Cartographie des flux de données

L'essentiel

• Toutes les données de la Box résident sur la machine ou sur un support de sauvegarde contrôlé par le cabinet. Le seul flux sortant prévu est la télémaintenance, chiffrée et à l'initiative du cabinet.
• Huit familles de données coexistent : documents sources, données d'ingestion, index vectoriel, requêtes, réponses et conversations, fichiers joints, journaux, sauvegardes. Chacune a un lieu, un chiffrement, des accédants et une durée de conservation propres.
• L'index vectoriel et les journaux sont des copies dérivées des documents et des conversations : ils contiennent des données personnelles et couvertes par le secret professionnel au même titre que les originaux.
• Cette cartographie alimente directement le registre des traitements, l'éventuelle AIPD (voir RGPD) et le modèle de menaces.
• Les durées de conservation indiquées sont des propositions à valider avec le client et son conseil.

Vue d'ensemble

Tableau des flux

Cycle de vie d'un document

Points sensibles :

• Cohérence des droits : entre la modification des ACL sur le partage et la mise à jour de l'index, il existe un délai pendant lequel l'index reflète les anciens droits. Ce délai doit être court (minutes) et documenté ; c'est un point du modèle de menaces.
• Suppression effective : supprimer un document du partage doit entraîner la suppression de ses passages dans l'index, de ses éventuelles copies de travail et, à terme, de ses occurrences dans les sauvegardes (par expiration de la rotation). Une suppression immédiate dans les sauvegardes n'est pas réaliste ; il faut le dire au client.
• Fichiers joints : ils court-circuitent le connecteur et ses ACL. Ils ne sont visibles que de leur auteur, sauf partage explicite ; ils doivent néanmoins apparaître dans le registre.

Cycle de vie d'une conversation

1. L'utilisateur pose une question ; elle est enregistrée dans la base applicative avec son identifiant.
2. Le RAG recherche dans l'index, filtré par les groupes de l'utilisateur ; les passages retenus sont journalisés (référence du document et position, pas nécessairement le texte).
3. Le runtime génère la réponse ; question, passages et réponse ne résident en mémoire du runtime que le temps du traitement. Le KV cache peut conserver le contexte de la conversation en mémoire vive entre deux tours, jamais sur disque dans la configuration de référence.
4. La réponse est stockée dans la conversation et affichée avec ses citations.
5. L'utilisateur peut supprimer la conversation ; la suppression est effective dans la base applicative, différée dans les sauvegardes.
6. À l'échéance de conservation, une purge automatique supprime les conversations anciennes.

Chiffrement : synthèse

Utilisation pour le RGPD et le modèle de menaces

• Chaque ligne du tableau des flux correspond à une entrée (ou une partie d'entrée) du registre des traitements : finalité, catégories de données, destinataires, durée, mesures de sécurité. La page RGPD reprend cette structure.
• Le cabinet est responsable de traitement ; le prestataire qui installe et maintient la Box est sous-traitant pour les opérations de télémaintenance et de restauration (art. 28 RGPD). Le contrat doit lister précisément D7, D8, D9 et D10 comme périmètre d'accès.
• Le modèle de menaces reprend les flux D1 à D11 comme surface d'attaque : chaque flux a ses menaces (accès non autorisé à l'index, exfiltration par un compte compromis, injection de prompt via un document, perte de la clé de sauvegarde) et ses mesures.
• La question de l'AIPD (Q-010) se pose précisément parce que D1 et D3 contiennent des données sensibles à grande échelle pour un cabinet : cette cartographie est le point de départ de l'analyse.

• Q-010Une AIPD est-elle obligatoire pour un cabinet qui déploie la Box ?MoyenneOuverte