Souveraineté
Avec Sync-in, la souveraineté consiste à conserver l'autorité sur les fichiers pendant tout leur cycle de vie : leur lieu de stockage, leur intégration dans un contexte collaboratif, la propagation des droits d'accès et les règles qui continuent de s'appliquer lorsqu'ils sont utilisés.
Cette approche repose sur cinq principes liés :
- Les données restent maîtrisées et réversibles, indépendamment de l'application.
- La collaboration se superpose aux fichiers sans les absorber ni les dupliquer inutilement.
- Un nouveau contexte ne peut pas élargir indirectement les droits définis à l'origine.
- La provenance et la responsabilité restent rattachées à l'emplacement d'origine.
- La même gouvernance accompagne les données quel que soit leur mode d'accès.
La chaîne de partage gouvernable constitue l'expression la plus visible de ces principes, mais elle s'inscrit dans une architecture plus large, conçue pour préserver la maîtrise des données avant, pendant et après la collaboration.
La donnée reste première et réversible
Le modèle de stockage de Sync-in maintient le contenu des fichiers directement lisible sur le système de fichiers. Leur utilisation, leur sauvegarde, leur migration ou leur traitement ne dépendent donc pas d'un dépôt propre à l'application. La collaboration ajoute un état fonctionnel autour des fichiers sans faire de la base de données leur source de vérité obligatoire.
Les métadonnées ciblées, la réconciliation du système de fichiers et la prise en charge des emplacements externes mettent en œuvre ce principe tout en conservant les données dans leur emplacement maîtrisé. Le fonctionnement du stockage est décrit dans les Fondations.
Collaborer sans se déposséder
L'ancrage virtuel rend un fichier ou un dossier personnel accessible dans un espace collaboratif sans le déplacer ni le dupliquer. Ses droits effectifs correspondent à l'intersection des permissions de l'emplacement d'origine et de celles de l'espace collaboratif : un nouveau contexte peut maintenir ou réduire l'accès, mais jamais l'élargir indirectement. Le mécanisme sous-jacent est détaillé dans les Fondations.
Un manager peut renommer un fichier ancré dans l'espace ou retirer son ancrage, mais il ne peut pas modifier les permissions définies par le propriétaire du fichier. Même lorsqu'il administre l'espace, il reste soumis à ces restrictions.
La délégation de partage suit le même principe de non-extension : chaque destinataire ne peut transmettre que les droits qu'il possède déjà.
De la permission d'accès à la délégation gouvernable
| Modèle d'accès classique | Modèle de partage Sync-in |
|---|---|
| B accède à un fichier parce que A lui en a donné l'accès. | B reçoit de A une délégation limitée aux droits qui lui sont accordés. |
| A gère l'accès accordé directement à B. | Si B peut partager, il peut redéléguer à C sans dépasser les droits reçus. |
| Un partage supplémentaire est considéré comme une nouvelle permission. | A conserve la visibilité et le contrôle sur les partages descendants. |
Le partage devient ainsi une chaîne de confiance gouvernable. Un destinataire peut devenir délégant, mais la nouvelle délégation reste rattachée à la chaîne dont elle est issue. Les droits peuvent être conservés ou réduits au fil des délégations ; ils ne peuvent pas dépasser ceux que possède le délégant.
Si l'exemple simple forme la chaîne A → B → C, un destinataire peut créer plusieurs partages. La structure obtenue peut donc se ramifier en
arborescence tout en conservant le même principe de gouvernance.
Une gouvernance appliquée à tout le cycle de vie
Le propriétaire d'un partage initial peut consulter tous les partages qui en descendent, y compris ceux créés plusieurs niveaux plus loin. Il peut les modifier ou les supprimer lorsque le contexte de collaboration évolue.
Les espaces collaboratifs étendent cette supervision à l'échelle de l'organisation. Un manager peut consulter et gérer tous les partages créés depuis l'espace, y compris les partages enfants créés par les membres. Les délégations ne deviennent donc pas invisibles pour les responsables de l'espace.
Le cycle de vie suit des règles explicites :
- Lorsqu'un membre est retiré d'un partage ou d'un espace collaboratif, les partages qu'il en a créés et tous leurs descendants sont supprimés.
- Lorsqu'un partage parent est supprimé, toute sa branche descendante est supprimée avec lui.
- Lorsqu'un membre perd uniquement la permission de partager, les partages existants restent actifs ; il ne peut plus en créer de nouveaux.
- Lorsqu'un fichier ancré est retiré d'un espace collaboratif, les partages créés depuis ce fichier et leurs descendants sont supprimés.
Ces règles rattachent l'accès au contexte dans lequel il a été délégué. La suppression de ce contexte entraîne celle des délégations qui en dépendaient.
La provenance et la responsabilité restent rattachées à l'origine
Partager ou ancrer un fichier modifie les contextes dans lesquels il peut être utilisé, sans effacer sa provenance. L'emplacement d'origine continue de déterminer la responsabilité de stockage associée au fichier.
Le quota consommé par un fichier partagé reste rattaché à sa source, qu'il s'agisse d'un espace personnel ou d'un espace collaboratif. De même, lorsqu'un membre supprime un fichier depuis un partage, celui-ci rejoint la corbeille de son emplacement d'origine. Les accès peuvent circuler dans plusieurs contextes, tandis que la comptabilisation du stockage et la restauration restent liées à une origine clairement identifiée.
Cette séparation entre contexte d'utilisation et responsabilité de la donnée permet de collaborer sans rendre ambiguës la provenance et la responsabilité du stockage.
Un modèle architectural persistant
La chaîne de partage fait partie du modèle de données de Sync-in : elle n'est pas une hiérarchie reconstruite uniquement par l'interface. Chaque partage créé depuis un autre partage conserve une référence vers son parent immédiat. Sync-in utilise cette relation pour parcourir récursivement les descendants, les compter, les présenter aux propriétaires et aux managers, et leur appliquer les opérations de cycle de vie.
Cette même relation garantit le nettoyage : la suppression d'un partage parent se propage à ses enfants. Lors de la création d'un partage ou d'une modification de permissions, les droits délégués sont limités par intersection avec ceux du partage parent ou de l'espace collaboratif. Persistance, héritage des permissions, supervision et révocation reposent ainsi sur une même structure parent-enfant.
Chaque descendant possédant un seul parent immédiat, il s'agit plus précisément d'une arborescence parent-enfant persistante que d'un graphe de droits sans contrainte. L'expression chaîne de partage décrit la manière dont la confiance et l'autorité se propagent dans cette arborescence.
La gouvernance accompagne chaque mode d'accès
La gouvernance reste rattachée aux données et à leur contexte collaboratif lorsqu'elles sont accessibles depuis l'interface web, WebDAV, les clients de synchronisation, les éditeurs collaboratifs, les API ou la recherche en texte intégral. Ces points d'entrée reposent sur le même modèle de permissions : changer d'outil ou de protocole ne crée donc pas de voie distincte permettant de contourner les règles établies par les propriétaires et les managers. Les services communs qui assurent cette cohérence sont décrits dans les Fondations.
La souveraineté après le partage
L'auto-hébergement répond à une question essentielle de souveraineté : où se trouvent mes données et qui exploite leur infrastructure ? L'architecture de Sync-in étend la réponse à tout le cycle de vie collaboratif : les données restent lisibles et réversibles, la collaboration ne transfère pas leur maîtrise hors de leur origine, les droits ne peuvent pas être élargis par un changement de contexte, la provenance reste identifiable et la gouvernance accompagne chaque mode d'accès.
La délégation gouvernable réunit ces propriétés lorsque les informations commencent à circuler. Cette prise en compte explicite de la propagation des droits constitue une approche distinctive dans la collaboration documentaire open source. Sa valeur ne repose pas sur une revendication d'unicité, mais sur la capacité à rendre gouvernable la circulation des informations sans abandonner la maîtrise des données sous-jacentes.