05 — Guide de l'administrateur de plateforme#

Ce guide s'adresse à l'équipe qui exploite Kaxentra : administration de plateforme, finance, soutien, exploitation technique, conformité. Il ne s'adresse ni aux clients ni aux cabinets. Le portail Administration ne sert aucun client final. Il complète ../01-produit/06-portail-admin.md, qui décrit ce que le portail contient. Ce guide-ci décrit comment vous vous en servez, geste par geste. Chaque procédure se termine par « Comment vérifier que ça a marché ». Sur ce portail plus qu'ailleurs, la vérification n'est pas une politesse : une erreur ici se facture à des clients réels.

1. Ce portail, et ce qu'il n'est pas#

1.1 Cinq questions, un portail#

Le portail Administration compte 230 pages et répond à cinq questions :

1. Qui utilise la plateforme ? — organisations, locataires, utilisateurs, rôles.
2. Qu'est-ce qui est vendu, et à quel prix ? — forfaits, modules, ensembles, fonctionnalités, quotas, coupons.
3. Est-ce que ça fonctionne ? — métriques, journaux, santé des services.
4. Est-ce que c'est conforme ? — audit, protection des renseignements personnels, demandes d'accès, consentements, suppression.
5. Qu'est-ce que l'intelligence artificielle fait, à quel coût, sous quelles bornes ? — passerelle de modèles, registre des systèmes d'intelligence artificielle, garde-fous, gouvernance des agents, approbations.

1.2 Trois différences avec les autres portails, qui changent votre façon de travailler#

Le rayon d'action. Une action du portail Affaires touche un cabinet. Une action d'ici peut toucher tous les locataires à la fois. Vous n'avez pas le droit à l'expérimentation en production.

Le modèle de droits. Les portails Client et Affaires raisonnent en locataire : vous voyez ce qui appartient à votre organisation. Ce portail raisonne en rôle croisé avec écran : chaque écran porte un niveau d'accès par rôle. Ne raisonnez jamais « je suis administrateur, donc je peux » — raisonnez « quel niveau mon rôle porte-t-il sur cet écran ».

La responsabilité. Une erreur ici se facture. Le catalogue tarifaire l'a déjà démontré : deux clients ont payé un prix qui n'était pas celui qui leur était affiché. C'est ce précédent qui a produit la totalité des contrôles décrits au chapitre 5.

1.3 Les deux règles que vous appliquez avant tout le reste#

Règle 1 — Ne jamais fabriquer un zéro. Une valeur non mesurée s'affiche —, « non évalué », « non mesuré » ou « indisponible ». Jamais 0. Jamais 100 %. Le chapitre 3 vous apprend à lire ces écrans.

Règle 2 — Un contrôle qui regarde à côté est pire qu'aucun contrôle : il rassure. Avant de faire confiance à un contrôle vert, exigez de savoir ce qu'il couvre et ce qu'il ne couvre pas. Le chapitre 5 raconte le jour où cette règle a été payée.

2. Le modèle de rôles et la séparation des pouvoirs#

2.1 Quatre niveaux d'accès#

Chaque écran déclare, pour chaque rôle, un niveau parmi quatre :

La distinction entre « écriture » et « administration » n'est pas cosmétique : c'est elle qui porte la séparation des pouvoirs décrite en 2.4.

2.2 Les six rôles de plateforme#

2.3 Comment votre rôle est déterminé à la connexion#

C'est un point d'exploitation, pas de théorie. La résolution suit un ordre strict :

1. Un rôle explicite de propriétaire l'emporte sur tout le reste.
2. Sinon, un sous-rôle distinct l'emporte sur le marqueur générique d'accès au portail. L'ordre du plus au moins privilégié est : administrateur, conformité, finance, exploitation technique, soutien.
3. Sinon, un marqueur générique d'accès au portail sans aucun sous-rôle donne le niveau propriétaire.
4. Sinon, aucun rôle : l'accès au portail est refusé.

Ce que cela implique pour vous, concrètement.

• Attribuez toujours un sous-rôle explicite. Un compte porteur du seul marqueur d'accès au portail, sans sous-rôle, obtient le niveau propriétaire. C'est correct pour les propriétaires réels ; c'est un sur-privilège silencieux pour toute autre personne.
• Un compte ne doit porter qu'un sous-rôle. Si un compte porte à la fois « finance » et « soutien », c'est « finance » qui gagne — pas l'union des deux, et pas l'intersection. La personne obtiendra donc plus que ce que vous croyez lui avoir donné.
• Les variantes d'écriture sont tolérées. Un rôle écrit avec un trait d'union ou un tiret bas est reconnu de la même façon. Cela ne vous dispense pas d'écrire les rôles de façon homogène.

Comment vérifier que ça a marché : après avoir attribué un rôle, faites ouvrir une session à la personne et demandez-lui la liste des sections visibles dans sa barre latérale. Comparez-la au périmètre attendu du tableau 2.2. Ne vous fiez pas à la fiche du compte : la fiche montre ce qui est attribué, la barre latérale montre ce qui est résolu. C'est la résolution qui compte.

2.4 La séparation des pouvoirs sur le prix — mesurée, pas déclarée#

C'est la propriété la plus importante de ce portail, et elle mérite d'être lue exactement.

Sur l'écran « Catalogue des forfaits » :

Sur l'écran « Comparaison des forfaits », qui expose des informations tarifaires croisées :

Sur l'écran « Catalogue publié chez le facturier », qui pousse la grille vers le prestataire de paiement :

Ce que ces trois tableaux disent, ensemble :

1. Trois rôles sur six n'ont aucun accès à la grille tarifaire. Le soutien, l'exploitation technique et la conformité ne la voient pas — ni dans la navigation, ni par adresse forgée.
2. Le rôle finance porte le niveau le plus élevé sur le catalogue, à égalité avec le propriétaire. Il est le rôle métier habilité aux opérations tarifaires sensibles.
3. L'administrateur de plateforme reste un cran en dessous. Il peut écrire sur le catalogue, mais il n'a que la lecture sur la comparaison des forfaits et sur la publication chez le facturier. Le rôle le plus large du portail n'est donc pas le rôle le plus puissant sur le prix.
4. La publication chez le facturier est réservée au propriétaire. Même finance ne peut que lire cet écran. C'est le dernier verrou avant que la grille ne quitte la plateforme.

Pourquoi cette asymétrie est délibérée. « Qui administre la plateforme » et « qui fixe les prix » sont deux métiers différents. Les confondre a déjà coûté deux clients facturés au mauvais prix. La matrice encode la leçon.

2.5 La règle d'exploitation qui découle du modèle — et qui vous concerne à chaque livraison#

Un écran non inscrit dans la matrice est ouvert à tous les rôles de plateforme.

Quand le portail ne trouve aucune règle correspondant à l'écran demandé, il retombe sur un défaut historique qui rend l'écran visible. Ce n'est pas un refus par défaut : c'est une autorisation par défaut.

Ce que vous faites, à chaque nouvelle surface livrée :

1. Recensez les écrans ajoutés depuis la dernière revue.
2. Pour chacun, vérifiez qu'une règle explicite existe.
3. Testez avec un compte porteur du rôle soutien — le plus restreint des rôles réellement utilisés — en ouvrant l'adresse de l'écran directement.
4. Si l'écran s'affiche alors qu'il ne devrait pas, la règle manque.

Comment vérifier que ça a marché : ouvrez l'écran avec trois comptes de rôles différents, dont au moins un qui ne devrait pas y avoir accès. Le refus doit être un refus d'écran, pas un écran vide. Un écran qui s'affiche sans données n'est pas un écran refusé : c'est un écran autorisé dont la requête a échoué.

2.6 Le cas particulier de la fiche locataire#

La fiche d'un locataire porte l'onglet « Abonnement et modules ». C'est la seule surface du portail qui accorde et révoque des modules payants à un locataire — un acte de facturation, pas une consultation.

Elle porte donc sa propre règle, distincte de celle de la liste des locataires : le propriétaire et l'administrateur de plateforme écrivent ; finance et soutien lisent — les boutons sont désactivés à l'écran et le serveur refuserait de toute façon.

3. Lire les écrans : ne jamais fabriquer un zéro#

3.1 Le vocabulaire des absences#

Ce portail distingue des états que la plupart des tableaux de bord confondent. Apprenez ce vocabulaire : il vous évitera des décisions fausses en incident.

3.2 Où vous rencontrerez ces états#

3.3 Les bandeaux de couverture : « chargé sur annoncé »#

Deux écrans affichent un bandeau qui compare ce que la page a chargé à ce que le serveur annonce détenir.

Comment le lire. « 200 chargées sur 1 847 annoncées » ne veut pas dire que 1 647 lignes ont échoué. Cela veut dire que vous regardez un échantillon et que vous ne devez pas en tirer une conclusion globale.

Ce que vous en faites.

1. Si vous enquêtez sur un incident précis, filtrez avant de conclure : un filtre serveur porte sur la totalité, la pagination ne porte que sur ce qui est chargé.
2. Si vous produisez un chiffre pour un tiers, exportez plutôt que de compter à l'écran. Les exports parcourent les pages serveur.
3. Ne comparez jamais un compteur de page à un total. Les écrans le libellent explicitement : « page courante » d'un côté, total de l'autre.

3.4 Effet demandé, effet constaté#

Sur l'écran de gouvernance des agents, le tableau des ordres porte une colonne qui distingue l'effet demandé de l'effet constaté, et cette colonne peut afficher « non prouvé ».

Ce que cela veut dire. Vous avez envoyé un ordre d'arrêt. L'ordre est parti, il est journalisé, son motif est conservé. Rien ne prouve que l'agent s'est arrêté.

Ce que vous faites en conséquence : après tout ordre d'arrêt, vérifiez sur l'écran d'activité que la tâche a cessé de consommer des crédits. C'est la mesure indépendante. L'ordre n'est pas la preuve.

3.5 Les trois erreurs de lecture les plus coûteuses#

Erreur 1 — Lire un 0 là où l'écran affiche —. Vous concluez à une absence d'activité alors que vous regardez une panne d'instrument. En incident, cette erreur vous fait chercher au mauvais endroit pendant une heure.

Erreur 2 — Lire « non évalué » comme « conforme ». Une vérification non faite comptée comme réussie est la faute de conception la plus courante en conformité. Le portail refuse de la commettre ; ne la commettez pas à sa place en lisant vite.

Erreur 3 — Prendre un compteur de page pour un total. Un « 3 violations » lu sur une page paginée n'est pas « 3 violations ». C'est « 3 violations parmi ce qui est affiché ».

4. Runbooks#

4.1 Créer un locataire#

Rôles habilités : propriétaire, administrateur de plateforme. Le soutien peut ouvrir le parcours d'accueil.

1. Ouvrez la liste des locataires, puis « Nouveau locataire ».
2. Renseignez l'organisation : raison sociale, type d'organisation, langue par défaut, fuseau horaire, coordonnées de facturation.
3. Choisissez le forfait. Ne choisissez jamais un forfait « en attendant » : le forfait accorde des modules, et un forfait provisoire produit un accès provisoire que personne ne pense à retirer.
4. Validez. Le catalogue accorde automatiquement les modules du forfait choisi.
5. Créez le compte administrateur du locataire : nom, adresse courriel, rôle d'administration côté locataire.
6. Envoyez l'invitation.
7. Si des modules supplémentaires sont demandés, ne les accordez pas ici : passez par la procédure 4.2, qui exige un motif.

Comment vérifier que ça a marché :

• Le locataire apparaît dans la liste avec son forfait et son état.
• Ouvrez sa fiche, onglet « Abonnement et modules » : les modules accordés doivent correspondre exactement à la composition du forfait choisi, ni plus ni moins.
• Demandez à la personne invitée de confirmer la réception du courriel et d'ouvrir une session. Un locataire créé dont personne n'a pu se connecter n'est pas un locataire livré.
• Faites-lui ouvrir un écran couvert par l'un des modules du forfait. S'il reçoit un refus de forfait, l'octroi n'a pas été appliqué côté locataire.

4.2 Accorder un module à un locataire, avec motif#

Rôles habilités : propriétaire, administrateur de plateforme.

1. Ouvrez le centre de fonctionnalités.
2. Cherchez le locataire.
3. Repérez la fonctionnalité à accorder.
4. Appliquez la surcharge, avec son motif. Le motif n'est pas décoratif : il est conservé, exporté et interrogeable. Écrivez-y la référence de la demande commerciale, pas « demande client ».
5. Enregistrez.

Comment vérifier que ça a marché :

1. Ouvrez l'audit des surcharges de fonctionnalités. L'entrée doit porter : date, fonctionnalité, locataire, valeur avant, valeur après, acteur.
2. Exportez cette ligne : l'export inclut en plus la raison. Vérifiez que la raison est celle que vous avez écrite.
3. Vérifiez côté locataire que le module apparaît. C'est la seule vérification qui prouve l'effet ; les deux précédentes ne prouvent que la trace.

Si l'audit affiche « Point d'entrée d'audit non disponible », ne concluez pas que la surcharge n'a pas été enregistrée. Le service d'audit ne répond pas ; la surcharge peut être parfaitement appliquée. Vérifiez côté locataire, puis revenez sur l'audit plus tard.

4.3 Modifier le forfait d'un locataire#

Rôles habilités : propriétaire et administrateur de plateforme écrivent sur la fiche locataire ; finance et soutien lisent.

1. Ouvrez la fiche du locataire, onglet « Abonnement et modules ».
2. Notez avant toute action : le forfait actuel, les modules actuellement accordés, et les surcharges en vigueur. Une capture ou un export vous évitera une reconstitution pénible.
3. Vérifiez l'usage réel du locataire : sièges occupés, clients enregistrés, stockage consommé.
4. Si le nouveau forfait offre moins que l'usage actuel, arrêtez-vous. Un quota abaissé sous l'usage bloque des comptes en place : le locataire recevra des refus sur des actions qui fonctionnaient la veille. Faites d'abord libérer la ressource.
5. Changez le forfait.
6. Revérifiez la liste des modules accordés : le changement de forfait recompose les modules du forfait, il ne recompose pas les surcharges. Une surcharge accordée sous l'ancien forfait reste en vigueur.

Comment vérifier que ça a marché :

• La fiche affiche le nouveau forfait.
• Les modules accordés correspondent à la composition du nouveau forfait, plus les surcharges que vous avez délibérément conservées.
• Faites vérifier côté locataire l'écran d'utilisation : les limites affichées doivent être celles du nouveau forfait. Un nom de forfait qui change sans que les limites changent est un changement à moitié appliqué — c'est exactement la classe de défaut décrite au chapitre 5.
• Vérifiez la prochaine facture prévue : le montant doit correspondre au nouveau forfait.

4.4 Publier une modification de catalogue#

C'est le runbook le plus dangereux du portail. Lisez-le en entier avant de commencer.

Rôle habilité pour la décision tarifaire : finance. Pour la publication chez le facturier : propriétaire.

Étape 1 — Décider#

1. La décision tarifaire appartient au rôle finance. L'administrateur de plateforme ne la prend pas ; il l'exécute techniquement s'il y a lieu.
2. Documentez, avant toute modification : quels forfaits changent, quels champs changent, à partir de quelle date, et ce qui se passe pour les abonnements en cours.

Étape 2 — Modifier la source unique#

1. Le prix affiché, le droit d'accès accordé et le montant facturé dérivent d'une seule définition. Modifiez cette définition, jamais une copie.
2. Ne modifiez jamais une page de prix à la main. C'est précisément ce qui a produit l'incident fondateur : une page portait sa propre copie manuscrite de la grille, et un forfait était affiché à un prix pendant que la facturation en pratiquait un autre, sensiblement plus élevé.

Étape 3 — Produire une nouvelle version de catalogue#

1. Toute modification produit une nouvelle version de catalogue, datée.
2. Notez le numéro de version : il vous servira à chaque vérification ultérieure.

Étape 4 — Semer la base#

1. Propagez la nouvelle version vers la base.
2. Attendez la fin de la propagation avant de lire quoi que ce soit.

Étape 5 — Lire le contrôle de cohérence, et le lire correctement#

Le service ne se contente pas de servir le catalogue : il compare le catalogue servi à ce que la base porte réellement, et renvoie tout écart dans la réponse plutôt que de le cacher.

1. Ouvrez l'écran de catalogue.
2. Lisez l'indicateur de cohérence.
3. S'il indique un écart : ne publiez pas. Résolvez l'écart, puis recommencez à l'étape 4.

Étape 6 — Vérifier les trois familles de champs, séparément#

C'est l'étape que la première version du contrôle ne faisait pas, et c'est ce qui a coûté cher.

Vérifiez, forfait par forfait :

Ne vous contentez pas de l'indicateur global. Ouvrez chaque forfait et comparez les six champs, un par un, entre le catalogue servi et ce que la base porte.

Étape 7 — Publier#

1. Publiez.
2. La publication chez le facturier est réservée au propriétaire de plateforme. Finance ne peut que lire cet écran.

Étape 8 — Vérifier la page de prix publique#

1. Ouvrez la page de prix publique, dans une fenêtre de navigation privée — sinon vous lisez peut-être un cache local.
2. Comparez chaque prix affiché au catalogue.
3. Comparez chaque quota annoncé au catalogue.

Comment vérifier que ça a marché :

• L'indicateur de cohérence est au vert et vous avez vérifié les prix, les quotas et les crédits séparément.
• La page de prix publique affiche exactement les valeurs du catalogue, relevées en navigation privée.
• Créez un compte d'essai sur le forfait modifié et lisez son écran d'utilisation : les limites servies au compte doivent être celles du catalogue. C'est la seule vérification de bout en bout ; les précédentes vérifient des couches, celle-ci vérifie le résultat.
• Vérifiez qu'un abonnement en cours sur ce forfait n'a pas vu ses quotas changer sans préavis.

Ne publiez jamais un changement de catalogue un vendredi. Un écart découvert le samedi se corrige avec l'équipe réduite du week-end, et facture des clients pendant deux jours.

4.5 Enquêter sur un incident de facturation#

Rôles habilités : finance, propriétaire. Le soutien peut lire les factures et le journal d'activité.

Étape 1 — Établir les faits bruts#

1. Notez : le locataire, le montant contesté, la date de la facture, le montant attendu par le client.
2. Ouvrez la facture contestée et lisez son détail ligne à ligne.

Étape 2 — Le journal d'audit#

1. Ouvrez le journal d'audit.
2. Filtrez par type : facturation.
3. Recherchez le locataire. La recherche porte sur la totalité du journal, pas sur la page affichée — c'est ce qui vous permet de remonter à plusieurs semaines sans pagination manuelle.
4. Notez toute action de facturation portant sur ce locataire dans la période.

Étape 3 — L'abonnement courant#

1. Ouvrez la fiche du locataire.
2. Lisez le forfait courant, sa date de souscription, sa périodicité.
3. Comparez au montant facturé.

Étape 4 — Le catalogue#

1. Comparez le forfait du locataire au catalogue canonique.
2. Lisez le contrôle de cohérence.
3. Si le contrôle signale un écart, vous avez probablement trouvé la cause. Corrigez la source (runbook 4.4), puis reprenez.

Étape 5 — Les surcharges#

1. Si le contrôle ne signale rien, ouvrez l'audit des surcharges et filtrez par locataire.
2. Une surcharge accordée explique souvent un montant inattendu : un module accordé hors forfait est facturé.
3. Lisez le motif enregistré. C'est là que la conversation commerciale d'origine est conservée.

Étape 6 — Les crédits#

1. Si rien n'explique encore le montant, vérifiez les crédits achetés et consommés par le locataire.
2. Un achat de crédits supplémentaires apparaît sur la facture et surprend souvent le client, qui l'a autorisé sans le noter.

Étape 7 — Répondre#

1. Rédigez une réponse documentée : la cause, la preuve (référence du journal d'audit, entrée de surcharge, ligne de facture), et la correction s'il y a lieu.
2. Si une correction financière est due, passez par le processus de note de crédit — n'éditez jamais une facture émise.

Comment vérifier que ça a marché :

• La cause identifiée doit expliquer le montant exact, au dollar près. Une explication qui laisse un écart résiduel n'est pas la bonne explication.
• La correction doit apparaître dans le journal d'audit avec son acteur et sa date.
• Le client doit confirmer la réception de la réponse. Une enquête close sans réponse du client n'est pas close.

4.6 Révoquer une clef d'API#

Rôles habilités : propriétaire, administrateur de plateforme.

1. Ouvrez l'écran des clefs d'API.
2. Repérez la clef, et lisez avant de toucher à quoi que ce soit :
   • les requêtes sur 30 jours ;
   • la dernière utilisation ;
   • les portées attribuées.
3. Décidez du mode de révocation :
   • Clef dormante (aucune requête sur 30 jours, dernière utilisation ancienne) : révoquez immédiatement.
   • Clef active : prévenez le locataire, fixez une date de coupure, puis révoquez. Une révocation sans préavis casse une intégration en production.
   • Clef compromise : régénérez plutôt que de révoquer. La régénération remplace le secret sans supprimer l'intégration ; le système externe reste déclaré et il suffit d'y installer la nouvelle valeur.
4. Confirmez la révocation.

Le point à connaître sur les secrets : une clef n'est affichée qu'une seule fois, à sa création, dans le presse-papier. Elle n'est plus jamais réaffichée. Si le locataire l'a perdue, la seule voie est la régénération.

Comment vérifier que ça a marché :

1. La clef affiche l'état révoquée dans la liste.
2. Ouvrez le journal d'audit : la révocation doit y figurer avec son acteur et sa date.
3. Faites tenter un appel avec l'ancienne clef. Il doit être refusé. Une clef marquée révoquée qui fonctionne encore n'est pas révoquée — c'est le test qui compte, pas l'étiquette.

4.7 Approuver une entrée du registre d'intelligence artificielle#

Rôle habilité : l'approbation est réservée à l'administrateur de plateforme. Ce n'est pas une convention : une contrainte en base lie l'activation à l'état de revue, et une tentative d'activer une entrée non approuvée est rejetée par la base de données — pas par une couche applicative contournable.

1. Ouvrez le registre à portées, puis l'onglet correspondant : compétences, invites ou outils.
2. Ouvrez l'entrée à examiner.
3. Lisez quatre champs, dans cet ordre :
   • l'origine — interne, partenaire, importé d'Internet, communauté ;
   • l'auteur ;
   • la licence ;
   • l'empreinte du contenu et sa date de création.
4. Lisez le contenu en entier. Une compétence est du code exécutable ; une invite est une instruction qui gouverne un agent. Ni l'un ni l'autre ne s'approuve au titre.
5. Si l'origine est « importé d'Internet », appliquez la curation : lecture intégrale de la source, jamais d'installation directe. La curation menée le 9 août 2026 a évalué 34 compétences externes : 20 retenues, 14 écartées avec leur motif conservé et interrogeable. Un taux de rejet de 41 % n'est pas une anomalie : c'est le travail.
6. Passez l'état de revue à approuvé, ou à rejeté avec son motif. Le motif d'un rejet est conservé et interrogeable : écrivez-y ce qui vous a arrêté, pas « non conforme ».
7. Réglez la diffusion (runbook 4.8).
8. Activez.

Ce qui est verrouillé, et pourquoi c'est une bonne nouvelle. Seuls l'état de revue et l'activation sont modifiables. L'identifiant, le type, la portée, le contenu, l'empreinte, l'origine, l'auteur et la licence sont en lecture seule. Une capacité approuvée ne peut donc pas être modifiée silencieusement après coup.

Comment vérifier que ça a marché :

1. L'entrée affiche l'état approuvé, avec revu par qui et revu quand. L'approbation est nominative.
2. L'entrée est active.
3. Vérifiez l'empreinte. Elle doit être identique à celle que vous avez lue à l'étape 3. Une empreinte différente signale que le contenu a changé entre votre lecture et votre approbation — n'approuvez pas.
4. Faites exécuter la capacité par un compte de la portée choisie. Elle doit fonctionner. Faites-la tenter par un compte hors portée : elle ne doit pas apparaître.

4.8 Régler la diffusion d'une capacité#

1. Ouvrez l'entrée du registre, section de diffusion.
2. Choisissez la portée :
   • tout le monde ;
   • un public — clients, ou affaires ;
   • certains clients, désignés par identifiant ;
   • certains membres, désignés par identifiant.
3. Renseignez les listes accordé et refusé.
4. Saisissez le motif de changement de portée — il est obligatoire.
5. Enregistrez.

La bonne pratique de déploiement. Ne passez jamais directement de « brouillon » à « tout le monde ». Ouvrez d'abord à quelques locataires nommés, observez l'activité et les violations de garde-fous pendant une période convenue, puis élargissez.

Comment vérifier que ça a marché :

1. Faites ouvrir la surface concernée par un compte inclus dans la portée : la capacité doit y être.
2. Faites-la ouvrir par un compte exclu : la capacité ne doit pas y être.
3. Relisez le motif enregistré : il doit expliquer pourquoi cette portée, pas répéter la portée.

4.9 Émettre un ordre de gouvernance à un agent#

Rôles habilités : propriétaire, administrateur de plateforme.

1. Ouvrez la gouvernance des agents.
2. Repérez la tâche concernée. Lisez : l'acteur (humain, agent, système, ou indéterminé), le mandant, le niveau d'autonomie, le coût en crédits consommés, et le marqueur de rejeu.
3. Lisez les bornes effectives de la portée : plafond de crédits, plafond de secondes, plafond d'actes.
   • « Aucune borne » n'est pas « borne à zéro ». Un agent sans borne n'est pas un agent arrêté : c'est un agent sans plafond.
4. Choisissez l'ordre : pause, interruption, arrêt, ou reprise.
5. Saisissez le motif — il est obligatoire et conservé dans la piste d'audit.
6. Émettez l'ordre.

Comment vérifier que ça a marché — et c'est ici que le portail vous demande d'être rigoureux :

1. L'ordre apparaît dans le tableau, avec son motif et son émetteur.
2. Lisez la colonne « effet constaté par rapport au demandé ». Elle peut afficher « non prouvé ». Cela veut dire exactement ce que ça dit : l'ordre est parti, rien ne prouve qu'il a été exécuté.
3. Mesurez indépendamment. Ouvrez l'écran d'activité et vérifiez que la tâche a cessé de consommer des crédits. Un agent arrêté ne consomme plus. Un agent qui consomme encore n'est pas arrêté, quel que soit l'état affiché de l'ordre.
4. Si la consommation continue après un ordre d'arrêt, escaladez : vous êtes devant une limite reconnue de la gouvernance, pas devant une erreur de manipulation.

4.10 Traiter une demande d'accès aux données dans le délai de 30 jours#

Rôle habilité : conformité, propriétaire.

Jour 0 — Réception#

1. Ouvrez l'écran de protection des renseignements personnels, section des demandes.
2. La demande porte un numéro de référence et une échéance calculée à plus 30 jours. Le délai légal est rappelé sur l'écran ; vous n'avez pas à le calculer.
3. Lisez le type parmi les six : accès, rectification, effacement, portabilité, opposition, limitation.
4. Actualisez la liste et faites passer la demande de « en attente » à « en traitement ». Une demande laissée en attente n'est pas une demande non urgente : c'est une demande dont l'horloge tourne quand même.

Jours 1 à 5 — Vérification d'identité#

1. Vérifiez la pièce justificative jointe.
2. Si elle est insuffisante, demandez un complément par écrit et notez la date de la demande. Le délai ne s'arrête pas ; il se documente.

Jours 5 à 20 — Rassemblement#

1. Consultez le registre des catégories de données : sept catégories — identification, contact, financières, fiscales, audit, facturation, navigation — chacune avec ses exemples, sa base légale et sa durée de conservation.
2. Rassemblez les données de chaque catégorie concernée.
3. Si la demande est un effacement, vérifiez d'abord les catégories bloquées : les données financières, fiscales et les papiers de travail d'audit portent la mention « conservation obligatoire » et ne sont pas supprimables. Les durées sont : fiscales 7 ans, audit 5 ans, facturation 7 ans, consentements 2 ans.
4. Un effacement qui satisferait la demande en supprimant une donnée à conservation obligatoire créerait une infraction. Refusez la partie concernée, en citant la durée et la base légale.

Jours 20 à 28 — Réponse#

1. Produisez le fichier de réponse.
2. Transmettez-le par voie sécurisée.
3. Passez la demande à l'état traité.

Avant le jour 30 — Contrôle#

1. Vérifiez qu'aucune demande de la période n'est encore en attente ou en traitement.
2. Les colonnes de suivi vous donnent : numéro, type, demandeur, date, échéance calculée, statut. Triez par échéance.

Comment vérifier que ça a marché :

• La demande porte l'état traité, avant son échéance.
• Le demandeur a confirmé la réception du fichier, et le fichier s'ouvre. Une réponse envoyée n'est pas une réponse reçue.
• Le journal d'audit porte la trace du traitement, avec son acteur.

Attention — porte peinte connue. Sur l'écran d'administration de la vie privée, le bouton « Exporter le rapport » ne produit aucun fichier : il affiche seulement une notification « Export en cours ». Ne fondez aucune réponse à une demande d'accès sur ce bouton. Les autres exports du portail — journal d'audit, tableau de conformité, journal d'activité, audit des surcharges — téléchargent bien un fichier réel : utilisez ceux-là. Voir le chapitre 6.

4.11 Répondre à une violation de garde-fou#

Rôles habilités : conformité, propriétaire, administrateur de plateforme.

Étape 1 — Qualifier#

1. Ouvrez l'écran des violations.
2. Lisez, pour la violation concernée : date, action (bloqué ou masqué), règle déclenchée, motif, extrait d'invite, utilisateur, portail d'origine.
3. Lisez le bandeau de couverture avant de compter quoi que ce soit : vous regardez les lignes chargées, pas le total annoncé par le serveur.

Étape 2 — Distinguer trois cas#

Étape 3 — Tester avant de modifier#

1. Ouvrez la politique et dépliez ses règles. Lisez par règle : priorité, condition, action.
2. Saisissez un texte d'essai dans le testeur de règle et lisez le verdict.
3. Faites-le sur au moins trois textes : un qui doit être bloqué, un qui ne doit pas l'être, et le texte réel de l'incident.

Étape 4 — Corriger avec une portée limitée#

1. Modifiez la règle.
2. Appliquez d'abord à un seul locataire, pas globalement. Une politique de garde-fou globale mal réglée bloque du trafic légitime sur toute la plateforme.
3. Observez pendant une période convenue.
4. Élargissez.

Comment vérifier que ça a marché :

1. Retestez le texte de l'incident dans le testeur : le verdict doit avoir changé.
2. Retestez les deux textes témoins : leurs verdicts ne doivent pas avoir changé. Une correction qui change les trois verdicts est trop large.
3. Surveillez l'écran des violations sur la période suivante : le motif corrigé ne doit plus apparaître, et aucun nouveau motif ne doit apparaître à sa place.
4. Lisez à nouveau le bandeau de couverture avant de conclure à une baisse : une baisse du nombre de lignes chargées n'est pas une baisse du nombre de violations.

5. Runbook d'incident : écart de catalogue#

Cas réel du 17 août 2026. Version de catalogue 2026-08-12.1. 57 modules, 10 forfaits, 5 ensembles. Cohérence : fausse. Écart unique : forfait Gratuit, crédits d'intelligence artificielle mensuels — 10 servis, 23 en base.

5.1 Pourquoi ce runbook existe séparément#

Parce que l'écart de catalogue est la seule classe d'incident de ce portail qui facture des clients pendant qu'elle dure, et parce qu'elle a déjà été mal traitée.

L'histoire tient en deux temps :

Premier temps. La page de prix portait sa propre copie manuscrite de la grille tarifaire. Résultat mesuré : un forfait affiché à un prix pendant que la facturation en pratiquait un autre, sensiblement plus élevé ; et un palier vendu comme incluant des modules professionnels alors qu'il n'en accordait aucun. Deux clients l'ont payé. Le catalogue unifié et son contrôle de cohérence sont nés de cette erreur.

Second temps, plus instructif. Le contrôle de cohérence, dans sa première version, ne comparait que les prix. Les quotas — sièges, stockage, nombre de clients — n'étaient pas semés en mise à jour, donc pouvaient diverger indéfiniment. Et ce contrôle-là, en ne les regardant pas, certifiait « cohérent » une base qui ne l'était pas. Mesure du 7 août 2026 : un forfait portait 10 sièges au catalogue et 3 en base, sur les trois environnements, avec un contrôle affichant « cohérent ».

Un contrôle qui regarde à côté est pire qu'aucun contrôle : il rassure.

5.2 Détecter#

Ce que vous surveillez :

1. L'indicateur de cohérence de l'écran de catalogue, lu à chaque revue quotidienne, pas seulement après une publication.
2. Le nombre d'écarts et leur liste, renvoyés dans la réponse plutôt que cachés.
3. Les champs comparés : prix mensuel, prix annuel, nombre de sièges, stockage, nombre de clients, crédits d'intelligence artificielle mensuels.

Le signal qui doit déclencher ce runbook : l'indicateur de cohérence est faux, ou un écart est listé.

Un signal indirect à ne pas manquer : deux comptes du même forfait qui rapportent des limites différentes. C'est exactement le symptôme d'un écart de catalogue vu depuis le client.

5.3 Qualifier#

1. Notez, pour chaque écart : le forfait concerné, le champ concerné, la valeur servie, la valeur en base.
2. Classez l'écart par gravité :

1. Le cas du 17 août 2026 est critique. Le forfait Gratuit portait 10 crédits servis contre 23 en base : un écart de plus du double sur la ressource la plus coûteuse du produit. Un compte gratuit recevait 10 ou 23 crédits selon la couche interrogée.

1. Mesurez l'exposition : combien de comptes sont sur le forfait concerné, et depuis quand l'écart existe. L'audit vous donne la date de la dernière modification du catalogue.

5.4 Décider laquelle des deux valeurs fait foi#

C'est la seule étape qui demande un jugement. Les autres sont mécaniques.

L'écran de catalogue désigne le catalogue servi comme faisant autorité, plutôt que de présenter la base comme la vérité. C'est le bon défaut technique — mais ce n'est pas une décision commerciale.

Posez les quatre questions dans cet ordre :

Question 1 — Qu'est-ce qui a été promis au client ? Ce que la page de prix publique affichait, ce que les conditions de souscription mentionnaient, ce que les supports commerciaux annonçaient. Si les deux valeurs divergent et que l'une correspond à une promesse écrite, c'est celle-là qui fait foi. Vous ne pouvez pas retirer ce que vous avez vendu.

Question 2 — Qu'est-ce qui a été effectivement servi ? Ouvrez un compte réel sur le forfait concerné et lisez son écran d'utilisation. La limite qu'il voit est la limite qu'il a vécue. Si un compte gratuit a consommé 23 crédits, il a été servi à 23, quoi qu'en dise le catalogue.

Question 3 — Laquelle des deux valeurs est soutenable ? Un écart sur une ressource coûteuse a un coût d'exploitation. 23 crédits par compte gratuit contre 10, sur une base de comptes gratuits, n'est pas la même facture d'inférence. Cette question ne tranche jamais seule, mais elle doit être posée.

Question 4 — Qui décide ? Le champ concerné détermine le rôle habilité :

Pour le cas du 17 août 2026, la décision est la suivante : la valeur servie de 10 crédits est celle qui figure dans les supports de lancement et dans la grille publiée. C'est elle qui fait foi. La base doit être réalignée à 10, et non l'inverse. Le raisonnement, pour mémoire : le forfait Gratuit est un forfait d'acquisition ; sa promesse publique porte 10 crédits ; aucun compte n'a souscrit sur la foi de 23.

Documentez la décision et son motif avant de corriger. Une correction sans décision écrite se rejoue à l'identique six mois plus tard.

5.5 Corriger#

1. Modifiez la source unique — jamais la base directement, jamais une page.
2. Produisez une nouvelle version de catalogue.
3. Semez la base.
4. Relisez le contrôle de cohérence.
5. Si l'écart persiste, ne recommencez pas mécaniquement. Un écart qui survit à un nouvel ensemencement signale que le champ n'est pas semé en mise à jour — c'est exactement le défaut de second ordre du 7 août 2026. Vérifiez la couverture du mécanisme d'ensemencement avant de recommencer.

5.6 Vérifier#

Six vérifications, dans cet ordre. N'en sautez aucune : chacune couvre ce que la précédente ne voit pas.

1. L'indicateur de cohérence est au vert. Nécessaire, pas suffisant.
2. Les trois familles de champs sont vérifiées séparément — prix, quotas, crédits — forfait par forfait. C'est ce que la première version du contrôle ne faisait pas.
3. La page de prix publique affiche la bonne valeur, relevée en navigation privée.
4. Un compte réel du forfait concerné voit la bonne limite sur son écran d'utilisation.
5. Une action réelle est refusée au bon seuil. Faites consommer les crédits d'un compte d'essai jusqu'au plafond : le refus doit tomber à 10, pas à 23. C'est la seule vérification qui prouve le comportement plutôt que l'affichage.
6. Les comptes existants n'ont pas été dégradés sans préavis. Un compte qui recevait 23 crédits et n'en reçoit plus que 10 doit être identifié et traité commercialement, pas découvert par le client.

Comment vérifier que ça a marché : les six points ci-dessus sont satisfaits, et vous pouvez nommer, pour chacun, la mesure que vous avez faite et la valeur que vous avez lue. Un runbook d'écart de catalogue clos sans les six mesures n'est pas clos.

5.7 Après l'incident#

1. Inscrivez au registre des incidents : la date de détection, la date d'apparition, le champ, les deux valeurs, la décision et son motif, la correction, les six vérifications.
2. Vérifiez que le contrôle de cohérence couvre désormais le champ qui a divergé. S'il ne le couvrait pas, l'incident se reproduira sans signal.
3. Énoncez explicitement, dans la documentation du contrôle, ce qu'il couvre et ce qu'il ne couvre pas. C'est la règle de la maison depuis le 7 août 2026.

6. Les limites connues à ne pas confondre avec des protections#

Ce chapitre est le plus important du guide pour votre sécurité opérationnelle. Chaque ligne décrit une chose qui a l'apparence d'une protection et n'en est pas une. Le portail les annonce ; encore faut-il les lire.

6.1 Garde-fous : ce qui est enregistrable mais non appliqué#

Ce que vous devez en faire :

1. Ne créez pas de règle de sentiment ou de toxicité en croyant protéger quoi que ce soit. L'écran porte l'avertissement ; il ne devrait pas permettre la création, mais il la permet aujourd'hui.
2. Pour bloquer réellement, utilisez les types qui sont appliqués : expression régulière, mot-clé, renseignements personnels, personnalisé — avec l'action bloquer ou masquer.
3. Si l'on vous demande « le filtrage de toxicité est-il actif ? », la réponse est non. Pas « une règle existe ».

Comment vérifier : soumettez au testeur de règle un texte manifestement toxique. Si le verdict n'est pas un blocage, la règle n'applique rien. Le test est la réponse, pas l'existence de la règle.

6.2 Ce qui n'est pas mesuré, et ce que vous ne pouvez donc pas affirmer#

6.3 La porte peinte : un bouton d'export qui n'exporte rien#

Sur l'écran d'administration de la vie privée, le bouton « Exporter le rapport » ne produit aucun fichier. Il affiche une notification « Export en cours » et rien ne se télécharge.

Ce que vous faites en attendant la correction :

1. N'utilisez pas ce bouton pour répondre à une demande d'accès, à un vérificateur ou à un client.
2. Utilisez les exports qui produisent un fichier réel : journal d'audit, tableau de conformité, journal d'activité de la plateforme, audit des surcharges.
3. Si vous avez déjà cliqué et cru avoir exporté, reprenez la production de la pièce.

Comment reconnaître une porte peinte en général : un bouton qui affiche une notification de succès mais dont vous ne pouvez nommer aucun effet observable. La vérification est toujours la même : ouvrez le dossier de téléchargements, ouvrez le fichier, lisez son contenu.

6.4 Ce qui ne se modifie pas depuis ce portail — et c'est délibéré#

Ce que vous devez en retenir. L'écran de politiques de sécurité en lecture seule n'est pas une fonctionnalité manquante : c'est une source unique respectée. Si vous voyez — sur une directive, elle n'est pas définie — ce qui est différent de « définie à zéro ». Si vous voyez le bandeau « Politiques indisponibles », la lecture a échoué — ne concluez pas à une absence de politique.

6.5 Le tableau de bord des écarts connus#

7. Réglages globaux et rayon d'action#

Avant toute modification sur cette liste, posez-vous une seule question : combien de locataires cela touche-t-il ?

7.1 Le réglage le plus discret et le plus dangereux : le seuil de similarité du cache#

Le cache sémantique réutilise une réponse déjà produite quand une nouvelle question lui ressemble assez. Le seuil se règle de 50 à 100 %.

Un seuil trop bas sert une réponse à une question voisine mais différente. En contexte fiscal, « puis-je déduire ce véhicule ? » et « puis-je déduire ce véhicule si je suis salarié ? » sont voisines et n'ont pas la même réponse.

Ce que vous faites :

1. Ne descendez pas le seuil pour économiser sans mesurer d'abord ce que l'économie coûte en justesse.
2. Utilisez les listes d'exclusion : excluez les agents et les modèles qui traitent des cas sensibles.
3. Lisez les mesures du cache : entrées, taille, taux de succès sur 24 heures, succès, échecs, jetons économisés, coût économisé. Elles vous donnent le gain en argent.
4. Si les sept compteurs affichent —, ils ne sont pas mesurés — vous ne pouvez donc pas affirmer que le cache est efficace.

Comment vérifier qu'un réglage de cache a marché : posez deux questions volontairement voisines mais de réponses différentes. Les deux réponses doivent différer. Si elles sont identiques, votre seuil est trop bas.

8. Journalisation : ce qui est tracé, et où le chercher#

8.1 Ce qui est journalisé#

8.2 Les deux propriétés de journalisation qui vous serviront le plus#

Le refus est journalisé au même titre que le succès. Sur l'usurpation d'identité encadrée, une tentative refusée — par exemple sur un compte d'administration de plateforme, marqué « Refusé » — laisse une entrée. Un journal qui n'enregistre que les réussites ne permet pas de détecter une tentative répétée.

La recherche est servie par le serveur, pas par la page. Elle porte sur la totalité du journal. C'est ce qui vous permet de retrouver un événement vieux de plusieurs semaines sans pagination manuelle. Les compteurs affichés, eux, portent souvent sur la page courante : les écrans le libellent, lisez le libellé.

8.3 Produire une pièce pour un tiers#

1. Filtrez côté serveur — jamais à l'œil sur la page.
2. Exportez. L'export parcourt les pages serveur.
3. Notez le plafond. L'export du journal d'activité est plafonné à 5 000 lignes, et le plafond est annoncé plutôt qu'appliqué en silence. Si votre période dépasse ce volume, découpez-la en plusieurs exports.
4. Vérifiez le fichier produit : ouvrez-le, comptez les lignes, comparez la première et la dernière date à la période demandée.

Comment vérifier que ça a marché : le fichier s'ouvre, il couvre la période demandée d'un bout à l'autre, et son nombre de lignes est inférieur au plafond. Un export exactement au plafond est un export tronqué : refaites-le en découpant.

9. Foire aux questions#

1. Je suis administrateur de plateforme. Puis-je changer un prix ? Vous avez le niveau écriture sur le catalogue des forfaits, donc techniquement oui. Mais la décision tarifaire appartient au rôle finance, qui porte le niveau administration. Sur la comparaison des forfaits et sur la publication chez le facturier, vous n'avez que la lecture.

2. Combien de rôles n'ont aucun accès à la grille tarifaire ? Trois sur six : soutien, exploitation technique, conformité. Ni dans la navigation, ni par adresse forgée.

3. Un compte porte à la fois « finance » et « soutien ». Que voit-il ? Ce que voit « finance ». La résolution retient un seul sous-rôle, selon l'ordre administrateur, conformité, finance, exploitation technique, soutien — pas l'union.

4. Un compte n'a que le marqueur d'accès au portail, sans sous-rôle. Que voit-il ? Tout. Il est résolu comme propriétaire de plateforme. C'est le sur-privilège le plus fréquent : attribuez toujours un sous-rôle explicite.

5. Un nouvel écran a été livré. Faut-il faire quelque chose ? Oui, systématiquement. Un écran non inscrit dans la matrice retombe sur un défaut ouvert à tous les rôles de plateforme. Inscrivez-le et testez avec un compte de rôle soutien.

6. Pourquoi certains écrans affichent-ils — au lieu de 0 ? Parce qu'un 0 fabriqué est indistinguable d'un 0 mesuré. Un tableau de bord qui affiche « 0 violation » sans avoir pu lire le journal ne rassure pas : il ment.

7. « aucune borne » et « borne à 0 », quelle différence ? « Aucune borne » veut dire qu'aucun plafond n'a été fixé : l'agent n'est pas limité. « Borne à 0 » voudrait dire que l'agent ne peut rien faire. Ce sont deux situations opposées, et l'écran les distingue.

8. J'ai envoyé un ordre d'arrêt à un agent et l'écran dit « non prouvé ». L'ordre est parti et il est journalisé. Rien ne prouve qu'il a été exécuté. Vérifiez sur l'écran d'activité que la tâche a cessé de consommer des crédits : c'est la mesure indépendante.

9. Le contrôle de cohérence est au vert. Puis-je publier ? Pas encore. Vérifiez séparément les prix, les quotas et les crédits, forfait par forfait. La première version de ce contrôle ne regardait que les prix et certifiait « cohérent » une base qui ne l'était pas.

10. Quels champs le contrôle de cohérence compare-t-il ? Prix mensuel, prix annuel, nombre de sièges, stockage, nombre de clients, crédits d'intelligence artificielle mensuels.

11. Le catalogue signale un écart. Laquelle des deux valeurs fait foi ? L'écran désigne le catalogue servi comme faisant autorité. Mais la décision commerciale se prend en répondant à quatre questions : qu'a-t-on promis par écrit, qu'a-t-on effectivement servi, laquelle est soutenable, et quel rôle tranche. Voir 5.4.

12. Quel est l'écart de catalogue actif au 17 août 2026 ? Forfait Gratuit, crédits d'intelligence artificielle mensuels : 10 servis, 23 en base. Écart de plus du double sur la ressource la plus coûteuse du produit. Correction requise avant le lancement du 17 novembre 2026.

13. Pourquoi le catalogue est-il servi sans interroger la base ? Parce qu'une seconde lecture peut diverger de la première. Servir la définition depuis la source qui a semé la base supprime la possibilité même d'un écart entre ce que la page de prix affiche et ce qui a été semé.

14. Un client dit que sa facture est trop élevée. Par où commencer ? Journal d'audit filtré sur le type facturation, recherche serveur sur le locataire. Puis abonnement courant, puis catalogue, puis surcharges, puis crédits achetés. Le runbook 4.5 donne l'ordre exact.

15. Une surcharge de fonctionnalité peut-elle expliquer un montant ? Souvent. Un module accordé hors forfait est facturé. L'audit des surcharges porte la valeur avant, la valeur après, l'acteur et la raison.

16. Pourquoi le motif est-il obligatoire sur une surcharge ? Parce que six mois plus tard, la question ne sera pas « qui a accordé ce module ? » mais « pourquoi ce client y avait-il accès en mars ? ». Le fait sans sa raison ne répond pas.

17. L'audit des surcharges affiche « Point d'entrée d'audit non disponible ». La surcharge a-t-elle échoué ? Non. Le service d'audit ne répond pas. La surcharge peut être parfaitement appliquée. Vérifiez côté locataire.

18. Puis-je réafficher une clef d'API ? Non. Elle n'est affichée qu'une fois, à sa création. La seule voie est la régénération.

19. Faut-il révoquer ou régénérer une clef compromise ? Régénérer. La régénération remplace le secret sans supprimer l'intégration. Révoquer casse l'intégration et oblige à la redéclarer.

20. Comment savoir si une clef peut être révoquée sans préavis ? Lisez les requêtes sur 30 jours et la dernière utilisation. Une clef dormante se révoque immédiatement ; une clef active exige un préavis.

21. Qui peut approuver une entrée du registre d'intelligence artificielle ? L'administrateur de plateforme. Et ce n'est pas qu'une convention : une contrainte en base rejette toute tentative d'activer une entrée non approuvée.

22. Que faire d'une compétence dont l'origine est « importé d'Internet » ? Lecture intégrale de la source, jamais d'installation directe. La curation du 9 août 2026 a écarté 14 compétences sur 34, avec leur motif conservé.

23. Puis-je corriger le contenu d'une compétence déjà approuvée ? Non. Seuls l'état de revue et l'activation sont modifiables. Le contenu, l'empreinte, l'origine, l'auteur et la licence sont en lecture seule — c'est ce qui rend impossible la modification silencieuse d'une capacité en service.

24. Le filtrage de toxicité est-il actif ? Non. Les règles de sentiment et de toxicité sont enregistrables mais non appliquées : aucun évaluateur n'est déployé. Pour bloquer réellement, utilisez expression régulière, mot-clé, renseignements personnels ou personnalisé, avec l'action bloquer ou masquer.

25. Les actions « avertir » et « journaliser » d'une règle de garde-fou fonctionnent-elles ? Non. Elles ne sont pas appliquées par le moteur. Seuls « bloquer » et « masquer » produisent un effet observable.

26. Le bandeau « 200 chargées sur 1 847 annoncées » veut dire que 1 647 lignes ont échoué ? Non. Vous regardez un échantillon. Filtrez côté serveur ou exportez avant de tirer une conclusion globale.

27. Puis-je exporter le rapport de vie privée ? Non. Ce bouton ne produit aucun fichier : il affiche seulement une notification. Utilisez les exports du journal d'audit, du tableau de conformité, du journal d'activité ou de l'audit des surcharges.

28. Combien de temps ai-je pour traiter une demande d'accès aux données ? 30 jours. L'échéance est calculée et affichée sur l'écran de suivi ; vous n'avez pas à la calculer.

29. Un client demande la suppression de ses données fiscales. Puis-je l'accorder ? Non pendant la durée de conservation obligatoire : fiscales 7 ans, audit 5 ans, facturation 7 ans, consentements 2 ans. Satisfaire la demande créerait une infraction. Refusez la partie concernée en citant la durée et la base légale.

30. Puis-je changer la politique de mot de passe depuis ce portail ? Non, et c'est délibéré. L'écran rapporte la politique en vigueur chez le fournisseur d'identité, sans valeur de repli. Deux écrans capables d'écrire la même politique divergeraient.

31. L'écran de politiques de sécurité affiche — sur une directive. Est-elle à zéro ? Non. Elle n'est pas définie. C'est une distinction que l'écran maintient exprès.

32. Pourquoi les tarifs de crédits par modèle ne sont-ils pas modifiables ? Parce qu'ils sont dérivés côté serveur. Seuls les indicateurs d'activation sont enregistrés. C'est la leçon du catalogue appliquée à l'inférence : un tarif jamais saisi ne peut pas diverger du tarif facturé.

33. Le traçage distribué est-il configuré ? Non, et l'écran le dit plutôt que d'afficher un graphique vide. Il renvoie vers les métriques système et le journal d'activité.

34. Peut-on ouvrir une session au nom d'un utilisateur ? Oui, l'usurpation d'identité est encadrée et entièrement journalisée. Les comptes d'administration de plateforme sont marqués « Refusé », et le refus lui-même est journalisé.

35. Combien de lignes un export de journal d'activité peut-il contenir ? 5 000 au maximum, plafond annoncé. Un export exactement au plafond est tronqué : découpez la période.

36. À quelle fréquence l'écran de métriques système se rafraîchit-il ? Toutes les 15 secondes en actualisation automatique, ou à la demande.

37. Quel écart doit être corrigé avant le lancement du 17 novembre 2026 ? Quatre en priorité haute : le bouton d'export inerte de la vie privée, l'écart de catalogue sur le forfait Gratuit, les règles de sentiment et de toxicité non appliquées, et les actions « avertir » et « journaliser » non appliquées.

Kaxentra — dossier de lancement. Document interne, version 1.0 du 17 août 2026. Marque publique : Kaxentra. Éditeur : i2t Digital. Les éléments marqués [HYPOTHÈSE] ne sont pas publiables en l'état. Les personas d'extension communautaire (E01–E08) décrivent des fonctionnalités non livrées.