C-03art. 8 LPD
Liens de partage anonymes
Un lien « toute personne disposant du lien » contourne toute autorisation. Confidia relève chacun, avec sa date de création.
constat
Suisse romande
configuration Microsoft 365 des fiduciaires, notaires et études d’avocats
Votre Microsoft 365, constaté article par article.
Confidia relève la configuration de votre Microsoft 365, contrôle par contrôle, et en rend un constat horodaté en français. Chaque contrôle cite son article: LPD, OPDo, art. 321 CP.
Rien de couvert par le secret professionnel n’est conservé. Aucun nom de client, aucun nom de fichier, aucune écriture dans votre tenant.
Le relevé est déclaratif: vous répondez aux 34 contrôles du référentiel v1.0, une question chacun, et Confidia calcule votre Indice et vos écarts. Gratuit, sans mot de passe, en une quinzaine de minutes. Le raccordement en lecture seule à Microsoft 365 ouvre ensuite, sur le même référentiel.
- sans accès à votre tenant
- Le relevé est déclaratif: vous répondez, Confidia constate. Aucune écriture, jamais, dans votre Microsoft 365.
- rétention zéro
- La base ne contient ni nom de client, ni nom de fichier, ni contenu de document.
- horodaté et versionné
- Chaque constat porte sa date, son heure et sa version de référentiel.
§ 1
le problème
Personne, dans le cabinet, ne détient la configuration.
Un cabinet de douze personnes fait tourner ses dossiers fiscaux, ses salaires, ses contrats et sa correspondance sur Microsoft 365. Le tenant a été configuré une fois, par quelqu’un, il y a longtemps.
- partages externes
- Des liens créés il y a trois ans par une personne qui a quitté le cabinet.
- authentification
- Le multifacteur est « probablement » actif, sur « probablement » tous les comptes.
- rétention
- Aucune durée de conservation connue pour les dossiers clients clos.
- journalisation
- Aucun inventaire, aucune preuve, aucune date à montrer à un client.
Un lien de partage public créé le 12 juin 2021 est toujours actif.
Quatre ans d’exposition, énoncés comme une date. Sans nom de fichier et sans nom de client: Confidia ne les conserve pas, et n’en a pas besoin pour que la phrase soit vérifiable.
§ 2
le constat
Un document daté, pas un score qui bouge.
Le relevé prend de 60 à 180 secondes. Il rend un Indice Confidia, la liste des écarts par gravité, et pour chacun le Correctif à faire exécuter.
relevé · spécimen, cabinet fictif de 12 personnes
2026-03-04 14:30 (Europe/Zurich) · référentiel v1.0
Indice Confidia
64/ 100
- Critique
- 3
- À corriger
- 3
- Observation
- 1
7 écarts sur 34 contrôles. Le détail nominatif est lu en session, jamais écrit en base.
contrôle
objet
gravité
référence
- C-03Lien de partage anonyme sans échéance dans SharePointCritiqueart. 8 LPD
- C-07Multifacteur absent sur un compte administrateur généralCritiqueart. 8 LPD
- C-12Journalisation d’audit unifiée désactivéeCritiqueart. 4 OPDo
- C-18Invités externes jamais revus depuis leur créationÀ corrigerart. 321 CP
- C-21Aucune durée de conservation sur les dossiers clientsÀ corrigerart. 6 LPD
- C-26Boîtes partagées sans journal d’accèsÀ corrigerart. 8 LPD
- C-31Étiquette de confidentialité définie mais non appliquéeObservationannexe 1 OPDo
écart ouvert en spécimen · C-03
Le partage anonyme est autorisé sans échéance sur l’ensemble des bibliothèques. Le lien le plus ancien encore actif a été créé le 12 juin 2021.
Set-SPOTenant -RequireAnonymousLinksExpireInDays 30
# Essai à blanc: ajouter -WhatIfcorrectif C-03 · à faire exécuter par votre informaticien, Essai à blanc d’abord
Chiffres et écarts ci-dessus: spécimen d’un cabinet fictif. Confidia ne publie aucun chiffre qu’elle ne peut calculer.
§ 3
la méthode
Ce que Confidia relève, et ce qu’elle n’écrit jamais.
Aujourd’hui, le relevé est déclaratif: Confidia vous pose une question par contrôle, en français, et consigne vos réponses telles quelles. Le raccordement en lecture seule à Microsoft 365 lira les mêmes réglages sur les mêmes contrôles; ses permissions seront énumérées par Microsoft, sur son propre domaine, et révocables depuis Entra ID sans nous le demander.
relevé, famille par famille
- annuaire
- authentification
- partages externes
- rétention
- journalisation
- rôles d’administration
six familles de contrôles, 34 contrôles, aucune écriture
jamais écrit en base
- noms de clients
- noms de fichiers
- adresses de destinataires
- contenu des documents
- courriels
- mots de passe
la base ne contient que vos réponses, vos scores et l’historique de vos écarts
§ 4
le référentiel
Le référentiel est le produit.
N’importe qui peut interroger Microsoft Graph. Presque personne n’écrit, ne publie et ne tient à jour une correspondance entre les réglages Microsoft 365 et le droit suisse, en français, avec un numéro de version.
Le Référentiel Confidia est publié en entier, gratuitement, contrôle par contrôle. Chaque Rapport de constat porte le numéro de version qui l’a produit.
C-21art. 6 LPD
Durée de conservation des dossiers
Sans stratégie de rétention, un dossier clos reste indéfiniment accessible. Confidia relève la stratégie appliquée, ou son absence.
C-31annexe 1 OPDo
Étiquettes de confidentialité
Une étiquette définie mais jamais publiée ne protège rien. Confidia relève l’écart entre ce qui est défini et ce qui est appliqué.
référentiel v1.0 · 34 contrôles · publication contrôle par contrôle
contester un contrôle: nous répondons publiquement dans le changelog
§ 5
les prix
Deux produits, deux prix, un paiement.
Audit Confidia
890 CHF
Le Rapport de constat signé, le détail nominatif de chaque écart et les Correctifs, avec leur Essai à blanc. Paiement unique.
Licence 12 mois
dès 1’800 CHF
Relevé et rapport automatiques chaque mois pendant douze mois, avec l’historique des écarts. Prix selon la taille du cabinet.
- gratuit
- Le relevé, l’Indice Confidia et la liste des écarts par gravité, avec un écart ouvert en entier.
- crédit
- L’Audit Confidia est crédité sur une Licence achetée dans les 30 jours.
- sans abonnement
- Aucun prélèvement récurrent. Un rappel par courriel, puis un nouvel achat si vous le voulez.
Vous ne payez qu’après avoir vu votre Indice et vos écarts. Le paiement est unique, chez notre prestataire: aucun numéro de carte ne transite par nos pages. L’entretien de 20 minutes se prend par courriel, le fondateur répond.