Confiance et sécurité

Où nous en sommes réellement

Termsroom existe pour tenir le dossier d’une négociation entre deux parties qui ne se font pas entièrement confiance. Cela ne fonctionne que si aucune d’elles n’a à nous croire sur parole. Cette page indique ce qui est certifié, ce qui ne l’est pas encore et comment vérifier le reste vous-même.

État de la certification

Termsroom ne détient pas encore de rapport SOC 2. Le mandat d’audit de type I doit commencer le jeudi 11 février 2027, et nous vous communiquerons le rapport dès que l’auditeur l’aura publié. La période d’observation de type II se poursuit ensuite au moins jusqu’au 11 mai 2027, et le rapport est attendu en juin 2027. Un examen de sécurité interne assisté par IA, portant sur le code source et une copie de la base de données construite localement, a été réalisé le 30 septembre 2026, et les correctifs de base de données qui en découlent sont en place. Nous l’avons mené nous-mêmes au moyen de Claude, d’Anthropic : il n’est donc pas indépendant, il n’a pas visé le service en production et il ne fait pas partie d’un rapport SOC 2. Un test d’intrusion indépendant est prévu pour le jeudi 5 novembre 2026. Une période d’observation SOC 2 de type II dure au moins trois mois et ne peut pas être antidatée : aucun fournisseur ne peut donc produire ce rapport plus vite.

Ce que nous pouvons vous montrer aujourd’hui, ce sont les contrôles eux-mêmes, en action, et la preuve qu’ils fonctionnent. Tout ce qui suit est vérifié en direct.

Évaluation des fournisseurs

terminéeautoévaluation, pas une certification

Termsroom a réalisé une autoévaluation HECVAT 4, version 4.1.6. Elle porte sur la sécurité, la confidentialité, l’accessibilité des TI et l’intelligence artificielle, et elle est offerte à tout établissement qui en fait la demande. Nous n’exigeons pas d’entente de confidentialité au préalable : rien dans son contenu n’est sensible sur le plan commercial, et la communauté qui tient l’outil à jour estime que les établissements ne devraient pas avoir à signer quoi que ce soit pour l’obtenir.

Précisons ce dont il s’agit : le Higher Education Community Vendor Assessment Toolkit est un questionnaire qu’un fournisseur remplit à son propre sujet. Il n’y a ni auditeur, ni note de passage, ni autorité de notation, et EDUCAUSE, qui le tient à jour, qualifie les réponses d’autodéclarées. C’est un moyen de donner à vos évaluateurs ce dont ils ont besoin dans un format qu’ils connaissent déjà, pendant que les travaux SOC 2 décrits ci-dessus suivent leur cours. Ce n’est pas une certification, et nous ne le présenterons pas comme telle.

Il est reconnu dans l’enseignement supérieur canadien. L’Université de Toronto inscrit le HECVAT parmi les documents de sécurité des fournisseurs que son évaluation des risques liés à l’information accepte, et CANARIE, le réseau national de recherche et d’éducation, en a examiné un dans le cadre de son propre approvisionnement.

Ce que ça ne veut pas dire, puisque cette page se veut exacte plutôt que flatteuse : aucun établissement n’a évalué Termsroom à partir du nôtre. Toronto mène sa propre évaluation des risques selon ISO 27005 et NIST 800-39, et le HECVAT n’y est qu’un élément parmi d’autres, pas un substitut. Si nous les nommons ici, c’est seulement pour montrer que le format est accepté.

Pour le demander, ou pour obtenir une trousse d’évaluation des facteurs relatifs à la vie privée destinée à un établissement ontarien : security@termsroom.com.

Contrôles en fonction en ce moment

Chacun de ces contrôles a lancé une requête sur le système en production au chargement de cette page à 8 h 55 UTC, et chacun aurait pu passer au rouge. Votre équipe de sécurité peut tous les lancer sur vos propres données. La requête est affichée sous chaque résultat.

Aucune donnée non classifiée
En fonctionCC8.1 · C1.1
Chaque colonne de la base de données est déclarée et classifiée. Rien n’a été ajouté dont nous n’ayons pas rendu compte.
Aucune colonne non classifiée.
select * from tr_uninventoried_columns()
Journal des activités intact
En fonctionCC7.2 · CC7.3
L’historique complet de qui a fait quoi est protégé par une chaîne de hachage, et on ne peut qu’y ajouter des entrées. Si une entrée avait été modifiée ou retirée, cette vérification échouerait.
93 entrées vérifiées.
select * from tr_verify_audit_chain()
Aucun accès d’une partie à l’autre
Non mesuréCC6.1 · C1.1
Personne de l’autre partie n’a jamais lu les documents de votre salle privée. Chaque partie peut lancer cette vérification sur ses propres données.
Connectez-vous pour exécuter cette vérification sur votre propre organisation.
select * from tr_cross_party_access(:org)
Stockage organisationnel seulement
En fonctionC1.1 · CC6.1
Chaque emplacement de stockage connecté appartient à une organisation : entreprise, syndicat ou organisme public. Les comptes personnels sont refusés, pas seulement signalés.
Toutes les connexions actives sont validées comme organisationnelles.
select count(*) from storage_connections where status='active' and not is_organisational
La diffusion inscrit qui a droit au document, pas son contenu
En fonctionC1.1 · CC6.1
Une ligne de destinataire indique qu’une personne nommée avait droit à un document nommé et si elle l’a consulté. Elle ne contient jamais le document.
Aucune diffusion ne contient quoi que ce soit qu’elle ne devrait pas contenir.
select * from tr_verify_distribution_custody()
Le dossier final est remis aux deux parties
En fonctionC1.1 · CC7.2
À la conclusion de l’entente, le dossier final est enregistré dans le stockage de chaque partie; seuls un lien et une empreinte sont conservés ici. Une négociation déclarée terminée avec moins de deux copies n’a pas livré ce qu’elle promettait.
Chaque négociation terminée a remis un dossier aux deux parties.
select * from tr_verify_closure_custody()
Les risques privés restent privés
En fonctionC1.1 · CC6.1
Un risque noté dans une salle privée n’est visible que dans cette salle. Le rendre visible à l’autre partie l’amène à la table de négociation, et c’est consigné comme une communication. Un risque marqué comme partagé alors qu’il est encore dans une salle privée est donc une anomalie.
Aucun risque n’est visible ailleurs qu’à l’endroit où il a été délibérément communiqué.
select * from tr_verify_risk_custody()
Connecté à la base de données déclarée
En fonctionCC6.1 · CC8.1
Ce déploiement communique avec la base de données que ce produit doit utiliser, dans la région que nous indiquons.
Projet xvsejdzvsyqoimxkxjxq, Supabase, ca-central-1.
NEXT_PUBLIC_SUPABASE_URL comparé à supabase/expected-project.json

Propriétés de conception

Ce ne sont pas des mesures. Ce sont des énoncés sur le schéma et le déploiement, vrais au moment où ils ont été écrits et vérifiables en lisant les migrations, mais aucune requête ne les a vérifiés au chargement de cette page. Nous les gardons dans une liste à part pour que la liste précédente ne s’attribue pas un travail qu’elle n’a pas fait.

Aucun contenu de document conservé
En fonctionC1.1
Aucun texte de clause n’est conservé. Les grandeurs numériques extraites d’une clause le sont : les montants, les pourcentages et les quantités dont une comparaison a besoin pour dire qu’un seuil a changé. Elles sont dans la base de données; les phrases qui les entourent ne le sont pas.
Appliqué au niveau du schéma par une contrainte de vérification sur data_inventory. Par ailleurs, clauses.features conserve les montants, les pourcentages et les quantités extraits d’une clause, et clause_changes.deltas conserve leurs valeurs avant et après. Le texte des clauses n’est jamais conservé.
contrainte de vérification no_document_content sur data_inventory (class <> 'content'), et clauses.features tel qu’écrit par lib/diff/features.ts
Sécurité au niveau des lignes sur chaque table
En fonctionCC6.1 · CC6.3
L’autorisation est appliquée par la base de données, et non par l’application. Aucun chemin de requête ne la contourne.
Les écritures passent par des fonctions SECURITY DEFINER plutôt que par des politiques permissives. L’application n’interroge jamais les données des utilisateurs avec la clé de rôle de service.
alter table … enable row level security sur chaque table du schéma public
On ne peut qu’ajouter au journal des activités
En fonctionCC7.2
Inviolable en pratique : toute modification peut être détectée par une partie qui a reçu plus tôt l’empreinte de la fin de la chaîne. Des déclencheurs bloquent toute modification ou suppression, peu importe le rôle, y compris le nôtre.
Appliqué par des déclencheurs dans la migration 0001 et éprouvé par la suite de tests.
les déclencheurs before update et before delete lèvent une exception, peu importe le rôle
Renforcement du transport et du navigateur
En fonctionCC6.6 · CC6.7
HSTS avec préchargement, politique de référent stricte, protection du type de contenu et de l’encadrement sur chaque réponse.
Appliqué à toutes les routes; la politique d’encadrement de Teams est limitée aux origines Microsoft.
en-têtes de sécurité définis dans next.config.mjs

Ce que nous détenons, et ce que nous ne détenons jamais

Nous détenons

Des liens vers l’emplacement de chaque document dans votre propre stockage
Des empreintes SHA-256 qui prouvent quel fichier exact a été déposé
La position des clauses, leur profondeur et leur nombre de mots
Des constats, par exemple que la clause 12.4 a changé sur le fond
Qui a fait quoi, quand et d’où
Le texte que vous avez saisi dans Termsroom, comme le titre d’un risque
Un identifiant chiffré, seulement avec l’option de stockage où vous nous en fournissez un (voir le tableau ci-dessous)

Nous ne détenons jamais

Le contenu de vos documents, dans aucune table, jamais
Le texte ou les titres des clauses de votre entente
Le dossier final produit à la conclusion de l’entente, qui est plutôt enregistré dans le stockage des deux parties
Un identifiant que vous ne nous avez pas fourni vous-même
Les clés de chiffrement de votre propre stockage, quelle que soit l’option choisie

Chaque colonne de notre base de données porte une classification déclarée, et la classification qui permettrait d’y placer le contenu d’un document est interdite par une contrainte de base de données. Une colonne ajoutée sans classification fait échouer notre compilation.

Identifiants conservés, selon l’option de stockage

Nous disions auparavant, sans nuance, que Termsroom ne détenait aucun identifiant donnant accès à votre stockage. C’était vrai quand SharePoint était la seule option, mais ce n’est plus vrai pour toutes; nous le précisons donc maintenant option par option. Ce tableau est généré à partir du même fichier que celui qu’utilise le produit : il ne peut donc pas être en retard sur le code.

Option de stockage	Identifiant conservé	Ce que nous conservons	Si vous retirez l’accès
SharePoint ou OneDrive Entreprise	Non	L’identifiant du locataire, du site et de la bibliothèque, le nom du dossier et le rapport de vérification. Aucun identifiant de connexion, de quelque nature que ce soit.	Votre administrateur ou administratrice supprime l’autorisation Sites.Selected accordée sur le site. L’accès cesse immédiatement, sans que vous ayez à communiquer avec nous. Il ne reste aucun identifiant de connexion de notre côté, puisqu’il n’y en a jamais eu.
Compartiment compatible S3, avec vos clés	Oui, chiffré	Le point de terminaison, la région, le compartiment, le préfixe, l’identifiant de la clé d’accès, le rapport de vérification et une référence vers la clé secrète dans le coffre-fort. Seul le rôle de service peut lire la clé secrète elle-même.	Vous supprimez ou changez la clé dans votre propre console, et l’accès cesse aussitôt. Déconnecter le stockage dans Termsroom met fin à la connexion; demandez-nous de supprimer l’entrée du coffre-fort et nous le ferons, mais c’est le changement de clé qui coupe réellement l’accès, et vous n’avez pas besoin de nous pour ça.
Google Driveconstruit, pas encore activé	Oui, chiffré	Rien pour l’instant. Une fois activé : l’adresse du dossier et un jeton d’actualisation dans le coffre chiffré.	Sans objet pour l’instant.

La page des options de stockage compare les deux options en détail, y compris ce qu’un évaluateur devrait vérifier pour chacune. Un secret stocké est chiffré dans le coffre-fort de la base de données dès son arrivée; seul le service qui transfère les fichiers peut le lire, et il n’est plus jamais affiché, pas même à la personne qui l’a collé.

Vérifiez par vous-même

Cinq requêtes que l’une ou l’autre partie peut exécuter sur ses propres données, sans notre intervention.

Que détenez-vous à notre sujet?

select * from tr_custody_manifest(:org)

Qui a consulté nos documents?

select * from tr_access_report(:org)

L’autre partie a-t-elle déjà vu notre salle privée?

select * from tr_cross_party_access(:org) -- doit renvoyer zéro ligne

Tout ce que cette page affirme sur le stockage est-il encore vrai?

select * from tr_verify_storage_claims() -- doit renvoyer zéro ligne

Le dossier a-t-il été modifié?

curl -O https://termsroom.com/verify.mjs && node verify.mjs <votre exportation> --head <séq>:<empreinte notée>  # aucun compte, aucun réseau; le code 3 signifie qu’aucune fin de chaîne n’a été vérifiée

L’ancre

Le point de départ de chaque journal des activités

ebdbbaedbb881c9055d6831850ec1d6928f4ecb908dffe922f01ff434ba24ed8

Le dossier de chaque partie est une chaîne de hachage qui part de cette valeur unique, la même pour chaque client. Votre fichier exporté porte sa propre ancre. Comparez les deux avant de vous fier à la vérification : un fichier dont on aurait retiré les premières entrées passerait quand même la vérification avec l’ancre qu’il contient. Tout l’intérêt est de vérifier le fichier par rapport à une valeur publiée ailleurs, hors de sa portée.

Elle ne révèle rien. C’est un hachage de hachages : on ne peut en tirer aucun événement, aucune partie ni aucun nombre. C’est pourquoi elle peut figurer sur une page publique.

Feuille de route de conformité

Ce sont des engagements datés, pas des souhaits. Nous acceptons volontiers qu’ils soient inscrits dans un contrat.

Contrôles de sécurité intégrés au produit
TerminéTerminé
Sécurité au niveau des lignes sur chaque table, journal des activités chaîné par empreintes et en ajout seulement pour chaque organisation, stockage détenu par le client, séparation des salles privées appliquée par la base de données plutôt que par l’interface, obligation d’utiliser un compte organisationnel.
Vérifiable dans le système en production. Voir les vérifications en direct ci-dessus.
Modèle de garde des données documenté et vérifiable de façon indépendante
TerminéTerminé
Chaque colonne est classifiée, et les requêtes de vérification sont publiées pour que chaque partie puisse nous vérifier sans notre aide. Quand une option de stockage nous oblige à détenir un identifiant, nous le précisons pour cette option plutôt que de le noyer dans une affirmation générale.
Déclaration de garde des données, disponible ci-dessous.
Examen de sécurité interne (assisté par IA), mensuel
En coursSeptembre à novembre 2026
Nous effectuons chaque mois un examen interne de Termsroom au moyen de Claude, d’Anthropic, pendant trois mois consécutifs, en commençant avant le test d’intrusion indépendant du 5 novembre 2026. Chaque examen couvre les points qu’examine un testeur externe : authentification et gestion des sessions, contrôle d’accès entre les rôles et entre les deux parties, règles d’accès à la base de données, validation des entrées et téléversement de fichiers, en-têtes de sécurité et politique de sécurité du contenu, vulnérabilités des dépendances et gestion des secrets. Il porte sur le code source, la configuration et une copie de la base de données construite localement; aucune donnée de client n’est utilisée, et il ne vise pas le service en production. Il n’est pas indépendant et ne remplace pas le test externe. Les constatations et leurs correctifs sont consignés, et le résumé est communiqué aux clients sur demande.
Examen 1 terminé le 30 septembre 2026, sur le code source et une copie de la base de données construite localement. Ses correctifs de base de données sont dans supabase/migrations/0075_security_review_1.sql, vérifiés par tests/security-review-1-db.test.ts, qui interroge la base de données comme le fait une session de navigateur connectée.
Test d’intrusion indépendant
Prévu5 novembre 2026
Test de l’application et de l’infrastructure par un tiers, avec lettre sommaire communiquée aux clients sous entente de confidentialité.
Date révisée : Annoncé auparavant pour septembre 2026, puis reporté pour que les premiers examens internes passent d’abord. Il est maintenant prévu pour le jeudi 5 novembre 2026, afin que le test externe porte sur un système où les problèmes relevés lors de ces examens sont déjà corrigés.
Rapport SOC 2 de type I
PrévuDébut de l’audit le 11 février 2027
Un cabinet de CPA indépendant atteste que les contrôles sont conçus de façon appropriée à une date donnée. C’est le premier rapport que nous pourrons réellement remettre, et nous le communiquerons dès que l’auditeur l’aura publié.
Date révisée : Annoncé auparavant pour octobre 2026, puis pour le jeudi 12 novembre 2026. Reporté le 9 octobre 2026 au jeudi 11 février 2027, une date que nous jugeons réaliste. Nous n’annonçons pas de date de rapport avant que l’auditeur le fasse.
Période d’observation SOC 2 de type II
PrévuDu 11 février 2027 au 11 mai 2027 au moins
Une période de trois mois pendant laquelle l’auditeur observe le fonctionnement des contrôles. Elle ne peut être ni raccourcie ni antidatée, c’est pourquoi le type II n’est pas disponible avant.
Date révisée : Annoncée auparavant d’octobre 2026 à janvier 2027. Elle commence avec l’audit de type I, et a donc été reportée avec lui le 9 octobre 2026.
Rapport SOC 2 de type II
PrévuJuin 2027
Attestation que les contrôles ont fonctionné efficacement pendant toute la période. Communiqué aux clients sous entente de confidentialité, puis chaque année.
Date révisée : Annoncé auparavant pour février 2027. Reporté avec l’audit de type I le 9 octobre 2026; l’auditeur confirme la date.
Certification ISO 27001
PrévuÀ l’étude
Évaluée après le type II, selon la demande. Environ 80 % des contrôles se recoupent, ce qui limite le coût supplémentaire.

Ce qui est déjà en place

Tout ce qui figure ici fonctionne aujourd’hui. Le fichier de code, la migration et le test correspondants sont indiqués à côté, pour que vous puissiez vérifier au lieu de nous croire sur parole. Le plan pour la suite n’est pas publié ici; demandez-le et nous en discuterons, dates comprises.

Glisser un document, sans ligne de commande
TerminéSeptembre 2026
Le navigateur calcule l’empreinte du fichier et l’envoie directement dans votre propre stockage. Termsroom le relit et inscrit ce qui est réellement arrivé : l’empreinte inscrite au dossier est donc calculée par nous, et non simplement déclarée par une partie. La copie dans le stockage de l’autre partie se fait ensuite toute seule et est relancée jusqu’à ce qu’elle soit vérifiée.
app/app/rooms/[roomId]/table-document.tsx et app/api/versions/placement. La copie dans le stockage de l’autre partie : app/api/versions/[id]/mirror et lib/storage/copy-out.ts.
OneDrive Entreprise reconnu et accepté
TerminéSeptembre 2026
Accepté au même titre qu’une bibliothèque de site SharePoint, et identifié pour ce qu’il est. Un espace OneDrive appartient à une seule personne : un dossier de négociation qui s’y trouve suit ses règles de conservation et part avec elle quand elle s’en va. La connexion l’indique clairement, au lieu de vous laisser le découvrir plus tard.
lib/storage/sharepoint.ts accepte le type d’espace « business » et inscrit la mise en garde sur la connexion elle-même plutôt que sur un écran que personne ne lira peut-être.
Une vue commune, et une vue pour votre équipe
TerminéSeptembre 2026
Un écran que les deux parties voient de la même façon : les points par statut, les versions déposées et si chaque partie en a une copie vérifiée, les rencontres de négociation, le protocole de négociation, ce qui reste à faire et par qui. À part, une vue réservée à votre équipe pour votre mandat, l’évaluation des coûts et les risques. Deux écrans, deux sources de données, parce qu’un écran qui mélangerait les deux est le seul endroit où un chiffre du mandat pourrait se retrouver devant la mauvaise personne.
app/app/negotiations/[id]/dashboard et .../your-side, avec tests/shared-dashboard-db.test.ts et tests/side-dashboard-db.test.ts. Livré avant la date annoncée du 4e trimestre 2026.
Toutes vos unités de négociation au même endroit
TerminéSeptembre 2026
Une organisation qui a huit unités de négociation les voit toutes sur un seul écran : l’unité, l’autre partie, l’échéance de la convention, l’avancement de chaque ronde et ce qui reste à faire. On y accède à partir du menu du compte, pas d’un bouton enfoui dans une négociation.
app/app/portfolio avec tests/portfolio-db.test.ts. Livré avant la date annoncée du 4e trimestre 2026.
Un stockage au choix pour chaque salle
TerminéSeptembre 2026
Une salle privée peut utiliser un autre emplacement de stockage que la table de négociation : une organisation peut ainsi soumettre les documents de sa salle privée à sa propre règle de conservation ou à une suspension pour litige, sans déplacer le dossier commun. Les versions déjà déposées restent là où elles ont été enregistrées et demeurent lisibles; changer l’emplacement d’une salle touche ce qui s’en vient, pas ce qui s’est déjà passé.
supabase/migrations/0060_room_storage.sql avec tests/room-storage-db.test.ts. Livré avant la date annoncée du 1er trimestre 2027.
Des sous-salles dans une salle privée
TerminéSeptembre 2026
Un actuaire ou un conseiller juridique externe appelé pour un seul point se joint à une sous-salle de la salle privée, et non à la salle privée elle-même : il ne voit donc pas les discussions sur le mandat. Cette séparation est une règle de la base de données, sur le même modèle que la frontière entre les salles privées, et non un filtre appliqué par un écran.
supabase/migrations/0061_sub_rooms.sql et app/app/rooms/[roomId]/sub-rooms-panel.tsx, avec tests/sub-rooms-db.test.ts. Livré avant la date annoncée du 1er trimestre 2027.
Des notifications dans votre propre canal Microsoft Teams
TerminéOctobre 2026
Chaque partie relie son propre canal Teams et y est avisée quand quelque chose se passe dans la négociation : une version déposée, un document demandé ou transmis, une rencontre de négociation ouverte, la conclusion de l’entente proposée ou confirmée. La carte indique la négociation, le numéro de dossier, ce qui s’est passé et un lien vers Termsroom; le document lui-même reste là où il se trouve. Aucune partie ne peut voir où l’autre reçoit ses notifications, et l’adresse du canal est gardée dans le coffre de la base de données et n’est jamais envoyée à un navigateur.
lib/notify/teams.ts et app/app/negotiations/[id]/teams-panel.tsx, avec supabase/migrations/0006_teams_webhook.sql et tests/teams-webhook-host.test.ts. Livré, testé et fonctionnel.

Sous-traitants

Vos documents se trouvent dans un stockage qui vous appartient. S’il s’agit de votre locataire Microsoft, c’est la seule ligne ci-dessous indiquée comme détenant des documents. S’il s’agit de votre propre compartiment, le fournisseur est le vôtre et non le nôtre, vous avez conclu un contrat directement avec lui, et il ne figure pas du tout dans ce tableau. Le dossier de négociation est conservé au Canada. Les textos, les courriels et les paiements sont traités par leurs propres fournisseurs, Twilio, Resend et Paddle, aux endroits indiqués.

Service	Rôle	Emplacement	Attestation	Détient des documents
Vercel	Hébergement et diffusion de l’application, et comptage des pages vues sur les pages publiques (sans témoins, sans identifier personne)	Région configurable	SOC 2 de type II	Non
Supabase	Base de données, authentification, dossier de négociation	Canada (ca-central-1)	SOC 2 de type II	Non
Twilio	Vérification du numéro de cellulaire à la connexion, et envoi des invitations et des rappels par texto	États-Unis	SOC 2 de type II, ISO 27001	Non
Resend	Envoi des invitations et des rappels par courriel (un numéro de dossier, un nom et un lien, jamais un document), et des renseignements saisis dans un formulaire de demande ou de partenariat du site	États-Unis	SOC 2 de type II	Non
Paddle	Paiements et marchand officiel. Les renseignements de facturation vont à Paddle, jamais à nous	Royaume-Uni et Union européenne	PCI DSS niveau 1, SOC 2 de type II	Non
Microsoft	Votre propre locataire Microsoft : Entra, Teams, SharePoint	Votre locataire, votre région	Votre entente actuelle avec Microsoft	Oui, les vôtres

Quatre limites que nous préférons vous dire nous-mêmes

Nous voyons vos documents, brièvement. Deux opérations ont besoin du texte dans la mémoire du serveur : comparer toutes les versions d’un document, ce qui lit le texte de chacune pour trouver les différences, et indexer une version déposée (ce qui relit le fichier dans votre propre stockage). Aucune des deux n’écrit le texte sur disque, dans la base de données ni dans une mémoire cache, et rien n’en est conservé au-delà des constats et des décomptes énumérés plus haut sous « Nous détenons ». La comparaison rapide « Ce qui a changé depuis la version précédente » ne lit aucun fichier : elle se sert de l’index des clauses déjà enregistré. Le processus ne garde rien, mais « jamais stocké » ne veut pas dire « jamais vu ». En échange, l’empreinte d’une version indexée est une valeur que nous avons calculée nous-mêmes, pas une valeur saisie par quelqu’un, et un index n’est construit qu’à partir d’un fichier dont l’empreinte correspond à celle qui a été saisie. Un agent qui ferait ce travail dans votre propre environnement figure sur la feuille de route.
Avec une des options de stockage, nous détenons une clé de votre compartiment. Si vous connectez un stockage compatible S3 avec vos propres clés d’API, nous détenons la clé d’accès secrète, chiffrée, tant que la connexion est active. Limitez la clé à un seul préfixe, et changez-la quand vous voulez nous retirer l’accès. Avec SharePoint, nous ne détenons aucun identifiant de ce genre.
Nous ne pouvons pas retracer une page de votre document qui aurait été divulguée. Le filigrane propre à chaque destinataire est prévu, mais pas encore offert. Aujourd’hui, nous savons qui a reçu quelle version et quand chaque personne en a accusé réception : ça vous indique de quel groupe vient une fuite, mais pas de quelle personne. Une fois en place, le filigrane sera un moyen de dissuasion plutôt qu’un contrôle : il décourage le transfert négligent et la photo d’écran, mais il n’empêche pas quelqu’un de retaper une clause.
Les métadonnées ne sont pas rien. Le nombre de clauses, le moment des modifications et qui a lu quoi sont réellement révélateurs. Nous les détenons parce que le produit ne peut pas fonctionner autrement, et nous journalisons chaque accès à ces données.

Comment nous prouvons qu’un document n’a pas changé

Les vérifications ci-dessus montrent que le dossier n’a pas été modifié. Mais comment savoir que l’entente que vous avez sous les yeux est bien celle qui a été convenue? La réponse : une empreinte enregistrée pour chaque version, plutôt qu’une copie que nous garderions. La page sur l’intégrité des documents explique ce qu’est une empreinte, ce qu’elle ne prouve pas et pourquoi les évaluateurs au Canada, aux États-Unis et en Europe l’acceptent.

Les preuves derrière cette page

Cette page dit ce qui est vrai, sans rien dévoiler que le produit lui-même ne vous montrerait pas. Les documents à l’appui ne sont pas publiés : nous préférons savoir qui les a en main plutôt que de les voir circuler. Demandez-les, et une vraie personne vous répondra.

Demander la trousse de preuves

Tout ce qui se trouve sur cette page est public parce que ça peut l’être. Les documents à l’appui ne sont pas publiés, parce que nous préférons savoir qui les a en main. Dites-nous ce dont vous avez besoin, et une vraie personne vous répondra.

Que souhaitez-vous recevoir? · au moins un choix

Les documents de gouvernanceDix-huit documents qui décrivent ce qui se passe réellement dans une entreprise d’une seule personne. Chaque contrôle absent y est nommé et daté, plutôt que présenté comme en place.Historique des vérifications automatiquesPas l’état actuel, qui figure sur cette page, mais le registre de chaque vérification planifiée : ce qui a été vérifié, ce qui a changé et ce qui a été constaté.Comment la séparation des parties et la garde des documents sont assuréesLe modèle de sécurité au niveau des lignes qui protège chaque salle privée, et la conception de la garde des documents : Termsroom conserve un emplacement et une empreinte SHA-256, jamais le document.Un questionnaire HECVAT rempliLe questionnaire d’évaluation des fournisseurs de l’enseignement supérieur, rempli et à jour.Déclaration de conformité en matière d’accessibilitéPubliée le 2 septembre 2026, selon les WCAG 2.1, niveau AA. C’est une déclaration provisoire plutôt qu’un VPAT, et elle explique pourquoi.Entente de traitement des données et conditions des sous-traitantsL’entente elle-même, et les conditions de chaque sous-traitant nommé sur cette page.Test d’intrusion indépendant · pas encore rédigéPrévu pour le jeudi 5 novembre 2026. En le demandant maintenant, vous nous indiquez que vous l’attendez, et nous vous enverrons la lettre sommaire dès que le testeur l’aura remise.Rapport SOC 2 · pas encore rédigéL’audit de type I commence le 11 février 2027, et nous communiquerons le rapport dès qu’il sera publié; le type II est prévu pour juin 2027. Les deux figurent sur cette page. En le demandant maintenant, vous nous indiquez qu’il est une condition pour vous.

Organisation · obligatoire

Type d’organisation

Votre nom · obligatoire

Votre adresse courriel · obligatoire

Votre rôle

Facultatif. Ça nous aide à savoir quelle partie de la trousse vous sera vraiment utile

Téléphone

Facultatif

C’est pour quoi?

Facultatif, mais c’est la ligne la plus utile du formulaire. Une négociation, un appel d’offres, une évaluation avec une échéance.

Nous avons besoin d’une entente au préalableCochez cette case si votre processus exige une entente de confidentialité ou un document semblable avant tout envoi. Le rapport de test d’intrusion, lui, est de toute façon envoyé sous entente de confidentialité.

Nous conservons votre nom, votre organisation et votre adresse courriel pour vous répondre, ainsi que ce que vous avez demandé, pour savoir ce que les évaluateurs exigent vraiment. Rien d’autre.

Où nous en sommes réellement

Contrôles en fonction en ce moment

Aucune donnée non classifiée

Journal des activités intact

Aucun accès d’une partie à l’autre

Stockage organisationnel seulement

La diffusion inscrit qui a droit au document, pas son contenu

Le dossier final est remis aux deux parties

Les risques privés restent privés

Connecté à la base de données déclarée

Propriétés de conception

Aucun contenu de document conservé

Sécurité au niveau des lignes sur chaque table

On ne peut qu’ajouter au journal des activités

Renforcement du transport et du navigateur

Ce que nous détenons, et ce que nous ne détenons jamais

Nous détenons

Nous ne détenons jamais

Identifiants conservés, selon l’option de stockage

Vérifiez par vous-même

Le point de départ de chaque journal des activités

Feuille de route de conformité

Contrôles de sécurité intégrés au produit

Modèle de garde des données documenté et vérifiable de façon indépendante

Examen de sécurité interne (assisté par IA), mensuel

Test d’intrusion indépendant

Rapport SOC 2 de type I

Période d’observation SOC 2 de type II

Rapport SOC 2 de type II

Certification ISO 27001

Ce qui est déjà en place

Glisser un document, sans ligne de commande

OneDrive Entreprise reconnu et accepté

Une vue commune, et une vue pour votre équipe

Toutes vos unités de négociation au même endroit

Un stockage au choix pour chaque salle

Des sous-salles dans une salle privée

Des notifications dans votre propre canal Microsoft Teams

Sous-traitants

Quatre limites que nous préférons vous dire nous-mêmes

Comment nous prouvons qu’un document n’a pas changé

Les preuves derrière cette page

Demander la trousse de preuves