Sécurité | Boske

Ce que nous faisons pour protéger vos contenus, dit simplement, avec les manques nommés. Tout sur cette page décrit ce qui existe aujourd'hui — rien ici n'est une feuille de route.

Hébergement et localisation des données

Boske fonctionne sous trois formes, et la forme détermine où résident vos contenus. Local fonctionne entièrement sur votre propre matériel. Cloud est un service mutualisé infogéré dans les centres de données européens de Hetzner en Allemagne. Private Cloud et On-Premise fonctionnent sur un serveur que vous contrôlez — pour un projet pilote dans l'enseignement, c'est le serveur de l'établissement dès le premier jour. Il n'y a pas de commutateur de localisation : la localisation est une propriété du déploiement choisi.

Accès aux modèles et entraînement

Vos contenus ne servent jamais à entraîner un modèle. L'inférence cloud est assurée par Mistral AI en France, atteinte uniquement via notre propre passerelle, qui constitue l'unique voie sortante du trafic modèle. Aucun autre fournisseur de modèles ne reçoit vos contenus. La page des sous-traitants énumère chaque tiers qui traite des données personnelles pour notre compte.

Accès et audit

Les actions d'administration — modifications de licence et de siège, invitations, changements de rôle, restrictions de politique — sont écrites dans un journal en ajout seul dont les enregistrements sont liés par une chaîne de hachage, de sorte qu'un enregistrement supprimé ou modifié se détecte. Les propriétaires et administrateurs d'une organisation peuvent lire et exporter le journal de leur propre organisation depuis le tableau de bord. La vérification de la chaîne elle-même est une procédure d'exploitation que nous exécutons sur demande ; ce n'est pas un bouton en libre-service.

Droits des personnes concernées

Vous pouvez exporter et supprimer vos contenus depuis le produit. Pour les demandes au titre du RGPD — accès, rectification, effacement, portabilité, opposition — écrivez-nous et nous les traiterons. Notre promesse sur les données et notre politique de confidentialité indiquent ce que nous collectons et pourquoi.

Signaler une vulnérabilité

Signalez une vulnérabilité présumée à security@boske.dev. Merci de nous donner assez de détails pour reproduire le problème, et de ne pas faire de tests sur les données d'autres clients. Nos coordonnées lisibles par machine sont publiées à /.well-known/security.txt. Nous accusons réception de votre signalement et vous tenons informé ; nous n'avons pas de programme de primes rémunéré à ce jour.

Ce que nous n'avons pas encore

Ce qu'un questionnaire de sécurité demandera et que nous n'avons pas. Autant l'apprendre ici plutôt qu'au milieu d'un marché :

Aucun rapport SOC 2 ni certification ISO 27001.
Aucun test d'intrusion par un tiers n'a été réalisé.
Aucun engagement de disponibilité en pourcentage. Nous nous engageons sur les meilleurs efforts, un contact nommé et un délai de réponse annoncé.
Aucun exercice de restauration complet n'a été mené, nous n'annonçons donc aucun délai de rétablissement.
L'authentification unique n'existe que pour Private Cloud et On-Premise. Le Cloud mutualisé n'a pas d'authentification unique.
Ni SCIM ni synchronisation d'annuaire. Les membres sont invités ; l'authentification unique les provisionne à la première connexion.
Un accord de traitement des données est disponible sur demande ; un modèle publié et contresigné est encore en préparation.