Confidentialité et sécurité

1. Où sont vos données, et chez qui

• Vos documents, vos participations et votre compte sont hébergés par Supabase, dans les centres de données d’Amazon Web Services à Paris.
• Le site lui-même tourne chez Vercel, à Paris.
• Supabase est certifié SOC 2 Type 2 et ISO 27001. C’est notre hébergeur qui est certifié, pas Halofolio.
• Supabase, Amazon Web Services et Vercel sont des sociétés américaines. Vos données sont à Paris, mais nous ne pouvons pas vous dire qu’aucune autorité américaine ne pourra jamais les demander : la loi américaine peut obliger une société américaine à livrer des données, même stockées en Europe.

2. Ce que fait l’IA, et où

Quand Halofolio lit un document pour vous (un bulletin de souscription, ou vos dossiers à votre arrivée) :

• le texte est extrait sur votre ordinateur, dans votre navigateur, même d’un scan ou d’une photo ;
• seul ce texte part, par le serveur de Halofolio qui ne le garde pas, chez OVHcloud, dans son centre de données de Gravelines (Nord) ;
• une exception, à l’import d’un dossier : un bulletin scanné dont le montant ou la date n’a pas pu être lu est relu sur l’image de sa page, envoyée de la même façon à OVHcloud ;
• à votre arrivée, les papiers personnels que Halofolio reconnaît (santé, paie, banque du foyer, pièces d’identité, impôts du foyer) restent sur votre ordinateur et ne sont jamais envoyés à l’IA. Décochez avant de commencer tout dossier que vous ne voulez pas faire lire ;
• OVHcloud s’engage par contrat à ne rien stocker, même temporairement, et à ne rien réutiliser ;
• Halofolio ne garde que le nombre de lectures, et rien n’est enregistré avant votre vérification ;
• vos documents ne servent jamais à entraîner une IA.

3. Une copie complète, chez vous

• Depuis la page Sauvegarde, Halofolio recopie tous vos documents dans un dossier de votre ordinateur, rangés comme dans Halofolio.
• Les fois suivantes, seules les nouveautés sont copiées. Vous la lancez d’un clic, ou vous cochez la mise à jour automatique : elle se fait alors à chaque ouverture de Halofolio.
• Un document que vous retirez de Halofolio reste dans votre copie.
• Les fichiers vont directement de leur hébergement à votre dossier, sans passer par le site de Halofolio.
• Choisissez un dossier que OneDrive, Google Drive ou Dropbox synchronise : votre copie part aussi dans votre nuage.
• Possible avec Chrome ou Edge sur ordinateur. Ailleurs, vous téléchargez une archive de tous vos documents.
• Aujourd’hui, cette copie est le filet de vos documents : lancez-la régulièrement.

4. La double authentification, au choix

• Désactivée par défaut. Vous l’activez dans vos réglages.
• À chaque connexion, en plus du mot de passe, un code à 6 chiffres donné par une application sur votre téléphone (Google Authenticator, Microsoft Authenticator, 1Password…). Pas de SMS.
• 10 codes de secours, chacun valable une fois, si vous perdez votre téléphone. Un e-mail vous prévient dès que l’un d’eux sert.
• Une fois activée, c’est la base de données elle-même qui refuse vos données à une connexion sans le code, pas seulement l’écran.

5. Qui peut voir vos données

• Vous, les membres de votre espace, et les personnes à qui vous envoyez un lien.
• Chaque espace est cloisonné par la base de données elle-même : un autre client ne peut pas voir vos documents, même par erreur dans un écran.
• Aujourd’hui, un compte ne se crée que sur invitation : personne ne peut s’inscrire seul.
• Votre mot de passe est conservé sous une forme transformée, illisible par nous.
• Les liens que vous partagez (un co-investisseur, votre comptable) reposent sur des codes longs et imprévisibles, et se coupent d’un clic.
• Les clés d’accès techniques ne quittent jamais nos serveurs.
• Les formulaires publics vérifient, sans rien vous afficher, que l’envoi vient d’un navigateur et non d’un robot.
• Les lectures par l’IA sont plafonnées, pour empêcher les abus.
• à compléter : qui, chez Halofolio, a un accès technique aux données, et l’engagement de ne s’en servir qu’à votre demande, pour la sécurité du service ou sur obligation légale

6. Nos prestataires

• Supabase

  Société

  Supabase Pte. Ltd (Singapour), groupe américain

  Ce qu’il fait

  Base de données, fichiers, comptes et connexion

  Où

  Paris, France (centres de données d’Amazon Web Services)

  Hors de l’Union

  Son assistance technique peut intervenir depuis les États-Unis ou Singapour. Encadré par les clauses contractuelles types de la Commission européenne.

• Vercel

  Société

  Vercel Inc. (États-Unis)

  Ce qu’il fait

  Fait tourner le site ; vérifie, sans rien afficher, que les envois des formulaires publics viennent d’un navigateur et non d’un robot

  Où

  Paris, France, pour les traitements ; réseau mondial pour les fichiers du site (images, styles)

  Hors de l’Union

  Société certifiée au Data Privacy Framework (décision d’adéquation de la Commission européenne du 10 juillet 2023).

• Resend

  Société

  Plus Five Five, Inc. (États-Unis)

  Ce qu’il fait

  Envoi des e-mails (invitations, demandes de reporting, partages, notifications)

  Où

  Envoi depuis l’Irlande ; le détail des e-mails envoyés et les journaux du compte sont gardés aux États-Unis

  Hors de l’Union

  Société certifiée au Data Privacy Framework.

• OVHcloud

  Société

  OVH SAS (France)

  Ce qu’il fait

  Lecture des documents par intelligence artificielle ; nom de domaine et messagerie

  Où

  France (centre de données de Gravelines pour l’intelligence artificielle)

  Hors de l’Union

  Aucune sortie de l’Union européenne.

• Microsoft

  Société

  Microsoft Corporation (États-Unis)

  Ce qu’il fait

  Aperçu des fichiers Word, Excel et PowerPoint, seulement quand vous ouvrez cet aperçu : la visionneuse de Microsoft lit le fichier par une adresse temporaire, le temps de l’afficher

  Où

  Serveurs de Microsoft, dans le monde

  Hors de l’Union

  Société certifiée au Data Privacy Framework.

Ce qui ne reste donc pas en France : les e-mails (et ce qui y est joint, par exemple le relevé envoyé à votre comptable) et l’aperçu des fichiers Office. Les PDF et les images s’affichent directement dans votre navigateur.

Aucun outil de publicité ni de mesure d’audience. Halofolio ne vend ni ne loue vos données.

7. Ce que nous ne faisons pas encore

• Pas de chiffrement « de bout en bout » : nos serveurs peuvent lire vos documents. C’est ce qui permet l’aperçu et la lecture par l’IA.
• Pas de copie automatique de vos documents chez un second hébergeur. Votre copie sur ordinateur est le filet.
• Pas encore de sauvegarde quotidienne de notre base de données chez notre hébergeur.
• Pas de certification propre à Halofolio (ISO 27001, SOC 2). C’est notre hébergeur qui est certifié.
• Pas d’effacement du compte en libre-service : écrivez-nous à à compléter : adresse dédiée aux données personnelles.
• Pas de journal « qui a ouvert quoi » que vous pourriez consulter.
• La double authentification ne peut pas encore être imposée à tous les membres d’un espace.
• Les liens de partage et le lien de votre comptable n’expirent pas d’eux-mêmes (les invitations, si : 14 jours). Coupez ceux qui ne servent plus.
• L’e-mail qui vous prévient d’un dossier déposé contient des liens vers les fichiers, valables 30 jours : ne le transférez pas.

8. Un doute, un problème

• Écrivez-nous à à compléter : adresse de contact pour la sécurité.
• En cas de violation de données, nous prévenons la CNIL sous 72 heures lorsque la loi l’exige, et vous sans délai si vos données sont concernées.
• Le détail juridique (vos droits, les durées de conservation) est dans la politique de confidentialité.