Aller au contenu
VamiAppSec Trust Center

Sécurité, conformité et souveraineté — rendues transparentes.

VamiAppSec est la plateforme de sécurité applicative de VamiSec GmbH, assistée par LLM, pour le Secure SDLC — SAST, SCA, SBOM, analyse des secrets, de l’IaC et des conteneurs ainsi que du DAST assisté par IA grâce au VamiDAST intégré. Ce Trust Center montre comment nous protégeons les données, où nous hébergeons et comment nous développons de manière sécurisée.

Proks Certification – ISO/IEC 27001 Certified
Certifié ISO/IEC 27001:2022 SMSI de VamiSec GmbH · Proks Certification GmbH (accréditée DAkkS) · certificat n° DE-IS-20250191 · valable jusqu’au 18/09/2028 Télécharger le certificat (PDF) ⤓
Consulter les documents security@vamisec.com
ExploitantVamiSec GmbH · Bonn, Allemagne
HébergementT Cloud Public · Allemagne · ou on-premise
Signaler un incident de sécuritésecurity@vamisec.com
Dernière mise à jour13 octobre 2026
StatutEn production
01 — Conformité & certifications

Construit sur des fondations certifiées.

VamiAppSec est exploité par VamiSec GmbH, dont le système de management de la sécurité de l’information est certifié ISO/IEC 27001 par un organisme accrédité DAkkS. Nous indiquons de manière transparente ce qui est certifié, ce qui est en préparation et ce qui relève d’une attestation de la plateforme d’hébergement.

ISO/IEC 27001

SMSI de la VamiSec GmbH — certifié par Proks Certification GmbH (accréditée DAkkS), valable jusqu’en 09/2028.

Certifié

ISO/IEC 42001

Système de management de l’IA de VamiSec mis en place — certification ISO/IEC 42001 en préparation.

En préparation

RGPD / GDPR

Contrat de traitement des données (DPA) spécifique au produit au titre de l’art. 28 du RGPD sur demande (privacy@vamisec.com), sous-traitants ultérieurs divulgués.

DPA sur demande

BSI C5 · ISO 27001 · TISAX

Attestation, label & certificats de la plateforme d’exploitation T Cloud Public — détenus par Deutsche Telekom, non par VamiSec GmbH ; pertinents en mode SaaS.

Plateforme d’hébergement

ISO 14001

Système de management environnemental de VamiSec GmbH mis en place selon ISO 14001:2026 — certification en préparation.

En préparation

EcoVadis

Notation de durabilité de VamiSec GmbH — badge Committed, obtenu en octobre 2026.

Badge Committed
02 — Hébergement & souveraineté numérique

Hébergé de manière souveraine en Allemagne — sous le droit européen.

En mode SaaS, VamiAppSec est hébergé sur T Cloud Public (anciennement Open Telekom Cloud) de Deutsche Telekom — un cloud européen souverain, exclusivement dans des centres de données en Allemagne. Les données et journaux de la plateforme relèvent du droit européen ; le cocontractant est VamiSec GmbH, dont le siège est à Bonn (Allemagne). VamiAppSec est agnostique vis-à-vis des LLM — vous choisissez le modèle de langage des fonctions d’IA : le Qwen3.8 local dans le centre de données de VamiSec à Sankt Augustin (le traitement IA reste alors lui aussi en Allemagne), Anthropic Claude ou OpenAI avec traitement aux États-Unis, ou votre propre LLM (BYOLLM).

Centres de données en Allemagne uniquementRégion twin-core Biere/Magdeburg (Saxe-Anhalt) — hébergement exclusivement en Allemagne, dans le cadre juridique de l’UE.
On-premise sur votre cluster KubernetesAlternativement, l’ensemble de la pile — scanners, VamiDAST, DefectDojo et LLM — fonctionne sur votre propre cluster Kubernetes, sans services propriétaires de fournisseurs cloud et, si nécessaire, en air gap ; Qwen3.8 utilise alors vos GPU.
LLM local à Sankt AugustinQwen3.8 est un modèle open-weight que VamiSec exploite sur ses propres GPU dans son propre centre de données à Sankt Augustin — seul le LLM y fonctionne, pas la plateforme. Avec le modèle local, aucune API de pays tiers n’intervient.
Anthropic Claude, OpenAI ou votre propre LLMSi vous choisissez Anthropic Claude ou OpenAI via VamiSec, le fournisseur traite les requêtes LLM aux États-Unis (clauses contractuelles types). Si vous connectez votre propre LLM ou votre propre clé d’API (BYOLLM), la relation contractuelle s’établit directement entre vous et le fournisseur. Nous n’utilisons pas les données clients comme données d’entraînement — quel que soit le modèle choisi.
  • BSI C5 Type II (ISAE 3000)
  • ISO/IEC 27001, 27017, 27018, 27701
  • SOC 1/2/3, TISAX AL 3
  • ISO 22301 (BCM), centres de données ISO 27001

Certificats, attestations et labels de la plateforme d’hébergement (Deutsche Telekom), délivrés par des auditeurs indépendants — pas de la VamiSec GmbH. Source : certificats & attestations T Cloud Public.

03 — Contrôles de sécurité

Comment nous protégeons — par domaines.

Des contrôles concrets plutôt que du marketing. Ces mesures font partie de notre concept de sécurité et s’alignent sur le SMSI de VamiSec.

Sécurité des données

  • Données de la plateforme SaaS exclusivement sur T Cloud Public en Allemagne — chiffrées au repos et en transit (TLS)
  • Délais de suppression et de conservation définis, régis par le DPA spécifique au produit — disponible sur demande via privacy@vamisec.com
  • Minimisation des données : VamiDAST ne transmet à un prompt que des extraits de réponse de 2 Ko
  • Aucun entraînement d’IA sur les données clients : ni entraînement ni affinage de modèles avec celles-ci ; modèles externes connectés via VamiSec (Anthropic Claude, OpenAI) uniquement sous des conditions contractuelles excluant l’entraînement

Sécurité applicative

  • Secure SDLC, des exigences à l’exploitation (détails ci-dessous)
  • Modélisation des menaces, revue de code et tests automatisés dans la CI
  • Test d’intrusion de la plateforme réalisé ; synthèse sur demande

Accès & identifiants

  • Les identifiants des scans DAST authentifiés ne sont jamais journalisés ni transmis à un prompt
  • Tests actifs en production uniquement en mode Passif ou Sûr ; le mode Agressif seulement après confirmation explicite qu’il ne s’agit pas d’un environnement de production
  • Connexion à la plateforme SaaS avec authentification multifacteur (MFA)

Infrastructure

  • Hébergement souverain sur T Cloud Public (DE)
  • Natif Kubernetes et exploitable sans services propriétaires de fournisseurs cloud — base de l’on-premise et de l’air gap
  • Agnostique vis-à-vis des LLM : Qwen3.8 local sur des GPU appartenant à VamiSec à Sankt Augustin, Anthropic Claude, OpenAI ou votre propre LLM (BYOLLM)

Journalisation & traçabilité

  • Chaque appel au LLM est journalisé avec la version du modèle, le prompt et la réponse
  • DefectDojo comme système de référence des constats — avec déduplication, acceptation des risques et piste d’audit complète
  • Dossier de preuves par release : décisions de gate, SBOM (CycloneDX, SPDX), VEX/VDR et SARIF

Gestion des incidents

  • Processus de réponse aux incidents défini
  • Notification des clients concernés — les détails sont régis par le DPA
  • Divulgation responsable via security@vamisec.com · security.txt

Gouvernance de l’IA & human-in-the-loop

  • Assisté par LLM, non agentique : le modèle enrichit, trie et propose des correctifs — il n’agit pas de manière autonome
  • VamiDAST : moteur déterministe, l’IA n’intervient qu’à trois points précis et limités, chaque sortie IA validée par schéma
  • L’humain décide : votre PSIRT examine les projets VEX, les notifications CRA restent des projets sans soumission automatique

Organisation & gouvernance

  • SMSI certifié ISO/IEC 27001 (DAkkS)
  • Formations de sensibilisation à la sécurité pour tous les collaborateurs
  • Processus de gestion des fournisseurs et des risques

Exploitation & continuité

  • Exploitation en SaaS ou on-premise — en air gap si nécessaire
  • Dispositions de sauvegarde et de restauration sur demande (security@vamisec.com)
  • Exploitation sur T Cloud Public — région twin-core Biere/Magdeburg
04 — Cycle de développement logiciel sécurisé

Nous développons avec la même rigueur que celle que nous appliquons à nos tests.

Chez VamiAppSec, la sécurité n’est pas une étape secondaire, mais ancrée dans chaque phase du développement — selon l’état de l’art, des exigences jusqu’à l’exploitation.

01

Ingénierie des exigences de sécurité

Les exigences de sécurité et de protection des données sont définies avant la première ligne de code.

02

Modélisation des menaces

Modélisation des menaces de la plateforme selon STRIDE par élément.

03

Revue de code

Les modifications sont relues avant leur intégration — en tenant compte de la sécurité et de la protection des données.

04

Tests automatisés

La suite de tests automatisés s’exécute dans la CI à chaque pull request.

05

Déploiement sécurisé

Conteneurs, natifs Kubernetes — en SaaS sur T Cloud Public ou on-premise sur votre cluster.

06

Tests d’intrusion

La plateforme a fait l’objet d’un test d’intrusion ; une synthèse est disponible sur demande.

05 — Sous-traitants ultérieurs

En toute transparence — qui traite quelles données.

Nous faisons appel à un nombre volontairement restreint de sous-traitants ultérieurs soigneusement sélectionnés et indiquons pour chacun la finalité et la région de traitement. Nous informons les clients de toute modification à l’avance.

Telekom Deutschland GmbH traite les données de la plateforme uniquement en mode SaaS et exclusivement en Allemagne. Anthropic et OpenAI n’interviennent que si vous choisissez un LLM public via VamiSec pour les fonctions d’IA : le traitement a alors lieu aux États-Unis (API directe) sur la base des clauses contractuelles types de l’UE (CCT) ; les conditions contractuelles des fournisseurs excluent toute utilisation pour l’entraînement.

Sous-traitant ultérieur Finalité Région
Telekom Deutschland GmbH
T Cloud Public		 Hébergement & infrastructure de la plateforme SaaS dans la région eu-de (Biere/Magdeburg) — uniquement en mode SaaS DE
Anthropic
API Claude (LLM public)		 Fonctions d’IA (enrichissement, tri, propositions de correctifs, étapes IA de VamiDAST) — uniquement si vous choisissez Anthropic comme LLM public via VamiSec ; aucune utilisation pour l’entraînement selon les conditions contractuelles du fournisseur États-Unis
OpenAI
API OpenAI (LLM public)		 Fonctions d’IA (enrichissement, tri, propositions de correctifs, étapes IA de VamiDAST) — uniquement si vous choisissez OpenAI comme LLM public via VamiSec ; aucune utilisation pour l’entraînement selon les conditions contractuelles du fournisseur États-Unis

Ne constitue pas un sous-traitant ultérieur : VamiSec GmbH exploite elle-même le Qwen3.8 local sur ses propres GPU dans son centre de données à Sankt Augustin. Si vous connectez votre propre LLM ou votre propre clé d’API (BYOLLM), la relation contractuelle s’établit directement entre vous et le fournisseur. En on-premise, toute la pile, LLM compris, fonctionne sur votre cluster Kubernetes — Telekom n’intervient alors pas non plus.

Questions sur les sous-traitants ultérieurs : privacy@vamisec.com. La liste est disponible, lisible par machine, sous /subprocessors.json.

06 — Documents & justificatifs

Tout ce dont vous avez besoin pour votre évaluation.

Les documents publics sont directement disponibles. Les justificatifs confidentiels sont communiqués sur simple demande ou sous NDA.

Public

Certificat ISO/IEC 27001

Certificat du SMSI de VamiSec (n° DE-IS-20250191, ISO/IEC 27001:2022, valable jusqu’au 18 septembre 2028), délivré par Proks Certification GmbH (accréditée DAkkS).

Consulter →
Public

Politique de sécurité de l’information

Politique générale de sécurité de l’information avec une orientation stratégique (en anglais).

Consulter →
Public

Politique en matière d’IA

Politique générale de VamiSec GmbH relative à l’utilisation responsable de l’IA — fondement de notre système de management de l’IA selon ISO/IEC 42001, en lien avec l’AI Act de l’UE et le RGPD (en anglais).

Consulter →
Sur demande

AVV / DPA

Contrat de traitement des données spécifique à VamiAppSec conformément à l’art. 28 du RGPD, délais de suppression et de conservation inclus — à signer sur demande.

Demander →
Sur demande

Synthèse du test d’intrusion

Synthèse du test d’intrusion de la plateforme.

Demander →
Sur demande

Livre blanc sécurité & architecture

Présentation technique de l’architecture, de la protection des accès et des flux de données de VamiAppSec.

Demander →
Sous NDA

CAIQ / questionnaire de sécurité

CAIQ et questionnaires de sécurité courants pour votre processus de gestion des risques fournisseurs — VamiSec y répond sous NDA.

Demander →
Public

Signaler une vulnérabilité (divulgation responsable)

Signalez les failles de sécurité en toute confidentialité à security@vamisec.com — également lisible par machine via /.well-known/security.txt (RFC 9116).

Signaler →
Public

Politiques environnementale & de durabilité

Politique environnementale selon ISO 14001 et politique de durabilité & ESG de VamiSec GmbH (en anglais).

Politique environnementale (PDF) ↗ Politique de durabilité & ESG (PDF) ↗
07 — Management environnemental & durabilité

Une responsabilité au-delà de la sécurité de l’information.

VamiSec GmbH, exploitant de VamiAppSec, dispose d’un système de management environnemental (SME/EMS) documenté selon ISO 14001:2026. Il est intégré à notre SMSI certifié ISO/IEC 27001 au sein d’un système de management intégré ; notre engagement en matière de durabilité est en outre évalué de manière externe par EcoVadis.

Système de management environnemental selon ISO 14001:2026Politique environnementale, registres des aspects environnementaux et des exigences légales, objectifs environnementaux mesurables avec indicateurs et responsabilité EMS clairement attribuée.
Intégré au SMSIL’EMS s’appuie sur les processus de notre SMSI certifié ISO/IEC 27001 — de la gestion des changements et des actions correctives jusqu’à la revue de direction commune.
Certification en préparationLa certification ISO 14001 par un organisme accrédité DAkkS est en préparation ; l’audit est prévu pour 2027.

Dans la notation de durabilité EcoVadis, VamiSec GmbH a obtenu le badge Committed en octobre 2026 — une reconnaissance de son amélioration continue en matière de durabilité.

La notation et le système de management environnemental portent sur VamiSec GmbH en tant qu’entreprise, qui développe et exploite VamiAppSec.

08 — FAQ

Questions fréquentes lors de la due diligence.

Où nos données sont-elles stockées ?
En mode SaaS, nous stockons les données de la plateforme VamiAppSec exclusivement dans des centres de données situés en Allemagne (T Cloud Public, Biere/Magdeburg) ; en on-premise, elles restent dans votre propre environnement. Avec le Qwen3.8 local, le traitement IA reste lui aussi en Allemagne. Si vous choisissez Anthropic Claude ou OpenAI via VamiSec pour les fonctions d’IA, les requêtes LLM sont traitées aux États-Unis ; le fournisseur, la finalité et la région figurent dans le tableau des sous-traitants ultérieurs. Avec votre propre LLM (BYOLLM), vous déterminez vous-même le fournisseur et le lieu de traitement.
VamiAppSec est-il certifié ISO 27001 ?
VamiAppSec est exploité par VamiSec GmbH, dont le SMSI est certifié ISO/IEC 27001 par un organisme accrédité par la DAkkS. VamiAppSec en tant que produit ne dispose pas de son propre certificat. Selon le certificat, le périmètre couvre la « fourniture de services de conseil dans le domaine de la sécurité de l’information, des produits numériques associés et des installations de traitement de l’information support pour le traitement des données clients, l’infrastructure informatique et le stockage cloud » (traduit du certificat allemand DE-IS-20250191, ISO/IEC 27001:2022, valable jusqu’au 18 septembre 2028).
Quelles données VamiAppSec traite-t-il ?
Le code source de vos dépôts avec ses dépendances, les configurations IaC et conteneurs ; à partir de ceux-ci, des constats normalisés (CWE, CVSS, exigence OWASP, fichier, ligne), les secrets détectés avec recommandation de rotation ainsi que des SBOM (CycloneDX, SPDX) et VEX/VDR par release. Pour VamiDAST s’y ajoutent les points de terminaison, les paramètres ainsi que les requêtes et réponses de l’application web ou de l’API en cours d’exécution ; pour les gates de pipeline et la synchronisation des tickets, les données d’intégration de vos systèmes CI/CD et de tickets. Pour les scans authentifiés, VamiDAST traite des identifiants (connexions par formulaire, JWT, cookies, clés API) ; ils ne sont jamais journalisés ni transmis à un prompt. Chaque appel au LLM est journalisé avec la version du modèle, le prompt et la réponse.
Quels modèles d’IA VamiAppSec utilise-t-il, et que voient-ils de notre code ?
VamiAppSec est agnostique vis-à-vis des LLM — vous choisissez le modèle : le Qwen3.8 local, que VamiSec exploite sur ses propres GPU à Sankt Augustin (en on-premise sur vos GPU), Anthropic Claude ou OpenAI, traités aux États-Unis, ou votre propre LLM (BYOLLM). Le modèle choisi traite le contexte des constats et — pour la revue SAST sémantique — du code source ; VamiDAST ne transmet à un prompt que des extraits de réponse de 2 Ko, jamais d’identifiants. VamiAppSec est assisté par LLM, non agentique : le modèle enrichit, trie et propose des correctifs sans agir de manière autonome. Les décisions de tri, les faux positifs et les résultats des correctifs alimentent les analyses futures en tant que contexte — il ne s’agit pas d’un entraînement de modèle. Chaque appel est journalisé avec la version du modèle, le prompt et la réponse, et nous n’utilisons pas les données clients comme données d’entraînement.
Comment serons-nous informés en cas d’incident de sécurité ?
Nous suivons un processus de réponse aux incidents défini et informons rapidement les clients concernés ; les détails sont régis par le DPA. Les chercheurs en sécurité signalent les vulnérabilités à security@vamisec.com — contact lisible par machine selon la RFC 9116 : /.well-known/security.txt.
Nos données servent-elles à entraîner des modèles d’IA ?
Non. Nous n’utilisons pas les données clients comme données d’entraînement : nous n’entraînons ni n’affinons aucun modèle d’IA avec elles, et nous n’utilisons les modèles d’IA externes connectés via VamiSec (Anthropic Claude, OpenAI) que dans le cadre de conditions contractuelles excluant toute utilisation pour l’entraînement ; ces fournisseurs figurent dans le tableau des sous-traitants ultérieurs. Si vous connectez votre propre LLM (BYOLLM), ce sont les conditions de votre contrat avec le fournisseur qui s’appliquent.
Comment obtenons-nous l’accès aux documents confidentiels ?
Les documents publics sont directement accessibles. Pour les synthèses de tests d’intrusion, les livres blancs d’architecture ou les questionnaires renseignés, une brève demande à security@vamisec.com suffit ; les justificatifs soumis à NDA sont communiqués après signature.
VamiDAST peut-il perturber notre environnement de production ?
VamiDAST dispose de trois modes : Passif (aucune requête modifiant l’état), Sûr (par défaut) et Agressif. Un verrou de sécurité classe chaque requête active et la bloque en cas de doute. En production, seuls les modes Passif et Sûr sont prévus ; le mode Agressif n’est utilisable qu’après confirmation explicite qu’il ne s’agit pas d’un environnement de production. Tout est piloté par un moteur déterministe — « Le modèle conseille — il ne pilote jamais. »
Pouvons-nous exploiter VamiAppSec entièrement dans notre propre environnement ?
Oui. Outre le mode SaaS sur T Cloud Public, l’ensemble de la pile — scanners, VamiDAST, DefectDojo et LLM — fonctionne sur votre propre cluster Kubernetes. VamiAppSec est natif Kubernetes et n’utilise aucun service propriétaire de fournisseur cloud ; un fonctionnement en air gap est possible si nécessaire, et Qwen3.8 tourne alors sur vos propres GPU.
VamiAppSec rend-il notre produit conforme au CRA, au MDR ou à l’IEC 62443 ?
Non. VamiAppSec ne certifie pas votre produit — c’est le rôle de votre organisme notifié, de votre service technique ou de votre auditeur. VamiAppSec fournit des preuves générées automatiquement pour chaque release, par exemple pour des réglementations et normes comme le CRA, le MDR ou l’IEC 62443 : SBOM, VEX/VDR, décisions de gate et exports d’audit. VamiAppSec ne prépare les notifications CRA au titre de l’art. 14 que sous forme de projets pré-remplis à soumettre via la plateforme unique de signalement de l’ENISA (Single Reporting Platform).
Comment la connexion, le chiffrement et les délais de suppression sont-ils réglés ?
En mode SaaS, vous vous connectez avec une authentification multifacteur (MFA). Vos données sont chiffrées au repos et en transit (TLS). Les délais de suppression et de conservation sont définis et régis par le contrat de traitement des données (DPA) spécifique au produit au titre de l’art. 28 du RGPD, que vous pouvez demander via privacy@vamisec.com.
D’autres questions ?

Échangez avec notre équipe.

Nous répondons à vos questions de sécurité et de conformité et fournissons les justificatifs dont votre service achats a besoin.

Réserver une démo security@vamisec.com