Hébergement
HONESTAS s'exécute dans l'un de ces deux environnements, avec le même logiciel dans les deux cas.
- Notre cloud UE. Des centres de données en Irlande. Vos données sont hébergées et traitées dans l'Union européenne, et vous choisissez où chaque type de données est conservé : dans notre cloud UE ou dans votre propre centre de données.
- Votre propre centre de données. HONESTAS installé sur votre propre matériel, derrière vos propres contrôles réseau. Les mises à jour arrivent sous forme de paquets signés que vous approuvez avant leur exécution.
Dans les deux cas, les enregistrements scellés sont inscrits dans un registre externe à l'installation, avec un horodatage externe, de sorte que la compromission d'une installation ne permette pas d'en réécrire l'historique.
Chiffrement et clés
- Les données sont chiffrées en transit et au repos, avec une clé distincte pour chaque entreprise.
- Vous pouvez conserver vos propres clés dans votre propre gestionnaire de clés. Si vous retirez la clé, les données qu'elle protège ne peuvent plus être lues.
- Les clés qui scellent les enregistrements sont séparées des clés qui protègent les données, et ne sont jamais accessibles aux personnes qui signent les décisions.
- Les appels à l'IA s'exécutent via vos propres comptes et clés de fournisseurs de modèles, dans le cadre de vos propres contrats. Chaque appel est enregistré avec la clé, le modèle et la version utilisés.
- Les numéros de carte bancaire n'atteignent jamais HONESTAS. Les clients les saisissent directement dans les champs du prestataire de paiement.
Cloisonnement
Chaque requête dans HONESTAS indique trois éléments : l'entreprise à laquelle elle appartient, le propriétaire des données et l'unité demandeuse. Une requête qui ne peut pas fournir ces trois éléments est refusée avec le code SCOPE_REFUSED, et ce refus est enregistré.
- Entre les entreprises. Chaque assureur, courtier, MGA ou TPA dispose de son propre espace et de ses propres clés. Dans un espace de placement partagé, le cloisonnement entre les marchés est vérifié avant l'envoi de chaque message.
- Entre les propriétaires de données. Un TPA ou un courtier travaillant pour plusieurs clients conserve les dossiers de chaque client sous le nom de ce dernier.
- Entre les unités. Des équipes telles que l'unité de lutte contre la fraude peuvent être cloisonnées au sein d'une même entreprise.
Chaque fichier téléversé est ouvert dans un bac à sable (sandbox) sans accès réseau, lu, puis supprimé.
Accès
- Les utilisateurs se connectent via votre propre fournisseur d'identité par SAML ou OIDC, avec une synchronisation des comptes via SCIM. La signature des décisions utilise des clés d'accès (passkeys) sur l'appareil personnel de l'utilisateur.
- Les rôles déterminent ce que chaque personne peut voir et faire. Les modifications sensibles, telles qu'une nouvelle limite de pouvoir de souscription ou une nouvelle version de modèle, nécessitent la validation d'une seconde personne.
- En cas d'urgence, un administrateur peut recevoir un accès complet pour une courte durée, sous la supervision d'une seconde personne et avec l'enregistrement de chaque étape.
- L'accès par le personnel d'Adverant est limité, soumis à approbation et enregistré.
Journalisation
Chaque connexion, lecture, modification, appel à l'IA et action d'administrateur est journalisé en précisant qui, quoi, quand et d'où. Les journaux sont conservés en dehors de votre installation, ne peuvent pas être modifiés et sont gardés pendant la durée que vous définissez. Vous pouvez les envoyer vers vos propres outils de sécurité via l'API d'événements.
Tests
- Des auditeurs indépendants testent HONESTAS pour détecter d'éventuelles failles. Nous corrigeons les vulnérabilités par ordre de gravité.
- Chaque version compilée (build) est signée, et les composants logiciels qu'elle contient sont vérifiés pour détecter les vulnérabilités connues avant sa mise à disposition.
- Les contrôles qui refusent les décisions, le scellement et le cloisonnement entre les entreprises sont testés à chaque nouvelle version.
Incidents
Si un incident affecte vos données, nous prévenons votre contact sécurité désigné dans les meilleurs délais et suivons le plan prévu dans votre contrat. Nous vous fournissons une chronologie depuis la première alerte ainsi que les éléments factuels nécessaires pour remplir vos propres obligations de notification au titre de DORA et du RGPD.
Signaler un problème
Envoyez un e-mail à security@honestas.ai. Veuillez préciser :
- ce que vous avez trouvé et où (l'adresse, l'écran ou le composant) ;
- les étapes pour le reproduire, accompagnées d'un code de démonstration de faisabilité (PoC) ou de captures d'écran ;
- ce qu'un attaquant pourrait en faire, selon vous ;
- comment vous joindre, et si vous souhaitez être crédité.
Rédigez en anglais si vous le pouvez. Un seul rapport clair est plus utile que plusieurs messages courts. Veuillez ne pas inclure de données personnelles auxquelles vous auriez pu accéder ; décrivez-les plutôt. Nous corrigeons d'abord les problèmes les plus graves, vous prévenons lorsque le correctif est déployé et convenons avec vous du moment où les détails peuvent être publiés.
Périmètre
- honestas.ai et ses sous-domaines, y compris la console HONESTAS ;
- HONESTAS tel que nous l'opérons dans notre cloud UE, y compris l'authentification, le registre d'enregistrements et le vérificateur d'enregistrements ;
- les applications HONESTAS pour iOS et Android, le SDK storefront et l'API publique.
Hors périmètre : les attaques visant notre personnel (hameçonnage, ingénierie sociale), les attaques physiques, les dénis de service, les failles nécessitant un appareil déjà compromis, et les rapports issus de scanners automatisés sans impact démontré. Une installation hébergée dans le centre de données d'un client appartient à ce client ; veuillez lui signaler tout problème constaté, ainsi qu'à nous.
Règles pour les chercheurs
- N'utilisez que des comptes et des données qui vous appartiennent ou qui vous ont été fournis à des fins de test.
- Faites le strict minimum nécessaire pour prouver l'existence du problème. Arrêtez-vous et prévenez-nous dès que vous atteignez les données d'une autre entreprise.
- Ne modifiez et ne supprimez aucune donnée, ne dégradez pas le service et ne conservez pas l'accès plus longtemps que nécessaire.
- Gardez les détails confidentiels jusqu'à ce que nous ayons convenu d'une date de divulgation.
Safe harbour
Si vous agissez de bonne foi et respectez ces règles, nous considérerons vos recherches comme autorisées. Nous n'engagerons pas de poursuites judiciaires contre vous et ne vous signalerons pas aux autorités à ce titre ; si un tiers le fait, nous confirmerons clairement que vous avez agi avec notre permission. Cela ne couvre pas les actes qui enfreignent la loi d'une manière que ces règles ne peuvent autoriser.
Divulgation
Nous préférons publier les détails une fois que le correctif est à la disposition de tous ceux qui en ont besoin. Nous conviendrons du calendrier avec vous et ne vous demanderons pas de garder le silence plus longtemps qu'il n'est nécessaire pour protéger nos clients. En cas de désaccord, nous vous expliquerons pourquoi.
Si vous êtes client, signalez toute suspicion d'incident via le contact sécurité indiqué dans votre contrat ou via le support intégré à HONESTAS, afin que nous puissions appliquer votre plan de gestion des incidents. Pour savoir où sont hébergées vos données et quelles réglementations nous couvrons, consultez le centre de confiance.
Dernière mise à jour le 23 octobre 2026