Sécurité : ce que Formio fait des dossiers de vos clients

En production, elles vivent au Canada. La base de données, les fichiers téléversés et les formulaires remplis résident sur une machine située dans la région Google Cloud northamerica-northeast1, à Montréal.

Ce n’est pas un service infonuagique géré par un tiers. Le logiciel de base de données est installé, configuré et administré par Formio sur son propre serveur, derrière un proxy qui termine le chiffrement HTTPS. L’accès d’administration à cette machine ne passe pas par l’internet ouvert.

Les sauvegardes sont des instantanés quotidiens du disque de données, conservés sept jours.

Ce qui n’est pas au Canada. Nos environnements de développement et de préproduction tournent sur le service infonuagique de l’éditeur de notre base de données, dont les serveurs ne sont pas au Canada. Ils servent à construire et à éprouver le produit. La production est un déploiement entièrement séparé, avec sa propre adresse et sa propre base.

Sur le chiffrement, la formulation exacte compte. Les communications entre le navigateur et nos serveurs sont chiffrées par HTTPS (TLS), partout. Au repos, les disques de production sont chiffrés par Google Cloud, avec des clés que Google gère : c’est le comportement par défaut de la plateforme, pas une couche que Formio ajoute par-dessus.

Un compte administrateur de Formio peut lire les dossiers de tous les cabinets. Cet accès sert au soutien technique : quand vous signalez un problème, c’est ce qui nous permet de le reproduire.

La liste des comptes administrateurs est une liste blanche d’identifiants tenue côté serveur, hors de l’application, et le serveur refuse de démarrer si cette liste est vide plutôt que de laisser passer. Il n’existe pas de compte administrateur implicite, et aucun cabinet ne peut s’en attribuer un.

Non. Le cloisonnement par cabinet est appliqué côté serveur, sur chaque fonction authentifiée qui touche un dossier, et jamais côté navigateur.

Le serveur ne fait pas confiance à l’identifiant de cabinet que l’application lui envoie. Il le retrouve à partir du jeton d’authentification vérifié, puis refuse toute demande portant sur un dossier, une soumission ou un fichier appartenant à un autre cabinet. Chaque table du modèle de données porte l’identifiant du cabinet et l’index correspondant, ce qui rend le cloisonnement structurel plutôt qu’accidentel.

Le lien du questionnaire vaut clé d’accès. Le lien que vous envoyez à votre client lui ouvre son questionnaire sans mot de passe, pour ce dossier et pour lui seul. C’est un choix assumé : un demandeur qui remplit son formulaire depuis son téléphone abandonne devant une étape de connexion. Transmettez ce lien comme vous transmettriez une pièce confidentielle.

Non. Aucune donnée ne part de Formio vers un portail gouvernemental, ni vers IRCC, ni vers Arrima, ni vers aucun autre. Formio ne dépose rien, ne soumet rien et ne décide rien à votre place.

Remplir et déposer sont deux gestes distincts, et c’est la distinction la plus souvent mal comprise. Formio prépare et remplit, à partir du dossier client, ce qui devait être retapé une valeur à la fois. Ce qui suit reste à vous : vous relisez ce qui a été rempli, vous corrigez ce qu’il y a à corriger, puis vous déposez vous-même, depuis le compte du cabinet.

Pour les formulaires PDF officiels, notre trafic vers canada.ca va dans un seul sens : nous téléchargeons les versions vierges pour les remplir. Une tâche quotidienne vérifie que ces liens répondent toujours, une tâche hebdomadaire vérifie qu’une édition plus récente n’est pas parue. Cette surveillance lit des pages publiques, elle n’envoie aucune donnée de dossier.

Formio ne vous demande jamais vos identifiants de connexion à un portail gouvernemental et n’en détient aucun. Le compte du portail reste celui du cabinet, avec les obligations professionnelles qui vont avec. Ce que Formio vous remet, c’est un dossier rempli, jamais une demande envoyée : c’est vous qui relisez, qui signez et qui déposez, et la responsabilité professionnelle du dépôt reste entièrement la vôtre.

L’extraction se trompe parfois, et le produit est construit pour que cela se voie plutôt que pour le masquer. Une donnée lue dans un passeport ou dans un CV est présentée au demandeur, qui la confirme ou la corrige avant de continuer.

Formio croise ensuite les réponses au questionnaire et le contenu des documents, puis signale au cabinet les incohérences, par exemple un nom qui ne concorde pas d’une pièce à l’autre. Quand un champ reste vide après remplissage, c’est presque toujours que la donnée manque au dossier, pas que le remplissage a échoué en silence.

Un formulaire produit par Formio est un brouillon rempli, pas une pièce prête à envoyer. Le produit sert votre vérification, il ne la remplace pas. Nous ne vendons aucune garantie d’exactitude, parce qu’aucun outil qui lit la photo d’un passeport ne peut honnêtement en donner une.

Nous conservons les données tant que le cabinet ne demande pas leur suppression. Il n’existe aujourd’hui aucune purge automatique et aucune durée de conservation fixée par le produit.

Ce n’est pas un oubli commode. Votre ordre professionnel vous impose ses propres obligations de conservation de dossier, souvent comptées en années, et c’est le cabinet, responsable du dossier, qui doit fixer la durée.

Supprimer un document téléversé ou un formulaire rempli depuis la console est définitif : le fichier disparaît du stockage.

Pour l’effacement complet d’un dossier ou de tout votre espace, réponses et fichiers compris, écrivez à parsa@formio.ca : c’est fait à la main et confirmé par écrit.

Dans tous les cas, les sauvegardes du disque de production sont conservées sept jours. Une donnée effacée aujourd’hui disparaît donc aussi des sauvegardes, au plus tard sept jours après.

Depuis la console, vous téléchargez les documents d’un dossier dans une archive ZIP, et les formulaires remplis un par un.

Pour l’export complet d’un dossier ou de tout votre espace, réponses comprises et dans un format lisible par une machine, écrivez à parsa@formio.ca. Nous le fournissons aussi, et sans condition, si vous décidez de partir.

Vos données vous appartiennent. Formio ne vend ni ne loue aucune donnée de dossier, à personne.

Non, aucune. Formio n’est certifié ni SOC 2, ni ISO 27001, ni rien d’autre, et ne revendique aucune attestation d’un tiers.

Une certification est un audit externe, payant et récurrent, qui atteste qu’une organisation suit des procédures écrites. C’est un exercice utile et coûteux, que nous n’avons pas fait. Le prétendre serait une fausse déclaration, et la vérification prend une minute à qui sait où chercher.

Ce que nous offrons à la place, c’est la vérifiabilité. Cette page décrit l’architecture réelle plutôt que l’architecture souhaitable, et nous répondons par écrit, en détail, à toute question technique venant de vous, de votre assureur ou de votre ordre professionnel. Si une certification devient une condition d’achat pour votre cabinet, dites-le-nous : c’est la demande qui décide de ce genre d’investissement.

Les erreurs de l’application sont enregistrées et signalées automatiquement dans notre canal interne, ce qui fait qu’un problème est en général vu avant d’être rapporté. Il n’y a ni astreinte formelle ni centre d’appels : l’alerte arrive directement chez la personne qui peut corriger.

Si un incident de confidentialité touchait des renseignements personnels, notre part est de vous prévenir sans délai et de vous remettre tout ce que nous savons : ce qui s’est passé, quelles données sont concernées, à quel moment, et ce que nous avons fait. La déclaration à la Commission d’accès à l’information et aux personnes concernées revient au cabinet, qui est responsable du dossier au sens de la Loi 25. C’est un engagement de notre part, pas une procédure certifiée par un tiers.

Sur la disponibilité, nous n’annonçons aucun taux contractuel, parce que nous ne vendons pas une garantie que nous ne pourrions pas tenir. Ce qui protège vos dossiers en cas de défaillance matérielle, ce sont les instantanés quotidiens du disque de données, conservés sept jours.