Plateformes de formulaires chiffrés pour la finance et la santé

Deux secteurs reviennent dans le même champ de recherche que l'expression « formulaires chiffrés » : la finance et la santé. Ce n'est pas un hasard. Tous deux collectent régulièrement les catégories de données que les régulateurs réservent à un traitement particulier, et tous deux affrontent des conséquences démesurées en cas de fuite. Un formulaire d'admission patient contient une anamnèse ; un formulaire d'ouverture client contient des pièces d'identité, un récit d'origine du patrimoine et des relevés bancaires. Rien de tout cela ne doit reposer en clair sur un serveur que vous ne contrôlez pas.

Sous le RGPD européen comme sous la loi fédérale suisse révisée sur la protection des données (nLPD), les données de santé constituent une « catégorie particulière » exigeant un niveau de protection supérieur. Les données financières, bien que pas toujours classées de la même manière, portent en pratique une sensibilité comparable et s'inscrivent dans des régimes denses — KYC, LBA, attentes de la FINMA, secrets sectoriels. Les données sont concentrées, identifiantes et attractives pour les attaquants. L'impact d'une exposition se mesure en amendes, responsabilité professionnelle et confiance rompue qui ne revient pas.

Cet article est un guide d'achat, pas une publicité. Il explique ce que « chiffré » signifie vraiment au-delà du marketing, expose le modèle de menace de l'accueil client dans les secteurs réglementés, donne un ensemble concret de critères d'évaluation et catégorise le marché équitablement. Chaque catégorie d'outils a des usages légitimes. Le but est de vous aider à choisir celui qui correspond aux données que vous collectez.

Ce que « chiffré » signifie vraiment dans le marketing des fournisseurs

Le mot « chiffré » sur une page de fonctionnalités accomplit beaucoup de travail non spécifié. Un fournisseur peut viser trois affirmations distinctes, qui protègent contre des choses totalement différentes. En évaluant une plateforme de formulaires chiffrés, votre premier travail est de déterminer laquelle est réellement proposée.

En transit (TLS / HTTPS)

C'est le cadenas dans la barre d'adresse. TLS chiffre la connexion entre le navigateur du répondant et le serveur du fournisseur, de sorte que personne sur le réseau intermédiaire ne peut lire ni altérer la soumission. C'est essentiel et quasi universel aujourd'hui — mais cela cesse de protéger quoi que ce soit dès que les données arrivent au serveur, où elles sont déchiffrées en clair. Toute plateforme sérieuse le fait. À soi seul, cela ne dit rien sur qui peut lire les données une fois arrivées.

Au repos (chiffrement côté serveur / base de données)

Le chiffrement au repos signifie que les données sont chiffrées lors de l'écriture sur disque ou en base. Il protège contre un scénario étroit : quelqu'un qui vole physiquement un disque ou un fichier de sauvegarde brut. Il ne cache pas les données aux propres systèmes du fournisseur, car celui-ci détient les clés et déchiffre à la demande pour afficher, rechercher, exporter et traiter les données. Le personnel du fournisseur, ses outils de support et quiconque le contraint par voie légale atteignent toujours le clair.

De bout en bout (connaissance nulle)

Le chiffrement de bout en bout (E2EE) signifie que la soumission est chiffrée dans le navigateur du répondant, avant d'atteindre le fournisseur, avec une clé dont il ne détient pas la moitié secrète. Seul le propriétaire du formulaire peut déchiffrer. Dans une conception à connaissance nulle, l'exploitant ne peut pas lire les soumissions même s'il le voulait, même sous ordonnance, car il ne possède jamais la clé de déchiffrement. C'est l'affirmation la plus forte et la plus rare. C'est aussi la seule des trois qui retire le fournisseur lui-même de l'équation de confiance.

Le modèle de menace de l'accueil client dans les secteurs réglementés

Choisir une plateforme revient en réalité à décider contre quelles menaces vous devez vous défendre. Pour l'accueil en finance et en santé, le modèle réaliste est plus large qu'« un pirate sur le câble ». Les expositions intéressantes surviennent toutes après l'arrivée des données.

• Accès du fournisseur — personnel avec accès production, agents de support, ingénieurs d'astreinte ou équipes analytics capables de lire les soumissions en clair
• Violation — un bucket de stockage mal configuré, une sauvegarde de base fuitée, un identifiant volé ou une compromission de la chaîne d'approvisionnement exposant ce qui repose sur les systèmes du fournisseur
• Ordonnance légale — une injonction, un mandat ou une demande d'accès signifiée au fournisseur, qui produit ce qu'il détient ; l'émetteur n'est généralement pas informé
• Insider — quelqu'un disposant d'un accès légitime qui lit, copie ou vend des données, ou y est contraint
• Partage mal dirigé — exports, intégrations et copies qui déplacent discrètement des données en clair vers des endroits non prévus

TLS ne couvre que le premier saut. Le chiffrement au repos réduit le cas de violation au seul vol physique de disque. Seul le chiffrement de bout en bout neutralise d'emblée les menaces d'accès fournisseur, d'ordonnance légale et d'insider — car dans une architecture à connaissance nulle, il n'y a aucun clair côté fournisseur à atteindre, produire ou voler. Le risque de partage mal dirigé diminue aussi, puisque ce qui est exporté est du chiffré, sauf si vous déchiffrez délibérément.

Les critères d'évaluation des formulaires chiffrés pour la santé et la finance

Voici les critères qui distinguent réellement les plateformes une fois le marketing dépassé. Notez chaque candidat sur tous, et pondérez selon la sensibilité de ce que vous collectez.

1. Vrai chiffrement de bout en bout et garde des clés

Les données sont-elles chiffrées dans le navigateur du répondant, ou seulement sur le serveur ? Qui détient la clé de déchiffrement — vous, ou le fournisseur ? Si le fournisseur peut effectuer une réinitialisation de mot de passe qui récupère vos données, c'est qu'il détient une clé, et le chiffrement n'est pas à connaissance nulle. Demandez directement : « Votre personnel peut-il lire une soumission si nous le demandons ? » Un « non, par conception » net est la réponse recherchée.

2. Résidence des données et juridiction

Où se trouvent physiquement les serveurs, et quel droit national peut atteindre les données qui y sont stockées ? Un fournisseur hébergé dans une juridiction mais détenu par une maison mère dans une autre peut être atteignable via le système juridique de cette dernière. Pour les cabinets suisses et européens réglementés, cela exclut souvent les plateformes dont le chemin de données passe par une infrastructure américaine, quelles que soient les garanties contractuelles.

3. Contrôles d'accès et journaux d'audit

Même avec un chiffrement solide, vous devez contrôler qui, de votre côté, peut voir les données déchiffrées, et vous voulez une trace de qui a accédé à quoi. Recherchez l'accès basé sur les rôles, des formulaires protégés par mot de passe et un suivi lu/non lu ou d'accès. Ces contrôles comptent quel que soit le modèle de chiffrement — et c'est ce que les auditeurs demanderont à voir.

4. Téléversements de fichiers chiffrés

L'accueil en santé et en KYC est rarement uniquement textuel. Résultats de laboratoire, scans d'identité, relevés bancaires et consentements signés arrivent en pièces jointes. Confirmez que les téléversements sont chiffrés avec la même rigueur que les champs — pas ajoutés après coup pour atterrir en clair dans un stockage objet. Vérifiez la limite de taille par fichier face aux documents que vous traitez réellement.

5. Conservation et suppression

Les données que vous ne détenez plus ne peuvent pas fuiter. La nLPD comme le RGPD attendent que vous ne gardiez les données personnelles que le temps nécessaire. Recherchez des contrôles de conservation clairs, la possibilité de supprimer complètement soumissions et pièces jointes, ainsi qu'une planification ou des plafonds de réponses qui arrêtent la collecte une fois une fenêtre fermée.

6. Disponibilité d'un BAA pour la santé américaine — une note honnête

Si vous êtes une entité couverte par HIPAA aux États-Unis, un Business Associate Agreement (BAA) est souvent une exigence d'achat ferme, et vous devriez choisir une plateforme qui en propose un. Soyez précis ici : une plateforme à connaissance nulle qui ne peut réellement pas lire les soumissions peut ne fournir aucun BAA — non parce qu'elle est moins sûre, mais parce qu'il n'y a pas de PHI auquel accéder. C'est une posture différente, pas plus faible, mais elle ne satisfait pas automatiquement une case qui réclame littéralement un BAA signé. Sachez ce que votre situation exige.

7. Exportabilité et verrouillage

Pouvez-vous récupérer vos données dans un format standard si vous partez ? Un accueil sensible ne doit jamais devenir un otage. Confirmez un export propre — et comprenez qu'avec les plateformes à connaissance nulle, vous exportez des données déchiffrées avec votre propre clé, ce qui est précisément l'intérêt.

8. Pages de formulaire propres, sans traceurs

Le chiffrement protège la soumission après qu'elle a quitté le navigateur ; il ne fait rien contre du code hostile à l'intérieur du navigateur. Analytics tiers, scripts de session replay, A/B testing et pixels marketing peuvent lire les champs avant leur chiffrement. Pour un accueil sensible, la page de formulaire devrait charger le minimum de code, ne lancer aucun session replay et ne porter aucun traceur tiers.

Les critères d'évaluation en un coup d'œil

Le paysage des plateformes — trois catégories, décrites équitablement

Il est utile de penser le marché en trois bandes. Aucune n'est universellement « mauvaise » — chacune est la bonne réponse pour certaines données et la mauvaise pour d'autres.

Outils grand public

Google Forms, Microsoft Forms, Typeform et similaires. Ils utilisent TLS en transit et le chiffrement au repos, sont faciles à prendre en main et s'intègrent à tout. Le fournisseur peut techniquement accéder aux données — c'est ainsi que fonctionnent recherche, analytics et intégrations. Pour la collecte peu sensible — RSVP, retours, inscriptions newsletter, demandes générales — c'est un choix tout à fait raisonnable.

Créateurs axés conformité

Cognito Forms, Formstack et leurs pairs. Ils ajoutent des contrôles d'accès solides, des fonctions d'audit et — important pour la santé américaine — des programmes BAA et un traitement aligné HIPAA. Certains offrent un chiffrement au niveau du champ pour les champs sensibles désignés. Pour les cliniques américaines et les PME financières qui ont besoin d'un BAA et d'un workflow riche, ils sont souvent le meilleur choix pratique. La réserve honnête : dans la plupart des configurations, le fournisseur peut encore techniquement accéder aux données, car il détient les clés.

Plateformes à connaissance nulle / E2EE

Schweizerform se situe ici. La soumission est chiffrée dans le navigateur du répondant et le fournisseur ne peut pas la déchiffrer — ni pour le support, ni pour les analytics, ni sous ordonnance. C'est la bonne réponse quand vous ne pouvez accepter aucune confiance dans la capacité de l'exploitant à lire les soumissions : anamnèses, dossiers KYC, admissions juridiques, signalements de lanceurs d'alerte. Les compromis sont réels : aucune récupération de mot de passe côté fournisseur pour vos données, et certaines commodités qui dépendent de la lecture par le fournisseur sont volontairement absentes.

Résidence des données dans le monde — Suisse, UE, Royaume-Uni, Australie

Même avec un chiffrement solide, la juridiction où vivent vos données compte toujours — surtout pour le clair ou les métadonnées que le fournisseur détient malgré tout. Le principe est simple : sachez quel droit national peut atteindre votre chiffré ou votre clair, et assurez-vous que cette réponse vous convient.

• Suisse — régie par la nLPD, hors de l'UE mais reconnue par l'UE comme offrant une protection adéquate, et hors de portée du CLOUD Act américain. Un solide choix par défaut pour les travaux sensibles à la confidentialité.
• Union européenne — le RGPD s'applique ; les données restent idéalement dans l'EEE, et les transferts hors zone exigent une base légale comme l'adéquation ou les clauses contractuelles types.
• Royaume-Uni — UK GDPR plus le Data Protection Act ; largement aligné sur le régime de l'UE mais juridiction distincte depuis le Brexit, alors vérifiez où un fournisseur stocke les données britanniques.
• Australie — le Privacy Act et les Australian Privacy Principles s'appliquent ; « formulaires sécurisés pour la santé » en Australie signifie souvent garder les dossiers de santé sur le territoire ou sous contrôle contractuel, et l'APP 8 régit la divulgation transfrontalière.

Avec une plateforme à connaissance nulle, la résidence devient moins épineuse sur un point important : même si des blobs chiffrés franchissaient une frontière, ils sont illisibles sans votre clé. Mais la résidence régit encore les métadonnées, l'exposition juridique de la société exploitante et votre propre confort réglementaire — c'est donc une question à poser, où que vous opériez dans le monde.

Un processus d'évaluation pratique

Où se situe Schweizerform

Schweizerform est un créateur de formulaires à connaissance nulle, chiffré de bout en bout, conçu en Suisse et hébergé exclusivement sur une infrastructure suisse (Infomaniak). Il est bâti pour la bande où « le fournisseur peut techniquement accéder aux données » cesse d'être acceptable.

• Chaque soumission est chiffrée dans le navigateur du répondant avec AES-256-GCM ; la clé par soumission est enveloppée avec la clé publique RSA-OAEP-2048 du formulaire, et le code d'accès du propriétaire dérive une clé maîtresse PBKDF2 (100 000 itérations) qui conditionne in fine le déchiffrement
• L'exploitant ne peut pas lire les soumissions — ni pour le support, ni pour les analytics, ni sous injonction, car il ne détient jamais la clé de déchiffrement
• Les téléversements chiffrés (25 Mo par fichier) et la capture de signature suivent le même pipeline ; les pièces jointes sont stockées en chiffré et déchiffrées uniquement dans le navigateur du propriétaire
• Les pages de formulaire publiques ne portent aucun JavaScript tiers ni traceur ; les analytics sont uniquement de première partie, et aucun fournisseur américain ou européen ne se trouve dans le chemin de données
• Formulaires publics multilingues en EN, DE, FR et IT, avec protection par mot de passe, planification, plafonds de réponses et tarifs en CHF incluant un plan gratuit

Sur les points honnêtes : Schweizerform est bâti autour de la nLPD suisse et d'un traitement aligné RGPD. Il n'est pas certifié HIPAA et n'offre pas de BAA — son architecture fait qu'il n'y a pas de PHI auquel l'exploitant pourrait accéder, mais si votre achat exige littéralement un BAA signé, un créateur américain axé conformité peut mieux convenir. Pour une vue sectorielle plus approfondie, le site comporte aussi des pages de cas d'usage dédiées aux formulaires de santé et à l'accueil en conseil financier et KYC.

En résumé

Pour la finance et la santé, « formulaire chiffré » est le début de la conversation, pas la fin. La question décisive n'est pas la force de l'algorithme — c'est qui peut déchiffrer. Les outils grand public et les créateurs axés conformité ont tous deux des places légitimes ; la différence est que dans les deux, le fournisseur peut techniquement atteindre vos données, tandis qu'une plateforme à connaissance nulle retire le fournisseur de l'équation de confiance.

Classez vos données, présélectionnez par architecture, vérifiez les affirmations de chiffrement plutôt que le marketing, et pilotez avant de vous engager. Si ce que soumettent vos clients et patients leur ferait du mal en fuitant, le contrôle à exiger est simple : une plateforme qui ne peut pas le lire.