Statut de cette page : description de ce que fait l'application telle qu'elle est codée et testée (voir SECURITY.md dans le dépôt), sans promesse au-delà. Version du 14 octobre 2026.
1. Sécurité : ce que fait l'application
- Lecture seule. Cinqtreize ne lit que des adresses publiques et leur historique public. Aucune clé privée ni phrase de récupération n'est demandée ; une clé collée par erreur est refusée dans le navigateur et sur le serveur, sans être enregistrée ni journalisée. Les clés d'API de plateformes sont acceptées seulement avec des droits de lecture (un droit en trop = clé refusée, revérifiée à chaque synchronisation).
- Isolation. Chaque route de dossier vérifie l'appartenance au cabinet ; un dossier d'un autre cabinet répond « introuvable » (404). Un test énumère toutes les routes de dossier de l'application pour le vérifier.
- Chiffrement. Les tokens Pennylane, jetons OAuth et clés de plateformes sont chiffrés au repos (Fernet, clé hors base, rotation possible). Les mots de passe sont hachés (scrypt). Les journaux passent par un filtre qui masque tout ce qui ressemble à un secret.
- Comptes. Cookie de session
HttpOnly, protection CSRF, limitation des tentatives de connexion et des actions par adresse IP, rôles (associé, collaborateur, client en lecture seule). - Intégrité comptable. Clé unique par transfert, état « en cours » validé avant tout envoi, réconciliation après incident : jamais deux lignes Pennylane pour un même transfert. Une clôture est validée et envoyée une seule fois.
- Sauvegardes. Copie cohérente de la base chaque jour (rotation sur 14 copies) quand l'hébergeur le permet ; reprise après arrêt brutal au démarrage.
- Sanctions. Les adresses suivies et les contreparties sont comparées à chaque synchronisation à la liste SDN de l'OFAC, liste rafraîchie toutes les 24 h : une correspondance crée une alerte critique, visible du seul cabinet, à apprécier par lui (ce n'est pas une qualification juridique).
2. Hébergement et sous-traitants
- Hébergement : prévu chez Fly.io, région
cdg(Paris) ; société de droit américain, garanties de transfert à formaliser (clauses contractuelles types / DPA). La base de données serait un fichier sur un volume persistant dans cette région. - Sous-traitants : Fly.io (hébergement prévu) ; un fournisseur d'e-mail situé dans l'Union, à confirmer (aucun e-mail n'est envoyé par l'application à ce jour : les invitations sont des liens à transmettre soi-même) ; Stripe (abonnements, en mode test à ce jour) ; fournisseur d'API blockchain (Blockscout ou Etherscan) et RPC Solana public, qui ne reçoivent que des adresses publiques ; Pennylane, à la demande du cabinet ; Anthropic (API Claude, États-Unis, hors Union) pour la reformulation optionnelle des réponses de l'assistant intégré, seulement si l'éditeur a configuré une clé d'API — sans clé, aucun appel n'est fait et les réponses sont des gabarits déterministes.
- Aucun outil publicitaire, aucun cookie tiers, aucun traceur à ce jour ; une mesure d'audience sans cookie est utilisée sur les pages publiques (empreinte journalière non réversible, sel détruit après 24 h, aucun tiers — voir le registre des traitements).
3. Données personnelles
- Les cabinets disposent d'un export complet (ZIP, sans aucun secret) et d'une suppression définitive du cabinet ou d'un compte, depuis l'application.
- Chaque dossier dispose d'une archive vérifiable (transferts, taux, clôtures, journal, empreintes SHA-256) à conserver dix ans par l'entreprise (Code de commerce, art. L123-22) et, selon la lettre de mission, par son cabinet. Cinqtreize conserve les données tant que le cabinet existe et les supprime à la suppression du cabinet ou sur sa demande.
- Documents : politique de confidentialité, registre des traitements (art. 30 RGPD), politique de conservation, accord de sous-traitance. Ce sont des brouillons en attente de relecture juridique.
4. Intelligence artificielle
Cinqtreize est développé et exploité avec l'aide de modèles d'IA ; les réponses du support et de l'assistant intégré, quand il existe, portent la mention « Réponses assistées par IA — l'équipe Cinqtreize », par transparence, dans l'esprit de l'art. 50 du règlement (UE) 2024/1689 (l'applicabilité exacte de cette obligation reste à confirmer par un juriste). Aucune écriture comptable n'est validée par une IA : les propositions sont à valider par l'expert-comptable. L'assistant intégré rédige ses réponses à partir de la piste d'audit du dossier (gabarit déterministe) ; si l'éditeur a configuré une clé d'API Anthropic, le brouillon est reformulé par Claude (API hébergée hors Union) et seuls les faits du dossier concerné lui sont transmis — jamais l'identité des utilisateurs — puis la réponse est contrôlée : tout chiffre absent des faits renvoie au gabarit. Ce contrôle vérifie la présence des chiffres, pas leur sens : la relecture reste celle de l'expert-comptable.
5. Audits et revues
Revues internes uniquement ; aucun audit externe à ce jour. Le code a fait l'objet de deux revues indépendantes et de scanners automatiques (secrets, dépendances, analyse statique) dont le compte rendu est public dans le dépôt (SECURITY.md). Aucun test d'intrusion, aucune certification (ISO 27001, SOC 2) n'a été réalisé. Un service accessible au public n'est pas encore déployé.
6. Contact
Questions de sécurité ou de protection des données : bonjour@cinqtreize.com (à confirmer par l'éditeur avant la mise en ligne). Pour une vulnérabilité signalée, nous visons un accusé de réception sous 5 jours ouvrés.