Développement

Rouvrir un dossier clôturé en refait un dossier ouvert – c’est pourquoi la même limite que pour un nouveau dossier s’y applique désormais. 🔒 Auparavant, la limite pouvait être contournée : clôturer un dossier, en créer un nouveau, rouvrir l’ancien. ℹ️ Une fois la limite atteinte, le message indique les deux chiffres et la marche à suivre, exactement comme lors de la création – et qui dépasse ainsi 80 % reçoit le même avertissement.

Lorsque 80 % d’une limite sont atteints, la page d’accueil vous le signale – et les titulaires reçoivent un e-mail. ✨ Sous la ligne figure ce qui se passe une fois la limite atteinte et ce que vous pouvez faire : clôturer ce qui n’a plus besoin d’être ouvert, ou passer à un forfait supérieur. Une fois la limite atteinte, la suite y est également indiquée. ℹ️ L’e-mail n’arrive qu’une fois – lors de l’étape qui franchit le seuil, pas à chacune des suivantes. Si votre entreprise repasse en dessous puis le dépasse à nouveau, il arrive de nouveau. Un forfait illimité ne donne lieu à aucun avertissement de ce type.

Si votre entreprise passe à un forfait moins cher, le changement prend effet à la fin de la période payée – pas en cours de route. Jusque-là, vous gardez ce pour quoi vous avez payé. ✉️ La veille, les titulaires reçoivent un rappel indiquant la date et les limites du nouveau forfait. 🛡️ Le changement n’a lieu que si votre entreprise respecte ce jour-là les nouvelles limites ; sinon, le forfait actuel est maintenu. Un changement n’interrompt jamais les dossiers en cours.

Après la connexion, vous voyez votre forfait avec son prix annuel et sa durée – et, pour chaque limite, ce qui en est utilisé. ✨ Dossiers ouverts et places occupées s’affichent en chiffre et en barre, avec la durée de conservation de vos documents. ℹ️ Le chiffre affiché est celui sur lequel repose la décision – il n’existe pas de second décompte qui pourrait calculer autrement. Pour un forfait illimité, « illimité » remplace le chiffre.

Votre forfait fixe le nombre de dossiers pouvant être ouverts en même temps et le nombre de personnes rattachées à votre entreprise. ✨ Une fois une limite atteinte, aucun autre dossier ne peut être créé et personne d’autre ne peut être invité – le message indique les deux chiffres et la marche à suivre : clôturer un dossier ou passer à un forfait supérieur. 🛡️ Les dossiers en cours continuent toujours. Demandes, dépôts, vérifications et délais restent utilisables, et la personne qui vous livre des documents ne remarque rien de votre forfait. ℹ️ Une invitation en attente occupe sa place jusqu’à ce qu’elle soit acceptée ou qu’elle expire ; une invitation expirée la libère.

Chaque opération dans un projet laisse une ligne dans l’historique – et cette ligne n’est plus perdue si un incident survient au mauvais moment. 🔒 Auparavant, une ligne pouvait manquer : l’opération était enregistrée, l’écriture de l’entrée échouait, et une seconde tentative n’aidait plus – l’action avait déjà eu lieu. ✨ Désormais, l’opération note sa propre ligne dans le même geste que son enregistrement, et un passage ultérieur l’ajoute. Elle apparaît au plus tard après quelques minutes. ℹ️ Rien n’est jamais écrit deux fois : chaque ligne porte un repère, et ce qui est déjà inscrit n’est pas réécrit. 🛡️ Et aucune ligne n’est créée pour ce qui n’a pas eu lieu – mieux vaut une lacune qui se comble qu’une entrée qui affirme quelque chose.

🛡️ Une étape annulée n'existe plus pour un invité dont la vue est restreinte – même si elle lui avait été ouverte explicitement auparavant. 🔒 Cela se décide à l'affichage, et pas seulement à l'annulation. Annuler une étape demande deux gestes : changer l'étape et retirer les autorisations qui s'y rattachent. Si le second restait bloqué, l'étape annulée demeurait dans la vue de l'invité. ✨ Désormais, l'affichage interroge lui-même l'état – pour les invités, une étape annulée a donc disparu, quoi qu'il se soit passé lors de l'annulation. ℹ️ Rien ne change pour vous : dans votre propre vue, les étapes annulées restent visibles, afin que vous puissiez retracer ce qui a été annulé.

Un projet clôturé peut désormais être supprimé – avec tout ce qui s'y rattache. 📄 La confirmation vous montre d'abord ce qui disparaît exactement : combien de documents, de demandes, d'étapes, d'autorisations et de lignes de journal. Ces chiffres proviennent de l'endroit même qui supprime ensuite – et non de ce qui est affiché à l'écran. Seul le second clic exécute l'opération. 🔒 Les contenus partent en premier. Pour chaque document, les clés sont retirées et le contenu chiffré est effacé chez l'hébergeur ; ensuite plus personne ne peut l'ouvrir, vous non plus. 🛡️ Un projet en cours n'est pas supprimé. Clôturez-le d'abord, ou mettez-le sur « annulé » s'il est interrompu – sinon des participants travaillent sur des délais qui n'existent plus. ✨ Téléchargez d'abord le rapport de projet. Il ne sera plus disponible ici ; les copies que vous avez envoyées restent chez leurs destinataires.

Chaque projet dispose désormais d'un rapport téléchargeable. Il retient quand quels documents ont été demandés, avec quels délais, quand et par qui ils ont été déposés et comment ils ont été évalués – tout le déroulé dans un seul rapport, et non l'état du jour. 📄 Vous envoyez une copie à un participant avec un second bouton, et uniquement avec lui : tant que vous ne l'actionnez pas, rien ne part. Vous en décidez pour chaque rapport et pour chaque destinataire séparément. 🌍 Le destinataire reçoit sa feuille dans sa langue, avec les événements généraux du projet ainsi que les opérations qui le concernent lui – et non ce qui s'est passé entre vous et d'autres participants. 🔒 Le rapport ne contient aucun contenu de vos documents. Ce n'est pas une lacune, c'est la promesse de cet outil : nous ne pouvons pas lire vos fichiers. Le rapport porte ce qui s'est passé et quand, rien d'autre.

Un champ de recherche et un filtre par état figurent désormais au-dessus de votre liste de projets. Jusqu'ici, qui menait vingt projets faisait défiler la page. 📄 La recherche porte sur le numéro de projet, le nom et la description – le numéro d'abord, car c'est lui que vous avez sous la main, tiré d'un courriel ou d'un justificatif. Les majuscules ne comptent pas, les accents non plus : tapez `zurich` et vous trouvez « Audit Zürich ». Plusieurs mots peuvent être saisis dans n'importe quel ordre. 🔒 La recherche s'effectue dans votre navigateur – aucune requête n'est envoyée pour cela. Au-dessus de la liste, vous voyez combien de projets sur combien vous avez sous les yeux, afin qu'un filtre actif ne passe jamais inaperçu. Si la recherche ne donne rien, la page le dit exactement – et non que vous n'avez aucun projet.

Celui qui vous demande des documents peut désormais indiquer dans quelle langue vous êtes contacté. Jusqu’ici, chaque courriel adressé à une personne de contact partait dans la langue par défaut – y compris vers une destinataire en Romandie ou au Tessin. 📄 Lors de la saisie d’une personne de contact figure maintenant un champ «Langue» avec les quatre langues de l’outil. Si aucune n’est choisie, rien ne change; l’indication est facultative et peut être ajoutée à tout moment. 🔒 La langue appartient à la personne, non au dossier isolé: si elle est corrigée, les rappels déjà planifiés partent eux aussi dans la nouvelle – de même que l’avis de retrait.

Lorsqu’une entreprise vous soumet quelque chose, vous pouvez désormais répondre – en un clic. Jusqu’ici, le lien reçu par e-mail ne permettait que d’envoyer un fichier. Lorsque l’entreprise demande votre accord, deux boutons apparaissent : accepter ou refuser. Aucune justification n’est exigée ; qui n’a rien à dire n’a rien à écrire. 📄 Si l’entreprise a autorisé une contre-proposition, vous pouvez joindre votre propre document à votre refus – il est chiffré dans votre navigateur avant de quitter cet ordinateur, comme tout le reste. 🔒 Votre réponse et la contre-proposition partent ensemble et ne consomment qu’une seule tentative, pas deux. Votre réponse reste ensuite affichée sur la page – *qui ne voit pas que sa déclaration est arrivée la renvoie.* Tant qu’il vous reste des tentatives, vous pouvez la modifier.

Cette page indiquait que nous non plus ne pouvons pas lire vos fichiers – sans faire une distinction qui existe pourtant. Pour les documents que votre interlocuteur livre, rien ne change : la clé naît dans son navigateur et ne nous parvient jamais. 🔒 Lorsque vous mettez vous-même un document à disposition, la clé voyage dans le lien vers le destinataire. Pour que le courriel puisse être composé, elle transite une seule fois par notre serveur – et n’est conservée nulle part : ni sur l’opération, ni dans le journal, ni dans un message d’erreur. Un banc d’essai passe en revue chaque sortie de ce chemin et le vérifie au lieu de l’affirmer. *Une promesse qui vaut pour un chemin et pas pour l’autre n’est pas une promesse mais une interprétation* – c’est pourquoi elle dit désormais « nous ne la conservons jamais » au lieu de « nous ne la recevons jamais ».

Si vous revenez régulièrement sur un projet tout au long de son déroulement, vous pouvez désormais créer un compte et voir tous les projets pour lesquels vous êtes autorisé – sans nouveau lien reçu par courriel. Rien ne change par ailleurs : aucun compte n’est nécessaire pour transmettre des documents, et un compte est toujours gratuit. 🔒 L’autorisation suit l’adresse, mais seulement une fois celle-ci confirmée. Ce n’est pas une formalité : sans cette condition, il suffirait de s’inscrire avec l’adresse d’autrui pour voir ses projets. *À cet endroit, la confirmation de l’adresse est le contrôle des droits.* Ce que l’entreprise a retiré ne figure pas dans la liste, et ce que votre niveau ne montre pas n’est pas chargé ici non plus.

Un enregistrement sans nom ni fonction faisait tomber toute la vue du projet – et cela pour le lecteur disposant d’un compte, donc celui à qui elle en montre le plus. Le schéma prévoit bien une chaîne vide pour les deux champs, mais cela s’applique à la création : *une valeur par défaut est une promesse sur les nouveaux enregistrements, non une affirmation sur ceux qui existent déjà.* Un enregistrement écrit ou importé plus tôt ne possède pas ces champs. La liste le passe désormais, le nombre continue de le compter – cette personne participe, elle est seulement sans nom.

Qui doit fournir un document voit aussi de quoi il retourne – en cinq niveaux que l'entreprise règle par personne : le titre seul, puis la description courte, les sections expressément ouvertes, toutes les sections, enfin leurs textes détaillés. Le niveau le plus bas est la valeur par défaut : *qui ne règle rien ne divulgue rien.* Le budget et les heures ne figurent à aucun niveau — ils ne sont même pas chargés. 🔒 Les noms des autres participants n'apparaissent qu'avec un compte personnel, sinon le simple nombre, accompagné d'une explication : *un lien prouve seulement que quelqu'un a eu accès à une boîte aux lettres* — un courriel transféré, un collègue devant le même écran suffisent. Y rattacher des noms serait une divulgation sans vérification. Un compte est toujours gratuit.

Un lien valable sept jours, avec un délai à vingt jours, est une adresse morte pendant quatorze jours, avec une tâche ouverte à côté. Cela peut être voulu – il y a des raisons – et c'est pourquoi c'est signalé et non interdit. Lors d'une demande et lors du report d'un délai, l'entreprise apprend ce qu'elle vient de mettre en place. *Un réglage que l'on ne remarque qu'à ses conséquences, on le remarque quand quelqu'un téléphone.* Si la validité s'achève exactement au délai, il n'y a rien à signaler : qui peut livrer pour la date n'a pas de lien mort devant lui.

Un délai peut être reporté sans que les anciens rappels restent en place. L'entreprise fixe un nouveau délai, avec la validité, les tentatives de dépôt et les préavis – et les rappels déjà planifiés sont abandonnés dans la même opération : *un rappel concernant un délai qui n'existe plus arrive à l'heure, et personne ne remarque qu'il annonce la mauvaise date.* Abandonné veut dire consigné, pas supprimé. Le destinataire reçoit un courriel avec la nouvelle date et un nouveau lien. Et « le délai actuel reste valable » ne vaut plus pour un délai échu : demander une correction dont le terme est déjà passé est refusé, plutôt que d'envoyer un courriel réclamant quelque chose pour hier.

L’entreprise évalue désormais un document livré – accepté, autre version requise ou refusé. Les deux derniers exigent un motif, imposé par le service et non par le formulaire : *un document refusé sans motif n’est pas un résultat pour l’expéditeur, c’est une impasse.* En cas de reprise, le nouveau lien voyage dans le même courriel ; accepté signifie clos. Le système note aussi quelle version a été jugée – *un « accepté » qui ne dit pas sur quoi devient, au prochain envoi, une affirmation sur quelque chose que personne n’a regardé.*

Lorsqu’une entreprise retire une demande, le lien meurt au même instant – et non au prochain passage. Qui l’ouvre ensuite lit que la demande a été retirée, et non « inconnu » : *un lien mort qui ne dit pas pourquoi il est mort envoie le destinataire au téléphone.* Un courriel part, et ce qui a déjà été livré demeure – ce qui est retiré, c’est l’accès, pas la livraison.

Renvoyer un document n’écrase pas le premier. Chaque livraison est enregistrée comme une version distincte : 1, 2, 3 – et chacune est conservée pendant toute la durée de conservation. L’entreprise voit dans le journal qu’un élément plus récent est arrivé, et la personne qui a livré voit de quelle version il s’agit. *Qui veut vérifier ce qui existait à une date donnée ne le peut plus après un écrasement.*

Celui à qui l’on demande un document peut désormais l’envoyer. Il est chiffré dans le navigateur avant de quitter l’ordinateur ; le contenu comme le nom du fichier ne partent que scellés. La page indique combien de tentatives restent. La tentative est réservée au moment même de l’écriture, avant l’enregistrement du fichier, et elle n’est jamais recréditée ; deux clics au même instant ne peuvent donc pas dépasser la limite.

Projets ouverts, documents demandés et ceux qui sont en retard – dès la page d'accueil. Les chiffres proviennent des mêmes calculs que les rappels et le contrôle des délais, afin que l'aperçu ne dise jamais autre chose que le système. Si «En retard» affiche plus de zéro, le chiffre passe au rouge.

Celui qui doit fournir un document reçoit un rappel automatique – dix jours puis deux jours avant l’échéance. Chaque rappel est enregistré comme un élément distinct dès la demande ; si le passage horaire manque une fois, il est rattrapé ensuite au lieu d’être sauté. Si l’échéance est déjà trop proche, le premier rappel est abandonné plutôt qu’envoyé aussitôt.

Lors d’une suppression, les enveloppes disparaissent d’abord, le fichier chiffré ensuite. Dans cet ordre, afin que rien ne subsiste qui puisse encore être ouvert. Un test montre en outre que le serveur ne peut pas lire le contenu – pas même avec un compte d’exploitant qui s’octroie des droits après coup.

Les documents sont chiffrés dans le navigateur de la personne qui les livre – le contenu comme le nom du fichier. Ensuite, seules les personnes autorisées peuvent les lire ; chacune reçoit sa propre enveloppe autour de la même clé. Les fichiers volumineux passent par morceaux, afin qu’un document de dix mégaoctets n’échoue pas faute de mémoire.

Un fichier appelé `.pdf` n’est pas encore un PDF. Lors de l’envoi, le fichier est désormais examiné de l’intérieur et sa taille est contrôlée deux fois – dans le navigateur, pour que personne ne transfère pendant dix minutes avant de lire un refus, puis à nouveau sur le serveur, car un contrôle dans le navigateur est un confort et non une garantie.

Qui reçoit une demande de votre part arrive maintenant sur une page dédiée. Elle indique le document demandé, le projet, votre nom, le délai et le nombre de dépôts restants – sans compte et sans connexion.

🔒 Le jeton d’accès se trouve dans l’adresse après le dièse et ne quitte jamais le navigateur. Il n’apparaît donc dans aucun journal de serveur et n’est pas transmis lorsqu’une autre page est ouverte depuis celle-ci.

ℹ Un lien qui ne fonctionne plus dit aussi pourquoi. Copié de façon incomplète, expiré ou retiré sont trois réponses différentes avec trois suites différentes – et l’autorisation est vérifiée à chaque accès, pas seulement à l’envoi.

⚠ Le dépôt du fichier lui-même arrivera à l’étape suivante.

Vous décidez désormais vous-même qui regarde un projet depuis l’extérieur. Saisissez l’adresse, ajoutez un nom et une fonction, et surtout : l’un des cinq niveaux de visibilité – de « le nombre d’étapes seulement » à « tout sauf les temps internes ».

ℹ Le niveau par défaut est le plus réservé. Qui ne règle rien ne divulgue rien ; toute information supplémentaire est une décision que vous prenez.

⚠ Un retrait prend effet immédiatement et reste visible. L’entrée ne disparaît pas, elle porte la date et l’heure – afin que personne n’ait plus tard à deviner à partir de quand quelqu’un n’a plus rien vu.

La mise en page et l'aspect de cette page ont été retravaillés. Chaque changement figure désormais sur sa propre carte, au lieu d'être séparé du suivant par un simple filet, et l'en-tête indique quelle version est en service.

ℹ Le type, la date et la version se suivent sur une ligne, le sujet sur la ligne en dessous. S'y ajoutent une icône par type, une légende qui explique les quatre et un titre par mois – de quoi trouver une entrée au lieu de la chercher.

⚠ Et les descriptions sont devenues plus complètes. Un historique fait de mots-clés dit que quelque chose a changé, mais pas quoi – et c'est la moitié d'un renseignement.

Un nouveau compte crée lui-même son organisation. Auparavant, cela n'était possible qu'en arrière-plan.

ℹ Qui travaille dans plusieurs organisations passe de l'une à l'autre. Projets, étapes et documents appartiennent toujours à exactement une organisation.

⚠ Les collaborateurs sont invités avec un rôle. Le rôle décide de ce que chacun peut voir et modifier – une invitation sans rôle serait une décision que personne n'a prise.

Projets, étapes et listes de contrôle sont désormais visibles et modifiables dans l'espace de travail aussi. Plus seulement là où ils ont été créés.

ℹ Chaque projet affiche le nombre de points ouverts. C'est la question avec laquelle on ouvre une telle liste – répondue sans déplier chaque projet un à un.

Chaque modification d'un projet est consignée. Qui a fixé quel état et quand, qui a créé quelle étape, qui a coché quel point.

⚠ L'historique se complète, il ne se modifie pas. Une preuve que l'on peut lisser après coup n'en est pas une.

L'historique que vous êtes en train de lire. En quatre langues, complété à chaque livraison, et chaque entrée porte sa date, son heure et son numéro de version.

⚠ Écrit à la main, et non produit à partir du journal interne. En interne, nous notons à partir de quelle version quelque chose a échoué et pourquoi ; publié, ce serait un mode d'emploi pour qui cherche une installation pas encore mise à jour.

Pour chaque étape, vous pouvez saisir quand et combien de temps y a été consacré. Avec une remarque, là où la ligne resterait sans elle incompréhensible plus tard.

ℹ Un budget est facultatif – qui en indique un voit ce qu'il en reste. S'il est dépassé, le dépassement est chiffré. Sans budget il n'y a pas de reste affiché, car « pas de budget » n'est pas « zéro heure ».

Cinq états : ouvert, en cours, clôturé avec succès, clôturé sans succès, annulé. Les mêmes valent pour une seule étape comme pour le projet entier.

⚠ Tant qu'une étape reste ouverte, le projet ne peut pas être clôturé avec succès. Et dans un projet clôturé, aucune étape ne peut être rouverte – deux règles qui se tiennent l'une l'autre.

Un projet, des étapes nommées, une liste de contrôle par étape. Créer, renommer, réordonner – la structure suit votre processus, et non l'inverse.

ℹ La liste de contrôle est la liste des documents dont vous avez besoin. C'est d'elle que naissent les demandes envoyées plus tard à votre interlocuteur.

Allemand, français, italien et anglais – le même propos partout. L'interface, les courriels adressés à votre interlocuteur, et cette page également.

⚠ Une vérification à la compilation y veille. S'il manque une phrase dans l'une des quatre langues, la version ne sort pas – une traduction dont il faut se souvenir tient jusqu'au premier ajout pressé.

La connexion peut être protégée par un code envoyé par courriel. Après l'adresse et le mot de passe vient une deuxième étape qui n'atteint que celui qui a accès à votre boîte.

⚠ Et des codes de secours si la boîte est hors d'atteinte. Ils s'affichent une seule fois et ne se trouvent ensuite que chez vous. Chacun vaut exactement une fois et est consommé après usage.

Les deux sont possibles sans rendre vos documents chiffrés illisibles. Ce qui est refermé, c'est l'enveloppe autour de la clé ; les fichiers eux-mêmes restent intacts.

⚠ La réinitialisation est la plus délicate des deux voies. Qui a oublié son mot de passe n'a plus rien à présenter – le chemin passe donc par l'adresse confirmée et non par une question que quelqu'un pourrait deviner.

La paire de clés naît sur votre appareil, pas chez nous. La partie publique part vers le serveur, la partie privée reste ici – scellée par votre mot de passe.

⚠ Nous ne pouvons donc pas lire vos documents non plus. Ce qui se trouve chez nous, c'est le contenu chiffré et une clé qui n'ouvre rien sans votre mot de passe.

Créer un compte, confirmer l'adresse, se connecter. Le premier parcours qui fonctionne de bout en bout – avec courriel de confirmation, règles de mot de passe et une session que l'on peut refermer.

ℹ L'adresse électronique est l'ancrage de votre compte. C'est là qu'arrivent la confirmation, les invitations ultérieures et chaque notification – d'où la vérification, dès la création, qu'il s'agit bien d'une adresse.