Confidentialité et sécurité
Plateforme
Hébergement
La solution Wikit est distribuée en mode SaaS et est hébergée en France chez OVHcloud, au sein de datacenters certifiés ISO 27001.
L’architecture repose sur un modèle de responsabilité partagée :
- OVHcloud assure la sécurité physique et infrastructurelle des datacenters.
- Wikit assure la sécurité applicative, logique et organisationnelle de la plateforme.
Les composants de la solution sont intégralement développés en France par les équipes de Wikit.
Gouvernance et pilotage de la sécurité
Wikit dispose :
- un Plan d’Assurance Sécurité (PAS) documenté,
- d’une analyse de risques annuelle,
- d’un plan de traitement des risques suivi dans l’outil GRC CISO Assistant,
- d’un programme d’amélioration continue.
Un test d’intrusion (pentest) est réalisé a minima annuellement par un prestataire externe spécialisé, ainsi qu’après tout changement significatif d’architecture.
Le PAS ainsi que les documents opérationnels associés (analyse de risques, PCA/PRA, procédures internes) sont classifiés en diffusion restreinte. Ils peuvent être présentés dans le cadre d’un processus d’audit, d’appel d’offres ou après signature d’un accord de confidentialité. Faire une demande d'accès au PAS
Architecture et traitement des données
Les environnements de développement, préproduction et production sont strictement séparés.
Les données clients sont stockées dans l’infrastructure OVHcloud en France pour la plateforme développée par Wikit.
Les flux sont chiffrés et les accès sont contrôlés selon le principe du moindre privilège.
Fournisseurs de modèles LLM
La solution Wikit est conçue pour permettre l’utilisation configurable de fournisseurs de Grands Modèles de Langage (LLM), selon les besoins du client.
| Fournisseur | Réutilisation des données pour l’entraînement | Localisation des données en UE | Politique / Documentation |
|---|---|---|---|
| Scaleway Generative API | Non | Oui (France) | https://www.scaleway.com/en/legal/privacy-policy/ |
| OVHcloud AI Endpoints | Non | Oui (France) | https://help.ovhcloud.com/csm/en-public-cloud-ai-endpoints-capabilities?id=kb_article_view&sysparm_article=KB0065421 |
| Mistral AI | Non | Oui | https://mistral.ai/privacy-policy |
| Microsoft Azure OpenAI | Non | Oui | https://learn.microsoft.com/legal/cognitive-services |
| OpenAI | Non | Non | https://openai.com/policies/privacy-policy |
Principes appliqués :
- Aucun changement de modèle en production sans validation client.
- Les données transmises aux LLM ne sont pas utilisées pour l’entraînement des modèles, conformément aux engagements contractuels des fournisseurs sélectionnés.
- Lorsque cela est possible, les traitements sont réalisés en Union Européenne.
- Les fournisseurs sont sélectionnés au regard de leurs engagements de sécurité et de conformité.
Modèles de vectorisation
Wikit propose plusieurs options de modèles de vectorisation (ex : Azure OpenAI Text Embedding, Mistral Embed, autres modèles compatibles selon configuration).
Le choix du modèle est adaptable selon les exigences fonctionnelles, réglementaires ou de souveraineté du client.
Envoi d’emails
L’émission de courriels est sous-traitée à Brevo (ex Sendinblue) pour certaines fonctionnalités d’administration.
L’hébergement de ce service est réalisé en Union Européenne.
Disponibilité
Wikit s’engage sur un taux de disponibilité contractuel de 99,5 %, hors périodes de maintenance planifiée.
Une page de statut permet le suivi de la disponibilité des services.
Mesures techniques
Chiffrement
- Chiffrement des communications via HTTPS (TLS 1.2 ou supérieur)
- Chiffrement des mots de passe utilisateurs (hachage sécurisé type BCrypt)
- Chiffrement des données sensibles au repos via les mécanismes natifs des solutions d’hébergement
Gestion des accès
- Modèle RBAC (Role-Based Access Control)
- Principe du moindre privilège
- MFA activé pour les comptes administrateurs et les accès techniques
- Journalisation des accès aux systèmes critiques
Les collaborateurs non-IT ne disposent pas de droits administrateur sur leurs postes de travail, sauf justification validée.
Sécurité applicative
- Revue de code systématique
- Analyse automatisée des dépendances
- Veille de vulnérabilités (CERT/ANSSI)
- Tests de non-régression avant mise en production
Sauvegardes et continuité
Les sauvegardes sont automatisées, stockées sur site distant et testées périodiquement.
Wikit dispose d’un Plan de Continuité d’Activité (PCA) et d’un Plan de Reprise d’Activité (PRA) formalisés, maintenus séparément.
Des tests de restauration sont réalisés régulièrement.
Mesures organisationnelles
Gestion des arrivées et départs
Une procédure formalisée d’onboarding et d’offboarding encadre :
- la création des comptes,
- l’attribution des droits,
- la révocation immédiate des accès lors d’un départ,
- la restitution des équipements.
Le processus est revu annuellement.
Sensibilisation et formation
L’ensemble des collaborateurs est sensibilisé régulièrement aux enjeux de cybersécurité et aux exigences du RGPD.
Gestion des incidents
Une procédure formalisée encadre la détection, la qualification et la remédiation des incidents de sécurité.
En cas d’incident impactant un client, une notification est réalisée dans les meilleurs délais, accompagnée d’un rapport détaillé mis à disposition sur demande.
Protection des données personnelles
Wikit agit en qualité de sous-traitant au sens du RGPD.
Les traitements réalisés sont documentés et les sous-traitants sont sélectionnés selon des critères de sécurité et de conformité.
La conservation des données est alignée avec la durée contractuelle et les exigences réglementaires applicables.
Engagement
Wikit adopte une démarche de sécurité proportionnée à sa taille, alignée avec l’état de l’art pour les éditeurs SaaS intégrant des technologies d’intelligence artificielle.
La sécurité et la confidentialité des données constituent un axe stratégique du développement de la plateforme.