Accueil

Conformité & souveraineté

Nous distinguons clairement ce qui est en place aujourd'hui de ce qui est visé. Nous n'affichons jamais un visa ou une certification non obtenus.

✅ En place aujourd'hui

• Hébergement en France / UE. Infrastructure souveraine ; aucun transfert hors UE requis pour fonctionner.
• Souverain possible. Déployable sur votre propre infrastructure — les seuls flux sortants sont les flux d'intel publics (KEV/EPSS/NVD).
• Air-gap. Mode hors-ligne avec miroir local des flux d'intel : aucune connexion Internet requise.
• RGPD. Minimisation des données, finalités documentées, droits exerçables (voir Confidentialité).
• Isolation par tenant (RLS). Cloisonnement strict vérifié au niveau base de données (PostgreSQL Row-Level Security, FORCE RLS).
• Audit infalsifiable. Journal append-only : chaque décision (ROE, remédiation, appel IA) est horodatée et conservée.
• Rapports signés. Chaque rapport et chaque preuve d'exploitabilité sont signés (Ed25519), donc vérifiables (voir Vérifier un rapport).
• IA souveraine. LLM hébergé UE, zéro-rétention ; seuls des indicateurs anonymisés quittent l'infra — jamais de donnée brute.
• Prêt NIS2. Gestion des vulnérabilités, détection de fuites et gouvernance des mandats alignées sur les exigences NIS2 (tableau de conformité dans la console).

🎯 Visé — trajectoire (en cours)

Ces qualifications sont des objectifs. Elles ne sont pas encore obtenues et ne doivent pas être présentées comme acquises.

• En cours Trajectoire ANSSI. Alignement progressif sur les bonnes pratiques et référentiels ANSSI.
• En cours SecNumCloud. Travaux d'alignement en vue d'une qualification du modèle d'hébergement. Aucune qualification délivrée à ce jour.
• En cours ISO/IEC 27001. Mise en place du SMSI en vue d'une certification.

Souveraineté = réponse réglementaire

Le déploiement souverain / air-gap est une réponse directe aux exigences NIS2 et RGPD : vos données ne quittent pas votre périmètre, l'exposition de surface d'attaque est maîtrisée, et la traçabilité (audit signé) soutient vos obligations de notification et de gouvernance.

Cette page sera mise à jour à chaque jalon. Toute certification obtenue y sera publiée avec sa référence vérifiable — jamais avant.