Alerion — Trust Center

Toutes les données clients traitées par Alerion sont stockées et traitées exclusivement au sein de l'Union européenne ou de la Suisse :

• Application et base de données : Jelastic (Virtuozzo), datacenter à Genève, Suisse — établissement certifié ISO 27001.
• Stockage objet et sauvegardes : Infomaniak, datacenter à Genève, Suisse — soumis au droit suisse.
• Inférence du modèle IA : endpoint européen de Mistral AI exclusivement (api.mistral.ai, France). Vérifié à chaque démarrage de l'application — échec bloquant si un endpoint hors UE est détecté.
• Analytics : instance PostHog UE hébergée à Francfort, Allemagne.
• Email transactionnel : Brevo (Sendinblue SAS) (European Union (FR)) — le seul transport email transactionnel utilisé.

Les sous-traitants hors UE/Suisse (Stripe, GitHub, Cloudflare) opèrent sous clauses contractuelles types (CCT/SCC) — voir le tableau des sous-traitants ci-dessous.

Chaque release de production publie une nomenclature logicielle (SBOM) CycloneDX pour les graphes de dépendances backend et frontend, signée sans clé privée avec cosign (sigstore, GitHub OIDC) — aucune clé privée à divulguer, faire tourner ou faire confiance. Supporte la diligence raisonnable sécurité des fournisseurs ainsi que la gestion des risques de la chaîne d'approvisionnement NIS2 art. 21 / DORA art. 25.

Les SBOM signées sont fournies sur demande dans le cadre d'une diligence raisonnable sécurité fournisseur. Envoyez un email à [email protected] et vous recevrez les SBOM backend et frontend actuelles avec leurs enveloppes de signature cosign.

Chaque SBOM est livrée avec une enveloppe sigstore (.sigstore.json) contenant la signature, le certificat de courte durée et sa preuve d'inclusion Rekor — permettant de vérifier vous-même l'intégrité et la provenance sans avoir à nous faire confiance ni à faire confiance à un registre. Cette commande s'exécute dans notre pipeline de release avant publication, donc une signature qui ne se vérifie pas ne vous parvient jamais :

cosign verify-blob \
  --bundle sbom-backend-cyclonedx.json.sigstore.json \
  --certificate-identity-regexp 'https://github.com/Lunova-CH/Lunova-platform/.*' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com \
  sbom-backend-cyclonedx.json

Certification formelle couvrant la plateforme SaaS Alerion, l'infrastructure de production (Jelastic Genève), le pipeline de développement et les principaux sous-traitants. Audit prévu avec un organisme accrédité BSI ou équivalent LRQA.

Rapport SOC 2 Type II couvrant les Trust Services Criteria : Sécurité (CC), Disponibilité (A), Confidentialité (C), Vie privée (P). Période d'observation de 6 mois, juillet–décembre 2026. Délivré par un cabinet d'expertise-comptable agréé.

Pipeline d'anonymisation avant chaque appel IA, registre des traitements art. 30, API d'effacement RGPD art. 17 et de portabilité art. 20 (T2 2026). Toutes les données sont stockées en UE/Suisse. Sous-traitants listés ci-dessous.

Analyse statique CodeQL (Python, TypeScript, GitHub Actions) exécutée en CI sur chaque pull request, tolérance zéro pour les findings de niveau Error. Dependabot pour les CVE de dépendances. Détection de secrets via des hooks pre-commit detect-secrets et une baseline validée en CI. Règles Semgrep OWASP sur chaque PR.

Scans authentifiés ZAP, scanner de CVE/mauvaises configurations Nuclei, et fuzzing d'API Schemathesis exécutés chaque nuit en CI contre l'environnement de staging. Tolérance zéro pour les findings High/Critical non traités (SLA : Critique ≤ 7 jours, High ≤ 30 jours).

Certification HDS pour les clients du secteur santé français (EHPAD, DSI hospitalière). Prérequis : certificat ISO 27001 + pipeline commercial santé formalisé.

Modélisation des menaces

Alerion maintient une modélisation formelle des menaces STRIDE de ses deux composants les plus à risque — le pipeline d'anonymisation des données personnelles qui précède chaque appel IA, et la frontière d'isolation multi-tenant — revue au regard de l'OWASP API Security Top 10 et de l'OWASP Top 10 pour les applications LLM. Les risques résiduels identifiés sont suivis jusqu'à remédiation et alimentent notre test d'intrusion indépendant annuel. L'inventaire complet est disponible aux clients entreprise sous NDA.

L'historique des incidents est suivi via les moniteurs de disponibilité Sentry et notre page de statut interne.

Pour la santé de la plateforme en temps réel, consultez alerion.app/status. Les incidents de sécurité sont communiqués proactivement aux clients concernés dans les 72 heures conformément à l'art. 33 du RGPD.

Aucun incident de sécurité public à signaler à ce jour.

Pour signaler une vulnérabilité de sécurité, contactez-nous à l'adresse [email protected].

/.well-known/security.txt

Pour la politique complète de divulgation des vulnérabilités, incluant le périmètre, la clause de bonne foi (safe harbor) et les délais de réponse :