Sécurité & conformité

ORION est un logiciel édité par HARLINGTON AM LTD, société de droit irlandais (CRO 669064).

ORION n'est ni un notaire ni un avocat.

ORION n'est ni un conseiller en investissements financiers, ni un établissement de crédit ou de paiement, ni un prestataire d'information sur les comptes : la connexion bancaire sera assurée par un prestataire agréé d'information sur les comptes.

Quand un cabinet utilise ORION, la responsabilité réglementaire du conseil reste celle du cabinet.

L'éditeur est responsable du traitement de vos données.

Pour les données des clients du cabinet, ORION est sous-traitant au sens de l'article 28 du RGPD ; le cabinet est responsable du traitement.

• —Base de données, authentification et fichiers : Supabase, région eu-west-1 (Irlande).
• —Application : Vercel, fonctions exécutées à Francfort.
• —Certains prestataires sont établis hors de l'Union, notamment aux États-Unis ; leurs transferts sont encadrés par les garanties du chapitre V du RGPD (décision d'adéquation, ou à défaut clauses contractuelles types de la Commission européenne). La politique de confidentialité des particuliers nomme les principaux prestataires établis aux États-Unis et la garantie de leurs transferts ; pour les cabinets, le détail est communiqué sur demande (politique de confidentialité, § 6).

• —Cloisonnement par la base de données, entre structures et entre personnes.
• —Chiffrement en transit (TLS 1.2 et 1.3) et au repos.
• —Double authentification disponible pour tous les comptes.
• —Politique de sécurité du contenu stricte dans les espaces connectés et sur la page d'inscription des particuliers.
• —Caméra, microphone et géolocalisation désactivés par l'en-tête Permissions-Policy.
• —Empreinte SHA-256 des pièces, journal d'audit en ajout seul.

Le détail technique, mesure par mesure

L'éditeur s'interdit d'exploiter les données d'un cabinet à d'autres fins que la fourniture du service, sauf obligation légale ou instruction du cabinet (conditions générales des cabinets, article 6.2).

Les documents s'affichent dans le navigateur. Aucun n'est envoyé chez un éditeur de bureautique pour être lu.

Pour un diagnostic, l'administrateur de la plateforme peut ouvrir une session d'inspection en lecture seule. Elle expire au bout de quinze minutes, ne permet aucune écriture, et son ouverture est inscrite au journal d'audit, qu'on ne peut pas réécrire.

• —Les pièces de connaissance client (KYC).
• —Les pièces de vigilance contre le blanchiment et le financement du terrorisme (LCB-FT).
• —Les pièces d'entrée en relation.
• —Les documents de santé, ainsi que les directives anticipées.

Ni la visibilité d'une pièce ni sa qualification ne lèvent ces exclusions.

• —Une pièce de prévoyance n'est montrée que si elle est qualifiée comme pièce notariale.
• —Une pièce que le cabinet masque à son client n'est montrée au notaire que si elle relève de la transmission (testament, donation, mandat de protection future, dévolution) ou d'un acte de propriété.

Pourquoi : minimisation des données (RGPD, article 5) et interdiction de divulguer une déclaration de soupçon (code monétaire et financier, article L561-18).

Le dossier de connaissance client et le profil investisseur (MIF II) sont versionnés ; leur revue, due tous les douze mois, est signalée au cabinet.

Dans l'espace d'un cabinet, les pièces du dossier client (hors contrats d'assurance et diagnostics immobiliers) sont conservées cinq ans après la fin de la relation d'affaires (code monétaire et financier, article L561-12) : placées à la corbeille, elles ne sont pas détruites avant ce terme, et la base de données refuse leur suppression.