Sécurité & Conformité
HybridLLM est disponible pour déploiement entreprise dans votre infrastructure suisse. Options de service géré disponibles avec des contrôles de sécurité alignés aux pratiques ISO 27001.
Chiffrement partout
- TLS 1.3 pour toutes les données en transit (pas de rétrogradation autorisée)
- Chiffrement AES-256 pour les données au repos dans les centres de données suisses
- Chiffrement de bout en bout pour les téléchargements de fichiers et bases de connaissances
- Sauvegardes chiffrées avec gestion de clés séparée
Contrôle d'accès & Authentification
- Authentification multi-facteurs (MFA) disponible pour les comptes Entreprise
- Single Sign-On (SSO) via SAML 2.0 (forfaits Entreprise)
- Contrôle d'accès basé sur les rôles (Propriétaire, Admin, Membre) avec permissions par espace de travail
- Gestion des sessions avec timeout automatique et restrictions IP optionnelles
Journaux d'audit & Conformité
- Journaux d'audit immuables pour chaque action utilisateur (requête, téléchargement, export, suppression)
- Les logs incluent horodatages, IDs utilisateurs, adresses IP et métadonnées de session
- Politiques de rétention configurables par espace de travail (90 jours à illimité)
- Export des journaux d'audit vers outils SIEM (Splunk, Datadog, Azure Sentinel)
Sécurité de l'infrastructure
- Centres de données suisses Tier III+ avec contrôles d'accès biométriques et sécurité physique 24/7
- Segmentation réseau et règles pare-feu à chaque niveau
- Nœuds de calcul triple-redondants (stack HA Hidora) à travers les zones de disponibilité suisses—zéro point de défaillance unique
- Infrastructure certifiée aux standards ISO 27001 et SOC 2
Résidence & Souveraineté des données
- 100% hébergement suisse sans transferts de données transfrontaliers
- Accord de traitement des données (DPA) inclus avec chaque abonnement
- Liste de sous-traitants conforme RGPD Article 28 publiée trimestriellement
- Droit à la portabilité et suppression des données honoré sous 30 jours
Réponse aux incidents & Continuité d'activité
- Surveillance de sécurité 24/7 avec détection automatisée des menaces
- Plan de réponse aux incidents avec SLA de notification < 1 heure pour les violations
- Sauvegardes quotidiennes chiffrées avec rétention de 30 jours
Audits internes continus & Tests au moment des releases
- Tests de sécurité offensifs complets intégrés au pipeline CI/CD couvrant SAST, DAST, scan CVE des dépendances, cas limites d'authentification, vérifications d'autorisation et validation de configuration
- Les findings de sévérité Critique et Haute bloquent les releases production ; la remédiation suit des processus SLA définis
- Exercices purple-team réguliers suivant les frameworks OWASP MASVS et ASVS 4.0 avec suivi de remédiation documenté
- Tests d'intrusion externes conduits semestriellement par des firmes de sécurité indépendantes ; rapports disponibles sous NDA pour les prospects Entreprise
- Programme de bug bounty hébergé en Suisse avec engagement actif de la communauté et processus de réponse documentés
Les rapports détaillés de tests de sécurité, procédures de gestion des vulnérabilités et résumés d'audit indépendants sont disponibles sous NDA via le Pack Sécurité & Conformité.
Certifications & Standards
ISO 27001
Infrastructure certifiée, certification plateforme en cours
SOC 2 Type II
Infrastructure certifiée pour la sécurité et la disponibilité
RGPD & nLPD suisse
Entièrement conforme aux lois de protection des données UE et suisse
Accord de traitement des données
Chaque abonnement HybridLLM inclut un accord de traitement des données (DPA) conforme. Nous agissons en tant que sous-traitant selon l'Article 28 du RGPD et les exigences de la nLPD suisse.
Voir notre DPACouverture d'audit détaillée (étendue)
1. Authentification & Gestion des sessions - Protection brute-force, expiration des tokens, validation de signature JWT, rotation des refresh-tokens, race-conditions de déconnexion 2. Autorisation & Contrôle d'accès - IDOR (Insecure Direct Object References), contournement RBAC, isolation des espaces de travail, escalade de privilèges 3. Validation des entrées & Injection - Injection SQL, injection NoSQL, XSS (stocké, réfléchi, DOM-based), injection de commande, injection CSV dans les exports 4. Logique métier - Manipulation de paiement, contournement de quota, soldes négatifs, cas limites de concurrence 5. Sécurité API - Introspection GraphQL désactivée en prod, rate-limiting par endpoint, application de politique CORS 6. Cryptographie - TLS 1.3 uniquement (pas de rétrogradation), headers CSP corrects, pas de secrets hardcodés, flags de cookie sécurisés 7. Téléchargements & Stockage de fichiers - Validation MIME-type, scan malware, expiration URL S3 pré-signées, prévention path-traversal 8. Conformité & Confidentialité - Immuabilité des journaux d'audit, flux de suppression RGPD, application des politiques de rétention des données
Questions de sécurité ?
La documentation détaillée de sécurité et les preuves sont disponibles sous NDA dans le Pack Sécurité & Conformité.