Matrice de conformité

Hébergement & Réseau

Mesures en place

• Réf 1 — Hébergement Scaleway France exclusivement. Datacenters en France métropolitaine, certifiés ISO 27001 et HDS. Aucun transfert hors UE. Preuves : contrat Scaleway, certificats ISO 27001 + HDS, schéma d'hébergement, DPA signé.
• Réf 2 — Plateforme et données traitées exclusivement sous droit européen (RGPD). Aucun sous-traitant hors UE sur la chaîne Pilot. Preuves : DPA Lite Ops, registre des sous-traitants, clauses RGPD.
• Réf 3 — Composants critiques (BDD, LLM, services internes) déployés en Virtual Private Cloud. Aucun endpoint public exposé. Preuves : schéma d'architecture réseau, configuration VPC, scan d'exposition externe.
• Réf 4 — Frontal applicatif unique exposé, durcissement actif : filtrage IP, authentification forte (MFA), VPN client disponible en option. Preuves : politique d'accès frontal, configuration MFA, journaux d'accès.

Engagements : Démarche SecNumCloud échelon J1 en cours (Q3 2026). Notification écrite préalable au client en cas d'évolution du périmètre sous-traitant. Revue d'architecture annuelle, scan d'exposition semestriel. MFA et SSO activables sur demande client.

---

Identité & Accès

Mesures en place

• Réf 5 — Authentification nominative obligatoire pour tout accès d'administration. Principe du moindre privilège appliqué aux rôles applicatifs et plateforme. Preuves : politique IAM, configuration MFA admin, matrice des rôles, logs d'accès horodatés.
• Réf 23 — Comptes à privilèges élevés sous gestion PAM : authentification MFA obligatoire, rotation automatique des secrets, session recording sur opérations sensibles. Preuves : politique PAM, configuration du coffre privilégié, logs de session admin.

Engagements : Revue trimestrielle des droits, rotation des accès admin alignée sur politique RH. Principe de just-in-time access.

---

Chiffrement & Secrets

Mesures en place

• Réf 6 — Chiffrement en transit TLS 1.2+ sur l'ensemble des flux exposés. Chiffrement au repos sur bases de données et stockages objet Scaleway. Preuves : politique cryptographique, configuration TLS, paramètres KMS Scaleway, rapport SSL Labs (note A+).
• Réf 7 — Coffre dédié pour la gestion des secrets. Aucun secret en clair dans le code ou la configuration. Séparation stricte des environnements (dev / staging / prod). Preuves : politique de gestion des secrets, configuration vault, scan SAST.

Engagements : Rotation des certificats automatisée, monitoring SSL Labs continu. Rotation des secrets mensuelle, audit semestriel des accès au coffre.

---

Données & Multi-tenant

Mesures en place

• Réf 8 — Cloisonnement strict par tenant, aucune mutualisation entre instances client. Chaque tenant dispose de son propre espace de données et de son contexte modèle. Preuves : doc d'architecture multi-tenant, test d'isolation, revue du modèle de données, rapport de pentest couvrant le cloisonnement.
• Réf 9 — Engagement contractuel ferme : aucune donnée client utilisée pour entraîner, fine-tuner ou améliorer un modèle. Pilot opère sur LLM tiers en mode inférence pure, configuration zero-retention activée. Preuves : clause contractuelle d'interdiction, configuration API LLM zero-retention, DPA fournisseur LLM.
• Réf 10 — Pilot ne traite que les données strictement nécessaires aux cas d'usage métier définis avec le client (tabulaires, exports SI/ERP/CRM, PDF métier). Preuves : registre des traitements Pilot, classification des données par cas d'usage, AIPD réalisée pour les usages sensibles.
• Réf 11 — Politique de durée de conservation alignée sur l'usage métier et les obligations contractuelles. Durées par type de données et par environnement définies au contrat. Preuves : politique de rétention, procédure de purge automatisée, tests d'effacement documentés.

Engagements : Test d'isolement tenant systématique avant onboarding. Audit annuel de la conformité no-training, attestation écrite annuelle du fournisseur LLM. Cadrage des cas d'usage formalisé en pré-onboarding. Audit annuel d'effacement.

---

Exploitation & Continuité

Mesures en place

• Réf 12 — Journaux applicatifs et infrastructure horodatés et conservés. Piste d'audit complète sur les accès et opérations sensibles. Export SIEM disponible (CEF / syslog). Preuves : exemples de logs, politique de rétention des journaux, intégration SIEM documentée.
• Réf 13 — Supervision continue des composants critiques : disponibilité, charge, anomalies. Alerting opérationnel. Astreinte 24/7. Preuves : procédures d'exploitation, seuils d'alerte documentés, planning d'astreinte.
• Réf 14 — Sauvegardes régulières des bases de données. Restauration testée. Architecture conçue pour reconstruction rapide. À fournir : PV de test PRA/PCA, RTO/RPO documentés, schéma d'architecture de reprise.
• Réf 15 — Réversibilité contractuelle garantie. Export complet des données client en formats ouverts (JSON, CSV). Dictionnaire de données fourni. Preuves : procédure d'export, dictionnaire de données, test de sortie sur périmètre pilote.
• Réf 16 — Procédure de qualification, traitement et notification des incidents de sécurité en place. Délai contractuel < 72h. REX systématique. À fournir : procédure IR, modèle de rapport RCA, registre des incidents anonymisé.

Engagements : Export SIEM standardisé, intégrité des logs par signature. SLA supervision 24/7, prise en charge incident critique < 1h. RTO/RPO contractuels finalisés Q2 2026. Test de réversibilité en pré-production Q2 2026. Canal d'escalade 24/7 dédié grands comptes, formalisation Q3 2026.

---

IA — Sécurité, Gouvernance & Qualité

Mesures en place

• Réf 17 — Garde-fous actifs sur entrées et sorties IA : filtrage des pièces jointes, sandbox d'exécution des outils, validation des sorties structurées, détection prompt injection au niveau orchestrateur. Preuves : politique IA Lite Ops, tests de robustesse (red teaming IA interne), liste des contrôles entrées/sorties.
• Réf 18 — Pilot est un outil d'aide à la décision en lecture seule sur la donnée. Aucune action sensible (décaissement, modification de données critiques, envoi externe) n'est exécutée. Preuves : workflow de validation, matrice des habilitations, logs d'approbation horodatés.
• Réf 19 — Sources systématiquement citées dans les rapports Pilot. Sources issues de requêtes structurées et testées contre un moteur de validation. Preuves : structure de requêtage de la donnée par les agents.

Engagements : Mise à jour continue des règles de détection, red teaming régulier. Logging exhaustif des actions IA. Revue métier obligatoire avant diffusion COMEX.

---

Supply Chain & Conformité

Mesures en place

• Réf 20 — Suivi continu des CVE sur la chaîne logicielle (bibliothèques, frameworks, conteneurs). Qualification CVSS et priorisation par exposition réelle. Preuves : politique patching, rapports SCA, SBOM disponible sur demande.
• Réf 21 — Pentest annuel par tierce partie. Scan de configuration cloud continu. Plan d'actions de remédiation suivi et documenté. Preuves : rapport de pentest récent (accès sous NDA), rapport de configuration cloud, plan de remédiation.
• Réf 22 — Référentiel documentaire complet maintenu : PAS, DPA, SLA, PCA, procédures incident. Hébergeur certifié ISO 27001 et HDS. SecNumCloud échelon J1 en cours. Preuves : data room sécurité Lite Ops (accès NDA), Security Audit Digest, certificats hébergeur.

Engagements : SBOM fourni à chaque release majeure, délai correction CVE critique < 7 jours. Pentest annuel reconduit, accès au rapport et plan de remédiation sous NDA. Revue annuelle de la posture de sécurité.

---

Expérimentation & POC

Mesures en place

• Réf 24 — Cadrage de la classification des données en amont du POC avec le client (SSI + DPO). Remplacement des colonnes sensibles par des données synthétiques lorsque le périmètre d'extraction conduit à une classification C3. Processus de préparation de base validé sur prototype. Preuves : procédure de cadrage données POC, exemple de substitution synthétique réalisée sur prototype, validation SSI/DPO client.
• Réf 25 — Espace de dépôt sécurisé intégré directement dans la plateforme Pilot pour l'upload des fichiers client. Alternative Sharepoint disponible si le client préfère un transfert via son propre environnement. Chiffrement en transit TLS 1.2+ sur l'ensemble des flux. Preuves : interface d'upload Pilot, configuration TLS, procédure de transfert documentée.
• Réf 26 — Suppression intégrale des données client, des journaux et des données d'authentification à la fin de l'expérimentation. Rapport technique de suppression produit attestant que la base est 100% vide. Engagement prévu au NDA. Preuves : procédure de purge POC, modèle de PV de suppression, clause NDA.
• Réf 27 — Mots de passe générés par la plateforme et transmis individuellement à chaque utilisateur via son adresse mail professionnelle. Aucun mot de passe partagé ou par défaut. Preuves : mécanisme de génération et d'envoi de mots de passe, logs d'envoi.

Engagements : Cadrage données systématique avant tout POC. PV de suppression fourni sous 5 jours ouvrés après clôture. Onboarding utilisateurs avec credentials individuels avant chaque session.

---