Données clients dans Obsidian : ce qu'on y met, ce qu'on n'y met jamais

Dans un coffre Obsidian, la règle tient en une phrase : la documentation des affaires y entre, les données personnelles restent dans le logiciel de gestion, et ce qui ne doit être conservé nulle part ne s'y écrit même pas. Cette séparation se décide au moment de la capture : après, on ne fait que subir le risque.

Le digicode du client dort dans vos notes

Une entreprise d'électricité générale à Kingersheim compte trois personnes : le patron qui chiffre et dépanne, un apprenti sur les chantiers, sa conjointe au bureau deux jours par semaine pour les devis et la facturation. Le coffre Obsidian tourne bien : chaque affaire a sa note, les comptes rendus de dépannage sont datés, les photos des tableaux électriques rejoignent les dossiers. Et puis, à force de noter vite entre deux interventions, le coffre a avalé le reste : les digicodes des immeubles, les codes des alarmes, les numéros de téléphone des clients, et même la copie d'un devis signé où figure le relevé bancaire du client.

Un jeudi, le patron partage son écran en visio avec un fournisseur pour régler un litige sur du matériel : la note de l'affaire est ouverte, et le digicode du client avec. Le lendemain, l'apprenti égare son téléphone sur un chantier, avec le coffre synchronisé dedans. Rien de grave ne s'est produit, ni ce jeudi-là ni ce vendredi-là, mais le dirigeant a compris ce soir-là ce que personne ne lui avait dit : le désordre ne venait pas de l'outil, il venait du fait que personne n'avait décidé ce qui a sa place dans la documentation. Tout ce qui se note finit par se synchroniser, se partager et se perdre, et le tri qu'on ne fait pas à la capture, on le paie au moment où on peut le moins se le permettre. La suite donne la règle qui se décide avant, la grille en trois colonnes qui l'applique, et les trois questions à poser au fournisseur de synchronisation.

Le tri se décide à la capture, jamais après

La note de méthode qui sert de matière à cet article tranche net : on décide avant le dossier d'arrivée, jamais après propagation. Tant qu'une information dort dans la tête de celui qui l'a notée, elle ne risque rien ; dès qu'elle entre dans une note, elle part en synchronisation vers le téléphone, vers l'ordinateur du bureau, vers le poste de la conjointe, et chaque copie ajoute un endroit où elle peut fuiter. Vouloir retirer une donnée personnelle après coup, c'est courir après des copies qu'on ne reverra jamais toutes.

C'est pourquoi le tri se joue en trois catégories, au moment où l'on écrit, pas le dimanche soir en relisant ses notes. Première catégorie : ce qui entre dans la documentation, les comptes rendus datés, les relevés, les décisions, les références d'affaires, le savoir-faire. Deuxième catégorie : ce qui part dans le logiciel de gestion, les identités, les coordonnées, les pièces, les données bancaires, les codes. Troisième catégorie : ce qui ne se capture pas, les mots de passe en clair, les copies de pièces d'identité, les données de santé, les informations sur des tiers recueillies sans accord. Le point aveugle habituel n'est ni la première ni la troisième catégorie, c'est le fournisseur de synchronisation : le lieu où dorment vos notes et la façon dont elles y sont chiffrées se vérifient avant le premier envoi, jamais après.

La note de méthode dit la même chose avec d'autres mots : jamais d'identifiants ni d'informations sur autrui sans accord dans un coffre synchronisé, des coffres séparés plutôt qu'un filtrage, et avant tout partage, une relecture des accès et du journal. Ce n'est pas de la prudence, c'est l'architecture.

La grille en trois colonnes, affichée dans le dossier d'arrivée

Le livrable de cet article est une grille à recopier telle quelle et à afficher dans le dossier d'arrivée du coffre, là où chaque note commence sa vie. Toute note qui arrive passe par la grille avant d'être rangée, et ce qui ne passe dans aucune colonne du bon côté ne reste pas.

La dernière ligne du tableau est la plus importante : quand on ne saurait pas expliquer pourquoi on conserve une donnée, c'est qu'elle appartient à la troisième colonne. Pour l'électricien de Kingersheim, la grille change des gestes minuscules : le digicode ne figure plus dans la note de l'affaire mais dans le logiciel de gestion, la note du coffre ne porte que la mention « accès : voir la fiche client », et l'apprenti sait que photographier un tableau électrique, oui, photographier une pièce d'identité pour « aller plus vite », non. Une fiche client dans le coffre ne porte que ce qui sert à travailler, jamais ce qui identifie au-delà du besoin. Les conventions de nommage et les modèles qui rendent ces fiches régulières sont décrits dans l'article Obsidian en PME : ici, seule compte la frontière, pas le format.

Les trois questions à poser à votre synchronisation

Le point aveugle mérite sa liste, à poser par écrit au fournisseur avant le premier envoi, et à reposer à chaque changement d'offre :

1. Où dorment les serveurs, en Europe ou hors d'Europe ? Le lieu de stockage décide du droit applicable à vos notes. Une réponse floue vaut une mauvaise réponse.
2. Qui peut lire vos notes : le chiffrement est-il de bout en bout, et qui détient les clés ? Un chiffrement dont le fournisseur garde la clé ne protège ni de lui ni d'une demande qui lui serait adressée.
3. En cas de perte ou de vol, que reste-t-il : verrouillage, effacement à distance, historique des versions ? C'est le téléphone égaré sur le chantier qui pose la question, pas le contrat signé au bureau.

Tant qu'une de ces réponses manque, le coffre se traite comme un lieu exposé pour les données personnelles : rien de personnel n'y entre. Le logiciel de gestion, lui, porte déjà ces garanties par contrat, avec un responsable désigné et des durées de conservation écrites. La réponse ne se devine pas, elle se vérifie, et c'est cette vérification qui autorise le coffre à recevoir des noms de clients, pas l'inverse. Le travail à plusieurs dans un coffre partagé, avec ses accès et sa gouvernance, est cadré dans l'article sur le coffre en équipe.

PARA pour accueillir, et une frontière qui passe par les coffres

La documentation triée a besoin d'un lieu d'arrivée qui ne s'invente pas le jour du tri : la méthode PARA de Tiago Forte, quatre dossiers qui suivent l'action, Projets, Domaines, Ressources, Archives, adaptée à l'artisanat dans l'article PARA pour l'artisan. Chaque note qui passe la grille reçoit sa place selon son état vivant : affaire en cours devant, savoir qui ressert derrière, souvenir périmé aux archives. Une note triée qui n'a pas de place dans PARA est une note qui aurait dû rester dehors.

L'arbitrage est tranché, et il se récite comme une consigne au bureau : la frontière passe par les coffres et les dossiers, jamais par les étiquettes. Les données personnelles vivent dans le logiciel de gestion, pas dans un dossier à part du même coffre, car un dossier se partage par erreur en un clic alors qu'un logiciel séparé demande un geste volontaire. Les étiquettes, elles, ne filtrent rien : elles portent les statuts, jamais les secrets. C'est là que la doctrine de la maison s'applique sans forcer : automatisation quand une règle suffit, verser, nommer, sauvegarder ; agent IA quand il faut comprendre ou juger, repérer une donnée personnelle égarée dans une note ; validation humaine quand l'action compte, le dirigeant relit avant tout partage et tranche les cas douteux.

Ce que ça change chez vous, et ce que ça change pour vos agents

Ce que ça change chez vous se mesure dès le prochain imprévu : le téléphone égaré ne contient plus aucun code ni aucune coordonnée bancaire, le partage d'écran avec le fournisseur n'expose que de la documentation d'affaire, et la conjointe sait que tout ce qui identifie un client se trouve dans le logiciel de gestion, au même endroit, avec les mêmes durées. Le coût n'est pas le logiciel, il est dans l'heure passée à afficher la grille et à nettoyer le coffre une fois, puis dans les dix secondes de tri à chaque note. C'est le prix d'un dossier dont on peut prouver qu'il ne contient rien qu'il ne devrait pas contenir.

Ce que ça change pour vos agents est du même ordre, en plus strict : un agent qui lit un coffre trié répond à partir de documentation datée et cite sa source, sans jamais croiser une donnée personnelle qu'il pourrait recracher dans une réponse ou un journal. Les références d'affaires lui donnent des ponts sûrs vers le logiciel de gestion, où il va chercher la coordonnée à jour au lieu de lire une copie périmée dans une vieille note. Et les sauvegardes suivent le format éprouvé, trois copies, deux supports différents, une copie hors site, que des fichiers texte rendent trivial : une copie sur le poste, une sur un disque externe, une hors site, et l'assurance qu'on sait restaurer avant le jour où il le faudra.

Questions fréquentes