Des contrôles que votre vérificateur reconnaîtra, décrits sans langage de marketing

L’historique de chaque document, avec la personne qui a agi, l’horodatage, la source — personne, système ou règle — et l’ancienne et la nouvelle valeur quand un champ a changé. Cela couvre l’analyse, l’extraction, les règles appliquées, les modifications de champs, les décisions d’acheminement, les approbations, les refus et leur commentaire, les exportations réussies, et les échecs et nouvelles tentatives entre les deux. Les entrées qui portent une valeur antérieure sont les modifications de champs, les changements de statut, les restaurations, les modifications de répartition, les changements de rôle, les retraits de membres et les invitations révoquées; une approbation ou une exportation n’a pas de valeur antérieure à consigner. Une lacune, en toute franchise : les changements de configuration de l’espace de travail, comme les paliers d’approbation, ne sont pas encore journalisés. Le journal est en ajout seul : aucun rôle n’a de moyen de modifier ou de supprimer une entrée.

Le cloisonnement par client s’applique au niveau des requêtes : chaque lecture et chaque écriture sont liées à l’organisation qui fait la demande, au lieu de compter sur l’interface pour filtrer. La séparation entre plusieurs entités d’une même organisation est aussi modélisée explicitement : c’est ce qui garde séparés les livres de chaque propriétaire et de chaque coentreprise.

Les personnes que vos rôles et vos seuils désignent. Les rôles ne séparent pas la modification de l’approbation : une facture qui vous est adressée est à vous de trancher, quel que soit votre rôle, et une facture non adressée peut être prise en charge par un contrôleur approbateur ou un administrateur. Le contrôle qui sépare les deux est la séparation des tâches, un paramètre de l’espace de travail désactivé tant qu’un administrateur ne l’active pas — une fois activé, la personne qui a modifié les montants ou l’imputation de la facture, ou qui l’a envoyée en approbation, ne peut pas l’approuver, et cela vaut aussi pour les administrateurs. Les paliers de montant fixent le nombre d’approbations nécessaires, selon le total extrait, borne inférieure incluse et borne supérieure exclue. Une facture dont l’extraction a obtenu un score sous le seuil de confiance s’arrête dans la file de révision pour qu’une personne la vérifie avant de pouvoir être envoyée en approbation, quel que soit son montant — aucune escalade distincte n’ajoute d’approbateur.

TLS en transit, et chiffrement au repos de la base de données et du stockage d’objets avec des clés gérées par AWS. Nous n’offrons pas aujourd’hui de clés KMS gérées par le client ni l’apport de votre propre clé. Les jetons OAuth des connecteurs comptables ont une deuxième couche — AES-256-GCM dans l’application —, de sorte qu’une copie de la base de données ne suffit pas à obtenir un accès valide au grand livre. Le SMTP entrant passe par notre propre infrastructure de courriel plutôt que par un relais tiers : les messages bruts ne transitent pas par un intermédiaire avant que nous les stockions.

L’authentification unique d’entreprise est offerte sur demande avec les forfaits Pro et Enterprise — nous la configurons avec vous auprès de votre fournisseur d’identité. Elle n’est pas en libre-service, il n’y a aucun interrupteur dans l’application, et nous ne promettrons ni un protocole précis ni une date de mise en place avant de l’avoir faite avec vous. Avec chaque forfait, l’accès se fait par comptes individuels avec des permissions selon le rôle, et comme chaque forfait compte un nombre illimité d’utilisateurs, vous n’avez jamais à partager un identifiant pour économiser une place.

Une entente de traitement des données fait partie du forfait Enterprise. Pour les questionnaires de sécurité et les rapports d’audit de tiers, la réponse honnête est qu’inletAP en est à ses débuts : nous répondrons à tout questionnaire directement et avec franchise, et nous vous dirons clairement quelles certifications nous ne détenons pas actuellement, plutôt que de laisser entendre le contraire. Écrivez-nous et vous aurez une réponse franche la même semaine.

Une fois la facture extraite, l’empreinte de sa pièce jointe et une comparaison fournisseur / numéro de facture / date / montant sont faites avec jusqu’à 200 de vos factures les plus récentes de ce fournisseur, sur deux ans — neuf règles de correspondance et six garde-fous —, et une correspondance ajoute un constat au document. La comparaison est refaite chaque fois que la facture est modifiée. Il n’y a pas de troisième passage juste avant l’exportation; l’exportation refuse plutôt tout document qui porte encore une correspondance ouverte du niveau le plus élevé, et c’est la seule chose dans le produit qui peut retenir une facture. Par ailleurs, un message entrant livré une deuxième fois est écarté à la réception grâce à la clé d’idempotence du système de réception, et un fichier téléversé est dédoublonné selon sa propre empreinte.

C’est une mise en attente selon vos politiques. Une règle peut mettre un document en quarantaine — un expéditeur inconnu, un type de pièce jointe que vous n’acceptez pas —, et il s’arrête sur place au lieu d’entrer dans le processus d’imputation. Les documents en quarantaine forment une vue enregistrée dans la boîte de réception, pour qu’ils soient examinés plutôt qu’oubliés.

inletAP est exploité depuis Toronto, au Canada, et fonctionne sur Amazon Web Services dans la région US East (Ohio) : les documents de l’espace de travail, les champs extraits et les registres de vérification sont donc stockés et traités aux États-Unis. Les clients canadiens doivent y voir un transfert transfrontalier : la politique de confidentialité explique ce que cela signifie, et nous demeurons responsables des données en vertu de la LPRPDE.

Les documents de facture, les champs extraits et les registres de vérification sont conservés tant que vous avez un espace de travail, parce qu’ils forment votre dossier comptable — ils ne sont jamais purgés automatiquement. Ce que vous contrôlez, c’est le courriel entrant brut : sa durée de conservation est un paramètre de l’application, de 30 jours à dix ans, et elle est de 90 jours tant que personne ne la change. Les journaux de l’application sont conservés 30 jours. Au-delà de 90 jours, notez que le stockage d’objets fait expirer le message original de toute façon, et l’application le dit à côté du paramètre plutôt que de vous laisser choisir une durée qu’elle ne peut pas respecter.

L’importation d’immeubles, de logements, de fournisseurs et d’entités est ouverte aux administrateurs, aux contrôleurs et aux commis aux comptes fournisseurs; un lecteur externe ne peut pas en lancer une. L’aperçu est en lecture seule : il analyse le fichier, compare chaque ligne avec ce que vous avez déjà et calcule les différences, et il ne modifie aucun de vos enregistrements. Seule la confirmation écrit, et elle écrit une seule entrée de vérification pour l’importation plutôt qu’une par ligne — la personne, le nom du fichier, ce qui a été importé et le nombre d’éléments créés, mis à jour, ignorés et en erreur —, de sorte que trois cents nouveaux immeubles se rattachent au fichier et à la personne qui les a importés, sans noyer toutes les autres décisions de la journée. Le détail ligne par ligne, y compris l’ancienne valeur à côté de la nouvelle pour chaque champ modifié, reste sur l’importation elle-même. Le fichier téléversé est conservé sous forme de texte sur cette importation tant que l’aperçu est ouvert, pour qu’une colonne puisse être réassignée sans téléverser de nouveau, et il est effacé quand vous confirmez l’importation, quand vous l’abandonnez et quand l’aperçu expire, sept jours après le téléversement. Un aperçu ne peut plus être confirmé après sept jours. Une limite à connaître avant d’importer plutôt qu’après : il n’y a pas de bouton pour annuler. La confirmation écrit aussi par lots de 100 lignes et peut enregistrer une partie d’un fichier puis s’arrêter, ce que le rapport indique clairement — téléverser de nouveau le même fichier termine l’importation au lieu de créer des doubles, parce qu’une importation compare toujours les mêmes clés.

Oui aux deux, depuis l’application, sans demande de soutien et avec tous les forfaits. Un administrateur peut créer un fichier ZIP de tout l’espace de travail : chaque table en NDJSON et en CSV, les fichiers de facture originaux, la piste de vérification, un manifeste et un rapport de couverture qui nomme tout ce qui a été laissé de côté et marque l’archive INCOMPLETE si c’est le cas. Le lien de téléchargement reste actif sept jours, et vous pouvez en demander un autre quand vous le voulez. Tout membre — y compris un approbateur externe qui ne voit qu’un immeuble — peut demander une copie de ses propres données, parce que c’est un droit qu’il détient et non une fonction que l’espace de travail achète. La suppression de l’espace de travail est aussi en libre-service : un administrateur tape le nom de l’espace de travail, et vous avez sept jours pour annuler avant que quoi que ce soit soit détruit. Deux choses sont conservées volontairement et sont nommées à l’écran : les registres de facturation Stripe, que le droit fiscal canadien nous oblige à garder six ans, et une trace de la suppression, gardée 24 mois pour que nous puissions vous la prouver.