définitivement la collecte : plus aucune fiche n'est acceptée, sur aucun canal (équipe de terrain ou lien direct). Tout le reste continue de fonctionner normalement sur les données déjà reçues : le tableau de bord, l'explorateur, la revue des fiches en attente, le calcul de la paie, et la génération du rapport de campagne restent pleinement accessibles après la clôture. Seul un administrateur de la plateforme peut rouvrir une campagne déjà close, un geste réservé aux cas exceptionnels.

4. Pseudonymiser les identités : un geste distinct de la suppression

Une fois la campagne close, vous pouvez remplacer les champs nominatifs (nom, téléphone, adresse…) par une empreinte stable et irréversible (⟨masqué:7f3a1c⟩) : la même personne garde toujours la même empreinte, donc les décomptes restent exacts, mais plus personne n'est identifiable. Ce geste :

• n'est jamais automatique, même après un long délai : c'est vous qui le déclenchez, quand vous le jugez utile ;
• ne touche que les champs identifiants, jamais le reste des réponses : vos statistiques et votre rapport restent valides ;
• est irréversible une fois posé : un aperçu (dry-run) vous montre exactement quels champs seront concernés avant toute confirmation.

5. L'archive : tout emporter avant de partir

L'archive exportée d'une campagne contient tout ce qui la constitue : chaque version du questionnaire, l'équipe qui l'a menée, la base de sondage, et l'ensemble des réponses reçues (un seul fichier autonome). Une option l'anonymise à la volée au moment du téléchargement, pour la remettre en toute confiance à un tiers (bailleur, direction, partenaire), sans jamais modifier ce qui reste conservé chez vous.

6. Supprimer définitivement une campagne

La suppression d'une campagne est un geste irréversible, réservé à la personne qui la pilote ou à un administrateur de la plateforme, jamais une échéance qui s'impose d'elle-même. Elle efface d'un coup tout ce que la campagne portait : questionnaire, équipe, base de sondage, incidents, appareils, planification, paie, rapports.

Notre recommandation, avant ce geste :

1. Clôturez la campagne, si ce n'est pas déjà fait.
2. Téléchargez l'archive complète (section 5) : c'est le seul moment où vous pouvez encore le faire.
3. Supprimez, en toute connaissance de cause : la plateforme ne peut pas vérifier qu'un fichier téléchargé a bien été enregistré quelque part de votre côté, c'est donc à vous de vous en assurer avant de confirmer.

Une campagne sans aucune réponse peut être supprimée directement, sans ce parcours : il n'y a alors rien à archiver.

7. Ce qui, lui, est réellement automatique

Une poignée d'informations d'exploitation de la plateforme (jamais vos réponses d'enquête) sont purgées sur une base régulière, uniquement pour éviter une accumulation indéfinie de données qui n'ont plus d'utilité opérationnelle :

• Journal d'audit (qui a fait quoi, quand) : au-delà de 24 mois.
• Codes de connexion à usage unique déjà expirés.
• Jetons de test temporaires déjà expirés (un jeton permanent, explicitement configuré comme tel, n'est jamais concerné).
• Demandes d'essai ou d'inscription à la liste d'attente, restées sans suite après 90 jours.

8. Pour aller plus loin

Le cadre légal complet (responsable de traitement, base légale, destinataires, vos droits d'accès et de suppression) est décrit dans la politique de confidentialité. Les cookies utilisés par la plateforme sont détaillés dans la politique de cookies. Pour toute question, écrivez à contact@tep-connect.com.