Deux audits, et ce qu'ils ont trouvé

Un logiciel qui tient votre facturation, votre paie et vos données bancaires ne devrait pas vous demander de lui faire confiance sur parole. Deux audits ont été menés le même jour, sur deux terrains différents.

L'audit technique — le code

Périmètre : le dépôt entier. La partie vérifiable a été exécutée, pas relue : contrôle de types, 3 133 essais automatisés, construction de production, analyse statique, installation depuis zéro.

S'y ajoute une revue dirigée des endroits où un défaut coûte le plus cher : l'authentification des quatre espaces (gestion, salarié, client, mobile), le cloisonnement entre entreprises, et les 471 gestes d'écriture du produit — dont les protections ont été suivies une par une à travers le code, plutôt que vérifiées à l'œil.

• Aucune faille d'autorisation n'a été trouvée. Aucun chemin ne permettait de lire ou d'écrire les données d'une autre entreprise.
• Les constats ont été classés par gravité. Les bloquants ont été corrigés — ils portaient sur la façon de mettre à jour Klarvi, pas sur le produit que vous utilisez.
• Deux défauts fonctionnels réels en sont sortis, et ils ont leur propre note : une majuscule qui empêchait de se connecter depuis le téléphone, et une recherche qui exigeait la casse exacte.

L'audit juridique — le droit applicable

Klarvi avait déjà été audité comme logiciel de facturation français. Il ne l'avait jamais été comme fournisseur de service en nuage européen, ni comme prestataire de service de confiance. Ces qualités emportent des obligations qui n'avaient jamais été ouvertes.

Chaque obligation retenue porte sa source ; chaque obligation écartée porte la raison de son écartement. Dix constats principaux, dont six déjà corrigés — la localisation des sauvegardes, la reprise de vos données, le bulletin de paie électronique et la transparence de l'assistant ont chacun leur note ces jours-ci.

Ce qui a été vérifié et trouvé déjà conforme

• Le registre des traitements de l'article 30, tenu dans ses deux parties — ce qui est rare.
• L'accord de sous-traitance de l'article 28, publié et accessible.
• Aucun cookie non exempté : aucun bandeau de consentement ne vous est dû, et en poser un serait une faute d'analyse.
• La mesure d'audience sans identifiant persistant, l'export de portabilité, l'anonymisation conforme au droit à l'effacement.
• La qualification honnête des niveaux de signature — dire ce qu'une signature vaut, et ce qu'elle ne vaut pas.
• Aucune décision automatisée au sens de l'article 22 : rien ne décide à votre place.

Ce qui reste ouvert

Tout n'est pas clos, et l'annoncer serait faux. Les points restants sont écrits, datés et suivis ; certains attendent l'avis d'un professionnel du droit, d'autres du travail. Aucun de ceux qui restent n'est une faille d'accès à vos données — c'est la première chose qui a été cherchée, et la première qui aurait été corrigée.