Souveraineté et confiance

Vos éléments de preuve ne quittent jamais votre bâtiment.

Le réglage d'origine est entièrement hors ligne et souverain : le poste, ou votre propre serveur, et rien ne quitte le bâtiment. Les réponses ci-dessous valent pour ce réglage.

  • Hors ligne et souverain par défaut
  • Aucune télémétrie, aucun accès distant de l'éditeur
  • Les modèles tournent sur votre matériel

L'architecture, en un paragraphe

Un déploiement fermé à l'intérieur de votre périmètre.

VERA s'installe comme client sur les postes analystes, avec un serveur d'inférence central sur votre intranet lorsque vous en voulez un. Les éléments de preuve sont lus depuis votre stockage, en lecture seule. Il n'y a pas de télémétrie, ni de contrôle de licence par Internet. Débranchez le réseau : le travail continue.

Une option est à côté de ce réglage, et il faut la sélectionner : Chez VERA Forensics. Elle envoie le texte d'une requête, pas les fichiers de l'affaire, principalement vers des prestataires aux États-Unis. Elle est coupée tant que vous ne la choisissez pas. VERA est aussi en service au Service National de Police Scientifique. Cela nomme un laboratoire, pas le seul type d'organisation auquel le logiciel s'adresse.

La meilleure façon de vérifier cela est de débrancher le câble réseau pendant la démonstration et de continuer à travailler. C'est la première chose que nous proposons.

Flux de données

Ce qui sort, et ce qui reste.

Ne sort jamais de votre réseau

  • Les extractions et tout enregistrement qui en dérive.
  • Les identifiants d'affaire, de scellé et d'appareil.
  • Les requêtes de recherche et les conversations avec l'assistant.
  • Les journaux d'audit et l'activité des utilisateurs.
  • Les mappings, sauf si vous choisissez de les verser dans une bibliothèque que vous hébergez.

Reste sur le poste analyste

  • L'accès aux données brutes, en lecture seule à chaque étape.
  • Le stockage des éléments de preuve, que le serveur d'inférence ne lit jamais.
  • L'état local de l'affaire et le contexte de travail de l'analyste.

Uniquement si vous sélectionnez Chez VERA Forensics

  • Le texte de la requête, des extraits de recherche ou d'assistant, et un audio de transcription le cas échéant. Les fichiers de l'affaire restent sur le poste.
  • Ce trajet passe principalement par des prestataires aux États-Unis. Le réordonnancement passe par un prestataire en Allemagne. Les noms sont dans la politique de confidentialité.
  • L'usage est compté pour les crédits. Le contenu n'est pas conservé.

Audit de sécurité

Le questionnaire, traité avant que vous ne l'envoyiez.

Ce sont les questions qui reviennent dans chaque audit de sécurité. Y répondre ici évite un aller-retour, et vous permet de juger les réponses sans conversation commerciale attachée.

Question Réponse
Le logiciel exige-t-il un accès internet ? Non. Le réglage d'origine est hors ligne : rien n'est envoyé au démarrage, et il n'y a pas de contrôle de licence par Internet. Si vous sélectionnez Chez VERA Forensics, ce seul emplacement appelle notre API après connexion et consentement. Les autres ne le font pas.
L'éditeur dispose-t-il d'un accès distant ? Non. Il n'existe ni tunnel de support, ni accès de maintenance, ni mécanisme par lequel nous pourrions atteindre un déploiement.
Y a-t-il de la télémétrie ou une remontée d'usage ? Non. Le logiciel n'envoie pas de télémétrie. Seulement si vous sélectionnez Chez VERA Forensics, l'usage est compté pour les crédits, et le texte de la requête n'est pas conservé.
Où les données d'enquête sont-elles traitées ? Sur votre infrastructure. C'est le réglage d'origine, et il est entièrement hors ligne. Les données brutes restent sur le poste. Votre serveur, si vous en avez un, reste sur votre réseau. Seulement si vous sélectionnez Chez VERA Forensics, le texte de la requête sort, pas les fichiers, principalement vers les États-Unis.
L'accès aux preuves est-il en lecture seule ? Oui, à chaque étape. Le stockage des éléments de preuve n'est jamais ouvert en écriture.
Qu'est-ce qui est journalisé, et où réside le journal ? Chaque action de l'assistant et chaque résultat sont écrits dans un journal d'audit, conservé dans votre déploiement et consultable par vous.
Quels modèles d'IA sont utilisés, et qui les contrôle ? Sur votre matériel, et vous les choisissez. C'est le réglage d'origine. Seulement si vous sélectionnez Chez VERA Forensics, VERA Forensics choisit les modèles. Vous ne choisissez toujours pas le prestataire. Les noms sont dans la politique de confidentialité.
Des données peuvent-elles atteindre un fournisseur d'IA tiers ? Non, pas par défaut. Le poste et votre serveur ne le font jamais. Seulement si vous sélectionnez Chez VERA Forensics, le texte de la requête part chez des prestataires, principalement aux États-Unis. Cette sélection est explicite et demande un consentement. Les noms sont dans la politique de confidentialité.
Comment les mises à jour sont-elles livrées ? Sous forme de paquets que vous recevez et installez à votre rythme. Rien ne se met à jour tout seul via le réseau.
Qui, chez l'éditeur, peut voir nos données ? Personne. Il n'y a pas d'accès à votre déploiement, ni de copie de votre affaire. Seuls les extraits envoyés après avoir sélectionné Chez VERA Forensics passent par notre API, principalement vers des prestataires aux États-Unis. Nous ne conservons pas ce contenu.
Que deviennent les données à la fin du contrat ? Ils restent où ils étaient : sur votre infrastructure. C'était déjà vrai du réglage d'origine. VERA Forensics ne conserve pas non plus les extraits envoyés par l'option. Vous désinstallez le logiciel et vos fichiers restent.
Y a-t-il un contrat de sous-traitance à signer ? Pour le réglage d'origine, vous restez seul responsable du traitement. Un contrat de sous-traitance ne s'applique que si vous sélectionnez Chez VERA Forensics, parce que cette option envoie des extraits hors de votre réseau.
Pouvons-nous mener notre propre test d'intrusion ? Oui. Testez le déploiement dans votre environnement selon les conditions que votre politique impose, et transmettez-nous les constats.
Et la chaîne d'approvisionnement logicielle ? Un inventaire des dépendances de la version déployée est fourni sur demande, sous le cadre de confidentialité décrit plus bas.

Si votre audit pose une question non traitée ici, écrivez à alexandre@veraforensics.com et la réponse sera ajoutée à cette page.

Protection des données

Le RGPD, dans la situation qui s'applique réellement.

Par défaut, aucune donnée d'enquête ne nous parvient, ni à un tiers. Le logiciel est hors ligne. Chez VERA Forensics est une option à part : si vous la sélectionnez, le texte de la requête peut sortir, principalement hors de l'Union européenne, après consentement. Les noms sont dans la politique de confidentialité.

  • Vous restez responsable de traitement

    Votre service détermine les finalités et les moyens du traitement, comme il le fait déjà pour les éléments de preuve. Rien ne change à l'installation de VERA.

  • Souverain par défaut

    Le poste et votre propre serveur n'exportent rien, et ils n'ont pas besoin du réseau. Chez VERA Forensics reste coupé tant que vous ne le sélectionnez pas. Si vous le faites, des extraits partent principalement aux États-Unis.

  • La conservation vous appartient

    Les données vivent dans votre stockage sous vos règles de conservation. Le logiciel n'impose aucune conservation propre et ne détient de copie nulle part ailleurs.

Accessibilité

EN 301 549, traité point par point plutôt que par un label.

L'accessibilité est une exigence dans l'achat public européen, et une déclaration de conformité globale venant d'un petit éditeur ne vaut pas grand-chose. Voici donc la position précise. Ce site est construit selon WCAG 2.1 AA : structure sémantique, navigation au clavier de bout en bout, focus visible, contrastes vérifiés sur la palette, et toute animation ramenée à son état final quand le visiteur a demandé une réduction des animations.

Pour l'interface du produit, indiquez-nous les critères que votre marché applique et nous y répondrons un par un, y compris ceux pour lesquels la réponse actuelle n'est pas encore celle qu'il vous faut. C'est plus utile à un évaluateur qu'un label, et c'est la seule affirmation que nous puissions tenir.

Déploiement

Ce que l'installation implique concrètement.

Un déploiement en réseau fermé supprime la plupart des étapes d'un déploiement logiciel classique. Il n'y a ni création de comptes externes, ni fédération d'identité avec un service tiers, ni exception réseau à négocier.

  1. 01

    Cadrage

    Nous convenons du matériel qui portera le serveur d'inférence et du nombre de postes analystes concernés. Cette conversation est courte, et c'est là que la forme de la licence se décide.

  2. 02

    Installation sur votre matériel

    Chaque poste reçoit un installeur. Pour le service, vos équipes installent soit le serveur standard sur Mac, Windows ou Linux, soit le paquet pour une machine Linux avec carte graphique, à partir de fichiers téléchargés une fois depuis votre compte, et nous restons disponibles pendant la séance. Les modèles s'ajoutent par copie d'un dossier, donc aucun accès sortant n'est nécessaire.

  3. 03

    Vos propres tests de sécurité

    Menez ce que votre politique exige avant que le logiciel ne touche un scellé réel. Nous préférons que vous trouviez quelque chose plutôt que de ne pas chercher.

  4. 04

    Un premier scellé réel

    La première affaire passée dans le déploiement est le vrai test de couverture, et c'est là que la bibliothèque partagée commence à rendre.

  5. 05

    Transfert et documentation

    Le déploiement est documenté pour tourner sans nous. Ce n'est pas une politesse, c'est la réponse à la question de continuité qu'un service a raison de poser à un petit éditeur.

Modèle commercial

Comment la licence est structurée.

Les montants dépendent de la forme du déploiement et sont communiqués sur demande. La structure, elle, n'a rien de confidentiel, et la publier ne coûte rien tout en répondant à la première question que pose un service achats.

  • Licence annuelle par organisation

    Pas par poste. Le déploiement est centralisé, donc facturer par analyste reviendrait à tarifer un serveur partagé comme un parc de postes.

  • Pilotes

    Un pilote assez modeste pour que l'achat ne soit pas la difficulté est en général la bonne première étape, et sous le seuil du gré à gré aucune procédure formelle n'est requise.

  • Séquestre du code

    Un séquestre et une licence perpétuelle sur la version déployée peuvent tous deux figurer au contrat. La continuité est une inquiétude légitime et elle a une réponse contractuelle.

  • Aucune licence amont

    VERA n'exige aucune licence pour une suite d'acquisition. Il n'y a pas de second éditeur dans le coût d'exploitation.

Documents

La note de sécurité et la fiche de capacités.

Une note de sécurité écrite et une fiche de capacités de deux pages sont disponibles pour circulation interne à votre service. Les deux sont émises par destinataire, portent un marquage de confidentialité, et sont transmises par lien privé plutôt qu'en pièce jointe.

Demandez-les en nous écrivant, ou demandez une démonstration et elles accompagneront le suivi.

Demander la note de sécurité

Continuer

Vérifiez vous-même la promesse de souveraineté.

Demandez qu'on débranche le câble réseau pendant la démonstration et regardez ce qui continue de tourner. Cela prend dix secondes et tranche mieux que n'importe quel document.

S'inscrire / Demander une démonstration

Chaque demande est examinée avant tout accès.