Confiance
Ce que nous faisons de votre code et de vos données.
Écrit avant de commencer, vérifiable pendant la mission. Cette page décrit nos pratiques par défaut. Elle ne constitue pas une certification.
Principes
Six règles qui s’appliquent à chaque mission.
Pas de données de production pour les agents
Les agents travaillent sur du code, de la documentation ou des copies pseudonymisées que vous préparez. Vos bases réelles restent chez vous.
La sensibilité décide des modèles
Le niveau de confidentialité convenu avec vous fixe la liste des modèles autorisés, leur fournisseur et leur pays de traitement.
Les secrets sont masqués avant toute lecture
Une analyse automatique, sans IA, retire mots de passe et clés du code avant qu’un modèle ne le lise. Les identifiants restent dans un coffre.
Chaque action laisse une trace
Ce qui a été lu, modifié, testé et accepté est journalisé. Vous pouvez demander ces traces à tout moment.
Un cadre écrit avant de commencer
Périmètre, modèles, conservation et suppression des données sont validés avec votre RSSI et votre DPO avant le premier échange de code.
Pas d’accès à votre production par défaut
Nous travaillons sur des environnements de développement. Tout accès à la production fait l’objet d’une décision écrite de votre part.
Qui voit quoi
Chaque élément, chaque intervenant.
Le tableau ci-dessous est notre règle par défaut. Il est relu et ajusté avec votre RSSI et votre DPO, puis joint au cadre de la mission.
| Élément | Vos équipes | Nos ingénieurs | Modèles d’IA |
|---|---|---|---|
| Données de production | OuiElles restent chez vous | NonSauf décision écrite | NonJamais |
| Copie pseudonymisée | OuiVous la préparez et la contrôlez | OuiSur le périmètre convenu | LimitéSelon le niveau convenu |
| Code source du périmètre | OuiIl vous appartient | OuiSur le périmètre convenu | LimitéSecrets masqués, modèles choisis avec vous |
| Secrets et identifiants | OuiDans votre coffre | NonJamais transmis | NonJamais |
Modèles d’IA
Votre niveau de confidentialité choisit les modèles.
Nous ne partons pas d’un fournisseur préféré. Nous partons de vos contraintes, puis nous instruisons les options qui les respectent.
- Vous êtes équipé Microsoft
- Azure OpenAI, sur une souscription et un déploiement identifiés, avec un engagement écrit sur la conservation et les pays de traitement.
- Vous exigez un opérateur français
- Fournisseurs français proposant une non-conservation contractuelle, sur une infrastructure qualifiée si votre périmètre l’exige.
- Vous interdisez toute inférence externe
- Modèle à poids ouverts, sur une infrastructure que vous contrôlez. Nous évaluons avec vous la qualité obtenue sur vos cas.
- Vous êtes déjà sur AWS ou Google Cloud
- Votre environnement déjà approuvé, sous réserve du modèle, de sa localisation et des exceptions de conservation.
Engagements
Six points que nous faisons écrire, un par un.
Ces garanties sont souvent confondues. Nous les distinguons, et nous obtenons chacune par écrit pour le déploiement retenu.
Non-entraînement
Les entrées, sorties et retours ne servent pas à entraîner ni à améliorer les modèles.
Non-conservation
Ce qui est effacé après le traitement, y compris journaux, caches et fichiers.
Localisation
Pays de calcul, de stockage, de sauvegarde et d’accès du support.
Absence de revue humaine
Qui peut consulter le contenu chez le fournisseur, et dans quels cas.
Souveraineté
Opérateur, sous-traitants et lois étrangères qui peuvent s’appliquer.
Conservation chez nous
Ce que nous gardons de la mission, où, qui y accède et pendant combien de temps.
Limites
Ce que nous ne prétendons pas.
Nous ne revendiquons aucune certification de sécurité. Cette page décrit nos pratiques ; leur cadre exact est écrit avec vous pour chaque mission.
Un hébergement européen ou une absence d’entraînement ne prouvent pas, à eux seuls, l’absence de conservation. Nous demandons un engagement écrit qui couvre le déploiement retenu.
Aucune option de modèle ne sert de solution de secours automatique. Un changement de modèle se décide avec vous.
Ce site
Nous appliquons ces règles à notre propre site.
Aucun cookie
Ni mesure d’audience, ni bandeau de consentement, puisqu’il n’y a rien à consentir.
Aucun service tiers
Polices, scripts et images sont servis par le site lui-même. Votre visite n’est signalée à personne.
Politique de sécurité du contenu
Le navigateur n’exécute que les scripts du site, identifiés par leur empreinte.
Signalement de vulnérabilité
Un contact dédié est publié dans le fichier /.well-known/security.txt.
Écrivez à [email protected]. Décrivez le problème et la façon de le reproduire. Nous accusons réception et vous tenons informé de la correction.
Échanger
Une question de votre RSSI ou de votre DPO ?
Nous répondons par écrit, point par point, avant tout échange de code ou de données.