CERTIMAND / Confiance et sécurité

Confiance et sécurité

Pour faire confiance, il faut savoir ce qui existe réellement. Cette page décrit le MVP public de Certimand. Dernière mise à jour : 6 septembre 2026.

Ce que vous pouvez utiliser aujourd'hui

La démonstration publique applique des contrôles déterministes aux données d’une organisation fictive de 150 personnes. Son IA générative analyse certains constats synthétiques à partir des faits fournis par le serveur. Vous pouvez télécharger un dossier de preuves synthétiques et en reproduire l’évaluation de manière indépendante.

IA et pouvoir de décision humain

Les explications de l'IA sont des propositions, non des décisions de contrôle ou des conseils juridiques. L'interface affiche le résultat de la règle séparément. La validation des références sources vérifie que les enregistrements cités existent ; elle ne peut garantir que chaque phrase générée est correcte. Vérifiez les faits sous-jacents avant de vous fier à une explication.

La démo transmet à Google Vertex AI uniquement des données synthétiques détenues par le serveur et un type d’analyse choisi dans une liste. Elle ne permet ni la saisie libre d’un prompt IA, ni l’import de données clients, ni la modification de comptes. Le contenu du formulaire de contact n’est pas envoyé à l’IA.

Hébergement et données

Le service est déployé sur Google Cloud Run en Belgique (europe-west1). Les requêtes IA utilisent le point de terminaison multirégional UE de Google Vertex AI avec Gemini 3.1 Flash-Lite. Les demandes reçues sur le site sont sauvegardées dans un bucket Google Cloud Storage privé et distinct, situé dans la même région, puis transmises par un service de contact à un tableau Trello privé pour leur suivi. Trello est un service Atlassian ; nous ne prétendons pas que ses données restent en Belgique ou dans l’UE. Le siège de Google se trouve aux États-Unis ; le choix d’une région UE n’implique ni souveraineté européenne ni absence de traitement international.

Cloudflare assure l’enregistrement du domaine et le DNS. En mode DNS uniquement, le trafic de l’application ne passe pas par son proxy. Google fournit HTTPS, l’environnement d’exécution et les journaux d’infrastructure. L’application ne comprend ni analyse publicitaire, ni enregistrement de sessions à des fins de relecture, ni traceurs marketing.

Protections en place

• Démo limitée aux données synthétiques, sans identifiants de connexion aux sources clients ni import de fichiers d’identités.
• Validation côté serveur, taille des requêtes plafonnée et nombre de requêtes IA limité.
• Texte de l'IA rendu sous forme de texte plutôt que de HTML exécutable.
• Politique de sécurité du contenu (CSP), restrictions d’intégration dans des cadres et HTTPS.
• Stockage privé des demandes ; l’application peut créer des enregistrements, mais aucun point d’accès public ne permet de lire ou de lister les demandes.
• Manifestes de preuves SHA-256 reproductibles. Ils détectent l'altération par rapport à un manifeste ; ils ne prouvent pas l'authenticité de l'émetteur.

Avant une connexion client réelle

Toute utilisation client exige un périmètre convenu, des conditions contractuelles et de traitement des données, des droits en lecture seule vérifiés, l’isolation des tenants, un accès authentifié, des mécanismes de conservation et de suppression des données clients, des tests de restauration des sauvegardes et des responsabilités définies pour les incidents. Les connecteurs Entra/GitHub vers des systèmes réels, la gestion des comptes clients et les collectes récurrentes sont hors du périmètre de ce MVP public.

Certimand ne revendique actuellement ni certification ISO, ni test d’intrusion indépendant achevé, ni horodatage qualifié, ni assistance 24/7, ni correction automatisée, ni acceptation garantie lors d’un audit.

Contact sécurité

Utilisez le formulaire de contact Certimand et commencez votre message par « Sécurité ». Vous pouvez aussi contacter le fondateur sur LinkedIn. N’envoyez ni jetons d’accès, ni mots de passe, ni fichiers bruts d’identités de clients.

Lire la notice de confidentialité du site · Examiner le périmètre actuel des contrôles