Des engagements vérifiables, pas des logos.

Les invariants

Aucune exception. Aucun raccourci.

1. #01

   Consentement horodaté pour toute collecte de renseignements personnels : finalité, version des conditions, date, empreinte technique.

2. #02

   Renseignements minimisés : aucune donnée personnelle sensible (NAS, dossier médical, adresse personnelle). Données d'entreprise seulement.

3. #03

   Adresses IP anonymisées : jamais l'adresse brute, seulement un bloc réseau.

4. #04

   Empreinte du navigateur hachée en SHA-256, jamais conservée en clair.

5. #05

   Purge automatique : les téléversements bruts sont détruits 90 jours après leur traitement.

6. #06

   Chiffrement au repos AES-256-GCM des jetons d'intégration et des secrets sensibles.

7. #07

   Journal de sécurité systématique : connexion, double authentification, paiement, export, suppression, calcul IA, clôture, cosignature.

8. #08

   Isolation par dossier active à 100 % en base : un membre ne lit que ce que son dossier autorise.

9. #09

   Aucune clé de service côté navigateur : la clé d'administration ne quitte jamais le serveur.

10. #10

    Double authentification exigée sur les comptes payants, sessions limitées dans le temps et verrouillage après inactivité.

11. #11

    Limitation des tentatives de connexion par adresse, avec journalisation des échecs.

12. #12

    Mots de passe : hachage bcrypt, longueur minimale de 12 caractères, mélange exigé.

13. #13

    Notification à la Commission d'accès à l'information sous 72 heures en cas d'incident de confidentialité, selon un runbook écrit.

14. #14

    Résidence des données : ca-central-1 (AWS Montréal) — les données restent au Canada.

15. #15

    Anti-altération des livrables IA : empreinte SHA-256 calculée à l'approbation, re-vérifiée à chaque lecture, alerte en cas d'écart.

16. #16

    Anti-invention : les sorties IA sont contraintes par un schéma strict et par la consigne « aucun chiffre inventé » ; un montant non rattaché à une pièce n’est pas matérialisé.

17. #17

    Webhooks idempotents et signés : un même événement traité deux fois ne produit jamais deux effets.

18. #18

    Autorités de certification restreintes sur le domaine, avec adresse de signalement publiée.

19. #19

    SPF, DKIM et DMARC publiés et surveillés sur le domaine d'envoi.

20. #20

    Adresses personnelles bannies de l’infrastructure : toute occurrence est traitée comme un incident à corriger.