Comment nous protégeons vos données

Localisation des données

Toutes les données clients sont traitées et stockées dans la région AWS eu-central-1 (Francfort). Les sauvegardes sont chiffrées dans une seconde région de l'UE. Un traitement hors UE n'a lieu que si vous activez vous-même un modèle d'IA hors UE. Notre contrat avec AWS passe par son entité européenne : Amazon Web Services EMEA SARL, au Luxembourg.

• Région principale : eu-central-1 (Francfort)
• Sauvegardes : seconde région UE, plus une copie en stockage à long terme
• Région et partition sont des paramètres du code d'infrastructure

Isolation des clients

Chaque environnement client dispose de sa propre base de données avec son propre utilisateur, de son propre bucket S3 et de sa propre clé KMS. Les conteneurs applicatifs tournent avec des limites CPU et mémoire. Les grands clients obtiennent leur propre pile applicative, leur propre instance de base de données et leur propre segment réseau ; un compte AWS dédié est optionnel.

Gestion des clés et crypto-shredding

Les données au repos sont chiffrées en AES-256 via AWS KMS, avec une clé gérée par client (customer managed key). À la sortie, cette clé est détruite après la période de conservation, ce qui rend aussi illisibles toutes les sauvegardes et versions antérieures.

Chiffrement en transit

Tout le trafic passe par TLS 1.2 ou supérieur, avec HSTS. Les bases de données et le stockage ne sont pas accessibles directement depuis Internet ; les fichiers transitent par des URL signées de courte durée.

Identité et authentification

Un fournisseur d'identité central basé sur OpenID Connect. Environnements clients, outils navigateur, applications de bureau et API font confiance à ce fournisseur ; les mots de passe locaux des environnements clients sont désactivés, sauf un compte d'administration d'urgence.

• MFA par TOTP ou passkeys (WebAuthn), imposable par environnement
• Outils de bureau et navigateur : OAuth 2.0 Authorization Code avec PKCE
• Jetons d'accès JWT de courte durée (15 minutes) avec jetons de rafraîchissement
• La révocation d'un compte bloque immédiatement les nouveaux jetons ; les jetons en cours expirent sous 15 minutes

Autorisation

Les rôles et droits sont gérés par environnement client (contrôle d'accès basé sur les rôles). Les utilisateurs sont provisionnés juste-à-temps selon leur appartenance. Les invités ne voient que ce qui a été explicitement partagé avec eux.

Partage externe

Les liens de partage sont des jetons avec date d'expiration et mot de passe optionnel, révocables à tout moment.

• Téléchargements via des URL présignées de courte durée
• Les destinataires n'ont pas besoin de compte
• Collaborer nécessite un compte invité (gratuit)

Accès support

Le personnel n'a par défaut aucun accès aux données clients. L'accès est juste-à-temps : uniquement avec l'accord du client, limité dans le temps et entièrement enregistré.

• Accord de l'administrateur client, pour 24 heures ou 7 jours
• Journal d'audit de chaque session, consultable par le client
• Accès d'urgence uniquement en cas de panne ou d'incident, avec motif et notification immédiate

Passerelle IA

Toutes les requêtes d'IA passent par notre propre passerelle, qui impose l'authentification, le choix du modèle, la consommation et les plafonds. Par défaut, seuls des modèles dans l'UE sont utilisés ; les modèles hors UE doivent être activés explicitement et sont signalés. Les données clients ne servent pas à entraîner des modèles.

• Politique de modèles par environnement ; « UE uniquement » peut être imposé
• Budgets et plafonds par personne et par environnement, même sans connexion en direct à l'environnement d'administration
• Consommation mesurée par requête

Recherche respectant les droits

L'index de recherche (pgvector) appartient à l'environnement client et suit les mêmes droits que les applications : la recherche ne renvoie que des documents que l'utilisateur peut ouvrir. L'historique des conversations est stocké dans l'environnement client.

Infrastructure as code

Toute l'infrastructure est décrite en OpenTofu et déployée via CI/CD ; aucune gestion manuelle en console. Le composant qui modifie l'infrastructure dispose d'un rôle IAM restreint (moindre privilège) ; la couche applicative n'a pas de droits cloud étendus.

Sauvegarde et restauration

Les sauvegardes sont créées automatiquement et restaurées automatiquement de façon périodique pour vérifier leur validité. Une copie supplémentaire est conservée en stockage à long terme (Glacier Deep Archive), chiffrée avec la clé du client.

Disponibilité et crédit de service

Nous mesurons chaque mois la disponibilité de chaque environnement. Notre engagement dépend du niveau de service. Si nous ne le tenons pas, vous recevez un crédit de service : une remise sur le montant mensuel. La maintenance planifiée annoncée au moins 5 jours ouvrés à l'avance n'est pas comptée.

• Base : 99,5 % comme objectif
• Entreprise : 99,9 % garantis ; 5 % de crédit par 0,1 % en dessous, jusqu'à 25 %
• Premium : 99,95 % garantis ; 10 % de crédit par 0,05 % en dessous, jusqu'à 50 %

Supervision et journalisation

Les systèmes sont supervisés en continu avec alertes. Les actions d'administration et de support sont consignées dans des journaux d'audit. La consommation et les coûts sont mesurés par client via des tags. Support et suivi aux heures de bureau.

Sécurité des e-mails

Les e-mails sortants partent via Amazon SES depuis le domaine du client, avec SPF, DKIM et DMARC. Les rebonds et plaintes sont remontés par client.

RGPD et contrat de sous-traitance

OpenAEC Studio BV est sous-traitant au sens du RGPD. Chaque abonnement comprend un contrat de sous-traitance avec la liste des sous-traitants ultérieurs, dont AWS (régions UE).

Réponse aux incidents

Si un incident de sécurité touche des données personnelles, nous informons le client dans les meilleurs délais de sa nature, de son ampleur et des mesures prises, afin qu'il puisse notifier dans le délai du RGPD.

Divulgation coordonnée

Signalez les vulnérabilités à l'adresse ci-dessous. Nous accusons réception, vous tenons informé du traitement et vous citons volontiers après publication.

maarten@open-aec.com

Sortie et portabilité des données

Export complet à tout moment, dans des formats ouverts : fichiers avec leur arborescence, données en CSV et sauvegarde complète de la base.

• Résiliation en fin de mois
• 30 jours en lecture seule pour l'export
• 30 jours gelé
• Destruction de la clé KMS et attestation de suppression

Open source

Tous les logiciels du SuperCloud sont open source. Vous pouvez auditer l'implémentation vous-même ou la faire auditer, sans dépendre de nos déclarations.

On-premise

Les mêmes images de conteneurs fonctionnent aussi sur site ou chez votre propre hébergeur si vous souhaitez garder vos données entièrement sous votre contrôle. OpenAEC Studio BV accompagne l'installation, l'exploitation et les mises à jour.