Sécurité, hébergement et secret professionnel

Que fait le site de vos données aujourd’hui ?

• Pas de compte, pas de mot de passe. Tout le site se consulte librement.
• Les calculs restent chez vous. Les montants saisis dans les calculateurs sont traités dans votre navigateur et ne sont pas transmis.
• Une seule donnée demandée. L’adresse e-mail, si vous vous inscrivez aux rappels ou à la liste d’attente.
• Double confirmation. Une inscription ne compte qu’après un clic sur le lien reçu par e-mail. Sans ce clic, elle est effacée après 30 jours.
• Désinscription en un clic. Vos données sont effacées au moment de la désinscription.
• Stockage dans l’Union européenne. Les inscriptions sont enregistrées dans une base de données restreinte à la juridiction de l’Union européenne.
• Aucun cookie non essentiel. Pas de traceur publicitaire, pas de bandeau de cookies.

Le détail figure dans la politique de confidentialité.

Et pour le logiciel ?

Le logiciel est en cours de développement. Il ne traite aucune donnée de cabinet à ce jour. Les informations suivantes seront publiées sur cette page avant le pilote :

• l’hébergeur, le pays et les centres de données ;
• la liste complète des sous-traitants et le rôle de chacun ;
• les traitements automatisés utilisés et les garanties contractuelles associées ;
• le chiffrement et les sauvegardes ;
• les conditions de restitution et d’effacement des données en fin de contrat.

Un principe est déjà fixé : aucun rapport n’est envoyé à un client sans la validation du comptable.

Comment l’accès au logiciel sera-t-il protégé ?

Ces règles sont arrêtées et appliquées par le prototype du logiciel, qui ne traite que des données fictives. Elles vaudront dès le pilote.

• Un compte par personne. Chaque membre du cabinet a son propre compte. Pas de compte partagé, pas d’inscription libre : le premier responsable est créé par Trimeo, qui lui fait choisir son mot de passe à la première connexion.
• Second facteur obligatoire. À chaque connexion, un code à six chiffres affiché par une application d’authentification sur votre téléphone. Une clé d’accès (passkey) s’y ajoutera avant l’ouverture à d’autres cabinets.
• Mots de passe. 12 caractères au moins, sans règle de composition imposée. Les mots de passe les plus courants sont refusés, à partir d’une liste conservée chez nous : aucun mot de passe n’est envoyé à un service extérieur pour être vérifié. Ils sont conservés sous forme d’empreinte (Argon2id), jamais en clair.
• Sessions limitées. Une session se ferme après 2 heures sans activité, et dans tous les cas après 12 heures. Chacun voit les navigateurs connectés à son compte et peut les fermer.
• Code redemandé pour les actions sensibles. Changer de mot de passe, créer de nouveaux codes de secours ou gérer les membres du cabinet demande d’avoir saisi son code depuis moins de 10 minutes.
• Deux rôles. Le responsable du cabinet gère les membres ; le collaborateur travaille sur les dossiers et valide les rapports. Un membre retiré perd l’accès tout de suite.
• Connexions tracées. Connexions réussies, échecs, déconnexions et changements sur le compte sont écrits dans le journal d’audit du cabinet.

Et si un téléphone ou un mot de passe est perdu ?

• Codes de secours. À l’enregistrement du second facteur, chacun reçoit des codes à usage unique qui remplacent le téléphone.
• Pour un collaborateur, le responsable du cabinet remet son second facteur à zéro ; le collaborateur en enregistre un nouveau à sa connexion suivante.
• Pour un responsable, ou pour un mot de passe perdu, Trimeo vérifie d’abord l’identité de la personne : rappel à un numéro connu d’avance (enregistré à la signature du contrat, ou confirmé par un responsable du cabinet), jamais à celui donné dans la demande, puis confirmation par un responsable du cabinet ou, s’il n’y en a pas d’autre, appel vidéo avec la carte d’identité montrée, sans copie. Un mot de passe provisoire se dicte au téléphone, jamais par e-mail, et doit être changé à la connexion suivante. Réponse le jour ouvrable suivant la demande.
• Jamais sur un simple e-mail. Une demande par e-mail ou par message, même depuis l’adresse connue, ne suffit pas à remettre un compte à zéro.
• Tracé. Chaque remise à zéro est écrite dans le journal d’audit du cabinet.

Et le secret professionnel ?

Le comptable est tenu au secret professionnel. Confier des données de clients à un logiciel ne l’en décharge pas : il doit pouvoir démontrer qui y accède et dans quel cadre.

C’est pourquoi le cadre contractuel entre Trimeo et le cabinet sera publié avant le pilote, en même temps que les informations listées ci-dessus.

Une question précise ?

Si un point bloque l’adoption d’un outil dans votre cabinet, dites-le : il sera traité avant le pilote. Écrivez à contact@wardim.dev.