Sécurité & confiance
Comment nous protégeons vos données et vos systèmes.
Confier un processus métier à un prestataire exige de savoir comment il traite les données, gère les accès, journalise les actions et réagit aux incidents. Cette page décrit nos pratiques, ce qui se définit par projet et ce que nous ne prétendons pas.
- Cadre
- LPD suisse ; RGPD lorsque pertinent.
- Certifications
- Aucune à ce jour. Nous préférons le dire.
- Questionnaires
- Nous répondons aux questionnaires de sécurité de vos équipes.
Principes
L’automatisation doit réduire le risque, pas l’automatiser.
Le niveau de contrôle dépend de l’impact d’une erreur : lecture, modification, paiement, suppression ou action irréversible.
Moindre privilège
Chaque service, agent et compte reçoit uniquement les droits nécessaires.
Secrets côté serveur
Clés et identifiants ne sont jamais exposés dans un navigateur, un dépôt de code ou un journal.
Validation ciblée
Les opérations sensibles exigent une approbation explicite d’une personne habilitée.
Sans doublon
Une reprise après erreur ne crée ni deuxième facture ni deuxième commande.
Traçabilité
Événement, décision, acteur et effet externe restent consultables.
Arrêt d’urgence
Un système critique peut être stoppé sans perdre les traitements en attente.
Protection des données
Le minimum de données, au bon endroit, pour la bonne durée.
- Minimisation
- Nous ne traitons que les données nécessaires au processus. Les données sensibles peuvent être masquées avant tout traitement externe.
- Localisation
- Le lieu d’hébergement et de traitement est défini par projet et précisé par écrit. Hébergement en Suisse ou sur votre infrastructure possible.
- Chiffrement
- Communications chiffrées, sauvegardes chiffrées, chiffrement au repos selon l’infrastructure retenue.
- Conservation
- Durées de conservation définies avec vous, puis suppression ou anonymisation.
- Rôles
- Pour les données personnelles traitées pour votre compte, VELLORNE agit comme sous-traitant ; un contrat de sous-traitance peut être conclu.
- Cadre légal
- LPD suisse, et RGPD lorsque vos activités y sont soumises. Aucune architecture n’est présentée comme conforme par défaut : la conformité dépend de l’usage réel.
Gouvernance de l’IA
L’IA est encadrée comme n’importe quel composant critique.
Un modèle de langage peut se tromper. Nos systèmes sont conçus en partant de ce principe.
- L’IA n’est utilisée que lorsqu’elle apporte une valeur mesurable ; sinon, des règles.
- Chaque usage est documenté : modèle, fournisseur, données transmises, finalité.
- Aucun entraînement de modèle sur vos données sans votre accord explicite.
- Sorties vérifiées, niveaux de confiance et citations des sources.
- Les contenus reçus sont traités comme des données, jamais comme des instructions.
- Aucune décision engageante n’est prise par l’IA seule.
- Un assistant automatique se présente toujours comme tel auprès des personnes.
Accès à vos systèmes
Des accès limités, nominatifs et révocables.
- Comptes techniques dédiés, jamais d’identifiants partagés.
- Droits limités au périmètre convenu, révocables à tout moment.
- Double authentification sur nos accès d’administration, lorsque le système le permet.
- Accès journalisés et consultables.
- En fin de mission : accès révoqués, données restituées ou supprimées selon le contrat.
- Sauvegardes
- Chiffrées, planifiées, avec des tests de restauration.
- Monitoring
- Erreurs, retards et échecs silencieux détectés et signalés.
- Gestion
- Détection, mise en sécurité, diagnostic, correction, reprise sans doublon, compte rendu.
- Information
- Tout incident de sécurité touchant vos données vous est signalé dans les meilleurs délais.
Services tiers
Vous savez qui intervient sur vos données.
Certains projets s’appuient sur des services tiers : hébergeur, fournisseur de messagerie, fournisseur de modèles d’IA. Pour chaque projet, nous listons ces services, leur rôle, les données concernées et leur localisation avant la mise en production. Vous décidez de ce qui est acceptable.
Pour ce site web, les traitements sont décrits dans la politique de confidentialité.
Engagements
Ce qui est appliqué, ce qui se décide par projet, ce que nous ne prétendons pas.
Appliqué par défaut
- Secrets côté serveur
- Moindre privilège
- Journalisation des actions
- Sauvegardes chiffrées
- Validation humaine des actions engageantes
- Environnements de test séparés
Selon le projet
- Hébergement en Suisse ou on-premise
- Modèle d’IA installé localement
- Authentification centralisée
- Contrat de sous-traitance
- Délais d’intervention contractuels
- Audit de sécurité par un tiers, à votre demande
Ce que nous ne prétendons pas
- Une certification ISO 27001, SOC 2 ou équivalente : VELLORNE n’en détient pas à ce jour
- Une conformité légale automatique
- Une disponibilité garantie sans contrat qui la définit
- Une sécurité absolue : nous réduisons les risques, nous ne les supprimons pas
Ce site
Les mêmes principes, appliqués ici.
- Aucun script tiers, aucun traceur publicitaire.
- Mesure d’audience hébergée par nos soins, sans cookie ni adresse IP enregistrée.
- En-têtes de sécurité stricts et politique de contenu restrictive.
- Mots de passe de l’espace client stockés sous forme de hachage, jamais en clair.
- Demandes de contact conservées pour une durée limitée.
Vous avez découvert une vulnérabilité ? Écrivez-nous à contact@vellorne.com avant toute divulgation publique : nous accusons réception et vous tenons informé.
Confiance
Une question de votre responsable IT ou de votre délégué à la protection des données ?
Nous répondons volontiers à un questionnaire de sécurité ou à une revue d’architecture avant tout engagement.