Sécurisée dès la conception

De l'accès aux données à leur conservation, chaque garde-fou est pensé pour les exigences de l'industrie pharmaceutique.

• Conforme RGPD
• Hébergement UE (AWS)
• Chiffrement au repos & en transit
• Journal d'audit

Permissions appliquées côté serveur, par rôle et par organisation.

• Rôles granulaires (lecture, édition, export, administration)
• Principe du moindre privilège pour le support
• Sessions authentifiées et révocables

Chaque organisation est cloisonnée logiquement. Aucune donnée ne franchit la frontière d'un tenant.

• Filtrage par organizationId sur chaque requête
• Aucun accès inter-comptes possible
• Séparation des environnements de production et de test

Vos données sont chiffrées en transit (TLS 1.2+) et au repos : bases de données et sauvegardes sont chiffrées (AES-256).

• TLS 1.2+ pour tous les échanges
• Chiffrement au repos AES-256 (bases de données et sauvegardes)
• Aucune donnée sensible en clair dans les logs

Clés d'API et secrets stockés chiffrés, jamais exposés en clair.

• Accès aux secrets contrôlé par rôle
• Rotation et révocation des clés d'API
• Variables sensibles isolées du code applicatif

Les actions sensibles (connexions et déconnexions, exports de rapports, clés d'API, facturation, activation de sources de données, configuration) sont tracées et conservées.

• Piste d'audit en ajout-seul (append-only)
• Qui, quoi, sur quel objet, quand et avec quel résultat, sans le contenu que vous saisissez (noms, consignes, titres)
• Rétention jusqu'à 7 ans à des fins réglementaires

Vos instructions, vos données et vos résultats ne servent jamais à entraîner des modèles d'IA.

• Conditions d'API excluant l'entraînement sur vos données
• Aucune réutilisation de vos contenus
• Données traitées uniquement pour vous répondre

Activité de la plateforme surveillée en continu pour prévenir les abus.

• Limitation de débit (rate limiting) automatique
• Détection des activités à risque
• Journalisation applicative centralisée
• Page de statut publique des services : https://status.aikka.ai

Conçue pour la donnée de santé européenne, dans le respect du RGPD.

• Droits d'accès, rectification, suppression, portabilité
• Registre de traitement et minimisation des données
• DPA disponible pour les clients entreprise

Vos données sont stockées dans l'Union européenne. Les serveurs applicatifs et les bases de données d'Aikka fonctionnent sur Amazon Web Services à Stockholm (Suède) ; le rendu des exports de rapports et leur stockage s'effectuent à Paris (France). Le site est diffusé via Amazon CloudFront. Pour produire les analyses, les requêtes adressées aux fournisseurs de modèles d'IA peuvent être traitées hors de l'Union européenne, dans le cadre des Clauses Contractuelles Types de la Commission européenne.

Nous documentons notre infrastructure et nos sous-traitants de manière transparente, et fournissons un accord de traitement des données (DPA) aux clients entreprise.

• Amazon Web Services, Union européenne (Stockholm et Paris)
• Requêtes aux fournisseurs d'IA : transferts hors UE encadrés par les Clauses Contractuelles Types
• Sous-traitants documentés et transparents
• DPA disponible sur demande

Les réponses aux questions de sécurité les plus courantes de nos clients.

Où mes données sont-elles hébergées ?

Vos données sont stockées dans l'Union européenne, sur Amazon Web Services (AWS) : serveurs applicatifs et bases de données à Stockholm (Suède), rendu et stockage des exports de rapports à Paris (France). Le site est diffusé via Amazon CloudFront. Pour produire les analyses, les requêtes adressées aux fournisseurs de modèles d'IA, dont plusieurs sont situés aux États-Unis, peuvent être traitées hors de l'Union européenne, dans le cadre des Clauses Contractuelles Types de la Commission européenne.

Utilisez-vous mes données pour entraîner des modèles d'IA ?

Non. Vos instructions, vos données et les résultats générés ne sont jamais utilisés pour entraîner des modèles d'IA. Nos fournisseurs de modèles traitent vos requêtes sous des conditions d'API qui excluent l'entraînement sur vos données.

Comment les organisations sont-elles isolées les unes des autres ?

Aikka est multi-tenant : chaque organisation est cloisonnée logiquement et chaque requête est filtrée par identifiant d'organisation. Aucun accès inter-comptes n'est possible.

Mes données sont-elles chiffrées ?

Oui. Toutes les communications sont chiffrées en transit (TLS 1.2+) et vos données sont chiffrées au repos (bases de données et sauvegardes, AES-256). Les champs sensibles ne sont jamais écrits en clair dans les journaux applicatifs.

Tenez-vous un journal d'audit ?

Oui. Les actions sensibles (connexions, tentatives de connexion refusées et déconnexions, exports de rapports, création et révocation de clés d'API, opérations de facturation, activation de sources de données, changements de configuration) génèrent une entrée d'audit en ajout-seul, conservée jusqu'à 7 ans lorsque requis à des fins réglementaires ou contractuelles. Ces entrées identifient l'auteur, l'action, l'objet et la date, sans reprendre le contenu que vous saisissez.

Comment gérez-vous les accès et les permissions ?

Les permissions sont appliquées côté serveur via un contrôle d'accès basé sur les rôles (RBAC). Le support opère selon le principe du moindre privilège, et les accès élevés (par ex. au journal d'audit) sont protégés et justifiés.

Êtes-vous conforme au RGPD ?

Aikka est conçue conformément au RGPD et à la loi Informatique et Libertés. Vous disposez de droits d'accès, de rectification, de suppression, de limitation, de portabilité et d'opposition. Un accord de traitement des données (DPA) est disponible pour les clients entreprise.

Comment signaler une vulnérabilité de sécurité ?

Écrivez-nous à security@aikka.ai. Nous accusons réception rapidement et traitons les signalements de façon responsable.

Notre équipe répond aux due diligences sécurité et fournit la documentation nécessaire à vos évaluations.

security@aikka.ai