Ton dossier comptable. Au Québec. Chiffré en route et en sauvegarde.

Où dorment tes données

Ton dossier comptable et ses sauvegardes restent sur mon serveur, au Québec. Deux exceptions, dites d'avance. Cloudflare, une entreprise américaine, transporte les connexions. Et l'assistant Forgeron IA, la lecture des factures, le tri des courriels et l'analyse des photos en carrosserie passent par un fournisseur d'IA situé aux États-Unis : je le nomme dans ma politique de confidentialité, avec ce que chaque fonction lui transmet. Sur simple demande, je coupe ces fonctions pour ton entreprise, sauf l'analyse des photos en carrosserie, qui ne suit pas encore cette coupure (elle ne part que si tu la lances). Et si le logiciel ne peut pas vérifier ce choix, il refuse d'envoyer : un refus se corrige, une fuite, non.

Ce qui est chiffré, et comment

• En transit : TLS 1.3 sur le site et sur l'API, au test du 26 septembre 2026. Le site impose HTTPS pour deux ans (HSTS, max-age=63072000) et renvoie toute adresse http:// vers https://.
• Champs sensibles : quand tu enregistres un employé, son NAS et ses coordonnées bancaires (institution, transit, compte) sont chiffrés un par un avant d'être écrits dans la base, avec des clés rangées hors de la base. Quelqu'un qui copierait la base lirait « ftenc: » suivi d'une suite de caractères sans aucun sens. Même traitement pour le numéro RAMQ, les allergies et la médication dans le dossier patient.
• Sauvegardes : chaque archive est chiffrée en AES-256, noms de fichiers compris.
• Mots de passe : hachés avec BCrypt, jamais stockés en clair. Même moi, je ne peux pas lire le tien : je peux seulement le remplacer par un mot de passe temporaire.

Loi 25 : ce que le logiciel fait, point par point

• Portabilité : dans le logiciel, Paramètres → Sauvegarde / export de données → « Télécharger sauvegarde JSON ». Un seul fichier avec tes clients, fournisseurs, produits, factures, soumissions, bons de commande, écritures de journal, transactions bancaires, employés, talons de paie et immobilisations. JSON est un format ouvert : pas besoin de moi pour le relire (le NAS et les coordonnées bancaires des employés y restent chiffrés).
• Effacement : tu peux demander la suppression de ton compte et de tes données. Écris-moi à info@forge-tech.ca : je réponds dans les 30 jours prévus par la loi. Ce que la loi oblige à conserver l'est pour la durée requise, puis supprimé ; la politique de confidentialité donne les durées.
• Journal d'audit : Comptabilité → Journal d'audit affiche les 500 dernières créations, modifications et suppressions, avec le courriel de l'utilisateur et l'heure. Module inclus dès le forfait Pro, ou à la carte à 24,99 $/mois. Ce qu'il n'enregistre pas encore est écrit noir sur blanc dans cet article.
• Mes accès à tes données : chaque fois que j'ouvre les données de ton entreprise depuis ma console d'administration, le serveur l'inscrit, même si l'accès est refusé : la date, le compte, l'opération, l'adresse IP et la réponse. Ce registre existe pour toi : demande-le, je te l'envoie.
• Incidents : en cas d'incident qui présente un risque de préjudice sérieux, j'avise avec diligence la Commission d'accès à l'information et les personnes touchées (article 3.5 de la loi sur le secteur privé, ajouté par la Loi 25). Chaque incident, même mineur, va au registre que la loi exige.
• Responsable de la protection des renseignements personnels : Guillaume Régimbald, Forge Tech, info@forge-tech.ca.

Connexion et accès

• Plafond d'essais : 5 mauvais mots de passe en 15 minutes sur un même compte, et la connexion refuse les essais suivants pendant 15 minutes. 30 échecs venus d'une même adresse IP : même traitement. Une connexion réussie remet ton compteur à zéro.
• Aucun indice gratuit : une adresse courriel sans compte reçoit le même refus, dans le même délai, qu'un mauvais mot de passe. Essayer des adresses ne révèle pas qui est client.
• Sessions : jeton signé (HMAC-SHA256), valide 8 heures.
• Cloisonnement : l'entreprise dont tu vois les données est lue dans ton jeton signé, jamais dans l'adresse demandée. Changer un identifiant dans une requête ne donne pas accès à une autre entreprise.

Une base de données par entreprise

Chaque entreprise cliente a sa propre base de données PostgreSQL. Tes factures ne partagent pas une table avec celles d'une autre entreprise : une requête ne peut pas « oublier un filtre » et afficher les chiffres du voisin, parce que le voisin n'est pas dans la même base. C'est plus de travail à entretenir, et c'est voulu.

Disponibilité : l'engagement écrit, et la page en direct

• Objectif de 99,5 %, fixé par les Conditions d'utilisation ; SLA sur mesure pour le forfait Entreprise.
• Exemple : un mois de 30 jours compte 720 heures. 0,5 % de 720, c'est 3,6 heures : la marge d'interruption que cet objectif laisse sur un mois. Pour comparer avec n'importe quelle promesse, retiens que chaque 0,1 % vaut 43 minutes par mois (720 × 0,001 = 0,72 h). Refais le calcul avec le chiffre d'un autre fournisseur.
• Sauvegardes : chaque nuit à 3 h, toutes les bases partent dans une seule archive chiffrée en AES-256, noms de fichiers compris. L'archive est rouverte et vérifiée avant que les plus vieilles soient effacées : une copie illisible ne remplace jamais une bonne. Je garde les 14 dernières nuits, plus une copie par dimanche pendant 8 semaines.
• Relecture testée le 10 août 2026 : deux bases sorties d'une archive et relues par pg_restore, l'outil qui sert à les remettre en service (40 objets pour l'une, 1 023 pour l'autre). Une sauvegarde qu'on n'a jamais rouverte, c'est une supposition.

Ce qui manque encore, je te le dis : la copie hors site. Pour l'instant, toutes les sauvegardes sont sur la même machine que les bases. Quand ce sera réglé, cette phrase changera.

Pas de garde 24/7 : Forge Tech, c'est une seule personne. Pour savoir si tout tourne, pas besoin de m'attendre : la page d'état interroge les serveurs en direct pendant que tu la lis.

Deux tests que je ne contrôle pas

Deux outils publics notent ce site sans me demander mon avis : SecurityHeaders lit ses en-têtes de sécurité, SSL Labs éprouve son chiffrement. Les liens sont juste en dessous. Relance-les toi-même, aujourd'hui ou dans six mois : le résultat ne passe pas par moi.

Et SOC 2 ?

Forge Tech n'a pas de rapport SOC 2. Ce rapport, c'est un cabinet d'auditeurs indépendant qui le signe, et je n'en ai pas commandé. À la place d'un badge, je te montre ce que le logiciel fait : une base de données par entreprise, des mots de passe hachés en BCrypt, le NAS de tes employés chiffré avant d'être écrit, et le registre de mes accès à tes données depuis la console d'administration.

Signaler une vulnérabilité

Tu as découvert une faille ? Écris à security@forge-tech.ca : les étapes pour la reproduire, ce qu'elle permet, et une preuve de concept si tu en as une. Je réponds sous 48 h, le délai inscrit dans le fichier security.txt du site. Il n'y a pas de programme de récompense (bug bounty) pour l'instant.