Sécurité : ce que Formio fait des dossiers de vos clients

En production, elles vivent au Canada. La base de données, les fichiers téléversés et les formulaires remplis résident sur une machine située dans la région Google Cloud northamerica-northeast1, à Montréal.

Ce n’est pas un service infonuagique géré par un tiers. Le logiciel de base de données est installé, configuré et administré par Formio sur son propre serveur, derrière un proxy qui termine le chiffrement HTTPS. L’accès d’administration à cette machine ne passe pas par l’internet ouvert.

Les sauvegardes sont des instantanés quotidiens du disque de données, conservés sept jours.

Ce qui n’est pas au Canada. Nos environnements de développement et de préproduction tournent sur le service infonuagique de l’éditeur de notre base de données, dont les serveurs ne sont pas au Canada. Ils servent à construire et à éprouver le produit. La production est un déploiement entièrement séparé, avec sa propre adresse et sa propre base.

Sur le chiffrement, la formulation exacte compte. Les communications entre le navigateur et nos serveurs sont chiffrées par HTTPS (TLS), partout. Au repos, les disques de production sont chiffrés par Google Cloud, avec des clés que Google gère : c’est le comportement par défaut de la plateforme, pas une couche que Formio ajoute par-dessus.

Un compte administrateur de Formio peut lire les dossiers de tous les cabinets. Nous sommes deux personnes sur le produit, et cet accès sert au soutien technique : quand vous signalez un problème, c’est ce qui nous permet de le reproduire.

La liste des comptes administrateurs est une liste blanche d’identifiants tenue côté serveur, hors de l’application, et le serveur refuse de démarrer si cette liste est vide plutôt que de laisser passer. Il n’existe pas de compte administrateur implicite, et aucun cabinet ne peut s’en attribuer un.

Non. Le cloisonnement par cabinet est appliqué côté serveur, sur chaque fonction authentifiée qui touche un dossier, et jamais côté navigateur.

Le serveur ne fait pas confiance à l’identifiant de cabinet que l’application lui envoie. Il le retrouve à partir du jeton d’authentification vérifié, puis refuse toute demande portant sur un dossier, une soumission ou un fichier appartenant à un autre cabinet. Chaque table du modèle de données porte l’identifiant du cabinet et l’index correspondant, ce qui rend le cloisonnement structurel plutôt qu’accidentel.

Le lien du questionnaire vaut clé d’accès. Le lien que vous envoyez à votre client ne demande ni mot de passe ni code. Quiconque le détient peut ouvrir ce questionnaire, voir les réponses déjà saisies et les documents déjà téléversés, pour ce dossier et pour lui seul. C’est un compromis assumé, parce qu’un mot de passe imposé à un demandeur qui remplit son formulaire depuis son téléphone fait chuter le taux de complétion. Transmettez ce lien comme vous transmettriez une pièce confidentielle.

Un cabinet correspond à un compte. Il n’y a pas encore de comptes distincts par personne à l’intérieur d’un cabinet, donc pas de rôles avocat, adjoint ou stagiaire, et pas de retrait d’accès individuel quand quelqu’un part. Si plusieurs personnes utilisent Formio chez vous, elles partagent le même accès.

Non, et c’est la partie la plus solidement établie de cette page. Aucune ligne de code de Formio n’envoie quoi que ce soit à un portail gouvernemental, ni à IRCC, ni à Arrima, ni à aucun autre.

Le seul trafic entre Formio et canada.ca va dans un seul sens : nous téléchargeons les formulaires PDF officiels vierges pour les remplir. Une tâche quotidienne vérifie que ces liens répondent toujours, une tâche hebdomadaire vérifie qu’une édition plus récente n’est pas parue. Rien ne remonte.

Formio ne vous demande jamais vos identifiants de connexion à un portail gouvernemental et n’en détient aucun. Ce que le produit vous remet, c’est un formulaire rempli. C’est vous qui le relisez, le signez et le soumettez, et la responsabilité professionnelle de la soumission reste entièrement la vôtre.

L’extraction se trompe parfois, et le produit est construit pour que cela se voie plutôt que pour le masquer. Une donnée lue dans un passeport ou dans un CV est présentée au demandeur, qui la confirme ou la corrige avant de continuer.

Formio croise ensuite les réponses au questionnaire et le contenu des documents, puis signale au cabinet les incohérences, par exemple un nom qui ne concorde pas d’une pièce à l’autre. Quand un champ reste vide après remplissage, c’est presque toujours que la donnée manque au dossier, pas que le remplissage a échoué en silence.

Un formulaire produit par Formio est un brouillon rempli, pas une pièce prête à envoyer. Le produit sert votre vérification, il ne la remplace pas. Nous ne vendons aucune garantie d’exactitude, parce qu’aucun outil qui lit la photo d’un passeport ne peut honnêtement en donner une.

Nous conservons les données tant que le cabinet ne demande pas leur suppression. Il n’existe aujourd’hui aucune purge automatique et aucune durée de conservation fixée par le produit.

Ce n’est pas un oubli commode. Votre ordre professionnel vous impose ses propres obligations de conservation de dossier, souvent comptées en années, et c’est le cabinet, responsable du dossier, qui doit fixer la durée.

Sur la suppression, voici l’état exact. Supprimer un document téléversé ou un formulaire rempli est complet : le fichier disparaît du stockage. Supprimer un dossier client depuis la console retire le dossier de votre espace, mais n’efface pas encore les réponses ni les fichiers associés, qui restent en base sans être rattachés à rien de visible.

Pour un effacement complet et confirmé, écrivez à parsa@formio.ca : nous le faisons à la main, dossier par dossier ou pour tout votre espace. Rendre cette suppression complète depuis la console est un correctif à livrer, pas une fonctionnalité à débattre.

Dans tous les cas, les sauvegardes du disque de production sont conservées sept jours. Une donnée effacée aujourd’hui disparaît donc aussi des sauvegardes, au plus tard sept jours après.

Il n’existe pas aujourd’hui de bouton d’export en libre-service. La console permet de télécharger les documents d’un dossier dans une archive ZIP, et de télécharger un à un les formulaires remplis. Les réponses au questionnaire, elles, ne sortent pas de l’interface toutes seules.

L’engagement, en attendant que la fonction existe, est simple : écrivez à parsa@formio.ca et nous vous fournissons l’export complet d’un dossier ou de tout votre espace, réponses comprises, dans un format lisible par une machine. Nous le faisons aussi, et sans condition, si vous décidez de partir.

Vos données vous appartiennent. Formio ne vend ni ne loue aucune donnée de dossier, à personne.

Non, aucune. Formio n’est certifié ni SOC 2, ni ISO 27001, ni rien d’autre, et ne revendique aucune attestation d’un tiers.

Une certification est un audit externe, payant et récurrent, qui atteste qu’une organisation suit des procédures écrites. C’est un exercice utile et coûteux, que deux personnes n’ont pas fait. Le prétendre serait une fausse déclaration, et la vérification prend une minute à qui sait où chercher.

Ce que nous offrons à la place, c’est la vérifiabilité. Cette page décrit l’architecture réelle plutôt que l’architecture souhaitable, et nous répondons par écrit, en détail, à toute question technique venant de vous, de votre assureur ou de votre ordre professionnel. Si une certification devient une condition d’achat pour votre cabinet, dites-le-nous : c’est la demande qui décide de ce genre d’investissement.

Les erreurs de l’application sont enregistrées et signalées automatiquement dans notre canal interne, ce qui fait qu’un problème est en général vu avant d’être rapporté. Il n’y a ni astreinte formelle ni centre d’appels : nous sommes deux, et l’alerte arrive directement chez la personne qui peut corriger.

Si un incident de confidentialité touchait des renseignements personnels, notre part est de vous prévenir sans délai et de vous remettre tout ce que nous savons : ce qui s’est passé, quelles données sont concernées, à quel moment, et ce que nous avons fait. La déclaration à la Commission d’accès à l’information et aux personnes concernées revient au cabinet, qui est responsable du dossier au sens de la Loi 25. C’est un engagement de notre part, pas une procédure certifiée par un tiers.

Sur la disponibilité, autant être précis aussi. La production tourne sur une seule machine, dans une seule zone, sans réplique. Nous n’annonçons donc aucun taux de disponibilité contractuel. Ce qui protège vos dossiers en cas de défaillance matérielle, ce sont les instantanés quotidiens du disque de données, conservés sept jours.