Le journal d'audit

Le journal d'audit trace toutes les actions sensibles effectuées sur votre compte Compagnon : création de BSDs, modifications de SIRET, suppressions, exports, invitations, changements de permissions. Il est consultable et exportable, et constitue votre preuve d'activité en cas d'audit interne, externe ou de litige.

Qui voit le journal d'audit

L'accès est restreint au rôle Admin (permission view.audit). Les rôles Operator, Viewer, et techniciens n'ont pas accès. C'est volontaire : le journal contient des informations sur les actions de tous les utilisateurs, et seuls les responsables de gouvernance doivent pouvoir le consulter.

Le périmètre est scopé à vos établissements : vous ne voyez que les événements liés aux SIRETs auxquels vous avez accès. Un Admin sur 2 établissements ne verra pas les actions sur un 3ᵉ établissement même s'il appartient au même tenant.

Étape 1 — Accéder au journal

Depuis Audit dans le menu latéral. La page liste les événements par ordre chronologique inverse (plus récents en haut), avec pagination 50 par page.

Chaque entrée affiche :

• Date/heure (UTC, fuseau navigateur)
• Acteur : utilisateur, technicien, chauffeur, ou système
• Action : code dotté (ex. pickup.create, user.invite, session.close)
• Cible : type + identifiant (ex. pickup:abc123)
• SIRET : tenant concerné
• Métadonnées : payload JSON contextualisé (ancien/nouveau valeur, etc.)
• Request ID : pour rapprochement avec les logs serveur en cas d'incident

Étape 2 — Filtrer

Filtres disponibles en haut de la page :

Filtre	Valeurs
Période	Plage de dates (calendrier ou raccourcis)
Action	Recherche partielle (ex. pickup. pour toutes les actions pickup)
Acteur	UUID utilisateur ou recherche par e-mail

Combinez les filtres pour zoomer sur une investigation précise (ex. "toutes les actions de Jean Dupont entre le 1er et le 15 mars").

Étape 3 — Exporter

Deux formats d'export, capés à 10 000 lignes par requête :

• CSV (/admin/audit/export.csv) — pour Excel, BI, archivage
• JSON (/admin/audit/export.json) — pour intégration SI, retraitement programmatique

L'export respecte les filtres en cours. Pour exporter plus de 10 000 lignes, fragmentez par période (ex. mois par mois) et concaténez côté votre outil.

Actions tracées

Liste non exhaustive — la couverture s'élargit à chaque release :

Domaine	Actions courantes
Pickups	pickup.create, pickup.update, pickup.cancel, pickup.refuse, pickup.complete
Sessions	session.create, session.close, session.reopen, session.entry_added
Sites	site.create, site.update, site.delete
Utilisateurs	user.invite, user.update_permissions, user.deactivate
Techniciens	technician.invite, technician.regenerate_pin, technician.deactivate
Facturation	billing.add_member, billing.transfer_owner, billing.plan_change
Exports	audit.export_csv, report.generate_pdf, reports.export_pickups_csv
Authentification	auth.login_success, auth.logout, auth.token_refresh_failed

Conformité 5 ans

L'article R.541-43 impose 5 ans de rétention sur les registres déchets. Compagnon conserve le journal d'audit 5 ans minimum (politique alignée). Les entrées sont immuables côté application : il n'existe aucun bouton ni endpoint pour modifier ou supprimer une entrée individuelle.

Pour un audit DREAL ou audit qualité interne (ISO 14001, MASE), exportez le journal sur la période demandée et joignez-le aux registres CSV : vous montrez à la fois ce qui s'est passé (registres) et qui a fait quoi (audit).

Cas d'usage

Litige sur un BSD — un transporteur conteste avoir refusé une demande. Filtrez sur l'action pickup.refuse et l'identifiant du pickup : vous avez l'horodatage exact, le motif, et l'acteur.

Investigation de sécurité — un compte utilisateur semble compromis. Filtrez par actorUserId sur les 30 derniers jours, repérez les actions inhabituelles (auth.token_refresh_failed, user.update_permissions non prévue).

Demande RGPD article 15 — un employé demande copie de "tout ce qu'on sait sur lui". Exportez en JSON filtré sur son actorUserId, transmettez-lui le fichier.

Bonnes pratiques

• Ne donnez le rôle Admin qu'aux responsables de la gouvernance — pas par confort
• Activez le SSO SAML (plan Business+) pour rapprocher facilement les actorUserId Compagnon avec votre annuaire d'entreprise
• Exportez périodiquement (chaque trimestre) et archivez dans votre coffre — assurance vie en cas d'incident SaaS

Et après ?

• Exporter mon registre DREAL
• Hébergement et conformité RGPD
• Engagements opérationnels et incidents

Vous êtes bloqué ? Écrivez-nous à support@trdc.cloud — engagement Standard : réponse sous 4h ouvrées (lun-ven 9h-18h CET). Enterprise : sous 1h ouvrées (8h-20h CET).