Sécurité et preuve

Ce que cette application garantit, comment elle le garantit, et ce qu’elle ne garantit pas encore.

Ici se trouvent des conversations, des photographies d’enfants, des relevés bancaires et des documents susceptibles de finir dans une procédure. Celui qui dépose cela quelque part a le droit de demander comment c’est conservé — et de recevoir une réponse vérifiable, pas une phrase aimable.

Um relatório assinado, com o rodapé que diz onde se confere

La chaîne de conservation, étape par étape

Un document ne vaut comme preuve que si l’on peut montrer qu’il est bien celui qui est entré. Il y a quatre moments, et à chacun une empreinte est laissée.

1

Ce qui entre est scellé

Chaque fichier importé — l’export WhatsApp, le détail de l’opérateur, le CSV de l’administration fiscale — est conservé intact, tel qu’il est arrivé, avec son empreinte SHA-256 enregistrée. C’est ce fichier qui fait foi comme origine ; ce que l’on voit dans l’application en est la copie extraite.

L’application n’écrase jamais l’original. Quand il faut tout reconstruire depuis le début, c’est de là qu’on repart.

2

Ce qui est modifié le dit

Une photographie ré-encodée pour occuper moins de place indique qu’elle a été ré-encodée, avec la taille et l’empreinte qu’elle avait avant. Les données de l’appareil photo sont préservées.

Un numéro de téléphone déduit par l’application est marqué comme déduit, et n’écrase jamais ce que le fichier a apporté. Ce que l’application a deviné n’est jamais affiché comme ce qu’une personne a affirmé.

3

Le journal d’activité est chaîné

Chaque connexion ou déconnexion, chaque export, chaque modification de permissions est journalisé — et chaque ligne du journal porte l’empreinte cryptographique de la précédente. Modifier une ligne brise le maillon avec la suivante ; en supprimer une aussi.

Cela n’empêche personne d’écrire dans la base de données : cela rend impossible de le faire sans que cela se voie, et la vérification indique à quelle ligne et quel jour la chaîne se rompt.

4

Le document qui sort est signé

Chaque PDF émis porte une signature cryptographique sur ses propres octets : un chiffre modifié et elle ne correspond plus, et cela se voit dans n’importe quel lecteur de PDF, hors ligne, sans dépendre de nous.

Et il porte en pied de page l’adresse où le vérifier, ainsi que le bout de la chaîne du journal au moment de son émission. Voir la page de vérification

Pourquoi le bout de la chaîne figure dans le document

C’est ce qui fait du journal chaîné une preuve et non une affirmation sur nous-mêmes.

À elle seule, une chaîne d’empreintes démontre que personne n’a modifié une ligne au milieu. Mais celui qui la détient entièrement pourrait, en théorie, la refaire d’un bout à l’autre. Ce qu’il ne peut pas refaire, ce sont les documents déjà sortis d’ici et qui sont entre d’autres mains.

Un rapport émis en mars, détenu par l’autre partie et l’avocat, fixe ce que le journal disait en mars. Qui voudrait réécrire le passé devrait aussi réécrire les papiers qu’il n’a plus.

Où sont les données

Serveurs, et uniquement dans l’Union européenne

Les serveurs sont dans l’Union européenne (Contabo (França), Hetzner (Alemanha), DOTEC (Portugal) e Amazon Web Services (Irlanda)) et nous ne transférons pas de données hors de l’Espace économique européen. Les sous-traitants sont nommés sur la politique de confidentialité.

Chaque famille a sa propre base de données

Ce n’est pas une séparation par une colonne dans une table partagée : c’est un fichier de base de données par famille et un dossier de fichiers par famille. Une erreur de programmation dans une requête ne peut pas montrer à une famille les données d’une autre, parce que les données de l’autre ne sont pas là.

C’est aussi ce qui permet de supprimer une famille entièrement, et de l’exporter entièrement.

Qui, de notre côté, peut y entrer

Nous n’y entrons que si vous demandez de l’aide et l’autorisez, et cette entrée figure dans le journal chaîné — que vous pouvez vérifier. Nous ne lisons pas le contenu pour autre chose, nous ne l’utilisons pas pour entraîner quoi que ce soit et nous ne le vendons à personne.

Connexion au compte

Mot de passe stocké sous forme d’empreinte cryptographique, authentification à deux facteurs, et clés d’accès (passkeys) avec Face ID ou l’empreinte digitale de l’appareil — plus sûres, car il n’y a rien à voler et elles ne fonctionnent pas sur un faux site.

Vous voyez les connexions récentes à votre compte et pouvez mettre fin à toutes les autres sessions d’un coup.

Quand vous partez, vous partez vraiment

Vous exportez tout dans un seul fichier, dans un format qui s’importe ailleurs. Après la fin de l’abonnement : 7 jours où rien ne change, 90 jours avec le compte en lecture seule pour réactiver ou exporter, puis nous supprimons définitivement la base de données et les fichiers. Vous pouvez demander la suppression immédiate à tout moment.

Nous ne gardons pas vos enregistrements « parce qu’ils pourraient servir dans une procédure future ». Ils sont à vous.

La transcription audio ne quitte pas le serveur

Lorsqu’elle est activée, la transcription des messages vocaux s’exécute sur nos propres machines et ne communique avec aucun service externe. Un message vocal issu d’une dispute familiale n’est pas une chose à envoyer à un fournisseur d’IA en échange d’une fonctionnalité.

Ce que nous ne faisons pas, volontairement

Certaines fonctions existent ailleurs et sont absentes ici. Non parce qu’elles seraient infaisables — mais parce qu’elles détruiraient ce à quoi cette application sert.

Nous ne corrigeons pas ce que vous écrivez

Il n’y a pas ici d’assistant qui améliore le ton de vos messages avant l’envoi. Dans une archive qui existe pour montrer ce qui a été dit, une application qui réécrit vos propos cesse de contenir ce qui a été dit — et c’est cela, exactement cela, qu’on demandera à lire.

Nous ne localisons pas l’autre partie

La localisation enregistrée est celle de votre propre téléphone, pour documenter où vous étiez. Nous n’avons pas le téléphone de l’autre personne, nous n’en voulons pas, et une application qui l’offrirait vendrait de la surveillance sous un autre nom.

Pour la même raison, le dossier d’un événement ne dit jamais où se trouvait l’autre partie — il dit ce que l’on sait et se tait sur le reste. Une invention au milieu de dix faits jette les dix.

Nous ne comptons pas les ouvertures de courriel comme preuve

Quand vous envoyez un document à l’autre partie, nous conservons l’acceptation de son serveur de messagerie — un fait technique, vérifiable de l’autre côté — et les clics sur les boutons. Les OUVERTURES sont désactivées par défaut : Apple Mail charge les images tout seul et signale « ouvert » pour quelqu’un qui n’a jamais ouvert. Dans un document destiné à un avocat, une heure d’ouverture erronée est pire que pas d’heure du tout.

Et nous n’enregistrons pas l’adresse IP de qui ouvre ou clique. L’autre partie n’est pas notre cliente.

Nous ne décidons rien à votre place

Une facture arrivée par courriel attend confirmation. Une mensualité que l’application a reconnue seule est marquée « à vérifier » et ne compte pour rien tant que vous n’avez pas dit oui. Un rendez-vous n’est jamais annulé par elle. Ce que l’application a déduit est toujours marqué comme déduit.

Ce que nous n’avons pas encore

Cette section existe pour que le reste de la page vaille quelque chose. Ce sont les questions que pose un technicien exigeant, et les réponses honnêtes à ce jour.

Cachet électronique qualifié (eIDAS)

Le certificat qui signe nos PDF est émis par nous-mêmes. Cela prouve l’intégrité — un octet modifié et la signature échoue — et prouve que le document est sorti de cette application. Ce n’est pas un cachet QUALIFIÉ émis par un prestataire de services de confiance accrédité.

La différence compte : selon le règlement eIDAS, aucun cachet électronique ne peut être refusé comme preuve au seul motif qu’il n’est pas qualifié, mais c’est le qualifié qui bénéficie automatiquement de la présomption d’intégrité et d’origine. C’est dans nos projets ; ce n’est pas fait.

Certifications ISO 27001 ou SOC 2

Nous ne les avons pas. Ce sont des audits coûteux et longs, et prétendre le contraire serait faux. Ce que nous pouvons offrir entre-temps est une chose qu’une certification ne donne pas : la vérification de la chaîne du journal s’exécute de votre côté, et vérifier un document n’exige pas de nous faire confiance.

Test d’intrusion par un organisme indépendant

Pas encore réalisé par un organisme externe. Quand ce sera fait, la date et la synthèse figureront ici.

Chiffrement des fichiers au repos

C'est à moitié fait, et il vaut la peine de dire quelle moitié.

Fait. Les sauvegardes sont chiffrées avant de quitter le serveur, avec une clé qui reste de notre côté et que le fournisseur de stockage n'a pas. Et les fichiers originaux — l'export tel qu'il est sorti du téléphone, la facture telle qu'elle a été émise, c'est-à-dire la partie qui a valeur de preuve — sont conservés hors du serveur, également chiffrés avec notre clé. Aucun des deux n'est lisible par qui a accès au stockage.

Reste à faire. Les photos et les vidéos déjà traitées, ainsi que le fichier de la base de données, se trouvent sur le disque du serveur et ne sont pas encore chiffrés par l'application. Dire le contraire serait l'affirmation la plus facile à faire et la plus difficile à défendre si quelqu'un allait la vérifier. C'est ce qui manque, et cela restera écrit ainsi jusqu'à ce que ce soit fait.

Appels audio et vidéo dans l’application

Il n’y en a pas. Cette application enregistre et organise des communications qui ont lieu ailleurs — y compris celles qui ont eu lieu avant son installation — plutôt que d’être un endroit de plus où parler.

Stockage illimité

Non. L’espace fait partie de l’offre et vous voyez à tout moment où il en est. Nous préférons dire ce que coûte le stockage plutôt que promettre « illimité » et trouver ensuite comment le limiter. Voir les tarifs

Ancienneté

Nous sommes récents. Il existe dans ce domaine des applications utilisées devant les tribunaux depuis plus de vingt ans, et c’est un avantage réel qui ne s’achète pas. Ce que nous avons à mettre de notre côté, c’est ce qui se vérifie aujourd’hui, de l’extérieur, sans nous croire sur parole.