Sécurité et protection de vos données

Les contrôles réalisés

Vérifications des 3 et 4 novembre 2026. Certaines portent sur le service en ligne ; les autres ont été faites en local, avec des comptes et des données fictifs, sur le code ensuite publié. Voici ce qui a été contrôlé et ce que ces résultats permettent de confirmer.

Sur le service en ligne

Pages et fichiers publiés, 4 novembre. Après chaque mise en ligne, les pages publiques ont été chargées et les fichiers de l’application comparés à la version publiée : ils correspondent. Sans connexion, les accès au compte et les demandes de copie de sauvegarde sont refusés.

Périmètre du contrôle : Ce contrôle vérifie ce qui est servi ; il ne parcourt pas l’application une fois connecté.

Sauvegardes, 3 novembre. Le rapport du 3 novembre ne signalait aucune copie manquante ni aucun échec de vérification. La lecture et la restauration des copies ont été contrôlées dans un environnement isolé.

Périmètre du contrôle : Ce contrôle ne simule pas une panne complète de production.

Emails, 3 novembre. Un email envoyé depuis un espace de test a été reçu dans Gmail. Son statut « Distribué » est remonté dans BonDossier.

Périmètre du contrôle : Cette vérification porte sur un envoi par Resend. Elle ne garantit pas la remise de tous les messages et ne couvre pas les rebonds ni les plaintes.

Inscription et connexion, 3 novembre. Les démos métier, le passage du français à l’anglais et les liens vers l’inscription ont été vérifiés dans un navigateur. Un nouveau compte et son premier espace ont été contrôlés, avec accès par Google.

Périmètre du contrôle : La première inscription Microsoft et la connexion Microsoft professionnelle externe restent à vérifier de bout en bout.

En local, avec des données fictives, 4 novembre

Récupération du compte. Dans un navigateur : une réinitialisation coupe les anciens accès personnels et une ancienne clé d’API est refusée aussitôt ; le second facteur est demandé quand il est activé ; tout couper ou retirer une connexion demande une confirmation récente. Un email de sécurité interrompu par une panne repart ensuite.

Périmètre du contrôle : Une vraie connexion Google ou Microsoft n’a pas été reproduite en local.

Droits des personnes, des agents et des clés d’API. Un espace ne voit rien d’un autre ; un champ masqué ne ressort pas dans la recherche ; l’historique ne révèle pas une fiche cachée. Une personne en lecture seule n’ajoute ni note, ni fichier, ni tâche, et un invité ne partage pas au-delà de la lecture. Dans ces essais, un agent privé de ses droits pendant son travail n’a plus rien écrit ensuite ; sur le service en ligne, un retrait de droits peut mettre un bref instant à s’appliquer partout.

Périmètre du contrôle : Ces essais couvrent les cas connus ; ils ne prouvent pas l’absence de toute faille.

Copie d’une sauvegarde. Seul le propriétaire, après une confirmation récente, obtient une copie en lecture seule, et l’espace d’origine reste intact. Les connexions, clés et agents d’origine ne sont pas réactivés ; écrire, créer une clé ou relier une boîte y est refusé ; l’export fonctionne ; les documents privés des autres membres restent illisibles.

Périmètre du contrôle : Essais dans un environnement local proche de l’hébergement ; aucune copie de données réelles n’a été faite.

Pannes et opérations simultanées. Une copie interrompue reprend depuis le début, sans copie à moitié remplie visible ; une ancienne opération ne peut plus écrire dans une copie déjà ouverte ; deux demandes simultanées ne font qu’une copie ; une suppression qui échoue est reprise. Une coupure d’accès vaut aussi dans un espace qui ne répond pas.

Périmètre du contrôle : Pannes simulées en local : elles ne reproduisent pas toutes les conditions de la production.

Requêtes mal formées. Des adresses, des cookies ou des noms de fichier mal encodés sont refusés proprement, sans erreur du serveur et sans rien enregistrer.

Périmètre du contrôle : Contrôle des cas connus, pas une recherche exhaustive.

Ces contrôles sont réalisés par l’équipe BonDossier, avec l’aide d’outils d’IA. Ils ne remplacent pas un audit de sécurité indépendant, que nous n’avons pas encore réalisé.

Chaque espace est séparé

• Chaque espace a sa propre base de données, distincte de celles des autres espaces. Les comptes (adresse, mot de passe, sessions) sont tenus à part.
• Les pages et l’application sont servies en HTTPS. L’hébergeur, Cloudflare, chiffre au repos les bases et les fichiers.
• Les mots de passe ne sont jamais enregistrés lisibles : seule une empreinte est gardée. Les sessions sont elles aussi enregistrées sous forme d’empreinte, et le cookie de connexion ne circule qu’en HTTPS, hors de portée du code des pages.
• On se connecte avec un code à usage unique reçu par email, un mot de passe, un compte Google ou Microsoft, ou la connexion d’entreprise de votre organisation.

Double authentification

• Activez-la dans Réglages, Mon profil. À chaque nouvelle connexion, après le mot de passe, le code email, Google, Microsoft ou la connexion d’entreprise, un code de votre application d’authentification est demandé.
• La clé de configuration est chiffrée. Dix codes de secours à usage unique permettent de retrouver votre compte si vous perdez votre application. Gardez-les à part : un simple email ne remplace pas le second facteur.
• L’activation ferme vos autres sessions. Les accès API et MCP déjà autorisés restent séparés et se révoquent dans leurs réglages. La double authentification est un choix personnel, pas une obligation imposable à tout un espace.

Si quelqu’un a pu entrer dans votre compte

• Réinitialiser votre mot de passe coupe les accès ouverts à votre nom avant la réinitialisation : connexions Google ou Microsoft, assistants connectés à votre nom, clés d’API personnelles et autres sessions. Les anciennes clés sont refusées dès la réinitialisation ; leur retrait de la liste de chaque espace peut prendre un peu plus de temps. Si la double authentification est activée, rien n’est coupé avant le second facteur.
• Ce qui appartient à un espace n’est pas coupé : assistants à identité propre, webhooks, automatisations, boîtes mail et Drive connectés, ainsi que les accès des autres membres. Si quelqu’un d’autre a pu utiliser votre compte, vérifiez-les dans chaque espace.
• Dans Réglages, Sécurité, vous voyez ce qui est ouvert à votre nom, et vous pouvez tout couper ou retirer une connexion Google ou Microsoft. Ces actions demandent une confirmation récente : un code reçu par email, saisi dans ce navigateur, et le code de votre application d’authentification si elle est activée.
• Retirer une connexion Google ou Microsoft ne ferme pas les sessions déjà ouvertes avec elle : l’application le dit et propose aussitôt de tout couper.
• Un email vous prévient quand une connexion Google ou Microsoft est ajoutée ou retirée, et quand des accès sont coupés.
• Les demandes de code par email et les mots de passe faux sont limités pour chaque adresse : au-delà, il faut attendre avant de réessayer. Un code reçu par email ne fonctionne que dans le navigateur qui l’a demandé. Sur un navigateur que vous n’avez jamais utilisé avec ce compte, des demandes répétées par quelqu’un d’autre peuvent retarder l’arrivée d’un code.

Des accès selon les rôles

• Quatre rôles : propriétaire, administrateur, membre et invité. Les responsables règlent l’accès par table, par champ et par équipe, dans Réglages, Accès.
• Les responsables consultent le journal des actions de l’espace, y compris les réponses des agents aux membres.
• Un invité voit les équipes de l’espace et l’adresse email des membres. Une personne en lecture seule peut commenter une fiche.
• Une clé d’API agit avec les droits de la personne qui l’a créée, jamais plus. Elle peut être limitée à la lecture et se révoque à tout moment.

Les agents IA travaillent avec vos droits

• Un agent travaille pour une personne, avec ses droits : il ne voit et ne change rien de plus qu’elle. Un agent peut aussi être limité à certaines tables.
• Ce qu’un agent prépare est une proposition. L’Agent CRM vous montre chaque changement de structure avant de l’appliquer, et une règle d’accès n’est jamais appliquée par un agent : une personne la valide.
• Les agents Organisation et Commercial agissent seuls sur les tâches et les notes, sauf si un responsable coche « Valider avant d’agir ». Un email de relance ne part que si l’envoi a été activé, et avec « Valider avant d’agir », chaque email attend votre accord.
• Les agents ne suppriment ni fiche, ni champ, ni table : ils créent, complètent ou renomment. Un changement appliqué ne s’annule pas d’un clic : relisez la proposition avant de l’appliquer.
• Chaque exécution d’un agent est inscrite dans son historique, et vous pouvez l’arrêter en cours de route.
• Protection IA, à activer par un responsable dans Réglages : un contrôle codé, puis JEV, vérifient chaque email, note, document ou fiche avant qu’un agent ou un assistant connecté ne le lise. Le contrôle codé repère les textes invisibles ou encodés et les formules d’attaque connues, même si JEV ne répond pas ; JEV juge le sens du reste. Un texte qui donne des ordres à une IA est retiré, une tentative de fraude est signalée, et dans le doute l’agent ne modifie plus rien sans votre accord jusqu’à la fin de sa tâche. Aucun contrôle automatique n’est parfait : cette protection réduit le risque, elle ne le supprime pas.

Vos assistants IA et l’API

• Claude, ChatGPT ou un autre assistant compatible se branche par le connecteur MCP de BonDossier, après une autorisation que vous donnez (OAuth). Vous choisissez l’espace et le niveau : lecture seule, ou lecture et écriture.
• L’assistant agit avec vos droits, jamais plus, et peut être limité à certains projets. Par le connecteur, il lit, crée et met à jour ; il ne supprime rien. Ses modifications sont enregistrées à votre nom.
• Le nombre de requêtes par connexion est limité. Vous coupez un accès à tout moment, dans Mes accès agents ; un jeton de renouvellement réutilisé met fin à la connexion.
• Les webhooks envoyés par BonDossier sont signés : votre outil vérifie qu’ils viennent bien de BonDossier et n’ont pas été modifiés.

Ce que reçoivent nos prestataires

• Cloudflare héberge et exécute le service : il garde les bases, les fichiers et les sauvegardes. Il fournit aussi le modèle de secours des agents (Workers AI).
• Anthropic (modèle Claude) reçoit, pour une demande faite à un agent, la demande et les fiches et documents nécessaires, dans la limite de vos droits.
• Codiv (modèle OpenJev) reçoit le texte des emails et des notes à classer, et vos demandes pour choisir une opération que vos droits permettent ; BonDossier vérifie l’opération avant de l’exécuter. Si la protection IA est activée, il reçoit aussi les contenus qu’un agent ou un assistant connecté va lire, pour y repérer des instructions cachées ou une fraude.
• Resend reçoit les emails que BonDossier envoie lui-même (codes de connexion, avis) : le destinataire et le message. Les messages envoyés depuis une boîte reliée utilisent Gmail ou Microsoft 365.
• Stripe reçoit vos paiements ; BonDossier ne voit pas votre numéro de carte. Google, Microsoft et les services que vous reliez reçoivent ou fournissent ce qu’il faut pour la connexion, la boîte ou les documents choisis.
• Si vous connectez un agenda Google ou Outlook, BonDossier lit les événements de votre agenda principal après une autorisation séparée : titre, horaires, lieu et participants. Les rendez-vous importés sont privés ; la connexion ne modifie pas votre agenda.
• BonDossier n’utilise pas vos données pour entraîner un modèle. Ce que chaque service fait de ce qu’il reçoit relève de sa propre politique, à lire sur son site (liens ci-dessus).
• Certains prestataires traitent des données hors de l’Union européenne, notamment aux États-Unis. La liste à jour et le cadre de ces transferts sont dans la politique de confidentialité.

Sauvegardes, export et fin d’abonnement

• Chaque espace et les comptes sont copiés chaque jour, quand ils ont changé. Chaque copie est chiffrée par BonDossier avant de partir, puis stockée dans l’Union européenne, à part des bases.
• Une copie par jour est gardée pendant 7 jours, puis une par semaine jusqu’à 30 jours ; la plus récente reste toujours. La restauration des copies est vérifiée sur des copies isolées, sans toucher à vos données de travail.
• Le propriétaire d’un espace peut récupérer une sauvegarde sous forme de copie, dans un nouvel espace en lecture seule, après une confirmation récente. L’espace d’origine n’est pas modifié. La copie se consulte, s’exporte et se supprime ; on n’y écrit rien.
• La copie ne reprend ni les membres, ni les clés d’API, ni les connexions (boîtes mail, agendas, Drive), ni les webhooks, les automatisations et les agents. Les emails et les documents privés des autres membres n’y sont pas lisibles.
• Vous exportez vos données en CSV quand vous voulez (Réglages, Import et export), ou vous les lisez par l’API.
• À la fin d’un essai sans abonnement, l’espace reste ouvert 7 jours, puis vous avez encore 30 jours pour exporter ou vous abonner ; deux emails vous préviennent avant tout retrait.

Ce que voit l’équipe BonDossier

• L’application ne donne à l’équipe BonDossier aucun accès au contenu de votre espace, sauf si vous l’invitez comme membre. Ses outils de diagnostic affichent des comptages et des empreintes, pour vérifier une sauvegarde ou une migration, pas le contenu de vos fiches ni de vos messages. Les outils de migration recopient le contenu d’un espace désigné vers la nouvelle version de BonDossier, sans l’afficher.
• Vos données ne sont pas chiffrées de bout en bout : les personnes qui administrent l’hébergement peuvent techniquement y accéder.
• En cas de violation de données vous concernant, nous vous prévenons sans retard, et au plus tard sous 72 heures, avec ce que nous savons et ce que nous faisons (voir la politique de confidentialité).

Hébergement dédié en Europe, sur devis

• Un serveur OVHcloud réservé à votre entreprise, situé dans l’Union européenne : cette option est proposée après étude et sur devis. Elle nécessite une installation et une migration spécifiques avant sa mise en service et n’est pas incluse dans les abonnements standard.
• Le devis précise les données hébergées, les sauvegardes et les services connectés. Cette option ne garantit pas à elle seule que les traitements des fournisseurs d’IA, d’email ou de paiement restent en Europe. Pour étudier votre besoin : contact@bondossier.com.

Les limites de l’offre standard

• BonDossier n’a ni certification de sécurité ni audit indépendant.
• Les espaces créés depuis novembre 2026 par une entreprise située en Europe (Union européenne, Espace économique européen, Suisse, Royaume-Uni) sont exécutés et stockés dans l’Union européenne, dans la juridiction européenne de Cloudflare, comme toutes les sauvegardes ; un espace créé depuis un autre pays est tenu près de ce pays. Les espaces créés avant restent où ils ont été créés tant qu’ils n’ont pas été déplacés, et les comptes (adresses, mots de passe, sessions) ne sont pas limités à l’Union européenne. L’installation sur votre propre serveur n’est pas proposée en libre-service.
• Une sauvegarde ne remplace jamais un espace en service : elle se récupère seulement en copie, en lecture seule. Un espace fermé peut être rétabli depuis sa sauvegarde par l’équipe BonDossier, à la demande de son propriétaire.
• Une question de sécurité, ou une faille à signaler : contact@bondossier.com. Le détail juridique est dans la politique de confidentialité, les mentions légales et les conditions.