# Analyse d'impact relative à la protection des données (AIPD) — VraiDocs

> Document de travail à finaliser et faire valider par le référent protection des
> données, compte tenu de la transition post-HAPDP (loi n°2022-59), avant la mise
> en production (SEC-29).

## 1. Description du traitement
VraiDocs certifie et permet de vérifier l'authenticité de documents (diplômes,
attestations, certificats). Il traite des **données personnelles** de titulaires
(nom, photo, filière, année, mention) et des **justificatifs** d'émetteurs.

- **Finalité** : garantir l'authenticité d'un document et permettre sa vérification par un tiers.
- **Base légale** : consentement du titulaire, recueilli par l'émetteur (attestation obligatoire, EF-10).
- **Personnes concernées** : titulaires des documents ; personnels des émetteurs.
- **Destinataires** : l'émetteur (ses données) ; le public (fiche minimale à la vérification).

## 2. Données et classification (ch.9)
| Donnée | Classification | Protection en place |
|---|---|---|
| Fiche publique (champs minimaux) | Publique | Liste blanche (SEC-15), intégrité Ed25519 |
| Journaux, statistiques | Interne | Accès par rôle, journal sans données superflues (SEC-23) |
| Nom, photo, filière, année, mention | Personnelle | Chiffrement au repos des photos (SEC-14), accès contrôlé, consentement |
| Justificatifs, secrets, mots de passe | Sensible/critique | Disque privé + URL signée (SEC-12), hachage argon2id (SEC-01), clé privée hors base (SEC-11) |

## 3. Minimisation & rétention
- La page publique n'expose qu'une **liste blanche** (SEC-15).
- Les photos sont servies uniquement via **URL signée à durée limitée** (SEC-12).
- **Rétention** : purge automatique (`vraidocs:purger`, SEC-16) — photos des documents
  révoqués au-delà de `RETENTION_JOURS` (défaut 365 j) supprimées ; demandes traitées purgées.
- **Droits des personnes** : accès, rectification, opposition, retrait, suppression via la
  page publique « Exercer mes droits » (EF-13) → révocation immédiate.

## 4. Risques et mesures
| Risque | Mesure |
|---|---|
| Faux émetteur | Onboarding vérifié documentairement + activation manuelle (SEC-21) |
| Référence devinable | CSPRNG ≥128 bits + caractère de contrôle (SEC-08/09) |
| Forge d'un document (même via fuite BD) | Signature Ed25519, clé privée hors base (SEC-10/11) |
| Fuite de photos/justificatifs | Stockage privé chiffré + URL signée (SEC-12/14) |
| Exposition de données superflues | Minimisation / liste blanche (SEC-15) |
| Aspiration massive / énumération | Rate-limiting + référence non énumérable (SEC-22) |
| Altération des traces | Journal d'audit immuable (SEC-23) |

## 5. Conclusion
Les risques identifiés sont traités par le dispositif du chapitre 8. Points à
finaliser avant go-live : validation par le référent données, test d'intrusion
indépendant (SEC-28), test de restauration de sauvegarde (SEC-25).
