Sécurité, conformité et transparence

1. Posture de sécurité

Les données en transit sont protégées par TLS 1.3. Les données au repos sont chiffrées en AES-256. Tout accès aux données client est journalisé, limité aux rôles de moindre privilège et audité en continu.

Les systèmes de production requièrent une authentification multifacteur. L’accès administratif est protégé par des clés de sécurité matérielles. L’accès d’ingénierie aux données de production est limité dans le temps et audité.

Les données client traitées par les API spécialisées Brainiall (Speech AI, NLP Suite, Image Processing) ne sont pas utilisées pour entraîner les modèles Brainiall ou des modèles tiers. Les contrats entreprise incluent une clause explicite de non-entraînement.

2. Conformité et certifications

Les plateformes Brainiall sont conçues pour se conformer au LGPD (Brésil), au RGPD (UE) et au CCPA (Californie) le cas échéant.

Audit SOC 2 Type II : objectif T1 2027. La période d’observation a commencé au T2 2026. Lettres de pré-audit disponibles sous NDA.

Certification ISO 27001 : cible feuille de route T2 2027.

Les déploiements respectent les zones et conduits définis par l’usine (IEC 62443-3-2). Les systèmes instrumentés de sécurité (IEC 61511 / ISA-84) et les verrouillages restent indépendants et ne sont jamais modifiés.

Un dossier de conformité actuel et un livre blanc de sécurité sont disponibles sous NDA. Demande via security@brainiall.com.

3. Résidence des données

Clients brésiliens : traitement des données conforme au LGPD. Aucune invite ou donnée client ne quitte le territoire brésilien sans configuration explicite.

Speech AI, NLP Suite et Image Processing : régions États-Unis et UE disponibles. Les clients peuvent demander une affectation régionale au contrat.

AI Autopilot : options de déploiement incluant le cloud client (toute région), boîtiers edge sur site et installations isolées (air-gap). Aucune télémétrie d’usine ne quitte le réseau client sans configuration explicite.

4. Sous-traitants ultérieurs

Hébergement du site web : Oracle Cloud Infrastructure. E-mail : Microsoft 365. Analyse d’audience web : Plausible. Les systèmes traitant les données client s’exécutent dans le cloud du client ou sur site, tel que défini dans chaque contrat et répertorié dans le DPA.

Une liste à jour des sous-traitants est disponible sous NDA.

5. Divulgation responsable

Nous encourageons la recherche responsable en sécurité. Pour signaler une vulnérabilité ou un incident, écrivez à contactus@brainiall.com. Clé PGP disponible sur demande. Les heures de support sont définies dans chaque contrat.

Veuillez ne pas effectuer de tests destructifs, d’ingénierie sociale contre le personnel de Brainiall, ni de tests sur les données client en production. Les tests sur environnements de démonstration publics et API documentées sont acceptables.

6. Contrôles d’accès et gouvernance client

Les comptes entreprise prennent en charge l’authentification unique SSO via SAML 2.0 et le provisionnement SCIM. Les clés API sont définies par projet et peuvent être révoquées ou renouvelées depuis le tableau de bord.

Contrôle d’accès basé sur les rôles (RBAC) avec autorisations granulaires (admin, développeur, lecteur). Les journaux d’audit client sont exportables en JSON et CSV.

7. Continuité d’activité et réponse aux incidents

Les services de production et les API spécialisées (Speech AI, NLP Suite, Image Processing) font l’objet d’une surveillance active. Pour AI Autopilot, les systèmes de contrôle client demeurent la solution de repli souveraine.

Les heures de support et la réponse aux incidents sont définies dans chaque contrat. Les incidents confirmés affectant les données des clients sont notifiés selon les termes du contrat et du DPA. État actuel : voir /status.

8. Contact

Sécurité et confiance : security@brainiall.com

Vie privée et protection des données (DPO) : privacy@brainiall.com

Juridique entreprise et contrats : legal@brainiall.com