Sécurité

Ce que nous faisons de vos fichiers, et ce que la cryptographie garantit réellement.

Cette page décrit le traitement des documents, les mécanismes d'intégrité utilisés et leurs limites. Elle sera mise à jour à chaque évolution du service.

Le principe

Intégrité n'est pas vérité.

Une empreinte ou une signature démontre qu'un contenu n'a pas changé. Elle ne dit rien de son exactitude. C'est la règle de lecture de tout dossier Conformetics.

Ce qui est démontré

Le fichier est identique, octet pour octet, à celui ajouté au dossier.
L'attestation d'achat a été émise par Conformetics et n'a pas été altérée.
La structure du dossier et la liste des pièces sont cohérentes avec les empreintes.

Ce qui n'est pas démontré

Que le contenu d'un document est exact ou sincère.
Que les déclarations saisies dans la chronologie sont vraies.
Qu'un document a été produit à la date qu'il mentionne.
Une quelconque exonération de pénalités ou de sanctions.

Traitement des fichiers

Le traitement documentaire de Conformetics est conçu pour préserver la confidentialité de vos fichiers et limiter leur conservation au strict nécessaire.

Traitement local

Les opérations qui peuvent l'être sont réalisées dans votre navigateur, sur votre appareil : saisie du dossier, sélection des pièces et calcul des empreintes SHA-256. Les fichiers n'ont pas besoin de quitter votre poste pour être identifiés.

Traitement temporaire

Lorsque la production de l'archive ou de l'attestation nécessite un traitement côté serveur, celui-ci est limité à la durée de l'opération. Les dossiers clients ne sont pas conservés de façon permanente sur l'infrastructure Conformetics et aucune base de documents clients n'est constituée.

Nous ne pouvons pas garantir l'effacement physique instantané des données sur les supports de notre hébergeur : journaux techniques, mémoires tampons et mécanismes de redondance relèvent de ses propres durées et politiques.

État actuel du service

Dans la version actuellement en ligne, l'interface de création fonctionne entièrement dans votre navigateur : aucun fichier ni aucune information saisie n'est transmis à un serveur. Le calcul des empreintes, le paiement et la production de l'archive seront activés lors de la prochaine étape du lancement ; cette page sera alors complétée.

Conservation de votre archive

Puisque les dossiers ne sont pas stockés durablement, vous êtes responsable de la conservation de l'archive téléchargée. Conservez-la dans un espace sauvegardé.

Empreintes SHA-256

SHA-256 est une fonction de hachage cryptographique normalisée (FIPS 180-4). Elle produit, pour n'importe quel fichier, une empreinte de 64 caractères hexadécimaux. La moindre modification du fichier — un seul octet — produit une empreinte entièrement différente.

Pour vérifier une pièce, recalculez son empreinte et comparez-la à celle du registre du dossier. Aucun outil Conformetics n'est nécessaire :

macOS: shasum -a 256 facture.pdf
Linux: sha256sum facture.pdf
Windows (PowerShell): Get-FileHash .\facture.pdf -Algorithm SHA256
Windows (invite de commandes): certutil -hashfile facture.pdf SHA256

Une empreinte identique démontre que le fichier est le même. Elle ne démontre ni qui l'a produit, ni quand, ni que son contenu est exact.

Signature de l'attestation d'achat

Chaque dossier est accompagné d'une attestation d'achat signée cryptographiquement par Conformetics au moyen d'une clé privée qui ne quitte jamais le serveur. La signature se vérifie avec la clé publique correspondante, publiée ci-dessous.

La signature établit que l'attestation a bien été émise par Conformetics et qu'elle n'a pas été modifiée. Elle ne certifie ni les documents du dossier, ni les déclarations de l'utilisateur.

Clé publique de vérification

La clé publique sera publiée ici à l'ouverture du parcours complet, avant la délivrance de la première attestation.

Limites techniques

Les dates sont déclaratives. Les dates et heures de l'incident et de la chronologie sont saisies par l'utilisateur. Elles ne sont pas certifiées.
Pas d'horodatage qualifié. Conformetics n'est pas un prestataire de services de confiance qualifié au sens du règlement eIDAS et ne délivre pas d'horodatage ni de signature électronique qualifiés.
Pas d'agrément. Conformetics n'est pas une plateforme agréée par la DGFiP et n'intervient pas dans la transmission des factures.
Pas de validation du contenu. Conformetics ne vérifie pas l'authenticité, l'exactitude ou la sincérité des documents et déclarations.
Pas de garantie d'issue. Un dossier ne garantit aucune exonération de pénalités ou de sanctions, ni l'issue d'un litige.
Pas de récupération. Les dossiers n'étant pas conservés durablement, une archive perdue ne peut pas être reconstituée par Conformetics.

Infrastructure

Le site est hébergé par Vercel Inc.. Les communications sont chiffrées en HTTPS. Le paiement sera assuré par Stripe : Conformetics ne reçoit ni ne conserve les données de carte bancaire. Aucun outil de mesure d'audience ni cookie publicitaire n'est utilisé à ce jour.

Signaler une vulnérabilité

Si vous identifiez une faille de sécurité, écrivez-nous à contact@codetics.fr en décrivant le problème et la manière de le reproduire. Merci de ne pas divulguer publiquement la faille avant sa correction.