Pour l'équipe TI
Les mécanismes, avec leurs noms. De quoi remplir un questionnaire de sécurité sans nous écrire — et de quoi vérifier ce qu'on avance.
L'étanchéité ne repose pas sur du code applicatif prudent, mais sur la base de données elle-même.
Chaque table porte l'organisation à laquelle elle appartient, et la base refuse de rendre une ligne qui n'est pas la sienne — y compris au rôle applicatif, qui n'a pas le droit de contourner la règle. Une requête mal écrite ne rend rien, plutôt que de rendre trop.
L'organisation courante est établie par la session, dans la transaction, et non déduite d'un paramètre d'adresse. Changer l'identifiant dans une URL ne change donc rien.
Logos, photos et bannières sont rangés sous un préfixe propre à chaque organisation : deux clients ne partagent jamais un objet.
Une clé n'ouvre que l'organisation qui l'a créée, et le forfait est vérifié à chaque appel — pas seulement au moment où on la crée.
Quand vous branchez un annuaire.
Les identifiants d'annuaire sont chiffrés (AES-256-GCM) côté application. Ils ne ressortent jamais par une interface de lecture : la console affiche qu'ils existent, jamais leur contenu.
Lecture de l'annuaire, écriture de la signature. Aucun accès au contenu des messages n'est demandé, et aucun ne serait utile.
Débrancher l'intégration efface les identifiants. Les employés déjà importés restent, avec leur signature.
La console teste que les accès obtiennent bien un jeton chez le fournisseur, plutôt que de découvrir le contraire à la première synchronisation.
Vingt-cinq gestes consignés avec leur auteur, leur date et ce qui a changé : publication de gabarit, changement de rôle, connexion d'annuaire, import, déploiement, clé créée ou révoquée. La durée de conservation suit le forfait.
Aucune donnée personnelle n'est conservée : seulement une empreinte quotidienne, non réversible, qui permet de distinguer un clic d'un rechargement. Et le comptage est un consentement par campagne, pas un réglage global.
La plateforme ne pose pas de pixel de suivi d'ouverture dans les signatures. Les images servies le sont pour être vues, pas pour compter qui les regarde.
Session, préférence de langue. Aucun témoin publicitaire, aucun traceur tiers — d'où l'absence de bandeau à cliquer.
Nous sommes au Québec, et la Loi 25 s'applique à nous comme à vous.
Railway (États-Unis) et Cloudflare R2. L'emplacement exact et l'exploitant sont nommés dans les mentions légales, sans détour.
Désigné et joignable, comme l'exige la Loi 25. Son adresse est dans la politique de confidentialité.
Une organisation supprimée emporte ses employés, ses gabarits, ses campagnes et ses fichiers. C'est définitif, et c'est le but.
Employés, demandes libre-service et journal d'audit s'exportent en CSV. Vos données ne sont pas prises en otage.
Aussi utile à savoir que le reste.
Pour commencer
Le forfait gratuit couvre cinq employés et un gabarit — de quoi voir ce que ça donne sur vos vraies coordonnées avant d'en parler à qui que ce soit.
Les textes complets : mentions légales, politique de confidentialité et témoins.