Securitate și încredere
Cum vă protejăm datele și sistemele.
A încredința un proces de business unui prestator impune să știți cum prelucrează datele, cum gestionează accesele, cum înregistrează acțiunile în jurnal și cum reacționează la incidente. Această pagină descrie practicile noastre, ce se definește pe proiect și ce nu pretindem.
- Cadru
- LPD elvețiană; RGPD, când este relevant.
- Certificări
- Niciuna până în prezent. Preferăm să o spunem.
- Chestionare
- Răspundem la chestionarele de securitate ale echipelor dumneavoastră.
Principii
Automatizarea trebuie să reducă riscul, nu să îl automatizeze.
Nivelul de control depinde de impactul unei erori: citire, modificare, plată, ștergere sau acțiune ireversibilă.
Privilegiu minim
Fiecare serviciu, agent și cont primește doar drepturile necesare.
Secrete pe partea de server
Cheile și identificatorii nu sunt niciodată expuse într-un browser, într-un depozit de cod sau într-un jurnal.
Validare țintită
Operațiunile sensibile cer aprobarea explicită a unei persoane autorizate.
Fără dubluri
O reluare după eroare nu creează nici a doua factură, nici a doua comandă.
Trasabilitate
Evenimentul, decizia, actorul și efectul extern rămân consultabile.
Oprire de urgență
Un sistem critic poate fi oprit fără a pierde prelucrările în așteptare.
Protecția datelor
Minimul de date, la locul potrivit, pentru durata potrivită.
- Minimizare
- Prelucrăm doar datele necesare procesului. Datele sensibile pot fi mascate înainte de orice prelucrare externă.
- Localizare
- Locul de găzduire și de prelucrare este definit pentru fiecare proiect și precizat în scris. Găzduirea în Elveția sau pe infrastructura dumneavoastră este posibilă.
- Criptare
- Comunicații criptate, copii de siguranță criptate, criptare în repaus în funcție de infrastructura aleasă.
- Păstrare
- Perioade de păstrare stabilite împreună cu dumneavoastră, apoi ștergere sau anonimizare.
- Roluri
- Pentru datele personale prelucrate în numele dumneavoastră, VELLORNE acționează în calitate de persoană împuternicită; se poate încheia un contract de prelucrare.
- Cadru legal
- LPD elvețiană și RGPD, atunci când activitățile dumneavoastră îi sunt supuse. Nicio arhitectură nu este prezentată ca fiind conformă în mod implicit: conformitatea depinde de utilizarea reală.
Guvernanța IA
IA este încadrată ca orice componentă critică.
Un model de limbaj se poate înșela. Sistemele noastre sunt concepute pornind de la acest principiu.
- IA este utilizată doar atunci când aduce o valoare măsurabilă; altfel, reguli.
- Fiecare utilizare este documentată: model, furnizor, date transmise, scop.
- Nicio antrenare de model pe datele dumneavoastră fără acordul dumneavoastră explicit.
- Ieșiri verificate, niveluri de încredere și citarea surselor.
- Conținutul primit este tratat ca date, niciodată ca instrucțiuni.
- Nicio decizie cu efect angajant nu este luată de IA singură.
- Un asistent automat se prezintă întotdeauna ca atare în fața persoanelor.
Accesul la sistemele dumneavoastră
Acces limitat, nominal și revocabil.
- Conturi tehnice dedicate, niciodată identificatori partajați.
- Drepturi limitate la perimetrul convenit, revocabile oricând.
- Autentificare în doi factori la accesurile noastre de administrare, atunci când sistemul o permite.
- Accese înregistrate în jurnal și consultabile.
- La finalul misiunii: accesuri revocate, date restituite sau șterse conform contractului.
Fiabilitate și incidente
A anticipa incidentul în loc să sperăm că este improbabil.
- Copii de rezervă
- Criptate, planificate, cu teste de restaurare.
- Monitorizare
- Erorile, întârzierile și eșecurile silențioase sunt detectate și semnalate.
- Gestionare
- Detecție, securizare, diagnostic, corecție, reluare fără duplicate, raport.
- Informație
- Orice incident de securitate care vă afectează datele vă este semnalat cât mai curând posibil.
Servicii terțe
Știți cine intervine asupra datelor dumneavoastră.
Anumite proiecte se sprijină pe servicii terțe: furnizor de găzduire, furnizor de mesagerie, furnizor de modele IA. Pentru fiecare proiect listăm aceste servicii, rolul lor, datele vizate și localizarea lor înainte de punerea în producție. Dumneavoastră decideți ce este acceptabil.
Pentru acest site web, prelucrările sunt descrise în politica de confidențialitate.
Angajamente
Ce este aplicat, ce se decide pe proiect, ce nu pretindem.
Aplicat implicit
- Secrete pe partea de server
- Privilegiu minim
- Jurnalizarea acțiunilor
- Copii de rezervă criptate
- Validare umană a acțiunilor cu angajament
- Medii de testare separate
În funcție de proiect
- Găzduire în Elveția sau on-premise
- Model de IA instalat local
- Autentificare centralizată
- Contract de subcontractare
- Termene contractuale de intervenție
- Audit de securitate realizat de un terț, la cererea dumneavoastră
Ce nu pretindem
- O certificare ISO 27001, SOC 2 sau echivalentă: VELLORNE nu deține până în prezent
- O conformitate legală automată
- O disponibilitate garantată fără un contract care o definește
- O securitate absolută: reducem riscurile, nu le eliminăm
Acest site
Aceleași principii, aplicate aici.
- Fără scripturi terțe, fără trackere publicitare.
- Măsurare a audienței găzduită de noi, fără cookie și fără adresă IP înregistrată.
- Antete de securitate stricte și politică de conținut restrictivă.
- Parolele din spațiul client sunt stocate sub formă de hash, niciodată în clar.
- Solicitări de contact păstrate pentru o durată limitată.
Ați descoperit o vulnerabilitate? Scrieți-ne la contact@vellorne.com înainte de orice divulgare publică: confirmăm primirea și vă ținem la curent.
Încredere
O întrebare de la responsabilul IT sau de la delegatul dumneavoastră pentru protecția datelor?
Răspundem cu plăcere la un chestionar de securitate sau la o revizuire a arhitecturii înainte de orice angajament.