Stockage et suppression des données utilisateur

1) Pourquoi une politique de stockage et de suppression est nécessaire

L'objectif est de ne stocker que les données nécessaires, exactement autant que nécessaire, et de les supprimer en toute sécurité à la fin des objectifs de traitement. Cela réduit les risques juridiques, la surface d'attaque, les coûts d'infrastructure et facilite l'audit (licences, partenaires PSP, régulateurs).

• Lien avec le but/fondement (contrat, loi, intérêt légitime, consentement).
• Minimisation et ségrégation (PII ↔ pseudonymes ↔ anonyme).
• Délais prévisibles et procédures d'élimination prouvées.
• Contrôle continu (logs, rapports, métriques).

2) Zones de données et supports architecturaux

Zone A - PII/sensibles : KYC, jetons de paiement, biométrie (si possible). Cryptage at-rest, rigoureux RBAC/ABAC, accès JIT.
Zone B - Pseudonymes : jetons stables pour l'analyse/ML ; interdiction de l'identification directe.
Zone C - Agrégats anonymes : rapports/études ; une longue durée de conservation est autorisée.

• Data Catalogue/RoPA (registre des opérations), Retentation Service (règles), Deletion Orchestrator (suppression de bout en bout), WORM archive (audit/incidents).

3) Matrice de rétention : Comment composer

1. Comparez les objectifs du traitement ↔ les fondements juridiques ↔ les catégories de données ↔ les délais.

2. Décrivez les déclencheurs du début du compte de référence (événements : création d'une comptabilité, dernière connexion, clôture du compte, fin du contrat, transaction finale).

3. Fixez la méthode à la fin : suppression, anonymisation, blocage (quand vous avez besoin de « frise »).

4. Indiquer le propriétaire et les exceptions (AML/taxes/litiges/fraude).

4) Politique de stockage (squelette)

1. Portée, rôles (propriétaire des données, DPO, Sécurité, Opérations).
2. Définitions (catégories de DP, zones, archives, backup, anonymisation/pseudonymisation).
3. Lier les données aux objectifs/bases et aux délais (référence à la matrice de rétention).
4. Gestion des exceptions (« hold » juridique, enquêtes, enquêtes réglementaires).
5. Contrôles d'accès, cryptage, audit de déchargement.
6. Procédure de révision (trimestrielle/en cas de changement des objectifs/fournisseurs).

5) Pipline suppression et anonymisation

• Mark-for-Deletion : marquage des entrées et des dépendances ; vérification des « collines ».
• Grace Period : tampon (par exemple, 7-30 jours) à annuler par erreur.
• Soft Delete : masquage logique des services prod ; arrêt des envois/traitements.
• Hard Delete/Anonymize : nettoyage physique/anonymisation irréversible dans le stockage primaire.
• Cascade & Fan-out : cascade en dérivés (caches, index de recherche, fiche store, DWH, calques ML).
• Backups : Nettoyage différé par stratégie de backups (voir ci-dessous).
• Evidence : acte de suppression (ID, classificateur, temps, systèmes), journal dans WORM.

• Supprimer par clé le sujet avec une trace de ligne.
• Tâches idempotentes, retraits, déduplication des commandes.
• SLA : la plupart des suppressions sont effectuées à ≤30 jours de la demande (le cas échéant).
• Contrôle des champs « échouables » : remplacer par des tokens/un masque.

6) Backups et répliques : Que faire avec les copies

Les backaps immutables (ransomware-résilience) sont stockés selon une politique distincte ; l'édition directe est interdite.
Le retrait du sujet des backups est effectué après l'expiration du backup et l'interdiction des restaurations dans l'environnement de combat si cela conduit à la ré-identification.
Documenter : fenêtre de stockage des backups (par exemple, 30/60/90 jours), scripts de restauration et processus de « sanitization » lors de la restauration (post-scripts pour supprimer à nouveau les enregistrements marqués).

7) Exceptions et « hold-up juridique »

• Apposez un Legal Hold indiquant le motif, le délai et le propriétaire.
• Bloquer l'accès aux données à d'autres fins que celles spécifiées.
• Examiner périodiquement les collines et enlever dès que la base tombe.

8) Documentation et artefacts

Matrice de rétention (versionable).
Procédure de suppression (SOP) : étapes, rôles, SLA, escalade.
Deletion Evidence Log (WORM) : qui/quoi/quand/résultat.
Backups Policy : délais, classe de stockage, tests de restauration.
Data Lineage Map : des tables primaires aux couches dérivées.
Exceptions/Legal Holds Register.

9) Métriques et contrôle de qualité

Retentation Adherence :% des entrées supprimées à l'horaire.
Deletion SLA : médiane/95e percentile depuis la requête/déclencheur.
Cascade Completion Rate : proportion des systèmes où la suppression est terminée.
Backups Window Compliance : proportion de backups supprimés à terme.
Violations d'accès/exportation : lectures/décharges non autorisées.
DSR SLA (le cas échéant) : réponses ≤ délais prescrits.
Taux d'incident : nombre d'échecs de suppression/dissynchronisation.

10) Chèques-feuilles (opérations)

Avant le lancement des fiches

• Objectif/base du traitement et zone de stockage définis (A/B/C).
• Une chaîne a été ajoutée à la matrice de rétention (terme, déclencheur, méthode).
• Configuré par Deletion Orchestrator (clés, cascades, idempotency).
• Audit activé (WORM logs), mis à jour par RoPA.

Journalier/hebdomadaire

• Le planificateur de tâches de suppression a travaillé sans erreurs.
• Nouveaux Legal Holds enregistrés, arriérés - retirés.
• Les rapports de backaps (création/expiration) ont été vérifiés.

Trimestriel

• Revoyez la matrice de rétention et les exceptions.
• Test de récupération à partir du backap + « sanitization » des scripts.
• Rapprochement des mesures (SLA, Cascade, Violences), plan d'amélioration.

11) Erreurs fréquentes et comment les éviter

Stockage « sur la réserve » → fixation rigide aux cibles ; TTL automatique par catégorie.
Pas de cascade → les données restent dans les caches/index/fiche store ; introduire un orchestrateur universel.
Dev/Stage avec prod-PD → utiliser des kits synthétiques/masquage ; vidage automatique.
Les backaps en dehors de la stratégie → identifier les fenêtres, l'interdiction des restaurations non autorisées, les tests de « sanitization ».
Absence de preuves → journal WORM, actes de suppression, rapports réguliers.
Mélange de motifs → séparation marketing/sécurité/contrat ; ne tirez pas les délais « au cas où ».

12) Exemple de suppression personnalisée (script de bout en bout)

1. L'utilisateur ferme son compte ou demande la suppression de DSR.
2. Vérification des exceptions (AML, litiges) → si disponible - Legal Hold avec limitation des objectifs.
3. S'il n'y a pas de colle : Mark-for-Deletion → Grace 14 jours → Soft Delete.
4. Hard Delete/Anonymize dans la couche transactionnelle, puis cascade dans les caches, index, DWH, ML-fiche-store.
5. Logging dans Evidence Log, mise à jour du statut dans le profil/courrier.
6. Nettoyer les backups après l'expiration de la fenêtre de stockage.

13) Rôles et responsabilités (RACI)

Data Owner/Domain Lead - échéances et objectifs ; mise à jour de la matrice de rétention.
DPO/Privacy - conformité au droit, consultation sur les exceptions.
Sécurité/CISO - cryptage, accès, audit, backup/récupération.
Data Engineering — Deletion Orchestrator, lineage, каскады.
Support/Opérations - Communications DSR, statut et SLA.
Legal - holds juridiques, interaction avec les régulateurs/tribunaux.

14) Modèles pour votre wiki

Retention-Matrix. xlsx/MD (catégorie → but → base → durée → méthode).
Deletion-SOP. md (règlement étape par étape avec escalade).
Backups-Policy. md (fenêtres, classes de stockage, plan de test de récupération).
Legal-Holds-Register. md (formes de mise en scène/retrait).
Data-Lineage-Diagramme (liens des tables vers les dérivés).
Monthly-Privacy-Ops-Report. md (métriques, incidents, améliorations).

15) Feuille de route pour la mise en œuvre (6 étapes)

1. Inventaire : carte de données/flux, comparaison des objectifs et des motifs.
2. Matrice de rappel : brouillon des délais + propriétaires ; alignement avec le Legal/DPO.
3. Orchestrateur de suppressions : clés, cascades, assainissement backap, logs WORM.
4. Politiques/procédures : Politique de rétention, Deletion SOP, Backups Policy, Legal Hold.
5. Automatisation et surveillance : horaires, alertes, métriques de dashboard.
6. Audits et formations : révisions trimestrielles, tamplates d'actes, séances d'entraînement à la récupération.

Total

Le stockage et la suppression efficaces des données sont une boucle gérée : objectif → durée → contrôle → suppression/anonymisation sécurisée → prouvable. La ségrégation des zones, la matrice de rétention, l'élimination en cascade (y compris les backups), les exceptions compréhensibles et les métriques transforment la vie privée et la conformité en un avantage concurrentiel - sans perte pour la vitesse du produit et la qualité UX.