La sécurité au quotidien.

La revue des accès doit identifier les personnes, rôles, systèmes et autorisations. Convenez de l’authentification multifacteur, des accès privilégiés, de la gestion des secrets et de la révocation. Demandez les preuves de configuration et la date de dernière revue.

Pour chaque flux, documentez le chiffrement en transit et au repos, les appareils, les clés et la conservation. Incluez journaux, sauvegardes et accès du support. Consignez exceptions et responsables : une politique seule ne prouve pas sa mise en œuvre.

Les vérifications dépendent du risque du système. Le cahier des charges doit préciser revues d’architecture, contrôles automatisés, données d’évaluation et tests indépendants nécessaires. Identifiez intervenants, environnements, critères d’acceptation et conséquences des défauts ouverts sur le déploiement.

L'endroit où les données peuvent être traitées est une décision d'architecture prise lors du premier examen de chaque mandat, inscrite dans le registre d'architecture et appliquée par la conception plutôt que par un document de politique. Le registre indique le territoire juridique de chaque composant qui détient les données des clients, l'entité qui les exploite et les personnes qui peuvent y accéder. Si un composant se trouve dans un territoire que le client n'a pas choisi, la conception est erronée.

Séparer orchestration et données client peut réduire l’exposition, mais cette limite doit être testée. Identité, prompts, télémétrie et support peuvent contenir des données personnelles. Documentez chaque flux transfrontalier et ses protections techniques et contractuelles.

Suisse, Union européenne, États-Unis, infrastructure interne et cloud souverain sont des options à étudier. Leur disponibilité dépend des composants, licences et moyens d’exploitation. Cartographiez aussi appels aux modèles, identité, journaux, sauvegardes et support distant.

La confidentialité est conçue plutôt que déclarée. Chaque mandat qui touche des données personnelles commence par une cartographie des données et, lorsque le traitement est susceptible de présenter un risque élevé, une évaluation d'impact sur la protection des données rédigée sous la forme d'un document de conception plutôt que d'une réflexion de conformité après coup. L'évaluation précise les finalités, les bases juridiques, les durées de conservation et les droits des personnes concernées, et elle est mise à jour lorsque le système évolue.

Les données personnelles sont minimisées à la limite : expurgées ou pseudonymisées avant d'atteindre un modèle, sauf si le but l'exige autrement, et jamais utilisées pour former ou évaluer un modèle qui sert quelqu'un d'autre. Les invites, les résultats, les transcriptions et les enregistrements ne sont conservés que pendant la période convenue par le mandat, et le calendrier de suppression est mis en œuvre, testé et prouvé plutôt que décrit.

Lorsque le cabinet traite des données personnelles pour le compte d'un client, il le fait en tant que sous-traitant dans le cadre d'un accord de traitement de données qui nomme les sous-traitants, les territoires, les mesures de sécurité et les droits d'audit. Lorsque l'entreprise est responsable du traitement, comme c'est le cas pour les demandes envoyées via ce site Web, la déclaration de confidentialité décrit le traitement dans son intégralité.

Établissez le registre des fournisseurs : hébergement, modèles, identité, communications et assistance. Précisez rôle, finalité, territoires, prestataires ultérieurs et garanties contractuelles. Convenez de l’examen et de la notification des changements. Demandez le registre rempli avant de partager des données ; le site ne prouve pas qu’il existe déjà pour le projet.

Les fournisseurs, leurs finalités, lieux de traitement et garanties doivent être nommés avant tout partage de données. Un registre vide ne prouve pas l’absence de tiers.

Le plan d’incident doit préciser contacts, gravité, notifications et rétablissement. Il doit indiquer les derniers tests des procédures et les points ouverts.

Les clients sont informés des incidents affectant leurs données dans le délai fixé dans leur contrat et en tout état de cause dans le délai requis par la loi applicable, avec ce qui est connu, ce qui ne l'est pas encore et ce qui est en cours. Lorsqu'une violation de données personnelles doit être signalée à une autorité de contrôle, le cabinet appuie le signalement du client par les preuves qui lui sont nécessaires. Chaque incident se termine par un avis écrit, partagé avec le client concerné, qui nomme la cause et le changement qui évite qu'il ne se reproduise.

Le contrat doit nommer les responsables, les remplaçants disponibles, les accès et les obligations de transfert. Les moyens et la continuité dépendent du périmètre et doivent être justifiés avant le début.

Les lieux de sauvegarde, objectifs de reprise et tests de restauration doivent être documentés par système. Un autre fournisseur ou territoire n’est utilisé que si les exigences convenues le permettent.

La sortie est conçue au début de chaque engagement. La source, les modèles, les invites, les index, la documentation et les données sont livrés en formats ouverts sur demande et à la fin ; une période de transition est offerte aux conditions existantes ; et la suppression des copies du cabinet est certifiée par écrit.

Les obligations dépendent du client, de l’usage et des juridictions. Identifiez lois et exigences de supervision, reliez-les aux contrôles proposés et consignez preuves et lacunes. Citer un référentiel ne démontre ni conformité ni certification.

Les cadres sont cités ici par nom et par obligation. L'entreprise ne revendique pas une certification qu'elle ne détient pas, et la section des certifications ci-dessous est remplie à partir du dossier plutôt que de l'ambition.