La sécurité, la pierre angulaire de Butleo

Tous vos documents sensibles (CNI, RIB, baux signés, quittances, états des lieux) sont chiffrés au repos avec l'algorithme AES-256-GCM, le même standard que celui utilisé par les banques pour protéger les données client.

Le chiffrement s'applique avant écriture sur disque. Personne, pas même un administrateur Butleo avec accès au serveur, ne peut lire un fichier sans la clé. La clé maître vit en variable d'environnement, jamais en base de données, et nous interdit l'accès en lecture aux documents chiffrés.

Pour les modules les plus exposés (dossiers de documents partagés à un tiers, liens privés locataires), nous générons des jetons de partage hachés, jamais stockés en clair. Si votre base de données fuite, les jetons fuités ne permettent d'accéder à rien.

L'implémentation utilise la bibliothèque cryptographique fournie d'origine avec notre environnement serveur, sans dépendance tierce. Moins de surface d'attaque, audit du code plus simple.

La double authentification est incluse dans tous les plans, dès le plan gratuit. Vous pouvez l'activer par application mobile (Google Authenticator, Authy, 1Password) ou par code reçu par email à chaque connexion sensible.

Vos appareils de confiance sont gérables à tout moment depuis vos paramètres. Vous voyez la liste, le navigateur, la dernière activité et vous pouvez révoquer un appareil en un clic. La session associée est immédiatement désactivée.

Quand vous changez votre mot de passe, toutes les autres sessions actives sont révoquées par défaut. Si quelqu'un avait volé votre cookie, il perd l'accès à la seconde où vous changez votre mot de passe.

La limitation du nombre de tentatives prévient les attaques par force brute. Trois essais ratés suspendent les tentatives une heure, sur le compte ET sur l'adresse IP, sans aucune action de votre part.

Butleo est pensé pour la France. Les adresses de vos biens sont validées par le service officiel d'adresses de l'État (data.gouv.fr). Aucune base de données privée, aucune sous-traitance américaine pour quelque chose d'aussi simple qu'une adresse postale.

Nos bases applicatives comme nos sauvegardes restent sur le territoire français. Aucune donnée personnelle ne quitte la France, jamais.

Aucun sous-traitant américain pour les données personnelles. Aucun recours à des hébergeurs américains (comme Amazon, Google ou Cloudflare) sur les flux sensibles. Cette contrainte technique a un coût en complexité mais elle vous protège du Cloud Act.

Quand votre locataire écrit à Léo, vous voyez la conversation côté propriétaire en lecture seule, mais Léo, lui, ne mélange jamais les contextes : il ne parlera pas à Sophie de ce que Paul lui a dit la semaine d'avant.

Le cloisonnement remonte aussi entre propriétaires. Si vous gérez vos biens en famille avec un co-propriétaire, vos conversations IA personnelles restent privées. Seules les conversations explicitement liées à un bien partagé sont visibles par les co-propriétaires de ce bien.

Côté permissions, chaque utilisateur a un rôle précis (propriétaire, co-propriétaire, gérant, locataire) et un périmètre par bien. Un gestionnaire professionnel accède au budget mais ne peut pas révoquer les accès. Un locataire voit son bail mais ne voit jamais le budget. Le moteur de permissions est testé sur 200 cas de figure.

Quand vous partagez un dossier de documents à votre banquier, votre notaire ou votre comptable, le lien généré est cryptographiquement signé. Personne ne peut deviner un lien valide en énumérant les identifiants : il faut que vous l'envoyiez explicitement.

Chaque ouverture du lien est tracée : qui a consulté quel document, à quelle heure, depuis quelle adresse IP. Vous voyez le journal d'accès en direct dans votre interface, sans avoir à le demander.

Vous pouvez révoquer un lien à tout moment, en un clic. La personne qui essaie d'y accéder ensuite voit un message clair : ce partage n'est plus accessible. Aucune erreur 404 sèche, aucun doute sur l'origine de la révocation.

Les fichiers PDF et images téléchargés via un lien partagé sont automatiquement filigranés avec le nom et l'email du destinataire, ainsi que l'horaire d'accès. Si un document fuite, vous savez d'où il vient.

Aucune publicité dans Butleo, jamais. Aucun bandeau, aucune fenêtre surgissante, aucun "produit recommandé", aucun partenariat affiché. L'interface ne vend rien d'autre que Butleo lui-même.

Aucune revente de données. Vos données restent vos données. Nous ne les revendons à aucun tiers, ni anonymisées, ni agrégées, ni sous quelque forme que ce soit. Le modèle économique repose uniquement sur les abonnements payants.

Aucun mouchard publicitaire, aucun pixel Facebook, aucun Hotjar. Le seul outil d'analyse d'audience est Google Analytics 4, avec IP anonymisée et désactivable depuis vos paramètres.

Vos données restent exportables à tout moment, en une archive complète (portabilité prévue par l'article 20 du RGPD) ou en export fiscal au format PDF et CSV. Vous partez avec vos données si vous le décidez.

Vous payez Butleo, c'est tout. Aucun plan gratuit piégé qui devient inutilisable au-delà de 3 actions. Le plan gratuit est gratuit pour de vrai et utile pour de vrai sur un seul bien.

Vos documents sensibles (CNI, passeports, justificatifs personnels) s'effacent automatiquement de nos serveurs après 6 mois, en application directe du principe RGPD de minimisation des données. Vous n'avez rien à faire.

Vous gardez la main : si vous avez besoin de conserver une CNI au-delà de 6 mois (par exemple pour un contentieux en cours), vous le justifiez en deux clics et la rétention est étendue jusqu'à votre prochaine décision.

La suppression totale de votre compte se fait en un clic depuis vos paramètres. Suppression définitive en 30 jours, après une période de récupération courte qui vous protège contre les mauvaises manipulations. Vous recevez un récapitulatif avant la destruction effective.

Toute opération sensible (consultation d'un document, suppression, partage) est tracée dans un journal d'audit inaltérable conservé 12 mois. Inaltérable : personne ne peut effacer une ligne, même pas nous. C'est la garantie d'auditabilité pour vos analyses d'impact relatives à la protection des données (AIPD) et celles de vos comptes professionnels.