Pour votre direction informatique et votre sécurité
Vos données et la sécurité
Ce à quoi nous faisons attention, ce que nous fixons avec vous avant de commencer, et comment nous vous aidons à rester conformes.
Pendant l’audit
- Nous travaillons sur les dates de vos dossiers, sur douze mois : entrée, passages, réponse. Nous mesurons le système, jamais les personnes ; aucun chronométrage individuel.
- Avant la première extraction, nous fixons avec vous, par écrit, ce qui sort de vos systèmes, sous quelle forme, où c’est traité, quels fournisseurs d’IA sont autorisés et quand tout est effacé. Votre délégué à la protection des données y prend part.
- Nous ne prenons que ce qu’il faut pour mesurer le flux.
Les agents d’IA chez vous
- Un agent propose ; une personne nommée décide. Chaque agent a un propriétaire chez vous.
- Chaque usage de l’IA est inscrit à un registre, que votre juriste et votre délégué à la protection des données qualifient au sens de l’AI Act.
- Un agent ne gagne en autonomie que par paliers, sur des seuils signés d’avance. Un changement de modèle, de consigne ou de règle le remet en proposition, le temps de repasser ses essais.
- Un agent n’a que les accès de sa tâche, sous sa propre identité, et ses actions sont journalisées.
Où tout tourne
- Nos propres outils tournent sur Microsoft Azure, en Europe occidentale. Les secrets sont dans un coffre, lus par les services sans mot de passe. Chaque ligne du journal porte l’empreinte de la précédente, et une copie quotidienne ne peut être effacée par personne pendant un an.
- Chez vous, tout se fixe au contrat : votre propre abonnement Azure, la région (la Belgique ou la France comprises), vos clés de chiffrement, les modèles autorisés et le lieu où ils traitent les données, dans l’Union européenne si vous l’exigez.
- Flowlysis n’a aucun droit permanent sur votre environnement. Un accès se demande, avec l’accord de votre administrateur ; il est limité dans le temps et journalisé.
- En fin de mission, vous recevez l’export de vos demandes et de leur journal, puis l’environnement est supprimé, avec une attestation.
Les applications que nous construisons
- Aucun changement de code n’entre sans l’accord d’une personne, autre que son auteur.
- Chaque version est analysée : composants, dépendances, failles. Une faille critique ou élevée l’arrête, un secret dans le code aussi. Les applications critiques passent en plus un test d’intrusion mené par une personne.
- Le niveau d’exigence se fixe avec votre responsable de la sécurité ; lui seul signe une dérogation.
- Le code construit pour vous vous est remis dans vos propres dépôts, avec ses tests, son infrastructure, sa chaîne de déploiement et sa notice : vous redéployez sans nous. Nos propres outils et notre méthode restent les nôtres ; le contrat dit ce qui vous est cédé.
Votre conformité
- Un accord de sous-traitance au sens du RGPD est signé avant tout accès à vos données.
- Pour DORA et NIS2, nous remplissons votre questionnaire de tiers, et le contrat porte les clauses que vous attendez d’un fournisseur : incidents, sous-traitance, audit et sortie.
- Les fournisseurs de modèles, leur région et leurs conditions d’usage des données sont nommés au contrat ; aucun autre n’est appelé.
- Nos vidéos à voix de synthèse sont signalées comme telles. Les formations de vos équipes couvrent la maîtrise de l’IA qu’attend l’AI Act.
Vos questions, en démonstration
Venez avec votre direction informatique et votre responsable de la sécurité : nous montrons où tout tourne, ce qui est journalisé, et nous répondons à votre questionnaire.
Ou écrivez-nous : contact@flowlysis.com