Une checklist RGPD pour la couche d’authentification

L’authentification est, discrètement, l’une des parties d’un produit les plus voraces en données. Adresses e-mail, adresses IP, chaînes d’identification de l’appareil et du navigateur, horodatages, localisation approximative : tout cela est collecté par défaut, tout cela constitue des données personnelles, et la plupart est conservée indéfiniment parce que personne n’a choisi de durée de conservation.

Les obligations que l’on oublie

• La suppression doit atteindre le système d’authentification, pas seulement la base de données de votre application.
• L’export couvre tout ce que vous détenez sur la personne, y compris l’historique de connexion.
• Les journaux d’IP et d’appareil lors de la connexion ont besoin d’une durée de conservation que vous pouvez justifier comme proportionnée.
• Si votre fournisseur d’authentification traite des données pour votre compte, vous avez besoin d’un accord de traitement avec lui.
• Le lieu de stockage des données compte, et vos clients finiront par le demander.

“La question embarrassante lors d’un audit est rarement « est-ce que vous chiffrez ? ». C’est plutôt « pourquoi les conservez-vous encore ? ».”

Alt Auth prend en charge la suppression logique, l’export CSV des données utilisateur et une analytique configurable, afin que vous n’accumuliez pas de détails dont vous n’avez aucun usage. La suppression se propage à travers la couche d’authentification au lieu de laisser des enregistrements orphelins.