Ce qui part vraiment
Les coordonnées du client, les adresses d'intervention de ses chantiers, et le libellé des chantiers, souvent une adresse déguisée en titre. Les photos, elles, sont réellement effacées du disque.
Sécurité et données
Vos données restent les vôtres
Vos clients, vos chantiers, vos factures et dix ans de documents fiscaux vivent sur un serveur qui n'est pas chez vous. La question n'est pas de savoir si nous sommes de bonne foi : c'est de savoir ce que vous pouvez reprendre, ce que vous pouvez effacer, et ce que personne d'autre ne peut lire.
Le droit de partir
Un export complet, à tout moment, sans le demander
Partir doit rester possible, sinon rester n'est pas un choix. L'export se déclenche depuis l'application et produit un fichier JSON qui contient l'ensemble de ce que l'entreprise a saisi.
- Toutes les tables, sans exception. La liste des tables exportées n'est pas écrite à la main : elle est déduite du schéma de la base. Le jour où une nouvelle table apparaît, elle entre dans l'export sans que personne ait à y penser.
- L'inventaire des documents archivés. Chaque PDF et chaque fichier UBL émis est listé avec son empreinte numérique. Le fichier dit où sont vos documents et ce qu'ils valent, sans se transformer en archive de plusieurs dizaines de mégaoctets.
- Un format qui se relit ailleurs. Du JSON, lisible par n'importe quel outil, avec en tête une phrase qui rappelle ce que c'est, parce qu'un fichier retrouvé dans deux ans ne se commente pas tout seul.
Pourquoi la liste vient du schéma
Un export incomplet est pire qu'un export absent : il laisse croire que vous avez vos données alors qu'il en manque une partie. Une liste écrite à la main dérive à la première évolution du produit. Celle-ci ne peut pas.
Aucun engagement de durée annoncé
Nous ne publions pas de durée minimale et nous ne retenons pas les données de quelqu'un qui s'en va. Un logiciel qu'on garde parce qu'on ne peut pas en sortir n'apprend rien à celui qui l'écrit.
Effacement
Un client qui demande son effacement est anonymisé
Le mot est moins joli que « supprimé », et c'est exactement pour ça qu'il est écrit ici. Ce que l'application fait vraiment, elle le dit à l'écran avant de le faire, et elle en rend compte après.
Ce qui reste, et pourquoi
Les documents émis et les mouvements de stock. Une facture est la preuve d'une opération TVA : elle se conserve dix ans, avec les coordonnées figées au jour de l'émission.
Un compte rendu
L'écran annonce le nombre de chantiers anonymisés, de photos supprimées et de documents conservés. Vous savez quoi répondre à votre client, avec des chiffres et non une formule.
Article 17 du RGPD contre conservation fiscale
Le droit à l'effacement n'est pas absolu : l'article 17 du RGPD prévoit lui-même qu'il ne s'applique pas lorsque le traitement est nécessaire au respect d'une obligation légale. Une facture émise entre exactement dans ce cas, elle prouve une opération TVA et doit rester conservée.
Un service qui prétendrait tout effacer d'un coup ferait mentir l'artisan à son client, et le mettrait en défaut le jour d'un contrôle. Bipstock préfère faire les deux gestes séparément : effacer ce qui peut l'être, anonymiser le reste, et l'écrire noir sur blanc.
Cloisonnement
Une entreprise ne voit jamais les données d'une autre
Plusieurs entreprises peuvent tourner sur la même installation. C'est une promesse facile à faire et facile à casser : il suffit d'une seule requête écrite trop vite pour qu'un chantier apparaisse chez le voisin.
Le code est vérifié
Un test parcourt le code et échoue si une requête touche une table métier sans filtrer sur l'entreprise, ou si du SQL traîne là où il ne devrait pas être. Ce n'est pas une relecture humaine : c'est une condition pour que la version parte.
Et l'exécution aussi
Une seconde suite fait tourner deux entreprises sur la même base : lectures et écritures croisées, numérotation qui repart à 1 pour chacune, stocks séparés, archives rangées séparément, export qui ne ramasse que l'entreprise courante.
Pas de « connexion en tant que »
L'administrateur de l'installation crée une entreprise et envoie un lien d'invitation. Il ne voit ni vos clients, ni vos chantiers, ni vos factures, et aucun écran ne lui permet de prendre votre place. Un test le garde, pour que cette porte ne s'ouvre pas un jour « juste pour dépanner ».
Votre premier mot de passe n'est jamais tapé par un tiers : le compte naît d'un lien d'invitation, et c'est vous qui le choisissez.
Photos et justificatifs
La photo du chantier ne dit pas où habite le client
Un téléphone enregistre dans chaque photo l'heure, l'appareil et, très souvent, les coordonnées GPS de l'endroit où elle a été prise. Sur une chaufferie, ces coordonnées sont le domicile de votre client.
- Les photos sont réencodées avant d'être stockées. Elles sont redimensionnées à l'envoi, puis regénérées côté serveur : les données EXIF, GPS comprises, ne survivent pas à l'opération.
- Elles ne sont pas dans un dossier public. Aucune adresse devinable ne mène à une photo : elles sont servies par l'application, qui vérifie d'abord à quelle entreprise elles appartiennent.
- Même traitement pour les tickets. Le justificatif photographié à la pompe ou à la déchetterie suit exactement le même chemin que la photo de chantier.
Le PDF est fabriqué en vase clos
La génération des documents se fait avec les requêtes distantes et l'exécution de code désactivées. Un PDF ne doit rien aller chercher ailleurs au moment où il s'imprime.
Journal d'audit
Les actions sensibles sont journalisées, dont tout écart entre la TVA calculée et la TVA retenue. Le jour où on vous demande pourquoi ce chantier est à 6 %, la réponse est datée.
Comptes et accès
Six règles ennuyeuses, tenues sans exception
Rien d'original ici, et c'est voulu : les défauts qui font perdre des données ne sont presque jamais exotiques.
- Mots de passe hachés en ARGON2ID. Personne, chez nous, ne peut lire le vôtre, et il est rehaché tout seul si les réglages durcissent.
- Douze caractères, aucune règle de composition. Exiger une majuscule, un chiffre et un caractère spécial produit Bonjour1! ; quatre mots qui vous parlent valent bien mieux.
- Jetons anti-CSRF sur toutes les mutations. Une seule exception existe dans le code, pour l'accusé de réception du réseau Peppol, et cette livraison-là est signée.
- Tentatives de connexion limitées. Le nombre d'essais est plafonné : essayer dix mille mots de passe cesse d'être une méthode.
- HTTPS obligatoire. Pas seulement pour la forme : sans connexion chiffrée, le navigateur refuse d'ouvrir la caméra, donc de scanner.
- PDO en requêtes préparées, jamais de concaténation. C'est la classe d'attaque la plus vieille du métier, et elle se ferme une fois pour toutes.
Sauvegardes
Une sauvegarde qu'on n'a jamais relue n'existe pas
Vos documents fiscaux se conservent dix ans. Perdre la base d'un artisan n'est pas un incident technique, c'est un manquement, alors la sauvegarde est traitée comme telle.
- Chiffrée avant de partir. La base et les documents archivés sont chiffrés en AES-256 avant de quitter la machine : ce qui voyage puis dort ailleurs est illisible sans la phrase de chiffrement.
- Destination externe exigée. Une copie posée à côté de la base protège d'un effacement accidentel, pas de la perte du serveur : si aucune destination extérieure n'est configurée, le script le dit et sort en erreur au lieu de se taire. Trente jours d'historique sont gardés.
- Relue, pas seulement écrite. Une commande rouvre la dernière archive et la contrôle. C'est ce qui distingue une sauvegarde complète d'un fichier tronqué, distinction qu'on découvre d'habitude le jour où on en a besoin.
- Le silence est signalé. Au-delà de deux jours sans sauvegarde, une alerte s'affiche sur votre écran d'accueil : une tâche planifiée qui s'arrête ne prévient jamais d'elle-même.
Ce que l'écran dit vraiment
« Aucune sauvegarde. Vos documents fiscaux doivent être conservés dix ans et ne sont aujourd'hui que sur ce serveur. »
Écran d'accueil, BipstockHébergement
Un serveur en Europe, choisi d'abord pour ça
L'application tourne sur un serveur européen. Ce n'est pas un argument de brochure : c'est le premier critère du choix, avant le prix et avant la puissance.
- Dix ans de documents fiscaux avec, dedans, les noms et adresses de vos clients. Ces fichiers ne bougent pas pendant une décennie : mieux vaut savoir dès le premier jour dans quel pays ils dorment.
- Aucun transfert hors Union européenne à documenter. Rester en Europe évite une paperasse entière et une incertitude juridique dont un artisan n'a aucune raison de s'occuper.
- Une machine modeste suffit. Un artisan seul tient largement sur 1 processeur virtuel, 2 Go de mémoire et 40 Go de disque. Ce qui coûte, ce n'est pas la puissance.
Ce que nous ne prétendons pas
Aucune certification, aucun audit externe et aucun label ne sont revendiqués sur cette page. Ce qui est écrit ici décrit ce que le code fait, et ce que les tests vérifient, rien d'autre.
Vous restez responsable de vos propres données vis-à-vis de vos clients. Nous vous donnons de quoi tenir ce rôle : l'export, le compte rendu d'effacement et des réponses écrites.