Sécurité & traitement des données

Les réponses que réclamera votre équipe sécurité

Notre manière de traiter les accès, les données, l'infrastructure et les incidents, dans le détail. Les clauses précises, elles, sont formalisées dans l'accord de traitement des données que nous signons pour chaque mission.

Accès & comptes

Moindre privilège

Chaque ingénieur reçoit le minimum d'accès qu'exige le jalon en cours : attribution nominative, révocation à la fin de la mission, et un journal d'accès que vous pouvez auditer.

Votre environnement, vos règles

Nous travaillons autant que possible dans vos comptes cloud et sous votre fournisseur d'identité. Accès par VPN uniquement, postes gérés, vérification d'antécédents : nous nous y plions quand le contexte l'impose.

MFA partout

L'authentification multifacteur est obligatoire sur tous les comptes que nous opérons, les nôtres comme ceux que vous nous ouvrez.

Gestion des secrets

Les identifiants vivent dans un gestionnaire de secrets, jamais dans le code, la messagerie ou un document. La rotation à la passation est systématique.

Traitement des données

Minimisation des données par défaut

Le développement et les tests tournent sur des données synthétiques ou anonymisées partout où c'est faisable. L'accès aux données de production reste l'exception : il est journalisé et justifié.

Une ingénierie alignée sur le RGPD

Durées de conservation, circuits de suppression et gestion du consentement sont conçus dans le système dès le premier jalon, et non rajoutés dans l'urgence avant la mise en production.

Garde-fous spécifiques à l'IA

Aucun entraînement sur vos données sans accord écrit. Le déploiement des modèles va des API hébergées dans l'UE aux poids ouverts entièrement auto-hébergés, le choix se faisant selon la sensibilité des données.

Options de résidence des données

Hébergement et traitement exclusivement dans l'UE, disponibles sur toute la stack lorsque vos obligations de conformité l'exigent.

Nos pratiques de développement sécurisé

Revue de code et contrôles CI

Chaque modification est relue par un pair, et l'analyse des dépendances et des vulnérabilités tourne en CI à chaque build.

Chiffré partout

TLS en transit, chiffrement au repos, infrastructure décrite sous forme de code : la posture de sécurité se relit dans un dépôt au lieu de se transmettre oralement.

Pistes d'audit

Les systèmes que nous construisons enregistrent qui a fait quoi et quand, actions automatisées et décisions d'IA comprises. Vos équipes peuvent interroger ce journal.

Incidents & continuité

Les systèmes tombent : ce qui compte, c'est la manière dont ils tombent et le délai au bout duquel vous l'apprenez. Chaque système que nous exploitons part en production avec ce dispositif :

Supervision et alertes dès le premier jourLes alertes partent vers vos canaux et les nôtres en même temps

Une réponse aux incidents définieContacts nommés, niveaux de gravité et délais de notification convenus mission par mission

Des sauvegardes testéesSauvegarde et restauration vérifiées plutôt que supposées, avec des exercices de restauration sur les forfaits d'exploitation

Des post-mortems honnêtesÉcrits, sans recherche de coupable, partagés avec vous, y compris ce que nous avons raté

Un questionnaire de sécurité à remplir ?

Envoyez-le : les évaluations fournisseurs sont traitées pendant la phase de devis.

Nous contacter