Versions et signature

Une version dans confformia est un instantané complet et figé du DUERP à un moment T. Chaque version est signée cryptographiquement, ce qui rend toute altération détectable a posteriori.

Quand publier une nouvelle version

5 triggers légaux justifient une nouvelle version :

annual_review

Revue annuelle obligatoire.

new_hire

Embauche d'un salarié dans une unité.

new_equipment

Achat / mise en service de matériel.

accident

Accident du travail nécessitant une réévaluation.

incident_report

Incident déclaré via QR code atelier.

regulatory_change

Évolution réglementaire (nouvelle norme INRS, décret…).

Contenu d'un snapshot

Un snapshot contient l'intégralité de l'état du DUERP au moment de la publication :

• Fiche entreprise (SIRET, effectif, NAF, adresse)
• Toutes les unités de travail et leur composition
• Tous les risques identifiés avec leur cotation et mesures
• Toutes les actions du plan (à venir + terminées à date)
• Métadonnées : trigger, résumé des changements, auteur

Signature SHA-256

Le snapshot JSON est signé SHA-256 au moment de la publication. La signature apparaît sur le PDF et sur l'attestation publique. Toute modification a posteriori du fichier casserait la signature, c'est ce qui rend la version opposable en cas de contentieux, même 25 ans après.

signature = SHA256(canonicalize(snapshot_json))

Durée de conservation

Les versions sont conservées :

• 5 ans minimum pour un DUERP standard (R4121-3)
• 40 ans pour tout DUERP contenant un risque CMR (R4412-59)