Comment circulent les données

Le moteur d'analyse est écrit en Rust et compilé en WebAssembly. Lorsque vous ouvrez la page d'analyse, votre navigateur télécharge le module depuis notre serveur, exactement comme il télécharge les images et les scripts de la page. Ensuite, seul votre appareil travaille :

• vous choisissez un fichier XLSX, et votre navigateur le lit ;
• la lecture du tableau, tous les calculs, la matrice des classes et les recommandations s'exécutent sur votre appareil ;
• le rapport est construit au même endroit, et l'export XLSX est assemblé par le navigateur.

Le fichier n'est pas envoyé au serveur : ni en entier, ni par morceaux, ni sous une forme intermédiaire. Des dizaines de milliers de lignes prennent environ trois secondes, et il n'y a nulle part où les calculer sinon sur votre machine — ce qui se voit au fait que la vitesse dépend de votre matériel et non de notre charge.

Comment vérifier sans nous croire sur parole. Ouvrez les outils de développement de votre navigateur, l'onglet « Réseau », et lancez une analyse. Entre le choix du fichier et l'affichage du rapport, il n'y aura pas une seule requête qui envoie des données : ni vers notre domaine, ni vers un autre. La vérification prend une minute et ne demande aucun accès à notre code.

La liste est exhaustive. L'application comporte exactement trois groupes d'adresses qui acceptent quoi que ce soit du navigateur, et il n'y en a pas d'autres.

Compte et connexion. Inscription, connexion et déconnexion, renouvellement de la session, récupération et changement de mot de passe, renvoi du courriel de confirmation, connexion via Google. Sont transmis : votre adresse électronique, votre mot de passe (seule son empreinte est conservée sur le serveur), votre nom d'utilisateur et la langue de l'interface.

Achat de l'accès. Ouverture de l'achat, retour depuis la page de paiement, résiliation de l'abonnement, demande de remboursement, historique des achats et émission de la facture ou de l'avoir. Sont transmis les identifiants de la session de paiement, de l'abonnement et du tarif. Les données de votre carte ne passent pas du tout par nos serveurs : le paiement a lieu sur la page du prestataire de paiement, vers laquelle votre navigateur bascule entièrement.

Un message du formulaire de contact. Uniquement si vous l'utilisez : nom, adresse électronique, objet, texte du message, langue de l'interface et page d'envoi.

En dehors de cela, le serveur web tient un journal technique ordinaire : adresse IP, adresse demandée, heure et identifiant du navigateur. C'est grâce à lui que nous remarquons une panne ou une attaque, et tout site web en possède un.

Il n'existe aucune adresse qui accepte le fichier ou les résultats de l'analyse. C'est une affirmation vérifiable et non une politique : aucun gestionnaire de requête de ce genre n'existe dans le code, il n'y a donc aucun réglage capable de l'activer.

• le fichier lui-même et n'importe laquelle de ses parties ;
• les lignes du tableau, les noms et le contenu des colonnes ;
• les résultats de l'analyse : classes, coefficients, totaux, matrice ;
• les recommandations bâties sur vos données ;
• le rapport que vous exportez.

Il en découle ce pour quoi vous lisez sans doute cette page : nous ne savons pas ce que vous avez analysé, et nous ne savons même pas si vous avez lancé une analyse. Nous n'avons pas d'indicateur « nombre de calculs effectués » : il ne peut pas être collecté sans nous envoyer les données, et nous ne les recevons pas. Pour la même raison, nos règles de remboursement ne dépendent pas de l'usage que vous avez fait du service : nous n'avons aucun moyen de le vérifier.

Le revers de cette même propriété, et il vaut la peine d'être connu : nous ne pourrons pas restaurer votre analyse. L'onglet fermé l'emporte avec lui, car il n'en existait de copie nulle part ailleurs que dans votre navigateur.

• cb_access_token — le jeton qui ouvre au moteur son mode complet. Conservé dans le stockage local, valable deux heures au maximum et jamais au-delà de la période payée.
• cb_cms_jwt — le cookie de votre session sur le site. Marqué httpOnly, donc illisible par les scripts de la page, et valable jusqu'à sept jours.
• L'enregistrement de votre réponse à la bannière cookies — y compris la réponse « non ».
• Le fichier lui-même — uniquement dans la mémoire de la page, tant qu'elle est ouverte. Il n'est écrit ni dans le stockage local, ni dans la base de données du navigateur, ni dans des fichiers temporaires de l'application, et il disparaît avec l'onglet.

Tout ce qui est énuméré est visible dans les outils de développement de votre navigateur et vous pouvez le supprimer à tout moment. La liste complète avec les durées figure dans la Politique relative aux cookies.

Nos sous-traitants et ce à quoi chacun sert :

• l'hébergeur — le site et la base de données des comptes et des achats fonctionnent sur son infrastructure ;
• le prestataire de paiement (Stripe) — paiements, abonnements, remboursements, factures ; le paiement a lieu sur ses pages ;
• le relais de messagerie — confirmations d'adresse, liens de changement de mot de passe, notifications d'achat et réponses aux demandes ;
• Google — la connexion via Google, si vous l'utilisez, et la mesure d'audience.

Aucun d'eux ne reçoit le fichier, les lignes ni les résultats d'une analyse : ces données ne sont pas chez nous et, par conséquent, pas davantage chez nos prestataires.

À propos de la mesure d'audience — sans détour

Sur toutes les pages du site, y compris la page d'analyse, une balise Google Analytics est chargée. Nous le disons ici franchement, car vous la verrez vous-même dans la première minute de n'importe quelle vérification, et taire l'évidence dévaloriserait tout le reste de cette page.

Ce qu'elle fait et ce qu'elle ne fait pas :

• elle compte les pages vues : quelle adresse a été ouverte, d'où vient le visiteur, la langue et le type d'appareil ;
• tant que vous n'avez pas répondu à la bannière cookies, la balise fonctionne à l'état « refusé » : elle est chargée, mais n'envoie aucun événement et ne crée aucun cookie propre ;
• elle ne reçoit pas votre fichier, vos lignes, les résultats ni les recommandations. Ils ne figurent pas dans le document de la page sous une forme qu'un script tiers lise, et la balise ne les lit pas ;
• elle n'est pas utilisée pour la publicité ni le profilage.

Si, dans votre organisation, un script tiers sur une page de traitement de données est inacceptable en soi, écrivez-nous. C'est une exigence raisonnable, et elle se règle par la configuration de l'environnement, non par un débat sur ce que la balise collecte exactement.

Ce que les pages ne contiennent pas

• Les polices sont servies depuis notre domaine : elles sont intégrées à la compilation du site, et le navigateur n'adresse aucune requête à des services de polices tiers.
• Les images proviennent de notre domaine même lorsque leur source est notre système de gestion de contenu : le navigateur ne s'y connecte pas.
• Le moteur d'analyse est chargé depuis notre domaine et n'appelle rien de lui-même.
• Il n'y a ni régies publicitaires, ni widgets de chat tiers, ni compteurs de réseaux sociaux, ni services d'enregistrement de session.

Les données de votre analyse. Nous n'en sommes ni le responsable de traitement ni le sous-traitant : nous ne les recevons pas. Le traitement s'exécute entièrement sur votre équipement et demeure le vôtre ; au sens du RGPD, c'est la même chose qu'ouvrir un fichier dans un tableur installé sur votre ordinateur. Il n'y a donc ni avec qui ni sur quoi conclure un contrat de sous-traitance (DPA) pour les données d'analyse : pas d'instruction, pas de transmission, pas de traitement de notre côté.

L'expérience montre que cette case du questionnaire ne peut souvent pas rester vide. La formulation exacte : le fournisseur ne reçoit pas les données traitées dans l'outil ; le traitement est effectué localement dans le navigateur de l'utilisateur ; aucune sous-traitance n'apparaît.

Données du compte, achats et demandes. Là, nous sommes responsable de traitement, avec nos propres finalités et durées, décrites dans la Politique de confidentialité. Ce sont ces données que visent les droits d'accès, de rectification, d'effacement et les autres qui y sont énumérés.

Transferts hors EEE. Possibles chez le prestataire de paiement et chez Google, sur le fondement de clauses contractuelles types et, le cas échéant, d'une décision d'adéquation de la Commission européenne. Cela ne concerne pas les données d'analyse : elles ne franchissent aucune frontière, car elles ne quittent pas votre appareil.

Nous préférons le dire nous-mêmes plutôt que de vous laisser le chercher.

• Nous n'avons pas de certificat ISO/IEC 27001 ni de rapport SOC 2.
• Nous n'avons pas de rapport de test d'intrusion indépendant.
• Nous n'assurons pas de service de réponse aux incidents 24 h/24 ni de processus formel certifié de gestion des vulnérabilités.
• Nous n'avons pas désigné de délégué à la protection des données : l'ampleur du traitement ne l'exige pas.

Nous sommes un petit fournisseur, et cette liste reflète honnêtement notre taille. L'essentiel est ailleurs : un certificat atteste qu'une organisation protège bien les données qu'elle a reçues. Les données de votre analyse, nous ne les recevons pas — il n'y a rien à protéger de notre côté. Le risque que la certification écarte est, sur ce point, écarté autrement : non par une procédure, mais par l'absence des données.

Ce raisonnement ne s'applique pas à ce que nous recevons tout de même — comptes, achats, demandes — et là s'appliquent les mesures ordinaires : connexion chiffrée, mot de passe conservé sous forme d'empreinte, accès restreint aux serveurs, sauvegardes, journaux. Jugez-les à l'aune habituelle, comme chez n'importe quel autre fournisseur.

La date de l'édition en vigueur figure en haut de la page. Nous nous engageons à mettre ce texte à jour par la même livraison que celle qui modifie quoi que ce soit de ce qui est décrit : tout nouvel appel au serveur, tout nouveau script tiers sur la page d'analyse. Une description périmée n'est pas ici une imprécision marketing, mais une affirmation fausse faite à un auditeur.

Si votre décision interne exige des documents adaptés à votre cas — un questionnaire de sécurité rempli, une section pour l'analyse d'impact (AIPD), une annexe au contrat —, écrivez à checkbusiness.pl@gmail.com. Nous préparons ces documents au cas par cas.