Trust Center
La confiance, preuves à l'appui.
Explorez notre hébergement, nos sous-traitants, nos accords de protection des données et nos contrôles de sécurité. Des informations claires, vérifiables et tenues à jour.
- RGPDDPA sur demande
- AI ActExigences cartographiées
- ISO 27001Prévu
- SOC 2 Type IIPrévu
- Hébergé dans l'UE
- Région Scaleway de Paris. Plan de données, télémétrie, e-mails et inférence.
- Connecteurs en lecture seule
- Nous n'écrivons rien dans les systèmes que nous lisons.
- DPA disponible
- Modèle au titre de l'article 28, sur demande.
- Dernière mise à jour
- 5 octobre 2026. Tout changement de sous-traitant est notifié avant d'intervenir.
Traitement des données
Comment nous traitons vos données.
Hébergement et résidence des données
Le plan de données, la télémétrie, les e-mails transactionnels et l'inférence IA tournent tous sur Scaleway, à Paris. Aucun mécanisme de transfert vers un pays tiers n'intervient dans la fourniture du service.
- Résidence des données
- Les données clients sont stockées et traitées exclusivement dans l'UE, sur Scaleway fr-par (Paris).
- Hébergement dans l'UE
- Uniquement des services managés Scaleway : conteneurs serverless, PostgreSQL managé, hébergement statique. L'infrastructure est décrite en code et déployée par la CI.
- Changements de sous-traitants
- Un seul sous-traitant couvre toute la chaîne. Les clients sont prévenus avant tout ajout ou remplacement, comme le prévoit le DPA.
- Juridiction
- Qastel AI SAS est une société française, qui agit en qualité de sous-traitant au sens de l'article 28 du RGPD.
Accès et chiffrement
Les connecteurs demandent des autorisations en lecture seule, listées dans la présentation de la sécurité. L'application des politiques à l'exécution est une option propre à chaque tenant, désactivée par défaut.
- Modèle d'accès
- Les connecteurs utilisent des autorisations en lecture seule (par exemple Application.Read.All, Directory.Read.All, AuditLog.Read.All sur Entra ID). Aucune autorisation d'écriture sur les tenants clients n'est demandée pour la découverte.
- Chiffrement
- TLS sur toutes les entrées publiques et jusqu'à la base de données. Chiffrement au repos géré par le fournisseur ; identifiants des connecteurs chiffrés en plus en AES-256-GCM. La rotation gérée des clés est inscrite à la feuille de route.
- Isolation des tenants
- Chaque requête s'exécute dans une transaction de base de données limitée au tenant, avec une sécurité au niveau des lignes sur les tables principales.
- Connexion
- E-mail et mot de passe ou compte professionnel Microsoft Entra, avec limitation du nombre de tentatives. Le SSO d'entreprise par tenant (SAML) et la MFA sont prévus.
Exploitation
La sécurité relève du CTO et est assurée par l'équipe d'ingénierie fondatrice. Chaque action qui modifie un état est enregistrée avec l'identité de son auteur et un identifiant de trace.
- Conservation et suppression
- Observations brutes : 90 jours par défaut, ajustable par tenant ; journal d'audit : 24 mois. Les données du tenant sont supprimées à la résiliation, comme le prévoit le DPA ; les sauvegardes expirent sur une fenêtre glissante de 7 jours.
- Journal d'audit
- Typé, en ajout seul, garanti au niveau de la base de données. Les administrateurs du tenant peuvent le consulter, le filtrer et l'exporter.
- Signalement de vulnérabilités
- Écrivez à security@qastel.ai. La sécurité applicative repose sur la revue des PR, des contrôles en CI et la détection de secrets avant chaque commit.
- Avis de changement
- Les changements de sous-traitants sont notifiés comme le prévoit le DPA, et cette page est mise à jour en même temps.
Contrôles de sécurité
Les contrôles de sécurité en place aujourd'hui.
Sécurité de l'infrastructure
- Chaîne de traitement entièrement dans l'UE
- Services managés uniquement, infrastructure décrite en code
- Secrets dans Scaleway Secret Manager
- TLS sur toutes les entrées publiques
Sécurité organisationnelle
- Revue des PR et contrôles de sécurité en CI
- Détection de secrets avant commit
- Sécurité sous la responsabilité du CTO
- Un seul sous-traitant
Sécurité du produit
- Connecteurs limités à la lecture seule
- Journal d'audit en ajout seul
- Isolation des tenants par sécurité au niveau des lignes
- Authentification avec limitation du nombre de tentatives
Documents
Documents de sécurité et de conformité.
Envoyés sur demande.
Nos documents de conformité font foi en anglais et ne sont pas traduits ; le tableau des sous-traitants et la feuille de route ci-dessous en sont repris tels quels. Une version française serait un second document de référence à tenir à jour, et le moindre écart entre les deux créerait précisément le risque que ces documents servent à écarter. Pour toute question, écrivez à privacy@qastel.ai.
Accord de traitement des données
Modèle au titre de l'article 28 du RGPD
Liste des sous-traitants
Un fournisseur, son rôle et sa région · sur cette page
Présentation de la sécurité
Architecture, contrôles et réponses aux questionnaires
Feuille de route de certification
Contrôles en place, étapes prévues · sur cette page
Liste des sous-traitants
| Sous-traitant | Finalité | Localisation | Garanties |
|---|---|---|---|
| Scaleway | Cloud hosting (application, database, telemetry), transactional and scheduled-digest email delivery, and AI inference on open-weight models hosted by Scaleway (such as Mistral and Qwen) for the agent runtime (posture assessment, triage, catalog signatures), prompt classification, the in-app assistant (Chat), Guardian reviews and the policy-authoring assistant | EU (France, `fr-par`) | EU processing; Scaleway DPA |
Feuille de route de certification
En place aujourd'hui
- All-EU processing chaindata plane, telemetry, and AI inference inside the EUEn place
- Single-subprocessor surfaceScaleway only (hosting, email, and Mistral-model inference, all EU)En place
- Typed audit logactor identity + trace-linked, append-only by designEn place
- Tenant isolation with RLSper-request tenant context + row-level security on core data tablesEn place
- CI security gatesPR review, lint, typecheck, tests, secret scanningEn place
Étapes de certification
- External penetration testPrévu
- SOC 2 Type IPrévu
- SOC 2 Type IIPrévu
- ISO 27001Prévu
- ISO 42001 (AI management systems)Prévu
FAQ
Questions fréquentes
Si la vôtre n'y figure pas, écrivez à security@qastel.ai.
Où les données clients sont-elles stockées ?
Exclusivement dans l'UE : Scaleway fr-par (Paris) pour le plan de données, l'hébergement, la télémétrie, les e-mails transactionnels et l'inférence IA. Aucun mécanisme de transfert vers un pays tiers n'intervient.
Les connecteurs écrivent-ils quoi que ce soit dans nos systèmes ?
Non. Les connecteurs observent et font remonter l'information ; ils ne créent, ne modifient ni ne suppriment aucune donnée dans les systèmes auxquels ils se connectent. Les seules écritures ont lieu dans la base de données de Qastel.
Qastel peut-il voir les prompts et les réponses ?
Uniquement pour les tenants qui activent l'analyse des prompts. Le texte du prompt est alors traité en mémoire, le temps d'un seul appel de classification, et n'est jamais stocké. Il n'en reste que des décomptes par thème et des catégories de sensibilité, jamais le texte.
Comment obtenir le DPA ?
Écrivez à security@qastel.ai. Le modèle au titre de l'article 28 est envoyé sur demande.
Disposez-vous d'une certification SOC 2 ou ISO 27001 ?
Pas encore. Les deux figurent parmi les étapes prévues de la feuille de route de certification présentée sur cette page, aux côtés d'un test d'intrusion externe. Les mesures compensatoires que nous appliquons aujourd'hui sont listées plus haut.
Besoin du DPA ou de la liste des sous-traitants ?
Nous envoyons les documents sur demande et vous prévenons quand ils changent.