Sécurité & confianceSecurity & trust

Ce que nous faisons de vos données.
Et ce que nous ne faisons pas.What we do with your data.
And what we don’t.

La page que votre RSSI lira en premier. Elle dit ce qui est en place, ce qui est en cours, et ce qui n’existe pas encore.The page your CISO will read first. It says what is in place, what is in progress, and what does not exist yet.

🏠 Où tournent vos donnéesWhere your data runs

Directic AI se déploie chez vous : on-premise, cloud souverain de votre choix ou hybride. Aucune donnée de vos sessions, de vos documents ou de vos journaux ne transite par SBAI-Solutions.Directic AI is deployed on your side: on-premise, a sovereign cloud of your choice or hybrid. No session, document or trail data passes through SBAI-Solutions.

  • Les appels aux fournisseurs de modèles partent de votre infrastructure, avec vos clés.Calls to model providers leave from your infrastructure, with your keys.
  • La gouvernance s’applique à tous les fournisseurs : une donnée confidentielle ne part jamais en clair vers un modèle externe, quel qu’il soit. Vous décidez quels modèles ont droit à quoi.Governance applies to every provider: confidential data never leaves in clear to an external model, whichever it is. You decide which models are allowed what.

🛂 Contrôle avant expositionControl before exposure

Chaque donnée est classée (publique, interne, personnelle, confidentielle) et chaque requête est évaluée avant d’atteindre un modèle : autoriser, caviarder, escalader à un humain ou bloquer.Every piece of data is classified (public, internal, personal, confidential) and every request is evaluated before reaching a model: allow, redact, escalate to a human or block.

  • Caviardage des PII avant envoi, pas après.PII redaction before sending, not after.
  • Aptitudes (web, code, vision) autorisées par contexte.Capabilities (web, code, vision) allowed by context.
  • Arrêt d’urgence par agent, par outil ou global.Emergency stop per agent, per tool or global.

⛓️ Preuve et réversibilitéEvidence and reversibility

Le journal probatoire est chaîné (hachage Merkle, ancres périodiques) : toute altération est détectable par un auditeur sans accès au système. Il s’exporte en CSV / JSON et vers votre SIEM.The evidence trail is chained (Merkle hashing, periodic anchors): any tampering is detectable by an auditor without system access. It exports to CSV / JSON and to your SIEM.

  • Multi-fournisseur : vous changez de modèle sans perdre la gouvernance.Multi-provider: you switch models without losing governance.
  • Fin de pilote : export complet, suppression sur demande, aucune rétention chez nous.End of pilot: full export, deletion on request, no retention on our side.

📜 RéférentielsFrameworks

Le cockpit relie 19 exigences AI Act, RGPD et ISO 42001 / 27001 / 27701 à une fonction et à ses preuves. Les mécanismes font l’objet de quatorze demandes de brevet déposées à l’INPI.The cockpit ties 19 AI Act, GDPR and ISO 42001 / 27001 / 27701 requirements to a function and its evidence. The mechanisms are covered by fourteen patent applications filed with the French INPI.

  • AI Act art. 12 (journalisation), art. 14 (contrôle humain), art. 13 / 52 (transparence).AI Act art. 12 (logging), art. 14 (human oversight), art. 13 / 52 (transparency).
  • RGPD art. 25 (privacy by design), art. 30 (registre), art. 5 / 32 (minimisation, sécurité).GDPR art. 25 (privacy by design), art. 30 (register), art. 5 / 32 (minimisation, security).
Pas de certification tierce (SOC 2, ISO 27001) à ce jour : alignement, pas certification.No third-party certification (SOC 2, ISO 27001) to date: alignment, not certification.

🔧 Ce siteThis website

Site statique, sans cookie marketing ni analytics. Le formulaire de candidature est traité par Formspree (États-Unis) ; vous pouvez nous écrire directement à contact@directicai.com.Static site, no marketing cookie or analytics. The application form is processed by Formspree (United States); you can write to us directly at contact@directicai.com.

  • Cache local PWA pour l’affichage hors ligne, sans profilage.Local PWA cache for offline display, no profiling.
  • Polices auto-hébergées (licence SIL OFL) : aucun appel vers Google au chargement.Self-hosted fonts (SIL OFL licence): no call to Google on load.

🛡️ Signaler une vulnérabilitéReport a vulnerability

Écrivez à l’adresse indiquée dans /.well-known/security.txt. Nous accusons réception sous 48 h ouvrées et nous ne poursuivons pas la recherche de bonne foi.Write to the address in /.well-known/security.txt. We acknowledge within 48 business hours and do not pursue good-faith research.

  • Site public hébergé chez Cloudflare (CDN, États-Unis) : il ne contient aucune donnée client ; les données des pilotes restent chez vous.Public site hosted on Cloudflare (CDN, United States): it holds no customer data; pilot data stays on your side.
Politique de confidentialité complèteFull privacy policy