Centre de confiance

Ce que nous annonçons, et où chaque annonce est lue.

Aucune phrase de cette page n'est écrite à la main. Chaque section est lue dans le module du produit qui la porte, et une section dont la source a disparu ne s'affiche pas plutôt que de s'afficher périmée.

Sécurité et réversibilité Ce que la traçabilité garantit, et ce qu'elle ne garantit pas

Ce que cette page établit

Et ce qu'elle n'établit pas, ce qui compte tout autant.

Chaque section de cette page est lue dans le module qui la porte, et aucune phrase de fait n'y est ecrite a la main. Ce que cette page etablit, c'est que nos annonces et notre code disent la meme chose au moment ou vous la lisez. Elle n'etablit pas que notre code est sans defaut : la section des invariants publie ceux qui ne tiennent pas encore.

Où vivent vos données

Où sont stockées mes données

Dans quel pays vivent mes documents, ma base et l'application qui les sert ?

Vos données et vos documents sont stockés dans l'Union européenne. L'application, la base de données et les pièces déposées vivent dans la région europe-west4, aux Pays-Bas. L'interface web est servie depuis la région de Paris.

Ce que cela n'établit pas. Cette phrase dit où les données sont STOCKÉES. Elle ne dit pas que personne ne les lit jamais depuis ailleurs : la section sur les prestataires le précise, prestataire par prestataire.

Relevé le 28 août 2026

Ce que cette phrase ne dit pas

Qu'est-ce que cette annonce d'hébergement ne couvre pas ?

Nous n'affirmons aucune certification d'hébergement de données de santé, ni aucune qualification SecNumCloud : nous ne les avons pas.
Nous n'affirmons pas que nos prestataires sont des sociétés européennes. Ce qui est établi et vérifiable est le lieu de stockage des données.
L'assistance technique de nos prestataires peut, pour une intervention identifiée, accéder à l'infrastructure depuis un autre pays. Ces accès sont encadrés par les clauses contractuelles types de la Commission européenne, annexées au contrat de sous-traitance.

Ce que cela n'établit pas. Ces réserves sont écrites par nous et pour nous : elles existent pour qu'aucune surface du produit ne fasse dire à la phrase d'hébergement plus qu'elle ne dit.

Relevé le 28 août 2026

Quand cette carte est revue

Depuis quand cette information n'a-t-elle pas été vérifiée ?

2026-11-30

Ce que cela n'établit pas. Une date de prochaine revue est un engagement de relecture, pas une garantie que rien ne changera d'ici là. Un changement d'hébergement se déclare quand il a lieu, pas à la revue suivante.

Relevé le 28 août 2026

Comment les échanges sont chiffrés

Mes données peuvent-elles circuler en clair entre mon navigateur et vos serveurs ?

En transit: Le site et l'interface de programmation ne sont servis qu'en HTTPS. L'en-tête de sécurité de transport strict impose au navigateur de ne jamais revenir à une connexion en clair, pendant deux ans, sous-domaines compris.
En tete de securite: Chaque réponse porte aussi une politique de contenu, l'interdiction d'être encadrée par un site tiers et l'interdiction de deviner le type d'un fichier.

Ce que cela n'établit pas. Cette section porte sur les ÉCHANGES. Nous n'annonçons aucun chiffrement du disque de notre fait : il relève de l'hébergeur, et nous ne publions que ce que nous pouvons établir nous-mêmes.

Relevé le 25 septembre 2026

Qui y a accès

Les prestataires qui interviennent

Qui d'autre que vous voit mes documents, et qu'en voit-il exactement ?

Cle: hebergement_applicatif
Role: Application, base de données et documents
Prestataire: Railway Corporation
Voit: L'ensemble de vos données, au repos et chiffrées.
Localisation: Région europe-west4, Pays-Bas
Nommable: Oui
VoitLeContenu: Non

Cle: diffusion_interface
Role: Diffusion de l'interface web
Prestataire: Vercel Inc.
Voit: Les pages servies. Aucun contenu de dossier ne transite en clair par ce service.
Localisation: Fonctions servies depuis la région fra1, Paris
Nommable: Oui
VoitLeContenu: Non

Cle: comptes_authentification
Role: Comptes et authentification
Prestataire: Clerk
Voit: Votre adresse e-mail, votre nom et les éléments de session. Aucun contenu de dossier.
Nommable: Oui
VoitLeContenu: Non

Cle: moteur_analyse
Role: Moteur d'analyse automatisé
Prestataire: Prestataire technique du moteur d'analyse
Voit: Le contenu textuel des documents que vous déposez pour analyse, le temps de produire l'analyse. C'est le seul prestataire qui voit le contenu de vos pièces. Son identité figure au contrat de sous-traitance et au registre des traitements, et vous est communiquée sur demande.
Nommable: Non
VoitLeContenu: Oui

Cle: courriel_de_service
Role: Envoi des e-mails de service
Prestataire: Resend
Voit: Votre adresse e-mail et le contenu du message envoyé.
Nommable: Oui
VoitLeContenu: Non

Cle: mesure_audience
Role: Mesure d'audience
Prestataire: PostHog et Umami
Voit: Des événements de navigation, après votre consentement explicite. Jamais le contenu d'un dossier.
Nommable: Oui
VoitLeContenu: Non

Cle: paiement
Role: Paiement
Prestataire: Stripe
Voit: Les données nécessaires à la transaction. Aucune coordonnée bancaire ne transite par nos serveurs ni n'y est stockée.
Nommable: Oui
VoitLeContenu: Non

Ce que cela n'établit pas. Un prestataire nommé « moteur d'analyse » n'est pas anonyme : son nom figure au contrat de sous-traitance et au registre des traitements, et il est communiqué à qui le demande. Ce qui est écarté, c'est de l'afficher en vitrine.

Relevé le 28 août 2026

Ce que le contrat de sous-traitance engage

Que se passe-t-il si vous changez de prestataire, ou si mes données sont touchées par un incident ?

Nouveau sous traitant: Information au moins 30 jours avant qu'il prenne effet, droit d'objection pendant ce délai, et résiliation sans pénalité si aucune solution n'est trouvée.
Violation de donnees: Notification au client au plus tard 48 heures après en avoir pris connaissance.
Audit: Documentation fournie sur demande, et un audit par an sur préavis de 30 jours.
Texte integral: Contrat version 1.0, publié en intégralité sur la page Sous-traitance du site et joint à toute proposition.

Ce que cela n'établit pas. Ces lignes résument le contrat, elles ne le remplacent pas : c'est le texte intégral, publié et signé, qui fait foi en cas d'écart.

Relevé le 25 septembre 2026

Signaler un incident de sécurité

Qui prévenir si je découvre une faille ou un accès anormal ?

Comment: Écrivez à contact@strata-esg.fr avec pour objet « Sécurité ». Décrivez ce que vous avez constaté, sans tenter d'exploiter la faille au-delà de ce qu'il faut pour la montrer.
Ce que nous faisons: Nous accusons réception, nous qualifions l'incident, et s'il touche des données personnelles nous le notifions à chaque client concerné au plus tard 48 heures après en avoir pris connaissance, comme le prévoit le contrat de sous-traitance.

Ce que cela n'établit pas. Nous ne tenons pas de programme de récompense des signalements, et nous n'annonçons aucune astreinte permanente : une structure de notre taille ne pourrait pas la tenir.

Relevé le 25 septembre 2026

Comment les dossiers sont cloisonnés

Qu'est-ce qui empêche un autre client de voir mon dossier ?

Jeton: Le perimetre est porte par un jeton, un code ou une reference non devinable que la fonction recoit en argument. Le secret EST l'autorisation : ajouter un filtre d'organisation par dessus ne protegerait rien de plus et empecherait le partage a un tiers, qui est la raison d'etre de ces surfaces.
Maintenance: Passe de fond, purge, expiration ou file de recalcul. Elle ne sert rien a personne : elle balaie volontairement toutes les organisations, et lui poser un filtre reviendrait a ne purger qu'un client sur mille.
Agregat sans dossier: Telemetrie ou sante du systeme. Ne rend aucune donnee de dossier client, seulement des compteurs, des durees et des centiles. La surface qui l'expose est gardee par un role interne, et c'est la que la question du droit se pose.
Perimetre resolu dedans: La fonction resout elle meme le perimetre a partir d'un objet deja charge et deja cloisonne par son appelant : elle filtre sur l'identifiant de cet objet, jamais sur un identifiant brut recu du reseau.

Ce que cela n'établit pas. Ces natures décrivent COMMENT le périmètre d'un appel est résolu. Elles n'établissent pas qu'aucune fonction n'y échappe : c'est le balayage de cloisonnement qui le vérifie, fonction par fonction, et ses exemptions sont nommées.

Les gestes qui demandent une seconde paire d'yeux

Une seule personne peut-elle publier un rapport opposable sans que personne d'autre ne le relise ?

Publication reglementaire: Figer une version d'un rapport de durabilite. Le document devient opposable et immuable : une correction ne se fait plus, elle republie.
Changement de perimetre: Figer le perimetre d'un exercice, c'est-a-dire la liste des entites sur lesquelles portent tous les chiffres qui en sortiront. Deux documents de part et d'autre de cette date ne portent pas sur le meme ensemble.
Changement de methodologie: Faire passer un dossier a une autre version de methode de calcul. Un chiffre produit avant et un chiffre produit apres ne se comparent plus sans reserve.
Validation donnee critique: Faire passer une valeur de soumise a validee. Elle compte des lors dans les taux de couverture et dans tout document produit ensuite.
Partage bancaire: Remettre un dossier a un financeur. Il sort du perimetre de l'entreprise et pese dans une decision de credit.

Ce que cela n'établit pas. Le régime dépend de l'offre souscrite, et il est borné par le nombre de personnes réellement présentes dans l'organisation : une organisation d'une seule personne ne peut pas fournir de relecteur, et le produit l'écrit plutôt que de la bloquer.

Les trois régimes de relecture

Que demande exactement mon offre en matière de relecture ?

Auto revue: L'auteur approuve son propre geste. Seul regime tenable pour une organisation d'une personne, ou le refuser rendrait le produit inutilisable sans proteger qui que ce soit.
Revue tiers: Un autre membre de l'organisation approuve. L'auteur ne peut pas s'approuver lui-meme, quel que soit son role.
Revue multi etapes: Deux approbateurs distincts, tous deux differents de l'auteur. Pour les organisations qui portent une fonction de controle interne et doivent en rendre compte.

Ce que cela n'établit pas. Le régime est une propriété de l'offre, jamais d'une requête. Aucun écran et aucun appel ne peut le changer.

Combien de temps elles restent

Le barème de conservation

Combien de temps gardez-vous mes fichiers, et qui applique cette durée ?

Cle: duree_courte
Libelle: Conversations de l'atelier interne
Duree: conservées quatre-vingt-dix jours, puis supprimées
Duree jours: 90
Point de depart: ouverture de la conversation
Applique: Oui
Motif: Choix produit assumé. Une conversation de travail sert à reprendre un dossier en cours ; au-delà d'un trimestre, ce qui devait être retenu vit dans le CRM, et ce qui reste ici n'est plus qu'une copie que personne ne tient.

Cle: document_source
Libelle: Fichiers téléversés pour analyse
Duree: conservés trente jours après l'analyse, puis supprimés
Duree jours: 30
Point de depart: fin de l'analyse
Applique: Oui
Motif: Le document source est ce qui rend une citation vérifiable : sans lui, « page 51 » n'est plus qu'une affirmation, et ni l'auditeur du client ni le produit ne peuvent la rejouer. Il est donc conservé, avec son empreinte, le temps que le diagnostic soit lu et contesté. Les trente jours sont la borne de cette conservation, et ils couvrent aussi la reprise après panne du moteur, qui garde le fichier pour ne pas le redemander au client. Passé ce délai, la pièce est effacée du stockage et la clé qui la désignait est remise à vide : la colonne dit alors la vérité, la pièce n'est plus là.

Cle: quick_check_public
Libelle: Diagnostics rapides non réclamés
Duree: effacés à l'échéance du lien, soit trente jours
Duree jours: 30
Point de depart: création du diagnostic
Applique: Oui
Motif: Un diagnostic public que personne n'a rattaché à un compte n'a plus de titulaire identifiable. Le conserver reviendrait à garder le contenu d'une entreprise que nous ne pouvons plus contacter.

Cle: mesure_audience
Libelle: Mesure d'audience
Duree: treize mois
Duree jours: 395
Point de depart: collecte de la mesure
Applique: Oui
Motif: Durée maximale recommandée par l'autorité de contrôle pour les traceurs de mesure d'audience, alignée sur la durée de vie du choix de l'internaute.

Cle: choix_cookies
Libelle: Choix en matière de cookies
Duree: six mois
Duree jours: 183
Point de depart: enregistrement du choix
Applique: Oui
Motif: Le choix est redemandé à l'échéance, ce que la page annonce déjà.

Cle: dossier_transmis
Libelle: Dossiers transmis par un partenaire
Duree: vingt-quatre mois au plus, trois mois après un refus ou un aboutissement
Duree jours: 730
Point de depart: transmission du dossier
Applique: Oui
Motif: Motif contractuel. La convention d'apporteur protège un prospect douze mois, renouvelables une fois : au-delà, rien ne justifie de garder le nom d'une personne qui n'a rien demandé. La raison sociale reste, parce qu'elle prouve l'attribution et qu'elle ne désigne personne.

Cle: demande_de_rattachement
Libelle: Demandes de rattachement à un dossier
Duree: trois mois après la décision, six mois après la demande si elle n'est jamais traitée
Duree jours: 183
Point de depart: décision du cabinet, ou dernière demande de l'entreprise si aucune décision n'est prise
Applique: Oui
Motif: Arbitrage DEC-15 du 19 septembre 2026. Le nom et l'adresse du dirigeant servent au cabinet à reconnaître son client ; une fois la décision prise, le rattachement est porté par le dossier, et trois mois couvrent une contestation. Le code, la raison sociale et le lien vers le dossier restent : aucun ne désigne une personne.

Cle: candidature_partenaire
Libelle: Candidatures au programme partenaire
Duree: six mois après un refus, douze mois après le dépôt d'une candidature restée sans suite
Duree jours: 365
Point de depart: refus de la candidature, ou son dépôt si elle reste sans suite
Applique: Oui
Motif: Arbitrage DEC-15 du 19 septembre 2026, mesures précontractuelles. Six mois après un refus suffisent à répondre à une contestation ou à réexaminer une candidature ; douze mois sans suite, la démarche est éteinte. Le nom, l'adresse, la structure et le message sont effacés ; la voie, le type d'apporteur et les dates restent, parce qu'ils ne désignent personne et qu'ils portent les agrégats du programme.

Cle: infolettre_et_veille
Libelle: Adresses de l'infolettre et de la veille
Duree: trois ans sans nouvelle de votre part ; à la désinscription, l'adresse est remplacée par une empreinte
Duree jours: 1096
Point de depart: consentement, ou son dernier renouvellement ; désinscription pour l'empreinte
Applique: Oui
Motif: Arbitrage DEC-15 du 19 septembre 2026, référentiel de la CNIL sur la prospection : une adresse qui ne s'est pas manifestée depuis trois ans est effacée. À la désinscription, l'adresse disparaît au passage quotidien suivant ; seule son empreinte reste, pour que l'opposition soit respectée sans garder l'adresse. Une adresse devenue celle d'un compte suit le compte.

Cle: compte_et_contenu
Libelle: Compte, dossiers et résultats d'analyse
Duree: tant que votre compte est actif, puis supprimés ou anonymisés à sa clôture
Point de depart: clôture du compte
Applique: Oui
Motif: C'est un espace de travail : la donnée est utile tant que la personne s'en sert. La clôture déclenche la suppression effective, table par table, et non un simple marquage.

Cle: coffre_de_preuves
Libelle: Justificatifs déposés dans le coffre de preuves
Duree: conservés dans votre espace jusqu'à leur suppression par vos soins
Point de depart: dépôt du justificatif
Applique: Oui
Motif: Ces pièces constituent un dossier auditable que le client doit pouvoir produire des années plus tard. Les purger automatiquement serait une régression fonctionnelle, pas une mise en conformité.

Cle: pieces_comptables
Libelle: Factures et bons de commande
Duree: dix ans après la fin de l'exercice, même après la clôture de votre compte, puis supprimés
Duree jours: 3653
Point de depart: clôture de l'exercice comptable
Applique: Oui
Motif: Obligation comptable (article L123-22 du Code de commerce) : les pièces justificatives se conservent dix ans après la fin de l'exercice. La clôture du compte efface déjà les colonnes qui désignent une personne physique (nom, adresse électronique, téléphone, adresse IP de consentement). À l'échéance, la pièce est supprimée ; si une autre ligne la désigne encore, elle est anonymisée intégralement à la place, pour ne jamais casser une référence. Un abonnement qui ouvre encore un droit sur un compte ouvert n'est pas une pièce échue.

Cle: journal_audit
Libelle: Journal d'audit
Duree: conservé sans limite, anonymisé à la clôture de votre compte
Point de depart: clôture du compte (anonymisation)
Applique: Oui
Motif: Conservation assumée, sans purge (arbitrage DEC-15 du 19 septembre 2026). Le journal prouve ce qui a été fait sur les données d'autrui : le supprimer effacerait la trace d'actions qui ne concernent pas la seule personne qui demande l'effacement, et romprait la preuve due aux clients. À la clôture, l'identifiant, l'adresse IP et le contexte libre sont vidés ; il ne reste que le verbe et l'objet.

Cle: registre_integrite
Libelle: Registre d'intégrité
Duree: conservé sans limite, sans le contenu effacé
Point de depart: effacement de la pièce
Applique: Oui
Motif: Le registre garde l'empreinte et la date de l'effacement, jamais le contenu : c'est ce qui permet à nos clients de prouver que leur dossier n'a pas été altéré, sans conserver la donnée effacée.

Ce que cela n'établit pas. Chaque ligne porte la fonction qui applique réellement la durée. Une ligne sans exécutant est une durée annoncée que rien n'applique : elles sont déclarées telles quelles plutôt que masquées.

Les durées que rien n'applique encore

Y a-t-il des durées que vous annoncez sans les tenir ?

Ce que cela n'établit pas. Cette liste est le trou déclaré du barème. Elle est publiée parce qu'une durée non appliquée découverte par un contrôle coûte infiniment plus cher qu'une durée non appliquée annoncée.

Le préavis avant qu'une capacité disparaisse

Combien de temps ai-je pour réagir si vous retirez une fonction dont je dépends ?

Ce que cela n'établit pas. Ce préavis porte sur les capacités déclarées du produit. Il ne s'applique pas à une correction de sécurité, qui se pose sans préavis, ce qui est le comportement voulu.

Ce qui rend votre dossier défendable

Les événements qui changent la vérité d'un dossier

Qu'est-ce qui est tracé, et qu'est-ce qui ne l'est pas ?

Donnee validee: Une valeur est passee de soumise a validee. Elle compte desormais dans les taux de couverture et dans tout document produit apres cette date.
Preuve remplacee: Une piece justificative a ete remplacee par une autre. La valeur qu'elle etayait ne s'appuie plus sur le meme document.
Perimetre modifie: Le perimetre du dossier a change : une entite, un site ou un exercice est entre ou sorti. Deux documents produits de part et d'autre de cette date ne portent pas sur le meme ensemble.
Methode changee: Une methode de calcul ou un facteur a change de version. Un chiffre produit avant et un chiffre produit apres ne se comparent pas sans reserve.
Artefact publie: Un document a ete publie et fige. Son contenu ne changera plus : une correction produira une nouvelle version.
Artefact revoque: Un document publie a ete retire de la diffusion. Sa page de verification dit desormais dans quel etat il se trouve.
Approbation accordee: Une action sensible a ete relue et approuvee par une personne autre que son auteur. Elle prend effet a partir de cette date, et la ligne dit sous quel regime de relecture.

Ce que cela n'établit pas. Ce journal ne porte ni les connexions, ni les ouvertures d'écran, ni les actions techniques : celles-là vivent dans le journal d'audit, qui répond à une autre question. Un journal de preuve qui porterait tout cesserait d'être lu.

Ce qui arrive à un document publié

Si vous retirez un document que j'ai déjà envoyé à ma banque, que voit mon banquier ?

Cle: valide
Libelle: Valide
Definition: L'artefact est celui qui a ete emis, il n'a ete ni remplace ni retire, et son autorisation de diffusion tient toujours.
Message public: Ce document est authentique et toujours en vigueur a la date de cette consultation.
Cause: emission
Empreinte verifiable: Oui

Cle: expire
Libelle: Expire
Definition: L'artefact avait une duree de diffusion et cette duree est ecoulee ; rien n'est reproche a son contenu.
Message public: La periode de consultation de ce document est terminee. Le document reste authentique : son empreinte est toujours verifiable. Demandez a l'emetteur un nouveau lien si vous devez le consulter a nouveau.
Cause: echeance
Empreinte verifiable: Oui

Cle: revoque
Libelle: Revoque
Definition: L'emetteur a retire son autorisation de diffusion ; le contenu n'est pas mis en cause, c'est le droit de le consulter qui cesse.
Message public: L'emetteur a retire ce document de la diffusion. Son empreinte reste verifiable, ce qui signifie que l'exemplaire que vous detenez est bien celui qui a ete emis. En revanche il ne doit plus etre consulte ni transmis.
Cause: ecrite
Empreinte verifiable: Oui

Cle: remplace
Libelle: Remplace
Definition: Une version plus recente du meme artefact a ete publiee ; celle-ci reste exacte a sa date et n'est ni fausse ni retiree.
Message public: Une version plus recente de ce document existe. Celle que vous detenez reste authentique et exacte a sa date d'emission : elle n'a pas ete corrigee, elle a ete completee.
Cause: version_suivante
Empreinte verifiable: Oui

Cle: invalide
Libelle: Invalide
Definition: L'emetteur a constate que le contenu comporte une erreur materielle et declare que ce document ne doit plus etre oppose.
Message public: L'emetteur a declare ce document erronne. Il ne doit plus etre oppose ni cite. Cette page ne confirme plus son empreinte : rapprochez-vous de l'emetteur pour obtenir la version corrigee.
Cause: ecrite
Empreinte verifiable: Non

Cle: retire
Libelle: Retire
Definition: Le contenu a ete efface a la demande d'une personne ou d'une organisation, au titre d'un droit a l'effacement ; il n'existe plus.
Message public: Ce document a ete retire et son contenu efface a la demande de son titulaire. Cette page ne peut plus confirmer d'empreinte, faute d'original a comparer.
Cause: ecrite
Empreinte verifiable: Non

Ce que cela n'établit pas. Un lien retiré continue de répondre, et c'est la règle : un lien mort est un aveu, le lecteur conclut à une panne ou à une manipulation. En revanche l'empreinte n'est rendue que si l'état la laisse vérifiable.

Ce qui ne peut plus être réécrit

Pouvez-vous corriger discrètement un document déjà publié ?

Nom: Le rapport de durabilite publie
Champs geles: 5
Motif: Le rapport publie. Deux empreintes et non une : le PLAN canonique dit ce que le document affirme, les OCTETS disent le fichier remis. Deux documents peuvent affirmer la meme chose et differer d'un octet, et l'auditeur a besoin des deux reponses.

Nom: Le dossier remis a un financeur
Champs geles: 4
Motif: Le dossier remis a un financeur. C'est l'artefact ou la regle a ete posee en premier, et le seul dont le document de la version anterieure est regenere et compare octet pour octet apres modification des sources.

Nom: Le dossier d'appel d'offres scelle
Champs geles: 4
Motif: Le dossier d'appel d'offres scelle. Son instantane est fige au scellement et son maillon est inscrit au registre a empreintes chainees, ce qui rend une reecriture detectable meme en base.

Nom: La revision d'une piece de votre coffre de preuves
Champs geles: 2
Motif: La revision immuable d'une piece du coffre. C'est l'artefact le plus bas de la chaine : toutes les autres empreintes du produit citent la sienne, et une revision reecrite invaliderait silencieusement tout ce qui s'appuie dessus.

Nom: L'arrete de portefeuille d'un etablissement financeur
Champs geles: 4
Motif: L'arrete de portefeuille remis par un etablissement a son comite ou a ses investisseurs. Il fige l'export agrege d'un exercice : une nouvelle version cree une ligne neuve, et la precedente passe en remplacee au registre de fin de vie, sans etre reecrite.

Ce que cela n'établit pas. L'immuabilité porte sur les colonnes gelées de ces tables. Elle n'empêche pas de republier : elle empêche de faire passer une republication pour l'original.

Ce que « défendable » veut dire ici

Qu'est-ce qui vous autorise à dire qu'une donnée est défendable ?

Tenu: 13
Partiellement tenu: 14
Non tenu: 0
A ecrire: 0

Ce que cela n'établit pas. Ces comptes disent combien d'attributs du standard sont tenus, partiellement tenus ou non tenus. Un attribut non tenu est publié comme tel : un standard dont on ne publierait que les attributs tenus ne serait pas un standard.

Comment nous nous vérifions nous-mêmes

Les contrôles, et la date de leur dernière exécution

Comment savez-vous que ce que vous annoncez tient encore aujourd'hui ?

Conforme: 0
Non conforme: 0
Jamais execute: 35
Perime: 0
Introuvable: 0

Chaque controle de ce produit est rattache a un test qui le verifie, et son etat provient de l'execution datee de ce test. Le detail des controles est communique sous accord : la liste des defenses d'un produit ne se publie pas.

Ce que cela n'établit pas. Le résumé est public, le détail ne l'est pas : la liste des contrôles d'un produit est la carte de ses défenses. Elle est communiquée sous accord, dans un échange nommé.

Les invariants du produit, et ceux qui ne tiennent pas encore

Publiez-vous aussi ce qui ne marche pas ?

Tenu: 27
Partiellement tenu: 24
Non tenu: 0
A ecrire: 0

Ce que cela n'établit pas. Le statut d'un invariant est CALCULÉ à partir des tests qui le vérifient, jamais déclaré à la main. Un invariant sans balayage ne peut pas être annoncé tenu, même si personne ne l'a jamais vu céder.

Ce qui est vérifié après une restauration

Si vous devez restaurer une sauvegarde, comment savez-vous que rien n'a été perdu ?

Controle apres restauration: Une restauration de la base est vérifiée par un contrôle qui refuse de conclure si un seul document référencé manque au stockage, ou si le chaînage des empreintes du registre d'intégrité est rompu.
Ce qu il n ecrit jamais: Ce contrôle lit et n'écrit rien : il ne peut pas réparer en silence ce qu'il est chargé de constater.

Ce que cela n'établit pas. Nous ne publions aucun objectif chiffré de reprise ni de perte maximale de données : ils n'ont pas encore été mesurés sur une restauration réelle, et ils le seront avant d'être annoncés.

Relevé le 25 septembre 2026

Notre qualification au regard du règlement européen 2024/1689

Dans quelle catégorie du règlement européen sur les traitements automatisés rangez-vous le produit, et pourquoi ?

Categorie: Risque limité, soumis aux seules obligations de transparence de l'article 50.
Role de l editeur: Fournisseur (Article 3, point 3).
Decision: Qualification rendue le 2026-09-20 (DEC-72), revue au plus tard le 2026-11-30.
Reexamen: Rejouée avant toute fonction qui servirait une décision d'emploi, de crédit ou d'accès à un service essentiel.

Ce que cela n'établit pas. C'est la qualification de l'éditeur, écrite et datée, pas l'avis d'un conseil extérieur. Le détail, les motifs et les sources sont publiés sur la page de transparence.

Relevé le 20 septembre 2026

Les décisions encore ouvertes

Qu'est-ce que vous n'avez pas encore tranché ?

Cle: DEC-20
Objet: Le gain reel de la reprise d'un dossier fournisseur entre deux donneurs d'ordre. L'objectif annonce du chantier W3 est que la deuxieme reponse coute moins de 20 % de la premiere. La decision se prend sur des MESURES, et les mesures n'existent pas encore : `dossier_fournisseur_demandes` porte le chronometre qui les produira, ouverture et soumission, par demande et par fournisseur. Ecrire un seuil atteint avant d'avoir mesure serait l'inverse de ce que le produit vend. Le gain se mesure en TEMPS REEL DE REPONSE et jamais en nombre de champs preremplis : un questionnaire prerempli a 90 % dont il faut verifier chaque ligne ne fait gagner rien du tout.
Echeance: 2026-11-02

Cle: DEC-15
Objet: Durees de conservation des donnees personnelles qui n'en ont aucune au bareme : adresses d'infolettre non converties, candidatures de cabinet sans suite. Tant qu'il n'est pas rendu, ces lignes sont conservees sans terme, sur une base de consentement.
Echeance: 2026-09-14

Cle: DEC-21
Objet: Les rares emplacements ou le mot conformite reste exact. La reprise des libelles ne l'attend pas : une phrase qui affirme une conformite sans base ne devient pas correcte parce qu'on l'a laissee un mois de plus.
Echeance: 2026-09-07

Ce que cela n'établit pas. Un arbitrage en attente n'est pas un défaut : c'est une décision identifiée, datée et assumée comme non rendue. Ce sont les décisions non identifiées qui coûtent cher.

Ce que nous ne faisons pas

Ce que nous ne faisons pas de vos données

Revendez-vous, entraînez-vous, réutilisez-vous quoi que ce soit ?

Nous ne revendons aucune donnée, à personne, sous aucune forme.
Nous n'entraînons aucun modèle sur vos documents, et nous n'autorisons aucun de nos prestataires à le faire.
Nous ne réutilisons pas vos données pour un autre client, y compris sous forme agrégée, sans un consentement explicite et révocable de votre organisation.
Nous ne stockons jamais vos adresses IP en clair.

Ce que cela n'établit pas. Ces engagements portent sur nous ET sur nos prestataires, qui y sont tenus par contrat. Ils ne portent pas sur ce que vous choisiriez vous-même de partager depuis votre espace.

Relevé le 30 août 2026

Comment repartir avec vos affaires

Si nous arrêtons demain, comment je récupère tout ?

Copie complète de vos données, en libre-service, à tout moment, en formats ouverts et lisibles sans notre logiciel.
Export du coffre de preuves avec son index et l'empreinte de chaque pièce, pour que les justificatifs restent vérifiables ailleurs.
Export du journal d'audit et du registre d'intégrité, qui sont la partie de votre dossier qui prouve le reste.
Suppression de compte en libre-service, sans passer par nous, sans délai de rétention commercial.

Ce que cela n'établit pas. Ces fonctions existent dans l'espace connecté et s'exercent sans nous écrire. La réversibilité rend vos données et vos preuves, pas notre logiciel.

Relevé le 30 août 2026

Quand chaque source a été relevée

Ce n'est pas un journal des changements tenu à la main. Un journal tenu à la main est le premier élément d'une page de confiance à cesser d'être tenu : il ne casse rien en vieillissant, et il finit par affirmer que rien n'a bougé depuis huit mois. Ces dates sont celles que les sources déclarent elles-mêmes.

25 septembre 2026
Ce que le contrat de sous-traitance engage · Ce qui est vérifié après une restauration · Comment les échanges sont chiffrés · Signaler un incident de sécurité
20 septembre 2026
Notre qualification au regard du règlement européen 2024/1689
30 août 2026
Ce que nous ne faisons pas de vos données · Comment repartir avec vos affaires
28 août 2026
Ce que cette phrase ne dit pas · Les prestataires qui interviennent · Où sont stockées mes données · Quand cette carte est revue

Une date de relevé dit quand une source a été relue, pas ce qui y a changé. Dire ce qui a changé demanderait de comparer deux états du dépôt, ce qu'une page servie à la lecture ne peut pas faire honnêtement.