Sécurité et confidentialité

État des garanties

Anonym’IA n’a obtenu à ce jour aucune certification (ISO 27001, SOC 2, SecNumCloud ou autre) et n’a pas encore fait l’objet d’un audit de sécurité indépendant. Cette section sera mise à jour avec le périmètre exact de chaque audit ou certification effectivement obtenu.

Ce site

Les mesures suivantes s’appliquent dès aujourd’hui au site public et aux formulaires :

• HTTPS partout, avec redirection automatique et en-tête HSTS ; TLS 1.2 et 1.3 uniquement.
• Politique de sécurité du contenu (CSP) stricte : aucun script ou style intégré, aucune ressource tierce.
• Aucun outil d’analyse d’audience, aucun traceur publicitaire, aucune police ni script chargé depuis un service tiers.
• Formulaires protégés contre les requêtes inter-sites, limités en débit et protégés par une preuve de travail anti-spam, sans cookie ni service externe.
• Données des formulaires conservées dans une base hébergée sur notre serveur, avec suppression automatique (devis : 12 mois ; contact : 6 mois ; liste d’attente : 24 mois après confirmation).
• Journaux techniques sans contenu de formulaire ; journaux d’accès conservés 14 jours.
• Services exécutés dans des conteneurs sans privilèges, au système de fichiers en lecture seule ; sauvegardes chiffrées hors site.

Architecture et flux du produit

La passerelle s’insère entre l’application ou le navigateur et le fournisseur de modèle : détecteur, transformateur, moteur de règles, routage, puis journalisation. Le diagramme détaillé et daté, avec les frontières de confiance, est publié dans la documentation d’architecture.

Données traitées par le produit

Données de compte, métadonnées de requête, contenu des prompts lorsque c’est nécessaire au traitement, tables de correspondance de pseudonymisation, journaux et données de facturation. Pour chaque catégorie, la documentation précise le lieu de traitement et de stockage, la durée de conservation et les fournisseurs pouvant recevoir les requêtes. Ces informations seront publiées avec l’ouverture de la bêta.

Chiffrement, accès et sécurité applicative

Chiffrement en transit et au repos, gestion et rotation des clés, contrôle d’accès par rôle, séparation des organisations, authentification multifacteur pour les accès à privilèges, revue de code, gestion des dépendances, analyses automatisées et processus de publication : chacune de ces mesures sera décrite ici lorsqu’elle sera effectivement déployée sur le produit, avec son périmètre.

Sous-traitants

Liste tenue à jour : rôle, localisation et lien vers leur documentation de confidentialité.

Signaler une vulnérabilité

Écrivez à securite@pentestit.net et consultez notre politique de divulgation. Le fichier security.txt indique les mêmes informations.

Notre vocabulaire

Pour rester exacts, nous évitons certaines formulations courantes.