Gestion des données

01Trois parcours, trois réponses

Tout ce qui suit dépend d'un choix que vous faites, à la création de votre compte puis à tout moment dans Paramètres → Vos données. Le moteur comptable est le même dans les trois cas — ce qui change, c'est où reposent vos livres, et qui peut les lire.

Une seule adresse sert l’application : methylen.app/accounting/. L’ancienne adresse comptaleo.capitalb.fr a été coupée le 10 août 2026. Sans compte, les données restent liées à l’adresse sur laquelle vous les avez saisies : ce qui avait été saisi sur l’ancienne adresse n’est plus atteignable depuis la nouvelle.

02Quelles données, pourquoi, base légale

Ce que nous ne collectons pas — et qui est vérifiable

• Aucune mesure d'audience, aucun mouchard, aucun pixel, aucun cookie publicitaire. Pas de Google Analytics, pas de Sentry, pas de Plausible, rien. Les polices de caractères sont servies depuis notre propre serveur — aucun appel à un CDN ou à Google Fonts. Contrôlez-le vous-même : ouvrez l'onglet « Réseau » de votre navigateur sur ce site, toutes les requêtes pointent vers methylen.app. Dans l'application, la liste des destinations permises est fermée, et c'est votre navigateur qui l'applique (§08).
• Aucun journal d'accès sur le serveur web. Le serveur qui vous sert cette page et l'application n'enregistre ni votre adresse IP, ni votre navigateur, ni les pages visitées. Le seul fichier qu'il écrit est le relevé des blocages de sécurité du tableau ci-dessus : il ne naît que d'un blocage, et ne porte ni adresse IP ni compte.
• Aucune donnée comptable ni d'identité sur ce serveur web : il sert du code et des images, et ne garde que ce relevé.
• Aucune donnée dans les journaux applicatifs. Nos fonctions serveur n'écrivent aucune trace de leur contenu : ni secret, ni montant, ni écriture.

03Ce que l'éditeur peut voir

C'est la question qui compte, et c'est celle sur laquelle il est le plus facile de mentir. Réponse directe :

04Combien de temps on les garde

05Sous-traitants et localisation

Rien n'est branché tant que vous ne le branchez pas. Les quatre premières lignes sont les seules qui s'appliquent d'office à un compte ; toutes les autres dépendent d'une action de votre part.

Les transferts hors Union européenne s'appuient sur les clauses contractuelles types. Le cadre Data Privacy Framework ne couvre pas tout le monde : vérifié le 10 septembre 2026 — le 13 pour Resend — sur la liste officielle du département du Commerce des États-Unis, prestataire par prestataire, et non plus repris de leurs annonces.

Le contrôle sait dire non : sur les sept recherches, quatre rendent une fiche et trois n'en rendent aucune. Une liste où tout le monde serait « certifié » ne prouverait rien.

Ce que votre navigateur appelle directement

Ces services ne travaillent pas pour nous : l'application web les interroge depuis votre navigateur, sans passer par nos serveurs. Comme toute requête, chacun voit votre adresse IP. Ce sont, avec la base et Google, les seules destinations que la liste fermée du §08 autorise.

06L'assistant IA

L'assistant est désactivé par défaut et ne fonctionne qu'avec votre propre clé chez le fournisseur de votre choix (Anthropic, OpenAI, Mistral, Google). Aucune clé de l'éditeur n'est embarquée dans l'application : nous ne payons rien, nous ne voyons rien, et le contrat vous lie directement au fournisseur.

• Ce qui part est un résumé anonymisé : noms, dénomination sociale, SIREN, IBAN, adresses et libellés bancaires bruts sont masqués ou remplacés par des étiquettes génériques (« Bien #1 », « Associé #1 »).
• Un bouton vous montre le contexte exact envoyé, avant l'envoi.
• L'assistant ne peut rien modifier : il n'a aucun accès en écriture à votre comptabilité.
• Votre clé est rangée à part : elle n'est ni dans vos sauvegardes, ni synchronisée sur nos serveurs.
• Mistral est hébergé dans l'UE ; les trois autres aux États-Unis.

07Vos droits, et comment les exercer

Le règlement européen vous donne un droit d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition. Voici comment chacun s'exerce dans l'application, sans nous écrire et sans délai.

Accès et portabilité — récupérer tout, tout de suite

1. Tout, dans un fichier : menu de la société, en haut → Exporter. C'est l'intégralité de vos données en JSON, lisible et réimportable par Importer.
2. Au format comptable normalisé : onglet Banque → bouton FEC (Fichier des Écritures Comptables, art. A47 A-1 du LPF).
3. Le dossier complet pour un cabinet : Paramètres → Exporter & outils → Pack cabinet (.zip) — FEC, journal et balance en CSV.

Ces exports sont produits par votre navigateur, immédiatement. Vous n'avez aucune demande à formuler et nous n'avons rien à traiter.

La sauvegarde automatique sur votre Drive — chiffrée avant de partir

Si vous connectez Google Drive, l'application y dépose une sauvegarde par jour dans methylen/Sauvegardes chiffrées/. Elle est chiffrée dans votre navigateur, avant l'envoi : le fichier posé sur votre Drive est illisible pour nous, et le dossier ne porte le nom d'aucune de vos sociétés.

• La clé est celle de votre code de récupération — les 24 mots affichés une seule fois. Il ouvre votre compte et vos sauvegardes : un seul secret à garder.
• Nous ne pouvons pas les ouvrir, alors même que le jeton d'accès à votre Drive est stocké chez nous : c'est précisément pourquoi elles sont chiffrées côté navigateur.
• Pour restaurer : Importer, puis vos 24 mots. Un compte neuf suffit — la sauvegarde ne dépend pas de l'ancien.
• Sans le code, personne ne rouvre ces fichiers, nous non plus. L'export JSON en clair ci-dessus reste votre porte de sortie, et c'est vous qui choisissez où il atterrit.

Rectification

Vos livres sont modifiables directement dans l'application — c'en est l'objet même. L'e-mail et le mot de passe se changent dans Paramètres → Compte & identifiants.

Effacement

1. Une société : supprimez-la dans l'application. Sa ligne est effacée de notre base à la synchronisation qui suit — c'est un DELETE, pas une corbeille.
2. Les connexions tierces : bouton Déconnecter sur chaque banque, boutique ou Drive. Le jeton stocké est détruit.
3. Tout le compte : dans l'application, Paramètres → Données → Supprimer mon compte. L'écran vous montre d'abord ce qui va partir — compté dans la base, pas promis —, y compris le nombre de personnes qui perdront l'accès aux sociétés que vous partagez. L'effacement est immédiat : le compte, le profil, les sociétés dont vous êtes propriétaire, les jetons bancaires et Drive, les consentements et les clés partent en une seule opération, et vous recevez le décompte table par table de ce qui a été effacé. Il n'y a ni corbeille ni délai. Exportez d'abord : après, il n'y a rien à restaurer. Seules subsistent les sauvegardes techniques de notre hébergeur, qui expirent d'elles-mêmes.
4. Vos données locales (sans compte) : videz le stockage du site dans votre navigateur, ou supprimez le dossier du coffre sur l'app installée. Nous n'intervenons pas — nous n'y avons pas accès.

Limitation, opposition

Le moyen le plus radical et le plus immédiat est intégré au produit : utilisez methylen sans compte. Aucune donnée comptable ne nous parvient. Pour tout le reste, écrivez-nous.

Réclamation

Si notre réponse ne vous convient pas, vous pouvez saisir la CNIL.

08Sécurité : ce qui est en place

Ce que vous pouvez régler — et ce que ça change

Aucun de ces réglages n'est imposé, et aucun ne peut être ouvert à votre place. Chacun dit son état par défaut : c'est celui que vous avez tant que vous n'avez rien décidé.

Ce qui est en place, sans que vous ayez à le demander

• Journal des accès à vos livres, et il vous est ouvert : chaque ouverture d'une comptabilité hébergée — par l'application, par notre connecteur, ou par notre clé d'administration — écrit une ligne qui dit qui, quand et par quel chemin. Vous la lisez dans Paramètres → Vos données. La table n'accepte ni modification ni suppression, pas même de notre part. Sa limite, dite franchement : un ordre SQL passé en administration directe de la base n'y laisse pas de trace, parce qu'une base de données ne déclenche rien sur une simple lecture.
• Une suppression de compte laisse une trace, même faite en direct dans la base : depuis le 9 septembre 2026, toute création, modification ou suppression d'un profil écrit une ligne qui dit quoi, quand, sur quel compte et sous quelle identité — y compris quand il n'y en a aucune, ce qui est justement la signature d'un ordre SQL passé en administration directe. Ce journal a été posé parce qu'un compte a disparu ce jour-là sans que nous puissions dire lequel, ni qui l'avait supprimé : nous l'écrivons plutôt que de le taire. Il ne se lit pas depuis l'application et il n'est modifiable par personne. Sa limite, la même que ci-dessus : il voit les écritures, pas les lectures.
• Double authentification par application (TOTP), en option, sur tout compte — Paramètres → Compte & identifiants. Une fois activée, le mot de passe seul n'ouvre plus rien : c'est la base qui refuse, pas seulement l'écran. Un jeton obtenu au seul mot de passe ne rend aucune ligne, y compris hors de l'application. Nous avons choisi une application d'authentification plutôt qu'un code par e-mail parce qu'elle calcule hors ligne, sans quota d'envoi et sans dépendre de votre boîte mail.
• Changer votre mot de passe exige l'ancien — depuis le 10 septembre 2026. Une session ouverte ne suffit plus : un appareil laissé déverrouillé, ou un jeton volé, ne donne pas le compte. Sa limite, dite franchement : cette vérification est celle de l'écran. Un jeton volé qui s'adresserait directement à notre base ne passe pas par lui — fermer cette porte-là demandera un code à usage unique, et ce n'est pas encore fait.
• Chiffrement de bout en bout des livres hébergés, si vous l'avez choisi (§01) : votre comptabilité, votre dénomination sociale et votre SIREN sont alors chiffrés dans votre navigateur (AES-256-GCM) avant d'être envoyés. La clé se dérive de votre mot de passe, qui ne quitte pas votre appareil depuis le 13 septembre 2026 : votre navigateur en tire une seconde valeur, distincte, et c'est elle seule que reçoit notre hébergeur d'authentification — elle ouvre le compte, pas la clé. Jusque-là, il recevait le mot de passe lui-même à chaque connexion, et aurait donc pu ouvrir la clé : c'est un défaut que nous avons trouvé en nous auditant, et fermé. Réinitialiser un mot de passe rend l'accès au compte, pas aux livres. En compte normal, rien de tout cela ne s'applique : c'est ce que vous avez retenu, et nous le disons plutôt que de le laisser deviner.
• Le passage d'un niveau à l'autre est à votre main, dans les deux sens. Chiffrer se fait à tout moment. Retirer le chiffrement aussi — la base ne l'accepte que d'un seul geste, complet, et venant du propriétaire des livres : ni un compte partagé, ni notre clé d'administration ne peuvent le déclencher.
• Code de récupération renouvelable — Paramètres → Compte & identifiants, contre votre mot de passe actuel. L'ancien code cesse d'ouvrir quoi que ce soit ; les sauvegardes déjà déposées restent, elles, liées à l'ancien.
• Une clé par société, indépendante du mot de passe : en changer n'oblige à rechiffrer aucune comptabilité, et permet de partager une société sans donner accès aux autres.
• Isolation entre comptes, appliquée par la base elle-même (et non par le code de l'application) : chaque requête est filtrée sur l'identité du demandeur. Testée dans les deux sens — un compte ne voit que ses sociétés et celles qui lui ont été explicitement partagées.
• Jetons tiers chiffrés (AES-256-GCM) avant stockage. Jamais renvoyés au navigateur.
• Tables les plus sensibles fermées à tout accès utilisateur : les jetons Google Drive et l'ancienne table gelée ne sont accessibles à aucun compte, quel qu'il soit.
• Accès partagé révocable, avec trois rôles distincts (propriétaire, administrateur, lecteur) ; un lecteur ne peut rien écrire.
• Retours d'authentification tiers vérifiés cryptographiquement (signature et jeton anti-rejeu) avant tout échange de jeton.
• Chiffrement au repos assuré par l'infrastructure de nos hébergeurs, et par le chiffrement de disque de votre machine si vous l'avez activé (FileVault, BitLocker).
• Aucun secret dans le code livré au navigateur, aucune clé d'administration côté client.
• Une liste fermée des destinations réseau de l'application web, depuis le 13 septembre 2026. Votre navigateur bloque toute requête vers une adresse qui n'y figure pas : notre base, Google (Drive et sa connexion), les deux services du §05 et les quatre fournisseurs d'IA. L'application refuse aussi d'être affichée dans la page d'un autre site. Vérifiable : c'est l'en-tête Content-Security-Policy de methylen.app/accounting/. Chaque blocage est signalé par votre navigateur à methylen.app/csp-rapport — c'est le relevé du §02. Sa limite : cette liste est servie par notre serveur, et nous pouvons la modifier.
• Un code web vérifiable, depuis le 13 septembre 2026. À chaque version, l'empreinte SHA-256 de chaque fichier servi est publiée dans un dépôt public, github.com/lbachelotcapitalb/methylen-empreintes. Le calcul est reproductible : deux constructions du même code rendent la même liste. Les scripts et feuilles de style chargés par la page portent leur propre empreinte, que le navigateur contrôle. Notre script de déploiement refuse de servir, sous un numéro déjà publié, un autre code. Ses limites : le code source reste privé — on vérifie que le code servi est celui publié, pas ce qu'il fait —, la page d'entrée et les modules chargés en cours de route ne portent pas d'empreinte, et l'application web ne fait pas la comparaison pour vous.
• L'application installée refuse une mise à jour absente du journal public du même dépôt, même correctement signée.

09Boutiques Shopify

Pour les marchands qui connectent une boutique Shopify, methylen demande une seule autorisation : la lecture du solde et des versements Shopify Payments. L'autorisation de lecture des commandes — celle qui donne le nom, l'adresse et l'e-mail de vos clients finaux — a été retirée. Nous ne détenons donc aucune donnée personnelle de vos acheteurs.

Les trois demandes de conformité prévues par Shopify sont traitées automatiquement, et leur signature est vérifiée :

10Ce qui va changer

Les écarts identifiés lors de nos audits du 1^er août et du 9 septembre 2026, et ce que nous en faisons. Cette liste sera tenue à jour ; ce qui est livré passera en §08.

Une question, une demande d'effacement, une erreur repérée sur cette page : lbachelot@capitalb.fr.