Les courriers confiés à Kazatri sont souvent sensibles : avis d'imposition, relances, contrats, données de santé. Voici les protections en place, en termes concrets. Le code de Kazatri a fait l'objet d'un audit de sécurité en octobre 2026 ; les correctifs critiques et importants sont appliqués et vérifiés par des tests automatiques.
Vos données restent dans votre organisation
- Chaque organisation est cloisonnée dans la base de données elle-même (Row Level Security de PostgreSQL) : même en cas d'erreur dans l'application, une requête ne peut lire ni modifier les données d'une autre organisation. L'application se connecte avec un compte aux droits restreints, distinct de celui qui administre la base.
- À l'intérieur d'une organisation, chaque catégorie de documents peut être réservée à certains rôles ou membres (par exemple « RH / Paie »). Un document non autorisé est introuvable, même par lien direct.
- Les externes (comptable, avocat, assureur) n'ont accès qu'aux documents qu'on leur transmet, par un accès nominatif, limité dans le temps et révocable.
Connexion et comptes
- Vérification en deux étapes (application d'authentification) obligatoire pour les propriétaires, les administrateurs et le personnel de l'éditeur, et impossible à désactiver pour eux, y compris par l'API ; recommandée pour tous.
- La connexion par lien magique est refusée à ces comptes. Les tentatives de connexion sont limitées (5 par quart d'heure et par adresse, 10 pour le code de vérification).
- Changer ou réinitialiser son mot de passe déconnecte tous les autres appareils. Chaque utilisateur voit ses appareils connectés et peut les déconnecter en un clic.
- Les sessions expirent au bout de 14 jours ; les clés d'API et des agents de bureau sont révocables et expirent.
Fichiers et partages
- Le type réel de chaque fichier est vérifié à la réception (et non son nom) ; seuls les PDF et les images s'affichent dans le navigateur, tout autre fichier est proposé au téléchargement.
- Les transmissions protégées par code se bloquent après 5 essais ; chaque ouverture et chaque téléchargement sont tracés.
- Les exports (Excel, CSV) neutralisent les formules pour qu'un document piégé ne puisse rien exécuter sur votre poste.
Fraude au changement de coordonnées bancaires
Une facture électronique d'un émetteur que vous n'avez jamais réglé n'est jamais validée d'office : elle passe en vérification avec un avertissement sur l'identité de l'émetteur et ses coordonnées de paiement.
Intelligence artificielle
- Par défaut, seul le texte du document est transmis à l'IA, jamais le fichier. IBAN, numéros de sécurité sociale, cartes bancaires, e-mails et téléphones sont masqués avant envoi et rétablis chez nous.
- Le fournisseur d'IA n'entraîne pas ses modèles sur vos documents et n'en conserve rien. Vous pouvez choisir une IA française, ou désactiver l'IA : rien n'est alors envoyé.
- Chaque fiche indique ce qui a été transmis.
Mails reçus
Les boîtes mail que vous connectez sont relues en lecture seule : Kazatri ne supprime ni ne déplace aucun message. Leurs identifiants, comme les jetons Google, sont chiffrés (AES-256-GCM, clé conservée hors de la base). Seules les pièces jointes des courriers administratifs sont importées ; le reste vous est présenté, jamais perdu.
Traçabilité
- Un journal enregistre les actions sur chaque document (consultation, correction, transmission, règlement, réponse) ; il ne peut être ni modifié ni effacé, sauf à la suppression définitive de l'organisation.
- Le personnel de l'éditeur ne voit aucun document sans votre accord : un accès d'assistance doit être demandé avec un motif, accepté par le propriétaire, il est limité dans le temps, signalé par une bannière, révocable et journalisé.
Hébergement, surveillance, sauvegarde
- Serveurs dans l'Union européenne (Hostinger International Ltd), connexions chiffrées (HTTPS).
- La plateforme est surveillée en continu (traitement des documents, files d'attente, espace disque, erreurs) ; l'équipe est alertée en cas d'anomalie.
- Sauvegarde quotidienne de la base et des fichiers.
- Version sur site disponible : tout reste sur votre serveur ou votre NAS.
Vos droits
Export complet à tout moment, téléchargement de vos données personnelles, suppression du compte et clôture de l'organisation depuis les paramètres. Voir la politique de confidentialité et l'accord de sous-traitance.
Signaler une faille
Vous pensez avoir trouvé une faille de sécurité ? Écrivez à contact@krystalecom.fr avec l'objet « Sécurité ». Nous répondons sous 72 heures et ne poursuivons pas les signalements faits de bonne foi.