Confidentialité
Confidentialité
Cette matrice explique qui peut voir les principales données, et à quelle condition.
| Donnée | Marketplace | Espace personnel | Admin |
|---|---|---|---|
| Fiche lot publique | Visible | Visible | Visible |
| Données internes du lot (marge, notes internes, référence vendeur) | Non | Vendeur autorisé (ITEM_ITEM_MANAGE) seulement | Admin autorisé |
| Offres/enchères sur un lot | Le meilleur niveau peut être affiché sans identité; le détail des offres n'est pas public | L'acheteur voit ses propres offres et son statut de meilleur enchérisseur (isBestBidder); il ne voit pas les offres des autres | Admin autorisé voit l'historique complet des offres, avec identité acheteur et organisation |
| Identité des autres acheteurs (nom, organisation, email) | Non | Non: la fiche d'enchère ne restitue jamais l'identité d'un concurrent | Admin autorisé (les objets bid portent l'organisation et l'email du fait de l'enchérisseur) |
| Watchlist | Non publique | Propriétaire uniquement | Support/admin selon besoin |
| Recherche sauvegardée | Non publique | Propriétaire uniquement | Admin selon besoin |
| Document personnel (identité, justificatif) | Non | Personne concernée uniquement | Profil validation/compliance autorisé |
| Document organisation (KBIS, RIB, exonération TVA...) | Non, sauf mention publique explicite | Membres autorisés de l'organisation | Admin autorisé |
| Document facture | Non | Organisation concernée avec droit finance (SALES_INVOICE_MANAGE) | Finance/admin |
| Facture | Non | Organisation concernée avec droit finance | Finance/admin |
| Commentaire/question, réponse | La question et une réponse marquée publique sont visibles | L'auteur voit la question et les réponses publiques la concernant; une réponse non publique (public: false) ne lui est jamais montrée | Admin autorisé voit tout, y compris le motif d'un commentaire ignoré (ignoredReason) |
| Motif de blocage/déblocage/fusion d'une organisation | Non | Non | Admin autorisé uniquement |
| Audit trail | Non | Très limité, généralement absent | Admin autorisé, selon périmètre |
Règles
- Une donnée publique doit être explicitement destinée à être publique: la visibilité par défaut d'une nouvelle donnée est restreinte, pas ouverte.
- Une donnée personnelle (identité, coordonnées, documents justificatifs) n'est jamais affichée par défaut à un tiers; elle exige un droit explicite ou d'en être le propriétaire.
- Une donnée financière (facture, paiement, commission, mouvement bancaire) exige un droit finance ou un profil admin autorisé; le seul fait d'appartenir à l'organisation concernée ne suffit pas si la personne n'a pas le droit associé.
- Une trace d'audit peut contenir des données sensibles (IP, métadonnées de l'action, entités liées) et doit rester réservée à un périmètre admin restreint; elle n'est jamais exposée sur la marketplace ou dans l'espace personnel.
- La confidentialité d'une réponse à un commentaire est portée par un indicateur explicite (
public) au moment de la réponse, pas par le canal utilisé pour répondre: une réponse interne mal marquée publique deviendrait visible de l'auteur de la question. - Le téléchargement d'un document peut être conditionné même quand la personne y a normalement droit: par exemple, tant qu'une facture de vente reste dans un statut non payé côté vendeur, son téléchargement est indisponible pour éviter la diffusion d'un document obsolète (voir La facturation).
- Fusionner ou bloquer une organisation modifie ce que ses utilisateurs peuvent voir; ces actions sont elles-mêmes des données sensibles (motif, commentaire) réservées à l'admin.
Ce qui reste une règle organisationnelle plutôt que technique
Certains principes de confidentialité (par exemple, ce qu'un conseiller support peut consulter temporairement pour traiter un dossier, ou la durée de conservation effective d'une donnée personnelle) relèvent de procédures internes et de politiques RGPD plutôt que d'un mécanisme visible dans le code des frontaux. Ils ne sont pas détaillés ici faute de pouvoir les vérifier précisément dans l'implémentation.
Calcul des droits d'accès
Cette page détaille comment TARS calcule les droits effectifs d'une personne à l'ouverture de sa session. Elle complète Accès et autorisations, qui décrit où les accès sont définis, et Rôles et autorisations, qui décrit les regroupements d'accès.
Procurations et organisations complexes
Comment une organisation agit pour une autre grâce aux procurations, comment les droits se croisent, ce que montre l'espace personnel et qui reçoit les emails, illustré sur une organisation fictive.