Sécurité · Confiance

Self-hosted par conception. Les données de gouvernance restent dans une infrastructure que vous contrôlez.

Olivares traite les prompts et les sorties des sessions gouvernées. Son enregistreur d’E/S calcule une empreinte SHA-256 par trame et chaîne l’empreinte et la longueur, avec ancrage au journal d’audit ; il ne stocke pas le contenu de la trame.

Traitement des données

Ce que nous touchons, et ce qui reste chez vous

Les sessions traitent les prompts et les sorties ; l’enregistrement conserve des empreintes comme preuves, pas leur contenu. Les données de gouvernance restent dans votre infrastructure par défaut. Les outils du fournisseur conservent leurs transcriptions dans leur répertoire de configuration sur votre hôte ; libérer une session ne les purge pas. Les fournisseurs hébergés reçoivent ce que la session envoie. Les messages des canaux de communication sont stockés avec la protection du contenu configurée pour le canal.

S’exécute dans votre infrastructure

L’auto-hébergement vous donne le contrôle du serveur et du stockage. Les appels aux modèles hébergés, les sources connectées et les exports configurés peuvent franchir votre périmètre réseau.

Preuves d’enregistrement des sessions

L’enregistrement chaîne les empreintes SHA-256 et les longueurs des trames, avec ancrage au journal d’audit, sans conserver les octets des prompts ou des sorties. Il est automatique pour les lancements critiques et peut aussi être demandé par la politique ou l’opérateur.

Masquage des secrets

Les valeurs secrètes du coffre configuré sont masquées avant que la sortie atteigne l’enregistreur. Les prompts, sorties, transcriptions du fournisseur et messages de communication stockés peuvent contenir des données personnelles. L’outil du fournisseur écrit ses transcriptions hors de ce parcours de masquage.

Découverte et actions des agents

La découverte passive lit les sources configurées. Les agents exploités peuvent agir par leurs outils ; examinez leurs permissions, politiques et identifiants avant leur lancement.

Destinations réseau

Par exemple, l’activation et le renouvellement des licences Business contactent le service de licences ; les fournisseurs hébergés et les intégrations configurées utilisent le réseau. L’auto-hébergement ne rend pas ces opérations hors ligne.

Limites de rétention

Les enregistrements et les preuves du journal d’audit sont en ajout seul (append-only) : un réglage de rétention ne les purge pas. Les transcriptions du fournisseur sur votre hôte suivent la rétention de son outil. La rétention d’Olivares ne définit pas celle d’un service externe.

Divulgation des vulnérabilités

Signaler un problème de sécurité

Nous accueillons favorablement la divulgation coordonnée et agissons de bonne foi avec les chercheurs qui en font autant. Les découvertes portant sur le modèle de sécurité lui-même sont explicitement les bienvenues.

Signalez en privé à

security@olivares.ai

Merci de ne pas ouvrir d’issue, de pull request ou de discussion publique pour une vulnérabilité suspectée. PGP est disponible sur demande avant l’envoi des détails.

Politique complète Politique de divulgation des vulnérabilités (SECURITY.md) Contact lisible par machine /.well-known/security.txt (RFC 9116)

À quoi s’attendre

Accusé de réception sous 3 jours ouvrés
Évaluation initiale sous 10 jours ouvrés
Divulgation coordonnée jusqu’à 90 jours, plus tôt si un correctif est publié

Merci de ne pas envoyer

Aucun secret, identifiant ou jeton réel (caviardez-les), aucune donnée personnelle de clients ou de tiers ni dump de production, et aucune exploitation en direct de systèmes qui ne vous appartiennent pas. Décrivez l’impact sensible plutôt que de le joindre — nous mettrons en place un canal sécurisé.

La ligne prise en charge est la dernière version étiquetée ; les correctifs de sécurité entrent dans main et sont livrés avec la version étiquetée suivante.

Sous-traitants

Qui d’autre traite des données

Ce site web n’utilise aucun sous-traitant d’analytique, de publicité ou de suivi. C’est un site statique avec des polices self-hosted, une Content-Security-Policy stricte en même origine et sans cookies. Il est servi via un réseau de diffusion de contenu, qui ne traite que les métadonnées de connexion nécessaires à la livraison de la page — nous ne collectons aucune donnée personnelle lorsque vous naviguez.

Olivares est un logiciel auto-hébergé. Vous choisissez les fournisseurs de modèles et les destinations de sortie ou de télémétrie. Les services de notre site, de nos licences et de nos communications sont répertoriés séparément dans le Centre de confiance.

Centre de confiance

Traitement des données

Accord de traitement des données (art. 28 du RGPD)

Un accord de traitement des données est disponible sur demande pour les achats enterprise. Parce qu’Olivares AI est self-hosted, dans la plupart des déploiements vous restez le responsable et le sous-traitant de vos propres données au sein de votre propre infrastructure ; un DPA peut néanmoins être conclu pour formaliser les responsabilités d’une relation commerciale.

Demander un DPA

Posture de conformité

Honnêtes sur notre situation actuelle

Olivares AI n’est pas certifié au titre de SOC 2, de l’ISO/IEC 27001, du règlement européen sur l’IA ni d’aucun autre référentiel, et aucun audit n’est en cours. Nous concevons le produit pour qu’il corresponde aux contrôles que ces référentiels examinent — journalisation d’audit, contrôle d’accès, intégrité, chiffrement et gestion des changements — afin qu’il soit prêt à être audité le moment venu. La certification formelle (par exemple SOC 2 Type 2) est une étape ultérieure que l’architecture est faite pour permettre ; elle ne conditionne pas la première version.

Référentiels que nous visons par conception

SOC 2 / ISO 27001

Objectifs de contrôle que nous visons par conception — non certifiés, sur la roadmap.
Règlement européen sur l’IA

Conçu pour répondre à ses attentes en matière de contrôle et de documentation.
CSA MAESTRO

Une méthodologie de modélisation des menaces à laquelle nous nous référons — pas une norme certifiable.
Menaces agentiques OWASP

Mis en correspondance avec la liste des menaces et mesures d’atténuation agentiques.
Recommandations CISA / NIST

Des recommandations, pas une norme certifiable — conception visant cet objectif, sans revendication de conformité.

Lorsque nous décrivons un alignement avec des référentiels externes, il s’agit d’une correspondance technique, pas d’une certification — et pour les normes qui ne sont pas encore finalisées, c’est un signal de conception visant cet objectif, sans aucune revendication de conformité.

Intégrité de la build

Les versions sont signées cryptographiquement, livrées avec une nomenclature logicielle (SBOM) et portent une provenance de build.
Un unique binaire statique à sécurité mémoire, dans des images de conteneur minimales et durcies.
Des dépendances minimales et épinglées — aucun script d’installation exécutant du code non vérifié.
L’analyse des dépendances et des secrets contrôle chaque changement en CI.

Ces garanties s’appliquent à chaque version étiquetée.

Objectifs de remédiation

Critique 7 jours
Élevée 14 jours
Moyenne 30 jours
Faible prochaine version planifiée

Notre cadence de remédiation engagée, en vigueur à la première version étiquetée. Les vulnérabilités activement exploitées sont traitées comme critiques.

Business : sécurité à l’exécution et vos propres clés

Community inclut les garde-fous, la DLP en sortie et les vérifications deny-closed. Business ajoute un pare-feu de contenu, des vérifications de la sortie des outils serveur et de l’usage de l’ordinateur, un disjoncteur, le verrouillage des outils MCP, du renseignement sur les menaces et des clés dans votre propre service de gestion de clés.

Ce qu’ajoute Business

Questions de confiance

Où vont mes données ?

Êtes-vous certifiés SOC 2 ou ISO 27001 ?

Pas encore. Le produit est conçu pour correspondre aux objectifs de contrôle de SOC 2 et de l’ISO 27001 afin d’être prêt à être audité, mais la certification formelle est sur la roadmap et n’a pas été obtenue. Nous ne revendiquerons pas une certification que nous ne détenons pas.

Comment signaler une vulnérabilité de sécurité ?

Écrivez en privé à security@olivares.ai — merci de ne pas ouvrir d’issue publique. Notre politique complète, y compris les délais de réponse, figure sur cette page et est référencée depuis /.well-known/security.txt (RFC 9116). Nous accusons réception sous trois jours ouvrés.

Proposez-vous un DPA ?

Oui, un accord de traitement des données au titre de l’article 28 du RGPD est disponible sur demande pour les achats enterprise. Contactez enterprise@olivares.ai.

Des questions de votre équipe sécurité ou achats ?

Signalez une vulnérabilité à notre contact sécurité, ou contactez-nous pour les achats, un DPA ou une revue de sécurité.

Signaler une vulnérabilité Contacter les achats