Export et effacement de compte
Configurer inventaire de confidentialité, exports authentifiés, effacement différé, nettoyage fournisseur, pseudonymisation et annulation.
Synchronisé avec le commit
7d452a6. Faites valider ce flux et sa rétention par un conseil juridique avant production.
Inventaire testé
src/config/account-data-policy.ts attribue à chaque table : supprimer, pseudonymiser, conserver ou non personnel, et indique son inclusion dans l’export. Un test compare cet inventaire à src/db/schema.ts ; une nouvelle table sans décision bloque le build.
Identifiants, hashes, sessions, tokens et secrets TOTP ne sont jamais exportés. Les traces financières, d’audit, de registre et d’espaces partagés peuvent rester après remplacement des identifiants.
Export
POST /api/account/data-export exige authentification, même origine, rate limit et Idempotency-Key. Il renvoie 202 et met le travail en file. Suivez GET /api/account/data-export/{requestUuid}.
Une fois terminé, le résultat contient un manifeste et des liens signés cinq minutes. Les artefacts restent privés et expirent après sept jours par défaut.
Effacement
POST /api/account/deletion exige aussi une session de moins de 15 minutes. Le délai de grâce par défaut est de sept jours ; DELETE annule et GET donne l’état.
La demande est bloquée pour le dernier owner d’une organisation partagée ou le dernier administrateur à plein accès. Après le délai, le worker révoque l’authentification, annule Stripe, supprime les objets personnels, nettoie les données supprimables et pseudonymise finances, réservations, crédits et audits conservés.
src/config/account-lifecycle.ts contrôle délai, rétention, session fraîche, suppression Stripe, blocklist et durée des URLs. Ce sont des choix techniques, pas un avis juridique.
Gardez stockage privé et cron actifs, ajoutez un hook pour chaque nouveau fournisseur, mettez la politique à jour avec chaque table et testez sur un compte jetable. Ne journalisez jamais les exports ou URLs signées.