Données et confidentialité
Anyy privilégie le stockage local : le répertoire du profil sélectionné est l’emplacement canonique de la configuration, mémoire, sessions, planifications et état opérationnel. Modèles externes, services web, serveurs MCP et messageries reçoivent néanmoins les données nécessaires aux tâches demandées.
Ce qui reste dans un profil
Lancez anyy config pour voir le répertoire résolu sans le deviner. Les chemins importants sont :
Chemin sous <PROFILE_HOME> | Usage |
|---|---|
config.yaml | Paramètres et références d’identifiants |
secrets/ | Identifiants gérés par Anyy |
state.db | Sessions, messages, reçus de notifications, comptes/routes de canaux, tâches, planifications et autres états durables |
objects/ | Corps complets adressés par contenu et référencés par les enregistrements, dont les notifications indépendantes |
memory/USER.md | Faits et préférences durables de l’utilisateur |
memory/MEMORY.md | Mémoire durable de l’assistant |
SOUL.md, roles/ | Instructions d’identité du rôle par défaut et des rôles nommés |
workspace/ | Fichiers de travail utilisateur et assistant |
skills/, system/skills/ | Skills installés dans le profil et fournis |
channels/, cron/ | Répertoires du profil ; comptes, routes et planifications actuels appartiennent à la base |
logs/, cache/ | Journaux et données reconstructibles/de cache |
Les profils nommés résident sous la racine configurée et séparent données canoniques et identifiants. Les répertoires externes référencés volontairement, racines de Skills en lecture seule ou comptes de service restent des ressources gérées à part ; une référence ne rend pas leurs sources jetables comme une copie du profil.
Workspace fournit contexte et emplacement des livrables. Un outil de fichiers ou terminal autorisé peut aller plus loin selon ses autorisations système et son environnement.
Ce qui peut quitter l’hôte
Des données peuvent être envoyées à l’extérieur avec :
- un fournisseur de modèle distant : demandes, contexte sélectionné, résultats d’outils, images, audio ou vidéo ;
- la recherche web, récupération d’URL publiques, génération d’images ou services vocaux ;
- les outils MCP liés à un autre processus ou service ;
- les canaux de messagerie pour messages et pièces entrants/sortants ;
- les points d’accès OAuth et clés API des fournisseurs.
Activez uniquement les destinations fiables pour les données concernées. Écartez secrets et fichiers privés sans rapport des demandes, pièces, références, mémoire et instructions de Skills.
Identifiants
Les parcours de gestion stockent des références dans la configuration et les secrets dans le stockage protégé du profil. La configuration fournie par l’utilisateur, comme environnement ou en-têtes MCP, peut aussi contenir des identifiants en clair. anyy config indique la santé des références sans afficher les valeurs.
Déconnectez ou effacez les identifiants depuis l’interface qui les possède. En cas de fuite possible, révoquez-les ou renouvelez-les d’abord chez le fournisseur, puis mettez Anyy à jour.
Sauvegardes
Les sauvegardes normales incluent les contenus canoniques : configuration, mémoire, Workspace, rôles, Skills, planifications, canaux, scripts et instantané cohérent de base. Fichiers temporaires et caches sont exclus.
Le répertoire géré secrets/ et le stockage compatible mcp/oauth/ sont exclus sans --include-secrets. Cela ne retire pas les identifiants en clair des fichiers canoniques ou de travail : valeurs d’environnement/en-têtes MCP et autres contenus sensibles peuvent encore être archivés. Une sauvegarde n’est pas garantie entièrement masquée.
Chiffrez-la, limitez l’accès et ne l’importez jamais dans un suivi d’incidents ordinaire ou un partage public.
Consultez Sauvegarde et restauration pour commandes et garanties exactes.
Fichiers et livraison des livrables
Anyy peut créer des fichiers dans le Workspace. Pour les rendre téléchargeables, artifact_export exporte un fichier ordinaire relatif au Workspace de 50 Mio maximum comme pièce générée expirant après 24 heures.
En cas d’échec, la source reste inchangée. La pièce générée est une copie de livraison, pas la source faisant autorité.
Les rappels et autres notifications indépendantes de session conservent leurs corps d’affichage protégés séparément des messages du modèle. Rouvrir une conversation restaure ces faits sans les ajouter à l’historique Pi. Un ancien reçu sans corps exact n’est pas reconstruit depuis un résumé de travail.
Suppression et conservation
Supprimer un profil non par défaut retire tout son répertoire après les contrôles d’exécution et de secrets. Dashboard effectue la variante forcée avec purge des secrets ; la CLI exige des options explicites.
Supprimer un rôle archive son enregistrement nommé non référencé pour le rendre indisponible aux nouvelles sessions, sans supprimer tout le profil.
Le Gateway permet la suppression de sessions, mais CLI, TUI et Dashboard publics actuels n’exposent pas d’action générale correspondante.
Les services externes gardent les données selon leurs propres règles. Supprimer le profil local ne rappelle pas un message déjà envoyé à un fournisseur ou une messagerie.
Contrôles pratiques de confidentialité
- Séparez les profils si personnes, comptes ou domaines de confiance ne doivent pas se mélanger.
- Activez uniquement les accès nécessaires aux outils et comptes.
- Inspectez Skills et serveurs MCP avant activation.
- Joignez ou référencez le minimum nécessaire.
- Excluez les secrets des sauvegardes courantes et protégez toute exception.
- Revoyez régulièrement les canaux et autorisations d’association.
- Renouvelez immédiatement les identifiants après une exposition suspectée.
Consultez Sécurité et confidentialité pour accès outils/canaux et réponse aux incidents.