Pouvez-vous partir ? Export, portabilité et suppression définitive

Toute évaluation sérieuse d'un fournisseur se termine par deux questions, et elles arrivent presque toujours dans le mauvais ordre — en dernier plutôt qu'en premier. Puis-je exporter mes données et partir quand je veux ? Et puis-je tout supprimer définitivement, et le prouver ? Quand quelqu'un les pose, la plateforme contient quatre ans d'envois, trois équipes en dépendent, et la réponse honnête est devenue coûteuse à entendre.

Deux questions différentes constamment confondues

En réunion d'achat, « portabilité des données » signifie d'ordinaire « pouvons-nous migrer ailleurs ». Ce n'est pas l'objet du droit légal, et la confusion produit des débats que personne ne gagne.

Conséquence pratique : lorsqu'un répondant demande ses données, c'est votre obligation, et vous l'exécutez avec l'export de la plateforme. Un fournisseur incapable de produire un envoi dans un format portable vous a transmis un problème de conformité dont vous répondrez personnellement. Et votre propre sortie — le vrai sujet de la réunion — doit s'écrire dans le contrat, car le droit suisse ne la fournit pas. L'art. 28 par. 3 let. h RGPD impose au moins à un sous-traitant européen d'effacer ou de restituer l'ensemble des données au terme de la prestation, au choix du responsable ; l'art. 9 nLPD ne prescrit aucune liste de clauses, raison précise pour laquelle elle doit figurer dans votre accord. Voir avez-vous besoin d'un contrat de sous-traitance pour votre outil de formulaires.

Ce que contient réellement un export utilisable

« Nous proposons l'export CSV » n'est pas une réponse, c'est un format. La question est de savoir ce qui survit à l'aller-retour.

Cinq choses qui survivent rarement à une migration

1. La logique du formulaire. Branches conditionnelles, règles de validation, scores et calculs sont propres au fournisseur et pratiquement jamais exportables. Prévoyez de reconstruire chaque formulaire : c'est le vrai coût du changement, pas le déplacement des données.
2. Les pièces jointes, pour la raison ci-dessus.
3. Les signatures. Capturées en image ou en données vectorielles dans un champ propriétaire. Elles peuvent sortir en image, en texte de substitution, ou pas du tout. Si la signature est la partie juridiquement intéressante, vérifiez-le avant que cela compte.
4. Métadonnées et horodatages. Date de réception, de lecture, étiquettes, notes internes, statut. Beaucoup d'exports emportent les réponses et laissent tout ce que votre équipe a construit autour — c'est-à-dire souvent ce qui rendait l'enregistrement utile.
5. La continuité du lien. L'URL publique d'un formulaire appartient à l'ancien fournisseur. Chaque QR imprimé, chaque lien dans un contrat signé, chaque favori sur l'intranet d'un partenaire pointe là. Prévoyez une fenêtre de redirection, ou le coût de la réimpression.

Supprimer un enregistrement n'est pas supprimer les données

C'est sur la suppression que l'écart entre ce qu'un produit montre et ce qu'il fait est le plus large. Quand vous cliquez sur supprimer, tout ou partie de ceci peut se produire — et il est parfaitement légitime de demander au fournisseur quoi :

• La ligne est marquée masquée et reste en base. Fréquent, rarement annoncé, et la raison pour laquelle « suppression logique » appartient à tout questionnaire fournisseur.
• La ligne part, le fichier reste. L'orphelin classique : l'envoi disparaît de la boîte de réception pendant que ses pièces jointes demeurent indéfiniment dans le stockage objet, référencées par rien et supprimées par personne.
• Les deux partent, mais les sauvegardes gardent une copie le temps de leur rétention. C'est normal et défendable — mais cela doit être dit, avec la durée, et assorti d'une règle voulant que les restaurations réappliquent les suppressions.
• Les copies sorties de la plateforme restent intactes : exports sur des portables, courriels de notification contenant les réponses, synchronisation vers un entrepôt de données, intégration CRM, ticket de support avec capture d'écran.
• Les données dérivées persistent — index de recherche, statistiques agrégées, entrées d'audit. Certaines doivent persister : un journal d'audit modifiable en supprimant ce qu'il a enregistré n'en est pas un.

Preuve de suppression — ce qu'un contrôleur demande vraiment

Ni la nLPD ni le RGPD n'exigent un certificat par enregistrement supprimé. Ce qui est attendu, en substance, c'est que vous puissiez démontrer la règle et son exécution. En Suisse, la prétention en effacement passe par l'art. 32 nLPD et les dispositions du Code civil sur la protection de la personnalité plutôt que par un article autonome de « droit à l'oubli », mais l'attente pratique est la même que sous l'art. 17 RGPD. Sachez montrer quatre choses :

1. La règle, par écrit et par catégorie : combien de temps les envois sont conservés, ce qui se passe ensuite, qui décide.
2. Le mécanisme — automatique autant que possible. Une règle exécutée par une personne quand elle y pense a échoué dès le premier mois chargé.
3. Une trace de son exécution : date, périmètre, nombre d'enregistrements, qui l'a déclenchée. Pas le contenu supprimé, ce qui viderait l'exercice de son sens.
4. La confirmation du fournisseur pour la suppression de fin de contrat, datée. Demandez-la par écrit ; un fournisseur qui ne confirme pas par écrit vous a dit quelque chose d'important.

Une nuance à poser correctement : les pistes d'audit et les journaux de suppression sont censés survivre à la suppression. Conserver « l'envoi 4f2a a été supprimé le 12 mars par A. Müller » n'est pas un défaut d'effacement, c'est la preuve que l'effacement a eu lieu. Ce qui ne doit pas survivre, c'est le contenu.

Où le chiffrement aide — et où il coupe des deux côtés

Le chiffrement de bout en bout change les deux moitiés de cet article, et pas dans une seule direction. Côté suppression, c'est un avantage réel : si le fournisseur n'a jamais détenu que du texte chiffré et que la clé n'a jamais quitté votre côté, les copies résiduelles dans une sauvegarde lui sont inertes. Cela ne vous dispense pas de les supprimer, mais cela change considérablement le risque d'une copie que vous n'avez pas encore atteinte.

Côté export, il impose une question de conception que le secteur esquive le plus souvent : si le serveur ne peut pas lire les données, l'export doit être construit dans le navigateur après déchiffrement local. C'est davantage d'ingénierie — et la raison pour laquelle certaines plateformes « chiffrées » déchiffrent discrètement côté serveur pour les exports, ce qui en dit long sur la nature de leur chiffrement. Et le coût honnête : avec un vrai chiffrement de bout en bout, perdre la clé, c'est perdre les données. Ce n'est pas de l'enfermement, mais c'est un risque opérationnel réel, et la réponse est la discipline de garde des clés, non un produit plus faible.

Comment Schweizerform traite les deux

Même principe que dans toute cette série : nous le publions parce que nous le demandons aux autres.

Sortir les données

• L'export CSV est disponible dans toutes les offres, y compris gratuite. UTF-8 avec marque d'ordre des octets et échappement RFC-4180, pour que les accents et les trémas s'ouvrent correctement dans Excel au lieu de devenir illisibles.
• Excel, PDF et ZIP sont des formats des offres payantes. Nous préférons le dire clairement : le format qui emporte les pièces jointes est dans les paliers payants — le CSV, qui fonctionne toujours, ne l'est pas.
• L'archive ZIP contient les octets réels : un tableur de réponses plus un dossier files/ organisé par envoi avec les noms d'origine, les images de signature, un mot de passe AES-256 facultatif sur l'archive et un fichier d'erreurs listant ce qui n'a pas pu être déchiffré au lieu d'échouer en silence.
• Le déchiffrement a lieu dans votre navigateur. Le serveur envoie du texte chiffré et des clés encapsulées ; votre navigateur déchiffre, met en forme le fichier et l'enregistre. Le seul texte en clair qui existe est le fichier que vous avez délibérément enregistré — moment où vos propres obligations de conservation commencent sur cette copie.

Faire supprimer les données

• La suppression du compte est une suppression dure des lignes de base de données et des objets chiffrés dans le stockage suisse — ni un indicateur, ni seulement des lignes.
• Ni orphelins, ni suppressions erronées. Les objets à purger sont inscrits par leur chemin enregistré dans la transaction même qui supprime les lignes : une purge ne peut donc toucher que des données dont les lignes ont déjà disparu, et aucun octet ne peut rester. Ce qu'un incident manque reste en file d'attente et est traité par un balayage qui s'exécute automatiquement en production.
• Les données d'autrui sont protégées de votre bouton. Si vous possédez un espace de travail comptant d'autres membres, la suppression est refusée tant que vous ne l'avez pas transféré ou supprimé ; les formulaires que vous avez créés dans l'espace d'une autre personne sont rattachés au propriétaire de cet espace au lieu d'être détruits avec votre compte.
• Les entrées d'audit survivent, sans vous. Les traces des actions passées sont conservées avec l'identifiant d'auteur retiré et un instantané de l'adresse : la preuve reste, le compte non.
• La réserve honnête : la suppression est immédiate et irréversible, et nous ne pouvons pas restaurer ensuite un compte supprimé ni ses envois. Exportez avant si les données peuvent encore servir. Et comme les réponses sont chiffrées vers votre clé du coffre, la perdre rend les données illisibles — la voie de récupération existe, mais elle relève de votre discipline, pas de notre base de données.

Ce que nous ne prétendons délibérément pas ici, c'est une durée de rétention des sauvegardes : un chiffre que nous n'avons pas publié n'est pas une promesse sur laquelle vous devriez vous appuyer. Demandez-le-nous — et demandez-le à chaque fournisseur — par écrit, et conservez la réponse datée. C'est exactement l'exigence que cet article vous invite à nous appliquer.

Faites le test de sortie avant d'en avoir besoin

Une plateforme que vous ne pouvez pas quitter n'est pas une plateforme que vous avez choisie. C'est une plateforme que vous choisissez encore, chaque mois, sans qu'on vous le demande.

L'essentiel

La portabilité appartient à vos répondants ; votre sortie appartient à votre contrat et à ce que produit réellement le bouton d'export. « Supprimé » a quatre sens et les fournisseurs précisent rarement lequel ils offrent. Les deux questions coûtent peu tant que tout va bien et cher quand ce n'est plus le cas — faites donc le test de sortie maintenant, en une heure, sur un vrai formulaire.

Le point de fond : l'enfermement est rarement une clause, c'est une accumulation. Des pièces jointes qui n'existent que derrière une URL authentifiée, des formulaires dont personne n'a documenté la logique, des liens imprimés sur des supports irrécupérables, du contenu de réponses éparpillé dans des boîtes aux lettres. Rien n'a été décidé. Tout cela explique pourquoi des organisations restent avec des outils auxquels elles ne font plus confiance depuis des années — un schéma familier après le coût caché des outils de formulaires « gratuits ».