La Gestion de la confidentialité fournit un programme complet de protection des données sous forme de logiciel en fonctionnement. En son centre se trouve un inventaire vivant et une cartographie des données qui répertorient chaque champ d'information personnelle détenu à travers les niveaux opérationnel, de préparation et de journalisation de la plateforme, en classant chacun selon sa catégorie, sa sensibilité et la base légale sous laquelle il est traité. Autour de cet inventaire, le module exploite cinq capacités imbriquées : la minimisation des données, qui assainit les journaux d'audit, d'erreur et d'interface au regard de listes d'autorisation de champs par entité, afin que les noms, adresses et identifiants ne se déposent jamais en clair dans des magasins secondaires ; la gestion du consentement et des préférences, qui enregistre ce à quoi chaque individu a consenti et retire le traitement dès que l'accord expire ; la gouvernance de la conservation, qui fait progresser automatiquement les enregistrements à travers des horizons définis d'activité, d'archivage et de suppression ; le traitement des droits des personnes concernées, qui satisfait de bout en bout les demandes d'accès, de rectification, d'effacement, de limitation et de portabilité ; et un coffre-fort sécurisé qui conserve les enregistrements les plus sensibles sous un chiffrement robuste. Ensemble, ces éléments transforment la confidentialité, d'un exercice périodique d'assurance en une capacité maîtrisée, appliquée au point de traitement et documentée à la demande.

Le module s'organise autour d'une poignée de concepts durables qui correspondent clairement à la manière dont les obligations de confidentialité fonctionnent réellement. Le concept fondateur est le champ de données personnelles : un attribut unique et localisé d'un individu, tel qu'une adresse e-mail, un numéro de téléphone ou un identifiant d'authentification, marqué par sa catégorie, sa sensibilité et la base sur laquelle il est légalement détenu. Les champs s'agrègent dans la cartographie des données, qui constitue l'image complète, pour l'organisation, des informations personnelles qu'elle traite et de leur localisation.

Face à ces champs se trouve la personne concernée, l'individu auquel se rapportent les informations, ainsi que le relevé de ce que cet individu a autorisé. Un consentement capture un accord spécifique et horodaté à une finalité définie, avec sa provenance et sa durée de vie, de sorte que la base légale puisse toujours être reconstituée pour n'importe quel moment. Lorsqu'un individu exerce ses droits, le module ouvre une demande de personne concernée, un dossier qui porte la requête de sa réception jusqu'à la vérification, la satisfaction et la clôture dans les délais légaux. Régissant l'ensemble, on trouve les politiques de conservation, qui expriment en termes métier la durée pendant laquelle chaque catégorie d'information peut persister avant d'être archivée ou détruite, et les clés de chiffrement qui protègent les champs sensibles au repos. Ces concepts s'articulent simplement : les champs sont détenus à propos des personnes concernées, les personnes concernées accordent des consentements et formulent des demandes, et les politiques et les clés déterminent la durée de vie des champs et l'intensité de leur protection.

Trois flux de travail portent l'essentiel de la charge opérationnelle. Le premier est la satisfaction des droits des personnes concernées. Une demande arrive via un portail en libre-service ou un canal interne, l'identité du demandeur est vérifiée, et le module rassemble chaque champ localisé se rapportant à cet individu à travers le patrimoine en un unique paquet de réponse. Pour l'effacement, il orchestre une séquence contrôlée : suppression logique suivie de la suppression physique de l'enregistrement principal, anonymisation de l'identifiant de l'individu partout où il apparaît dans les journaux en aval, et révocation des clés qui protégeaient ses champs mis en coffre, de sorte que le droit à l'oubli soit exécuté de manière exhaustive plutôt que superficielle.

Le deuxième est l'application de la conservation. Les politiques s'exécutent en continu sur les données vivantes, faisant passer les enregistrements d'audit du stockage actif vers l'archivage puis vers la suppression selon leur calendrier défini, purgeant les sessions expirées et les journaux d'interface, et maintenant des horizons plus courts pour les magasins les plus denses en données à caractère personnel. Le troisième est la gestion du cycle de vie du consentement : recueil, renouvellement et retrait, le retrait se propageant immédiatement dans les modules qui agissent sur les préférences, afin que le contact marketing et les autres traitements cessent sans intervention manuelle. Chaque étape de chaque flux de travail est enregistrée, offrant aux autorités de contrôle et aux réviseurs internes une piste probante ininterrompue.

Le module est conçu à la hauteur de la substance des réglementations qu'il sert. Il incarne directement les articles fondamentaux du GDPR : la minimisation des données est appliquée par l'assainissement des journaux et les listes d'autorisation de champs ; la protection de la vie privée dès la conception s'exprime par la classification au moment où un champ est défini ; le droit à l'effacement est livré comme une orchestration complète plutôt que comme un simple indicateur ; et le chiffrement des données personnelles se concrétise dans le coffre-fort. La protection des enregistrements sensibles s'appuie sur le chiffrement enveloppe : les valeurs des champs sont scellées avec des clés de chiffrement de données AES-256-GCM, et ces clés sont elles-mêmes chiffrées par une clé maîtresse de chiffrement de clés conservée en dehors du magasin de données, de sorte que la compromission de la seule base de données ne produise rien de lisible. Les clés sont versionnées et révocables indépendamment, ce qui rend possible l'effacement cryptographique des enregistrements d'un individu.

L'accès est gouverné champ par champ. Les attributs sensibles tels que l'e-mail et le téléphone sont masqués pour les rôles qui n'ont pas de besoin explicite, et les colonnes de données personnelles dans l'outillage opérationnel sont protégées derrière ce même modèle d'autorité, de sorte que le moindre privilège s'applique à l'attribut plutôt qu'à l'écran. Au-delà du GDPR, le module porte les obligations du CCPA relatives au droit de savoir, de supprimer et de refuser la vente, les devoirs de consentement et de désabonnement du CAN-SPAM sur les listes d'abonnement, ainsi que les exigences du PECR en matière de consentement aux cookies et au marketing électronique, offrant aux opérations multinationales un instrument unique pour une carte réglementaire fragmentée.

La Gestion de la confidentialité gouverne des données que le reste de la suite crée, de sorte que ses intégrations sont intrinsèques plutôt qu'optionnelles. Elle s'appuie directement sur la Gestion des utilisateurs pour les attributs de compte, les jetons de session et les secrets d'authentification, traitant les identifiants comme des données personnelles de premier ordre sous la protection du coffre-fort. Elle collabore avec le Marketing et les ventes pour détenir l'état de consentement et d'abonnement derrière chaque adhésion et chaque retrait par e-mail, afin que la communication sortante soit toujours cohérente avec l'autorisation en vigueur. Elle contraint la Gestion des données afin que les opérations d'amorçage, de vidage et de migration respectent les règles de conservation et ne réintroduisent jamais des données qui auraient dû expirer. Elle s'appuie sur la Gestion des flux pour orchestrer l'effacement en plusieurs étapes et la satisfaction des droits à travers les systèmes. Et elle agit sur la trame de journalisation d'audit et d'erreur de la plateforme, en assainissant et en masquant le contenu des journaux afin que les magasins secondaires héritent de la même protection que les systèmes de référence. Grâce à ces connexions, la confidentialité devient une propriété de l'ensemble de la suite, appliquée de manière uniforme.

Les AI Workers sont des participants de premier ordre dans le module, et non une surcouche à celui-ci. Un responsable de la confidentialité peut interroger la cartographie des données de manière conversationnelle, en demandant où est détenue une catégorie d'information, quels champs ne disposent pas d'une base légale enregistrée, ou quelles données personnelles se rapportent à un individu nommé, et recevoir en quelques instants une réponse assemblée et sourcée. Les Workers exécutent des actions directement : ouvrir une demande de personne concernée, piloter une orchestration d'effacement, ajuster un horizon de conservation ou faire pivoter une clé, chacune au sein du même modèle d'autorité et de la même piste d'audit qui gouvernent les opérateurs humains. Ils surveillent le patrimoine en continu à la recherche d'anomalies et d'exceptions, signalant une demande approchant de son délai légal, un champ de journal enfreignant sa liste d'autorisation, une politique de conservation bloquée, ou des données personnelles apparaissant là où la classification indique qu'elles ne devraient pas se trouver.

À la réception, les Workers extraient et classent les données personnelles contenues dans les documents entrants et les charges utiles des demandes, vérifiant les preuves d'identité et structurant les requêtes en texte libre en dossiers exploitables. Ils fournissent une aide à la décision aux réviseurs, en résumant la base, la portée et le risque d'une demande avant qu'elle ne soit traitée. Et ils servent de nœuds formels dans les flux de travail du module, se tenant comme une étape d'approbation ou de révision sur l'effacement, la révocation de clés et les modifications de conservation, afin que les opérations sensibles de confidentialité comportent un contrôle enregistré et redevable, que le réviseur soit une personne ou un AI Worker agissant sous autorité déléguée.