​

Demandes d’accès des personnes concernées (DSAR)

• DSAR déposée par un opérateur — votre équipe support ou conformité dépose une demande pour le compte d’un client via l’API authentifiée ou le tableau de bord.
• Portail public en libre-service — la personne concernée dépose sa propre demande via un flux public non authentifié qui prouve son identité par un OTP à deux facteurs e-mail + SMS avant que quoi que ce soit soit mis en file.

​

Juridictions prises en charge et délais

​

Types de demandes

​

Demandes déposées par un opérateur

​

Créer une demande

curl -X POST https://api.orbit.devotel.io/api/v1/compliance/dsar \
  -H "X-API-Key: dv_live_sk_..." \
  -H "Content-Type: application/json" \
  -d '{
    "subject_email": "jordan@example.com",
    "requester_email": "jordan@example.com",
    "applicable_jurisdiction": "gdpr",
    "request_type": "know",
    "verification_method": "email_link"
  }'

{
  "id": "dsar_8x2k…",
  "status": "received",
  "applicable_jurisdiction": "gdpr",
  "request_type": "know",
  "verification_status": "pending",
  "message": "Request received and queued for verification."
}

Note — applicable_jurisdiction ne prend gdpr par défaut que pour les droits qui existent sous le RGPD. Les types de demande opt_out_sale et limit_sensitive_pi sont propres à CCPA/CPRA et n’ont pas d’équivalent RGPD ; vous devez donc définir explicitement applicable_jurisdiction à ccpa ou cpra pour eux. L’omettre (ou laisser le défaut gdpr) est rejeté avec 422 VALIDATION_ERROR.

​

Cycle de vie des statuts

​

Vérifier ou rejeter l’identité

curl -X POST https://api.orbit.devotel.io/api/v1/compliance/dsar/dsar_8x2k…/verification \
  -H "X-API-Key: dv_live_sk_..." \
  -H "Content-Type: application/json" \
  -d '{ "decision": "verified", "notes": "Matched gov-ID upload." }'

​

Annuler une demande

curl -X POST https://api.orbit.devotel.io/api/v1/compliance/dsar/dsar_8x2k…/cancel \
  -H "X-API-Key: dv_live_sk_..." \
  -H "Content-Type: application/json" \
  -d '{ "reason": "Duplicate of dsar_7a1f…" }'

​

Lister et lire les demandes

• GET /compliance/dsar — liste paginée. Requête : page (≥ 1), page_size (≤ 100, défaut 25), et un filtre status optionnel.
• GET /compliance/dsar/{id} — récupère une demande. La réponse inclut l’export_url signée (et son export_expires_at) une fois qu’un export d’accès/portabilité a été produit, plus tables_exported décrivant les nombres de lignes par table.

​

Demandes d’effacement

• GET /compliance/dsar/erasure-requests — liste. Requête : status (pending, cancelled, executing, executed, failed) et limit (≤ 500).
• POST /compliance/dsar/erasure-requests/{id}/cancel — annule un effacement pending avant son exécution. reason optionnel (≤ 500 caractères). Retourne 409 s’il est déjà en exécution ou terminé.

​

Tableau de bord des SLA

{
  "items": [
    {
      "id": "dsar_8x2k…",
      "kind": "export",
      "status": "processing",
      "days_elapsed": 22,
      "days_remaining": 8,
      "severity": "amber",
      "sla_deadline_at": "2026-07-01T00:00:00.000Z",
      "approaching": true,
      "breach": false,
      "escalation_due": false
    }
  ],
  "alerts": {
    "breached": 0,
    "approaching": 1,
    "escalation_due": 0,
    "worst_severity": "amber",
    "has_alert": true
  },
  "sla_days": 30
}

​

Portail public en libre-service

​

Aperçu du flux

​

Configurer les expéditeurs de la preuve d’identité

​

Défenses contre les abus

​

Activer la protection Turnstile

​

Héberger le lien du portail

​

Références associées

• Construire une posture RGPD de bout en bout — où s’inscrit la réception des DSAR dans la séquence complète.
• Gestion du consentement — enregistrer et consulter l’état de consentement qu’une DSAR peut vous demander d’honorer.
• Listes de désinscription et suppression — comment les résultats delete / opt_out alimentent la suppression.
• Consentement à l’enregistrement des appels — traiter les enregistrements référencés par une demande d’accès.
• Référence API → Compliance — schémas requête/réponse complets (régénérés depuis l’API en direct).