Données personnelles dans les API KeenAuth

KeenAuth traite les données personnelles de vos utilisateurs finaux pour votre compte, en qualité de sous-traitant. Cette page indique, pour chaque type de données personnelles qu'un point de terminaison peut contenir, ce qui est stocké, pendant combien de temps elles sont conservées et comment elles sont supprimées. Chaque page de point de terminaison qui contient des données personnelles renvoie vers cette page depuis sa section « Données personnelles ».

Ne pas envoyer de catégories particulières de données personnelles

Ne placez pas de catégories particulières de données personnelles (santé, données biométriques, religion, opinions politiques, orientation sexuelle), de données de carte de paiement ni de numéros de pièces d'identité dans aucun champ, et en particulier pas dans user_metadata, app_metadata ni dans les noms. KeenAuth n'inspecte pas le contenu des métadonnées : il ne peut donc pas supprimer ces données à votre place.

Ce que KeenAuth ne stocke pas

• Les données de carte de paiement.
• Les assertions SAML brutes et les jetons ID bruts des fournisseurs d'identité ; seul le résultat mappé est stocké.
• Le contenu des e-mails et des SMS ; seuls le modèle et les noms de ses variables sont conservés.
• La valeur en clair des codes à usage unique et des liens magiques ; seul un condensat est conservé, jusqu'à leur expiration.
• Les données biométriques : les données biométriques des clés d'accès restent sur l'appareil de l'utilisateur.

Conservation et suppression par catégorie

« Supprimé avec l'utilisateur » signifie que les données sont supprimées lorsque l'utilisateur est supprimé (voir Suppression d'un utilisateur).

Profil de l'utilisateur final

Adresses e-mail, numéros de téléphone, nom d'utilisateur, noms, photo, langue, fuseau horaire, external_id et métadonnées. Conservés tant que vous utilisez KeenAuth. Supprimés des données actives dans l'heure suivant une demande de suppression et des sauvegardes dans les 30 jours.

Identifiants

Condensat du mot de passe, secret TOTP, condensats des codes de récupération, ainsi que la clé publique, le compteur de signatures et l'AAGUID d'une clé d'accès. Supprimés immédiatement lorsque la méthode est retirée ou que l'utilisateur est supprimé.

Identités liées

Identifiant (subject), émetteur, connexion, attributs mappés et identifiants de groupe du fournisseur d'identité. Supprimés lorsque l'identité est dissociée ou que l'utilisateur est supprimé.

Sessions

Condensat de l'identifiant de session, adresse IP, agent utilisateur, libellé de l'appareil, pays et réseau (ASN), ainsi que la dernière activité. Supprimés 30 jours après la fin ou la révocation de la session.

Adhésions et invitations aux organisations

Nom et slug de l'organisation, adhésions, attributions de rôles et adresse e-mail de l'invitation. Conservés jusqu'à leur suppression ; une invitation est supprimée 30 jours après avoir été acceptée, refusée ou expirée.

Utilisateurs de l'annuaire (SCIM)

Attributs provisionnés par votre annuaire : externalId, userName, noms, adresses e-mail, active, appartenances aux groupes et attributs supplémentaires que vous mappez. Supprimés lors du déprovisionnement ou lorsque la connexion à l'annuaire est supprimée. Les corps bruts des requêtes SCIM ne sont ni stockés ni journalisés.

Journaux de l'environnement

Identifiant de l'utilisateur, adresse IP complète, agent utilisateur, méthode, résultat et signaux de risque. Une tentative échouée avec un identifiant inconnu enregistre un condensat à clé de l'identifiant, jamais l'adresse e-mail, le numéro de téléphone ou le nom d'utilisateur lui-même. Conservés selon votre forfait : Free 7 jours, Startup 14 jours, Business 30 jours, Enterprise 90 jours (365 jours avec l'option complémentaire).

Événements d'audit

Auteur, action, identifiant de la cible et résumé de la modification, ainsi que les événements que votre application écrit avec POST /v1/audit-events. Conservés 1 an ; les contrats Enterprise peuvent porter cette durée à 7 ans au maximum. Un fichier d'export d'audit est conservé 7 jours.

Événements

La charge utile de l'événement : identifiants et noms des champs modifiés. Les valeurs de données personnelles ne sont incluses que pour les champs que vous choisissez explicitement pour un type d'événement. Conservés 30 jours.

Registres de consentement

Version du document, statut, méthode et date de chaque acceptation ou consentement. Conservés pendant la durée de vie de l'utilisateur plus 3 ans ; pseudonymisés lorsque l'utilisateur est supprimé.

Demandes relatives à la vie privée

Type de demande, statut, échéance et coordonnées du demandeur lorsque celui-ci n'est pas l'utilisateur. Conservées 3 ans après la clôture de la demande.

Utilisateurs du tableau de bord et contacts du compte

Nom, adresse e-mail professionnelle et rôle de vos utilisateurs du tableau de bord et contacts du compte. Conservés pendant toute la durée du compte ; supprimés 30 jours après le retrait d'un utilisateur du tableau de bord.

Suppression d'un utilisateur

• Un utilisateur : DELETE /v1/users/{user_id} renvoie 202 avec un deletion_id. Les données actives sont supprimées dans l'heure ; les sauvegardes sont purgées dans les 30 jours. Une suppression ne peut pas être annulée.
• Plusieurs utilisateurs : POST /v1/jobs/user-deletions supprime jusqu'à 10 000 utilisateurs par tâche, selon le même processus.
• Libre-service : lorsque cette option est activée pour l'environnement, un utilisateur peut demander la suppression de son propre compte. La suppression intervient à l'issue du délai de grâce que vous configurez (0 à 30 jours, 14 par défaut), et l'utilisateur peut l'annuler pendant cette période.

Les sauvegardes ne sont pas modifiées pour supprimer un utilisateur donné ; elles sont chiffrées et expirent au bout de 30 jours.