Sécurité
Pour un logiciel comptable, la confiance se gagne sur des faits. Voici où vivent vos données, comment elles sont sauvegardées, qui peut y entrer, et ce qui passe hors du Québec — sans promesse qu'aucun système ne peut tenir.
Vos données comptables — la base de données, les pièces justificatives et les traitements du serveur — sont hébergées à Montréal, sur l'infrastructure de Google Cloud, tout comme leurs sauvegardes. Les échanges avec Kovlio sont chiffrés (HTTPS), et les données stockées le sont aussi.
L'équipe de Kovlio n'accède aux données comptables de vos sociétés que si l'administrateur de votre entreprise l'y autorise depuis le portail, pour la durée et dans la portée qu'il choisit, et qu'il peut retirer à tout moment. Chaque accès ouvert, avec son motif, est inscrit à votre journal d'équipe.
Trois situations font exception, dans la seule mesure nécessaire : restaurer le service à partir des sauvegardes après un incident ; exécuter ce que votre entreprise nous demande par écrit, comme un export complet ; répondre à une obligation légale, comme l'ordonnance d'un tribunal.
Le journal d'audit inscrit chaque geste sensible — qui, quand, quoi et pourquoi. Dans le portail, il ne se modifie ni ne s'efface, pas même par un administrateur ; il suit le sort des livres qu'il protège. Les journaux d'accès aux données (quel compte a lu ou modifié quel document) sont gardés 400 jours, à Montréal, pour la sécurité du service et l'enquête sur un incident.
La connexion aux comptes, la protection contre les robots, la diffusion des pages du site, les journaux techniques du serveur, la lecture automatique des reçus, le paiement, l'envoi des courriels et notre boîte de courriel reposent sur des services qui traitent des renseignements hors du Québec, notamment aux États-Unis. Notre politique de confidentialité nomme chaque fournisseur, son rôle et le lieu du traitement.
Une vulnérabilité à signaler ? Nos coordonnées sont publiées dans le fichier kovlio.com/.well-known/security.txt (norme RFC 9116). Merci de ne consulter ni modifier aucune donnée qui n'est pas la vôtre.
Si un renseignement personnel est consulté, communiqué ou perdu sans autorisation, nous prenons sans délai les mesures pour réduire le risque, et nous avisons la Commission d'accès à l'information et les personnes concernées lorsque le risque de préjudice est sérieux, comme le veut la Loi 25.
À Montréal, sur l'infrastructure de Google Cloud : la base de données, les pièces justificatives, les traitements du serveur et leurs sauvegardes. La connexion, le paiement et les courriels passent par des services situés hors du Québec, que notre politique de confidentialité nomme.
Seulement si l'administrateur de votre entreprise l'y autorise depuis le portail, pour la durée et dans la portée qu'il choisit ; il peut retirer l'autorisation à tout moment, et chaque accès est inscrit à votre journal d'équipe. Exceptions : restaurer le service après un incident, exécuter une demande écrite de votre entreprise, répondre à une obligation légale.
Oui : la base chaque jour, chaque semaine et chaque mois, avec un retour possible à n'importe quel moment des 7 derniers jours ; les pièces justificatives chaque nuit. Les sauvegardes restent à Montréal.
Oui. L'administrateur de votre compte exporte en tout temps toutes les données d'une société — écritures, pièces justificatives et journal d'audit compris —, même en lecture seule, et nous vous remettons un export complet sur demande pendant 30 jours après la fin de l'abonnement.