Pourquoi plusieurs étapes
« Supprimer mon compte » paraît simple. En pratique, trois besoins se croisent. Tu veux que tes contenus disparaissent pour de bon. L'administrateur veut pouvoir suspendre un accès sans tout détruire, par exemple le temps d'éclaircir un doute. Et la facturation doit pouvoir répondre plus tard à une question sur une dépense : combien, pour quel modèle, quel jour.
J'ai donc séparé ces besoins en étapes, chacune avec un effet clair, et je les ai rendues successives : on ne supprime qu'un compte déjà désactivé, on n'efface qu'un compte déjà supprimé. Personne ne se retrouve à moitié parti, avec une session encore ouverte sur un compte vidé.
Les quatre états
- Actif : tu te connectes et LIA travaille pour toi.
- Désactivé : l'accès est coupé, tes sessions ouvertes sont fermées et un e-mail te prévient. Tes données restent intactes, et l'administrateur peut réactiver le compte.
- Supprimé : tes contenus personnels sont purgés. Le compte garde ton nom et ton e-mail pour le contact de facturation.
- Effacé : la ligne du compte disparaît à son tour. Les relevés de facturation restent, mais ne se rattachent plus à aucun compte.
C'est l'administrateur de ton instance qui fait passer un compte d'un état à l'autre, depuis son panneau : tu lui demandes la suppression. Un compte administrateur ne peut pas être supprimé par ce chemin.
Ce qui disparaît vraiment
La suppression vise tout ce qui vient de toi ou parle de toi : conversations, souvenirs, journal et portrait, rappels, routines, documents et espaces de connaissances, fichiers sur le disque, données de santé, lieux enregistrés, ton numéro de téléphone, les registres de ce que LIA a fait pour toi. Les accès à tes services connectés sont révoqués auprès des fournisseurs quand c'est possible. L'état interne de ta conversation et les caches sont vidés, et ta présence est retirée du monde partagé.
Je ne voulais pas qu'une nouvelle fonction oublie un jour ses propres données. Un test vérifie donc que chaque table qui contient des données personnelles est couverte par la purge : une table oubliée fait échouer la construction.
La purge est définitive : réactiver un compte supprimé ne fait rien revenir.
Les tâches de fond s'arrêtent aussi
Une partie du travail de LIA se fait sans toi : notifications, routines, rappels, relecture du journal, rafraîchissement des accès à tes services. Un compte désactivé ne doit pas continuer à consommer des appels de modèle pendant la nuit. Avant d'agir, ces tâches vérifient donc l'état du compte, et un compte désactivé ou supprimé est simplement ignoré. Au moment de la désactivation, cette vérification est rafraîchie tout de suite, pour qu'aucun appel ne passe dans l'intervalle.
Se connecter avec Google ne change pas non plus l'état d'un compte. Une inscription en attente reste en attente, un compte bloqué reste bloqué, et un compte supprimé ne revient pas.
Ce qui reste, et pourquoi
Les relevés de consommation restent : jetons, coûts, appels aux services Google. Ils permettent de répondre à une contestation de facture et ne contiennent pas tes conversations. Des journaux d'audit ou de diagnostic peuvent garder des éléments d'identité selon leur propre durée de conservation, et les sauvegardes suivent la politique choisie par l'opérateur. Si l'instance envoie le suivi des appels aux modèles vers un outil externe comme Langfuse, ce qui s'y trouve suit la conservation de cet outil. Ces mécanismes aident à respecter tes droits ; ils ne suffisent pas à certifier qu'un déploiement est conforme au RGPD.
Si tu veux garder ton compte mais alléger ce qu'il contient, des gestes plus légers existent : déconnecter un service, vider ta conversation, ou télécharger l'archive de tes données avant de partir. Les détails sont dans la FAQ confidentialité.
Pour approfondir : Tes données restent les tiennes : ce que LIA garde, montre et efface.