Est-il sécuritaire de connecter votre compte bancaire à une appli de budget au Canada ?

Si vous avez hésité devant le bouton « Connecter votre banque » d'une appli de budget, cette hésitation est raisonnable. On vous demande d'ouvrir à une entreprise que vous venez de rencontrer une fenêtre sur le compte qui contient l'argent de votre loyer. Il est légitime de vouloir savoir exactement ce qu'il y a de l'autre côté de ce bouton avant d'appuyer.

Ce guide y répond simplement. Il explique ce que fait réellement Plaid, les deux façons dont une connexion peut être établie et pourquoi la différence compte, ce que « lecture seule » signifie en pratique, précisément ce que Boreal reçoit et ce qu'il ne peut pas faire, et comment révoquer l'accès quand vous le voulez. Quand une réponse dépend de votre banque plutôt que de nous, nous le dirons — parce que certaines des réponses les plus importantes se trouvent dans votre convention bancaire, pas dans la nôtre.

Ce que fait réellement la connexion de votre compte bancaire

Quand vous connectez un compte, vous ne remettez pas votre compte bancaire. Vous autorisez un flux d'information à sens unique : votre institution financière (ou un service agissant sur votre instruction) transmet une copie de certains renseignements de compte et de votre historique de transactions à l'appli que vous avez choisie.

Trois choses méritent d'être distinguées, parce qu'elles se mélangent dans l'inquiétude de la plupart des gens :

• L'accès à l'information — quelqu'un peut voir vos soldes et vos transactions.
• L'accès aux fonds — quelqu'un peut sortir de l'argent de votre compte.
• L'accès à votre identité auprès de la banque — quelqu'un détient les identifiants qui lui permettent d'agir en votre nom.

Une connexion d'appli de budget est conçue pour être la première seulement. Le reste de ce guide porte en fait sur la manière de le vérifier vous-même plutôt que de croire quiconque sur parole.

Ce que fait Plaid, et ce qu'il ne fait pas

Plaid est la couche de connexion entre les applis financières et les institutions financières. Une bonne part des applis fintech dont vous avez entendu parler l'utilisent, au Canada comme ailleurs. Quand vous connectez un compte bancaire dans Boreal, vous passez par le parcours de connexion de Plaid — l'écran où vous choisissez votre institution, vous vous authentifiez et vous sélectionnez les comptes à partager.

Le rôle de Plaid est étroit : établir la connexion que vous avez autorisée, récupérer les données de compte et de transactions demandées par l'appli, et les transmettre à cette appli. Plaid affirme que les utilisateurs contrôlent quels renseignements sont partagés et qu'il ne vend ni ne loue les renseignements financiers de ses utilisateurs.

Deux conséquences pratiques que les gens ratent souvent :

• Plaid est une partie distincte, avec sa propre politique de confidentialité et ses propres contrôles. Votre relation de données est avec l'appli et avec Plaid, pas seulement avec l'appli. Plaid publie un portail (Plaid Portal) où vous pouvez voir les applis que vous avez connectées et les gérer ou les déconnecter directement.
• L'appli ne reçoit que ce qu'elle a demandé. Une appli demande des produits de données précis — transactions, soldes, détails de compte. Elle n'obtient pas une clé passe-partout de votre banque.

Donc, sur la question étroite Plaid est-il sécuritaire — la formulation honnête est que Plaid est un intermédiaire réglementé et largement audité dont tout le modèle d'affaires dépend du fait de ne pas mal gérer ces données, et qui vous donne des outils pour voir et révoquer ce que vous avez connecté. C'est nettement mieux qu'un tableur où vous collez vos propres relevés, et ce n'est pas la même chose qu'un risque nul. Tout système qui déplace des données comporte une surface de risque. Ce que vous décidez, c'est si les contrôles sont raisonnables et si vous pouvez faire marche arrière.

Vous autorisez une copie de votre historique de transactions à circuler dans un seul sens. Vous n'autorisez personne à déplacer votre argent.

OAuth ou identifiants : la différence qui compte le plus

C'est la distinction la plus importante de cet article, et presque personne ne l'explique avant de vous demander de vous connecter.

Les connexions OAuth (le bon modèle)

Dans une connexion OAuth, vous êtes redirigé vers la page de connexion ou l'application de votre propre banque. Vous vous authentifiez là, chez votre banque, sur le domaine de votre banque. Votre banque émet ensuite un jeton qui donne accès à des données précises — et ni Boreal ni Plaid ne reçoivent jamais votre nom d'utilisateur ou votre mot de passe bancaire, puisque vous ne les avez tapés nulle part ailleurs que chez votre banque.

Ce modèle vous donne aussi un deuxième point de révocation : comme c'est votre banque qui a émis le jeton, elle peut habituellement vous montrer la connexion et vous laisser l'annuler depuis les paramètres de vos services bancaires en ligne.

Les connexions par identifiants (l'ancien modèle)

Lorsqu'une institution ne prend pas encore en charge OAuth, l'approche plus ancienne repose sur les identifiants : vous saisissez votre nom d'utilisateur et votre mot de passe bancaires dans l'écran de connexion de Plaid, et Plaid les utilise pour récupérer vos données en votre nom. Plaid peut les conserver, chiffrés, afin que la connexion continue de se rafraîchir sans vous redemander de vous connecter chaque fois.

Voici le point à regarder en face : dans ce modèle, vos identifiants sont détenus par un intermédiaire. Boreal ne les reçoit toujours pas — ils ne nous parviennent dans aucun des deux modèles — mais personne ne les a n'est pas exact pour une connexion par identifiants comme ça l'est pour OAuth. C'est le vrai compromis, et c'est la raison pour laquelle l'industrie migre vers OAuth.

Lequel vous obtiendrez

Cela dépend de votre institution, pas de Boreal. Les banques canadiennes déploient progressivement des connexions de type OAuth, et la couverture évolue avec le temps. Le plus simple est de regarder l'écran : si vous êtes envoyé vers la page de connexion de votre banque puis ramené dans l'appli, c'est OAuth. Si vous tapez vos identifiants bancaires dans un formulaire à l'intérieur de la fenêtre de connexion, c'est le modèle par identifiants.

Si votre banque offre OAuth et qu'on vous laisse le choix, prenez-le.

Ce que veut dire un accès bancaire « en lecture seule » au Canada

Lecture seule n'est pas une formule marketing — cela décrit les capacités qui ont été demandées au moment d'établir la connexion.

Les fournisseurs de données financières exposent différents produits. Certains servent à lire de l'information : historique de transactions, soldes, détails de compte, données d'identité. D'autres servent à initier des mouvements : paiements, virements, mise en place de prélèvements. Ce sont des produits distincts, avec des permissions distinctes, et une appli qui n'a jamais demandé les produits de mouvement n'a aucun mécanisme pour déplacer votre argent, peu importe ce que dit son code.

C'est la réponse concrète à « une appli de budget peut-elle déplacer mon argent » : non, pas si elle détient un accès en lecture seule. Il n'y a pas de bouton caché. La capacité n'a jamais été accordée.

Deux nuances honnêtes, parce que vous devriez pouvoir vérifier plutôt que faire confiance :

• La lecture seule porte sur la capacité, pas sur le soin qu'une entreprise apporte aux données qu'elle lit. Votre historique de transactions est sensible en soi. Où il est stocké, qui peut le voir et combien de temps il est conservé comptent toujours.
• Vérifiez ce qu'une appli donnée a demandé. L'écran de consentement vous dit ce qui est partagé. Lisez-le une fois au lieu de cliquer à travers — c'est le seul moment où tout cela est énoncé clairement.

Ce que Boreal reçoit réellement

Concrètement, quand vous connectez un compte à Boreal, nous recevons :

• Les métadonnées de compte — nom de l'institution, nom du compte, type et sous-type, devise et les derniers chiffres masqués. Pas votre numéro de compte complet.
• Les soldes — soldes courants et disponibles des comptes que vous avez choisi de partager.
• Les transactions — date, description, montant, marchand et catégorie, pour que Boreal puisse organiser vos dépenses et détecter les charges récurrentes.
• Les données dérivées que nous générons nous-mêmes — sommaires mensuels, totaux par catégorie, tendances, flux récurrents détectés et les constats en langage clair que Boreal en tire.

Côté traitement : les données circulent sur des connexions chiffrées, les champs financiers sensibles sont chiffrés au repos dans notre base de données, le jeton d'accès qui maintient votre connexion est stocké uniquement côté serveur et n'est jamais exposé à votre navigateur, et l'accès aux systèmes de production est restreint aux systèmes et aux personnes autorisés. Nous ne vendons pas vos données. Vous pouvez lire les détails sur nos pages sécurité et confidentialité, qui font foi pour ces énoncés.

Ce que Boreal ne peut pas faire

Cette liste est volontairement directe, parce que c'est l'absence de capacité qui rassure réellement :

• Boreal ne peut pas déplacer d'argent. Aucun virement, aucun paiement, aucun paiement de facture, aucun retrait. Boreal ne détient pas d'accès d'initiation de paiement à vos comptes.
• Boreal ne voit ni ne conserve jamais votre mot de passe bancaire. Vous vous authentifiez auprès de votre banque ou via le parcours de connexion de Plaid; vos identifiants ne parviennent à Boreal dans aucun des deux cas.
• Boreal ne peut ni ouvrir, ni fermer, ni modifier quoi que ce soit chez votre banque. Il n'a aucune capacité d'agir sur votre compte.
• Boreal ne vend pas vos données financières.

Si vous voulez le portrait complet de ce qui se passe une fois les données arrivées — catégorisation, constats, ce qui est généré et quand — c'est couvert dans comment fonctionne Boreal.

Sécurité des agrégateurs bancaires au Canada : quoi vérifier avant de connecter

Peu importe l'appli que vous évaluez — la nôtre ou une autre — voici les questions qui valent la peine d'être posées. Toutes trouvent réponse en quelques minutes sur le site de l'entreprise.

• Utilise-t-elle un accès en lecture seule, et le dit-elle explicitement ? Une formule vague de sécurité de niveau bancaire n'est pas une réponse. Cherchez un énoncé clair de ce que l'appli peut et ne peut pas faire.
• Publie-t-elle une véritable page de sécurité et une politique de confidentialité ? Pas un paragraphe dans le pied de page — une vraie documentation sur la protection des données, qui y a accès et combien de temps elles sont conservées.
• Pouvez-vous déconnecter et supprimer par vous-même ? Une appli qui vous oblige à écrire au soutien pour vous déconnecter vous dit quelque chose.
• Est-elle claire sur les données conservées après la déconnexion ? La plupart des applis gardent les données déjà importées à moins que vous ne demandiez leur suppression. Ça devrait être annoncé, pas découvert.
• Explique-t-elle les tiers impliqués ? Plaid, l'hébergement, le traitement des paiements. Si la chaîne n'est pas divulguée, vous ne pouvez pas l'évaluer.
• Existe-t-il un moyen de signaler un problème de sécurité ? Un contact de sécurité publié est un petit signal qu'une personne est responsable de cet aspect.

Appliqué aux applis de budget au Canada en général : les mieux bâties passent ces six tests sans difficulté, et la liste vaut mieux que les assurances d'une seule entreprise — la nôtre incluse.

La LPRPDE (PIPEDA) et vos droits en matière de vie privée au Canada

Connecter votre compte bancaire ne vous place pas hors du droit. Au Canada, les organisations du secteur privé qui traitent vos renseignements personnels sont généralement encadrées par la LPRPDE — la *Loi sur la protection des renseignements personnels et les documents électroniques*, souvent appelée PIPEDA — ou par une loi provinciale essentiellement similaire (le Québec, l'Alberta et la Colombie-Britannique ont chacun leur régime; la Loi 25 au Québec a notamment renforcé le consentement et les droits de suppression).

En gros, ces lois signifient qu'une organisation qui traite vos données financières doit :

• Obtenir un consentement valable pour la collecte, l'utilisation et la communication de vos renseignements personnels.
• Limiter la collecte à ce qui est nécessaire à la fin déclarée, et ne l'utiliser que pour cette fin.
• Les protéger par des mesures de sécurité proportionnelles à leur sensibilité — et les données financières se situent à l'extrémité sensible.
• Vous permettre d'accéder aux renseignements personnels détenus à votre sujet et d'en demander la correction.
• Rendre des comptes, avec une personne responsable de la conformité et un moyen de porter plainte.

Si vous croyez qu'une organisation a mal géré vos renseignements, vous pouvez porter plainte au Commissariat à la protection de la vie privée du Canada (ou à votre organisme provincial, lorsqu'une loi provinciale s'applique). C'est un vrai filet de sécurité — l'intérêt de le mentionner n'est pas le détail juridique en soi, mais le fait qu'une appli de budget assujettie à la LPRPDE au Canada répond à une instance externe, et pas seulement à ses propres promesses.

Comment révoquer l'accès, à trois endroits

Vous devriez connaître la sortie avant de prendre l'entrée. Il y a trois endroits indépendants pour couper une connexion, et en utiliser plus d'un est raisonnable.

1. Déconnecter dans Boreal

Déconnectez le compte dans Boreal. La synchronisation cesse pour cette connexion, et le jeton d'accès associé est supprimé ou désactivé. Une chose à dire clairement : les données déjà importées restent dans votre compte Boreal à moins que vous n'en demandiez la suppression. Si vous voulez qu'elles disparaissent, vous pouvez demander la suppression de ces données historiques, ou supprimer entièrement votre compte Boreal — auquel cas les renseignements de profil, les dossiers de comptes connectés, les jetons, les transactions, les sommaires et les constats sont supprimés ou anonymisés, sous réserve des exceptions légales et de sécurité limitées prévues à notre politique de conservation.

2. Révoquer dans Plaid Portal

Plaid maintient un portail où vous pouvez voir les applis que vous avez connectées via Plaid et les déconnecter là, indépendamment de l'appli. C'est utile si vous avez perdu le fil de vos connexions au fil des ans, ou si une appli a cessé de fonctionner et que vous n'arrivez plus à ses réglages.

3. Révoquer chez votre banque

Si votre connexion a été faite par OAuth, c'est votre banque qui a émis le jeton — elle peut donc habituellement le révoquer. Cherchez une section accès de tiers, applications connectées ou partage de données dans vos services bancaires en ligne. C'est la révocation la plus forte, parce qu'elle est appliquée à la source.

Supprimer une appli de votre téléphone ne révoque pas l'accès. La connexion vit du côté serveur, pas dans l'icône de l'appli.

Pourquoi lire votre propre convention bancaire

C'est la partie que la plupart des articles sautent, et celle où la réponse ne nous appartient vraiment pas.

Votre convention de services bancaires en ligne énonce vos obligations quant à la protection de vos identifiants — et dans certaines conventions, les protections dont vous bénéficiez contre les opérations non autorisées peuvent être affectées selon que vous avez partagé ou non vos informations de connexion avec un tiers. Comme les connexions par identifiants impliquent exactement cela, la distinction n'est pas théorique.

Alors avant de connecter quoi que ce soit, accordez dix minutes à votre propre convention :

• Cherchez-y des termes comme tiers, agrégateur, identifiants et non autorisée.
• Notez si votre banque offre une méthode approuvée de partage de données (une connexion OAuth est habituellement cette méthode).
• Si la documentation de votre banque indique quelles applis ou quels fournisseurs elle prend en charge, c'est la source la plus fiable dont vous disposez.

Nous pouvons vous dire ce que Boreal fait et ne fait pas. Nous ne pouvons pas vous dire ce que la convention de votre banque prévoit quant à votre responsabilité — et toute entreprise qui balaie cette question du revers de la main traite à la légère une question qui est pourtant la vôtre.

En résumé

Est-il sécuritaire de connecter votre compte bancaire à une appli de budget ? La version utile de la question est : qu'est-ce que j'accorde, à qui, et puis-je le reprendre ?

Pour une connexion en lecture seule via Plaid, la réponse est : vous accordez une copie de vos données de transactions et de soldes, à l'appli plus le fournisseur de connexion, et vous pouvez la révoquer dans l'appli, dans Plaid Portal et — avec OAuth — chez votre banque. Boreal reçoit vos transactions et vos soldes, les chiffre, s'en sert pour organiser vos dépenses et rédiger des constats en langage clair, et ne peut déplacer aucun de vos dollars dans quelque direction que ce soit.

C'est un vrai compromis, pas un repas gratuit. Vous échangez une certaine exposition de vos données contre le fait de ne plus tenir vos finances à la main. Bien des gens font ce choix de façon rationnelle, et d'autres décident raisonnablement de s'en abstenir. Si vous connectez, privilégiez OAuth quand votre banque l'offre, lisez l'écran de consentement une fois plutôt que de cliquer à travers, et sachez où se trouve le bouton de déconnexion. Si vous connectez plusieurs comptes dans différentes institutions, notre guide sur le suivi des dépenses sur plusieurs comptes bancaires explique à quoi ça ressemble au quotidien.