Sécurité chez Impetora.

Chiffrement et résidence des données

Toutes les données client sont chiffrées en transit (TLS 1.3) et au repos (AES-256). Les clés sont gérées dans des modules de gestion de clés à juridiction européenne. La résidence des données, du traitement, des journaux et des sauvegardes est en Union européenne, dans des centres de données certifiés ISO 27001. Aucun transfert hors UE n'est effectué sans base juridique documentée et information préalable du client.

Contrôle d'accès

Authentification à facteurs multiples obligatoire pour toute personne ayant un accès technique. Principe du moindre privilège appliqué à tous les rôles. Comptes nominatifs uniquement, partage de comptes interdit. Revue trimestrielle des droits. Sessions journalisées avec rotation automatique des jetons. Accès aux environnements de production limité à un sous-ensemble nommé d'ingénieurs et soumis à approbation explicite.

Journalisation et audit

Chaque action significative (consultation, modification, exécution de modèle, décision système) est journalisée avec horodatage, identifiant utilisateur, contexte technique et identifiant de session. Les journaux sont conservés en UE pendant la durée légale applicable et restent immuables. Un rapport SOC 2 Type II est en préparation pour 2026. La documentation technique au sens de l'annexe IV du Règlement européen sur l'IA est tenue à jour pour les systèmes à haut risque.

Gestion des incidents

Procédure formalisée d'identification, qualification, confinement, éradication et leçons apprises. Engagement contractuel de notification au client dans un délai de 24 heures pour les incidents susceptibles d'affecter ses données. Notification à la CNIL dans les 72 heures lorsque la qualification de violation de données personnelles au sens du RGPD est établie. Tests de continuité et de restauration menés au moins une fois par an.

Conformité et certifications

Alignement ISO 27001 (audit prévu en 2026). Alignement ISO 42001 (audit prévu en 2026). RGPD natif. Posture Règlement européen sur l'IA documentée par système livré, avec évaluation de conformité pour les systèmes à haut risque. Le rapport d'audit et la liste des sous-traitants sont disponibles sur demande sous accord de confidentialité.

Aucune certification n'est revendiquée comme acquise tant que l'audit n'a pas été conduit. Cette discipline de communication est une politique interne d'Impetora.

Contact sécurité

Pour signaler une vulnérabilité ou demander une revue détaillée des contrôles, écrivez à info@ainora.lt. Les demandes de revue de sécurité par les directions achats sont traitées sous accord de confidentialité standard.