Sécurité
Testée en toute indépendance, certifiée
et sécurisée dès la conception.
Dactana a fait l'objet d'un test d'intrusion mené par un cabinet indépendant accrédité CREST et est certifié Cyber Essentials, le dispositif soutenu par le gouvernement britannique. Les contrôles qui sous-tendent ces résultats sont déjà en place, opérationnels et vérifiés chaque jour. Voici ce qu'ils couvrent.
2026 · Cabinet indépendant accrédité CREST
Test d'intrusion professionnel
Un cabinet de sécurité indépendant accrédité CREST a réalisé en 2026 un test d'intrusion de la plateforme Dactana, portant sur l'application web et sur l'assistant IA lui-même. Les points relevés pendant la mission ont été corrigés et retestés dans la fenêtre de test, et le rapport final a été clôturé sans aucun point en suspens.
Synthèse disponible sous accord de confidentialité. Renouvelé au moins une fois par an et après toute évolution majeure de l'architecture.
Dispositif soutenu par le gouvernement britannique · Certifié en août 2026
Certifié Cyber Essentials
Dactana est certifié Cyber Essentials, le dispositif soutenu par le gouvernement britannique qui vérifie les contrôles techniques essentiels que toute organisation devrait avoir mis en place : pare-feu, configuration sécurisée, contrôle d'accès, protection contre les logiciels malveillants et gestion des correctifs.
Périmètre : l'ensemble de l'organisation. Recertification annuelle.
Certification en cours · Objectif début 2027
ISO 27001 en cours
Les contrôles sont mis en œuvre, documentés par des preuves et surveillés chaque jour sur notre plateforme de conformité. Il reste à collecter les preuves sur la période d'audit puis à passer l'audit indépendant lui-même, sans nouveaux contrôles à ajouter.
Avancement en temps réel communiqué sous accord de confidentialité.
Posture de sécurité
La sécurité sous-tend tout ce que nous faisons
Nous ne construisons pas un programme de sécurité pour réussir un audit ; nous faisons tester et certifier de manière indépendante le programme que nous appliquons déjà.
Vos données
- Chiffrées au repos et en transit partout, y compris avec un TLS imposé vers chaque base de données.
- Hébergées dans l'UE, avec une isolation stricte entre les organisations clientes.
- Authentification unique et authentification multifacteur pour vos utilisateurs.
- Conservation documentée et suppression auditable. Chaque effacement produit un enregistrement vérifiable.
- Sauvegardes automatisées avec restauration à un instant donné.
Notre plateforme
- Production entièrement isolée du développement, dans des comptes cloud distincts dotés de garde-fous à l'échelle de l'organisation.
- Toute l'infrastructure est définie sous forme de code et relue par des pairs. Aucune modification non tracée.
- Aucun accès d'administration public : aucun port SSH ou RDP ouvert, nulle part. L'accès administrateur passe uniquement par des canaux privés avec vérification d'identité.
- Un pare-feu applicatif web devant le produit, dont la configuration est surveillée en continu.
Nos équipes et nos appareils
- Authentification unique et authentification multifacteur imposées à chaque membre du personnel.
- Travaux d'administration effectués sur des comptes à privilèges distincts. Moindre privilège par défaut.
- Chaque appareil appartient à l'entreprise, est géré de manière centralisée, entièrement chiffré et protégé par une solution de détection et de réponse sur les terminaux. Les appareils personnels ne sont pas utilisés pour le travail de l'entreprise.
- Une source d'identité unique : lors d'un départ, tous les accès sont révoqués en une seule étape.
Notre façon de développer
- Chaque modification est relue par des pairs et passe des contrôles automatisés avant sa mise en production.
- Dépendances, code et images de conteneurs analysés automatiquement à chaque modification.
- Points relevés corrigés dans des délais définis, selon un processus documenté de gestion des vulnérabilités.
- La sécurité fait partie du processus d'ingénierie, ce n'est pas une étape de contrôle à part.
En arrière-plan : un ensemble complet de politiques de sécurité de l'information, un registre des risques tenu à jour, des plans de réponse aux incidents et de continuité d'activité et une surveillance automatisée quotidienne de nos contrôles.
Dans le produit
Des protections sur l'ensemble du processus
Des limites d'exécution au contrôle d'accès, avec une visibilité complète sur chaque exécution.
Protection du trafic web
Le trafic entrant est filtré avant d'atteindre les services principaux, grâce à un pare-feu applicatif web et à une limitation du débit des requêtes.
Chiffrement en transit
Les connexions sont chiffrées en transit, y compris les accès externes et les communications entre services internes.
Chiffrement au repos
Les données stockées sont chiffrées au repos dans les principaux services de la plateforme, notamment les bases de données et le stockage de fichiers.
Services en réseau privé
Les services principaux de calcul et de données s'exécutent dans des segments de réseau privés, sans exposition à l'internet public.
Accès contrôlé aux fichiers
Les fichiers sensibles sont accessibles par des liens signés à durée limitée, jamais par des URL publiques ouvertes.
Gestion sécurisée des secrets
Les identifiants et les clés sont gérés par des contrôles dédiés aux secrets et ne sont jamais intégrés au code de l'application.
Environnements d'analyse isolés
Le travail d'analyse s'exécute dans des environnements isolés, séparés des systèmes de production, ce qui permet de contenir les défaillances.
Garde-fous et limites
Des limites intégrées et des disjoncteurs rendent l'exécution prévisible et empêchent les nouvelles tentatives ou la consommation de ressources sans fin.
Contrôle d'accès et séparation des données
L'accès est régi par organisation et par autorisations : chaque utilisateur ne travaille qu'avec les données auxquelles il est habilité.
Observabilité et auditabilité
Chaque analyse génère une trace de ce qui s'est passé, avec les contrôles qualité, la durée et le statut, à des fins de revue.
Confidentialité
Vos données restent les vôtres
Dactana lit, vérifie et rend compte. Il ne copie pas vos données, ne les conserve pas et n'apprend pas d'elles.
Vos données restent dans votre entrepôt
Dactana se connecte avec des identifiants en lecture seule et exécute les requêtes là où se trouvent les données, avec des limites de lignes et des délais d'expiration.
Seuls les résultats sortent
Ce qui revient, c'est le constat et la table de faits qui le fonde, pas une copie de vos données.
Rien n'apprend de vos requêtes
Vos données et le comportement des modèles sont clairement séparés. Les modèles n'apprennent ni de vos questions ni de vos données.
Aucun historique de questions sur vos données
Aucun historique de prompts n'est conservé en lien avec vos données métier.
Des identifiants encadrés
Les identifiants de connexion passent par un circuit sécurisé dédié, sans jamais être collés dans une conversation ou un document partagé.
Séparation par organisation
Chaque organisation et chaque assistant sont isolés, avec un contrôle d'accès intégré.
Snowflake
BigQuery
Databricks
PostgreSQL
ClickHouseSQL ServerFichiers et tableursQuestions fréquentes
Dactana a-t-il fait l'objet d'un test d'intrusion ?
Oui. Un cabinet indépendant accrédité CREST a testé la plateforme Dactana en 2026, y compris l'assistant IA lui-même. Chaque point relevé a été corrigé et retesté pendant la mission et le rapport a été clôturé sans aucun point en suspens. Nous communiquons la synthèse sous accord de confidentialité et renouvelons le test au moins une fois par an.
Êtes-vous certifiés Cyber Essentials ?
Oui. Dactana est certifié Cyber Essentials, le dispositif soutenu par le gouvernement britannique, depuis août 2026. Nous préparons la certification ISO 27001, visée pour début 2027, et suivons sa progression chaque jour sur notre plateforme de conformité.
Où l'analyse s'exécute-t-elle ?
Dans un environnement d'analyse isolé, séparé des systèmes de production, avec des limites sur les nouvelles tentatives et la consommation de ressources. Votre entrepôt de données n'est jamais interrogé qu'en lecture seule et seuls les résultats reviennent.
Pouvons-nous consulter vos politiques ?
Oui. Les contrôles s'appuient sur un ensemble complet de politiques de sécurité de l'information, un registre des risques tenu à jour et des plans de réponse aux incidents et de continuité d'activité. Sous accord de confidentialité, nous communiquons les politiques, la synthèse du test d'intrusion et l'avancement en temps réel de notre certification ISO 27001.
Demandez le dossier sécurité
Sous accord de confidentialité, nous communiquons la synthèse du test d'intrusion, nos politiques et l'avancement en temps réel de notre certification ISO 27001.