Architecture RGPD "By Design" : La Doctrine Mesh Box

Introduction : Privacy by Design

La conformité n'est pas une case à cocher, c'est une contrainte d'architecture fondamentale. Chez Mesh Box, nous considérons que le respect du RGPD doit être codé dans l'ADN de l'application, conformément au principe de "Privacy by Design".

1. Logging : La Stratégie "Zero-Leak"

Il est inacceptable qu'un développeur puisse lire un email ou un mot de passe dans un dump d'erreur.

• Utilisation de Pino avec pino-redact pour censurer les chemins sensibles (authorization, email, IBAN) à la source.
• Hachage déterministe (HMAC) pour la corrélation sans identification.

2. Droit à l'oubli : Le Pattern "Crypto-Shredding"

Modifier des backups immuables pour supprimer un utilisateur est impossible. Nous utilisons le Crypto-Shredding.

Nous détruisons simplement la DEK (Data Encryption Key) de l'utilisateur. La donnée devient mathématiquement irrécupérable, rendant les backups conformes "by design".

3. Sécurité Angular : Cookies HttpOnly

L'abandon du localStorage au profit de Cookies HttpOnly, Secure et SameSite=Strict émis par un Backend For Frontend (BFF) neutralise les attaques XSS ciblant le vol de session.

4. Chiffrement At Rest

Nous injectons des middlewares de chiffrement (AES-256-GCM) au niveau de l'ORM (Prisma/TypeORM) pour que la base de données ne voie jamais la donnée en clair.

5. Consentement : Immutable Audit Log

Le consentement n'est pas un booléen (true/false). C'est un contrat juridique versionné qui doit être auditable.

• Le Pattern : Event Sourcing (Append-Only).
• L'Implémentation :
  • Nous ne faisons jamais d'UPDATE sur les préférences utilisateur. Chaque changement de consentement est un INSERT dans une table ConsentLedger.
  • Ce log contient : l'ID utilisateur, le type de consentement, le timestamp, le hash de l'IP, et surtout l'ID de la version des CGU acceptée à cet instant précis.
  • Cela permet de reconstruire l'historique complet en cas de contrôle CNIL.

Chez Mesh Box, nous transformons les contraintes légales en leviers de qualité architecturale.