Réponse aux questionnaires sécurité

1. Où sont hébergées les données fiscales traitées par l'outil ?

Nulle part. La liasse 2259-SD (dénominations, SIREN, NIF, montants, options) est stockée exclusivement dans le navigateur de l'utilisateur (IndexedDB, copie localStorage). Il n'existe ni base de données de liasses, ni transport de données fiscales vers un serveur, ni copie côté éditeur.

2. Quelles données transitent par les serveurs de l'éditeur ?

Uniquement : le code d'accès (aucun compte, aucun email d'utilisateur), des jetons techniques aléatoires (jeton d'appareil, identifiants de liasse opaques pour le décompte du quota — des UUID sans contenu), et le SIREN interrogé auprès du proxy Sirene (donnée publique INSEE, appel de serveur à serveur).

3. Où sont situés les serveurs et qui sont les sous-traitants ?

Application et base de données PostgreSQL : Railway (société américaine), serveurs en Union européenne (Amsterdam, Pays-Bas) — codes d'accès et journaux de sécurité uniquement. Site éditorial statique : Cloudflare Pages. Formulaire de demande d'accès : Web3Forms (relais vers la messagerie de l'éditeur). Aucun de ces prestataires ne reçoit de donnée fiscale, celle-ci ne quittant pas le navigateur.

4. Les données sont-elles chiffrées en transit et au repos ?

En transit : TLS sur l'ensemble des domaines. Au repos : les données fiscales résident sur le poste de l'utilisateur, sous le contrôle de sa propre politique de sécurité. Les sauvegardes exportées sont chiffrées en AES-256-GCM avec une clé dérivée du mot de passe de l'utilisateur (PBKDF2), le chiffrement s'exécutant dans le navigateur.

5. Quels traceurs, télémétries ou services tiers sont embarqués ?

Aucun dans l'application : pas de mesure d'audience, pas de traceur, pas de service de remontée d'erreurs tiers. La politique de sécurité de contenu impose connect-src 'self' : le navigateur ne peut émettre aucune requête fetch/XHR vers un domaine tiers (vérifiable dans l'en-tête Content-Security-Policy). Seules ressources tierces chargées : des images de drapeaux (flagcdn.com), sans cookie.

6. Comment l'accès à l'application est-il sécurisé ?

Accès par code nominatif délivré sur invitation, limité en nombre d'appareils (jeton d'appareil aléatoire par navigateur). Cookies httpOnly, secure, sameSite ; protection CSRF ; limitation de débit par IP sur les points d'entrée sensibles ; scripts verrouillés par nonce par requête (CSP strict-dynamic) ; frame-ancestors 'none'.

7. Comment la conformité du fichier produit est-elle garantie ?

Le fichier XML GIR est validé contre le schéma officiel GLOBEXML 1.0 et soumis aux contrôles DGFiP (Annexe 3) directement dans le navigateur, avant dépôt. Rapport de contrôles PDF et empreinte SHA-256 du fichier générés en local, prêts à annexer au dossier d'audit.

8. Quelle est la réversibilité ? Comment supprimer les données ?

Le format de sortie est le XML GLOBE_OECD officiel — réimportable dans tout outil conforme, sans format propriétaire. L'export chiffré permet l'archivage ou la migration de poste. La suppression est immédiate et locale : effacer les données du navigateur supprime la totalité des liasses, aucune copie serveur n'existant.

9. Quelles certifications sont détenues ?

Aucune certification ANSSI, label CNIL ou qualification SecNumCloud n'est détenu ni revendiqué à ce jour. La position de sécurité repose sur l'architecture (absence de traitement serveur des données fiscales), dont chaque affirmation ci-dessus est vérifiable techniquement par vos équipes.

Document d'information établi par Decuma SAS ; il ne constitue ni un engagement contractuel ni un conseil juridique. Détail des traitements : politique de confidentialité · version en ligne : pilier2xml.com/securite/.