Sécurité et confidentialité
Host-blind : pas encore démontré. Aujourd’hui, nous ne pouvons pas vous garantir que nos équipes n’ont aucun moyen technique de lire vos documents.
Où nous en sommes
Ces niveaux décrivent ce que nous visons. Le niveau host-blind n’est pas encore démontré : ce n’est pas un engagement commercial.
Niveau 1
Le traitement a lieu sur notre infrastructure européenne. Le meilleur rapport simplicité-prix, pour des dossiers non sensibles.
Niveau 2 Pas encore démontré
Host-blind : pas encore démontré. Aujourd’hui, nous ne pouvons pas vous garantir que nos équipes n’ont aucun moyen technique de lire vos documents.
Niveau 3
Nous ne sommes plus qu’un espace de stockage. Personne d’autre que vous ne détient les clés.
Nous partons du fait que nous sommes le maillon faible. Un cabinet qui nous confie ses dossiers nous confie aussi le secret professionnel de ses clients. La bonne réponse n’est pas de promettre que nous ne regarderons pas : c’est de faire en sorte que nous ne le puissions pas.
Host-blind : pas encore démontré. Aujourd’hui, nous ne pouvons pas vous garantir que nos équipes n’ont aucun moyen technique de lire vos documents. Le module de traitement est bien séparé, mais les documents qui arrivent dans « À vérifier » sont lus en clair par nos serveurs, et la base de données reste commune aux deux.
Il faut encore compléter et éprouver cette séparation avant de promettre le mode host-blind.
La colonne host-blind décrit seulement ce que nous visons, pas encore démontré : ce n’est pas une garantie disponible aujourd’hui.
| Nous voyons | Mutualisé | Host-blind (visé, pas encore démontré) | Bout en bout |
|---|---|---|---|
| Le contenu des documents | Oui, techniquement | Non | Non |
| Le nom des fichiers | Oui | Non | Non |
| Votre arborescence de dossiers | Oui | Non | Non |
| Le nombre de documents et le volume | Oui | Oui | Oui |
| Les états techniques (traité, en erreur, en attente) | Oui | Oui | Oui |
| Les comptes utilisateurs et leur activité de connexion | Oui | Oui | Oui |
| Vos données de facturation | Oui | Oui | Oui |
Ce schéma montre ce que nous visons, pas encore démontré : les séparations qu’il reste à construire et à prouver.
Chez vous, l’instance dédiée
La frontière
Des compteurs, rien d’autre
Deux heures au maximum, journalisé chez vous
Le contenu, les noms, l’arborescenceObjectif, pas encore démontré : empêcher ce trajet
Chez Chartrium
Que vos documents soient chiffrés là où ils sont stockés ne prouve pas qu’ils ne passent jamais en clair par nos serveurs. La preuve complète reste à faire.
La procédure de support prévue pour les offres dédiées ne prouve pas que nous n’avons aucun accès technique au contenu. Voici ce que nous visons :
Host-blind : pas encore démontré. Aujourd’hui, nous ne pouvons pas vous garantir que nos équipes n’ont aucun moyen technique de lire vos documents.
Chaque événement qui touche un document est inscrit : arrivée, empreinte calculée, proposition de classement, validation, consultation, partage, révocation, destruction. L’entrée porte l’auteur, l’horodatage et l’origine.
Le journal est en ajout seul : il n’existe pas de fonction de modification ni de suppression, ni pour vous ni pour nous. Chaque entrée est chaînée à la précédente par une empreinte, de sorte qu’un retrait au milieu se voit. Le journal s’exporte dans un format ouvert, avec les empreintes, pour être opposable ailleurs.
L’empreinte d’un document est calculée à l’arrivée et n’est jamais recalculée. C’est ce qui permet d’affirmer, des années plus tard, que le fichier consulté est bien celui qui a été reçu.
Si vous pensez avoir trouvé une vulnérabilité, écrivez à securite@chartrium.fr. Nous nous engageons à :
Nous n’avons pas de programme de récompense financière. Le dire est plus utile que de laisser espérer.
Cette section existe parce que la plupart des pages de sécurité sont écrites pour laisser croire davantage qu’elles n’affirment. Voici, noir sur blanc, ce que nous n’avons pas.
| Référentiel | Où nous en sommes | Précision |
|---|---|---|
| ISO/IEC 27001 | Non certifiés. | Nous appliquons une partie des mesures de l’annexe A, sans audit externe ni certificat. Nous engagerons la démarche quand la taille de l’équipe le permettra ; d’ici là, affirmer le contraire serait mentir. |
| SOC 2 | Aucun rapport. | Le référentiel est américain et ne nous a pas encore été demandé par un client européen. |
| Hébergeur de données de santé (HDS) | Non agréés. | Chartrium n’est pas destiné à héberger des données de santé. Si votre usage en comporte, dites-le nous avant de souscrire. |
| SecNumCloud | Non qualifiés. | La qualification vise des besoins d’État hors de notre portée actuelle. |
| Test d’intrusion externe | Pas encore réalisé. | Par un tiers indépendant. Planifié avant l’ouverture générale ; le rapport sera résumé publiquement. |
| Engagement de disponibilité chiffré | Pas de SLA contractuel. | Nous publions la disponibilité réelle plutôt que de promettre un chiffre que nous n’avons pas encore mesuré sur une année. |
Ce que nous visons, en revanche : une architecture où le pire scénario, notre propre compromission, ne donnerait accès qu’à du chiffré sur les offres dédiées — le mode host-blind, pas encore démontré. Une certification ne remplace pas cette propriété ; elle l’attestera une fois démontrée, et nous nous y emploierons.
Vous pouvez partir à tout moment, sans nous demander quoi que ce soit. L’export est une fonction du produit, disponible dès le premier jour de l’essai :
Aucun format propriétaire, aucun frais de sortie, aucune intervention de notre part, donc aucun délai que nous pourrions faire traîner. Après résiliation, vos données restent exportables quatre-vingt-dix jours, puis sont détruites, et la destruction vous est notifiée.
Trente minutes, en visioconférence, avec la personne qui construit le produit. Posez-lui vos questions de sécurité : elle y répond sans arrondir.