Vos données ne quittent jamais votre infrastructure.

SkaLean suit une feuille de route de conformité et certifications structurée en 3 phases.

1. Phase actuelle (opérationnelle) : conformité RGPD, Loi 25 du Québec, HIPAA (mode médical activable), OSFI (mode financier activable). Ces conformités sont architecturales, intégrées dans la conception du système dès le départ. Les contrôles de conformité sont documentés et disponibles sur demande (questionnaires de sécurité pour vos audits).
2. Phase en cours (H1 2026) : préparation à la certification SOC 2 Type I, couvrant l'audit de la sécurité organisationnelle, des contrôles d'accès et de la gestion des incidents.
3. Phase planifiée (H2 2026) : ISO 27001, système de management de la sécurité de l'information.

Pour les clients ayant des exigences de certification spécifiques aujourd'hui, SkaLean peut fournir : un rapport de pénétration réalisé par un tiers (disponible sur demande sous NDA), une documentation de l'architecture de sécurité, et un questionnaire de sécurité complété (format SIG, CAIQ ou personnalisé). Les exigences de conformité spécifiques d'un client Entreprise sont prises en compte dès la phase de découverte.

La conformité RGPD et Loi 25 est assurée à 5 niveaux dans SkaLean.

1. Localisation des données : option de traitement exclusivement sur des serveurs physiquement au Canada ou dans votre pays désigné. Aucun transit vers les États-Unis ou autres pays non adéquats sans accord explicite.
2. Détection et pseudonymisation PII automatique : 15 catégories de données personnelles (noms, emails, téléphones, numéros d'assurance, dates de naissance, données médicales, données financières, etc.) sont détectées et pseudonymisées avant tout traitement LLM. Votre entreprise est le responsable du traitement ; SkaLean agit comme sous-traitant.
3. Droits des personnes concernées : SkaLean fournit des outils pour honorer les demandes de droit d'accès, de rectification, d'effacement (droit à l'oubli) et de portabilité. Un individu peut demander la suppression de toutes ses données dans les 72 heures.
4. Registre des traitements : SkaLean génère automatiquement un registre des traitements conforme RGPD pour votre organisation, incluant les finalités, les catégories de données et les sous-traitants.
5. DPA (Data Processing Agreement) : un accord de traitement des données conforme RGPD/Loi 25 est signé avec chaque client, détaillant les obligations de SkaLean en tant que sous-traitant.

Quand vous posez une question à SkaLean, une inférence LLM se produit : un calcul informatique qui génère la réponse. L'hébergement GPU souverain signifie que ce calcul se fait sur des unités de traitement graphique (GPU) physiquement situées dans votre pays, exploitées par une entité soumise aux lois locales.

Sans souveraineté GPU, même si vos données sont stockées au Canada, le calcul LLM est souvent délégué à des fournisseurs américains (AWS, Google Cloud, Azure, OpenAI) soumis au Cloud Act américain de 2018, qui oblige ces entreprises à fournir les données à des autorités américaines sur demande, même si les données sont physiquement hors des États-Unis.

Les secteurs qui doivent utiliser le GPU souverain :

• Secteurs soumis à HIPAA (cliniques médicales, hôpitaux)
• Secteurs soumis à OSFI (banques, assurances)
• Organisations soumises aux réglementations gouvernementales sur la protection des données citoyennes
• Professions à secret professionnel strict (avocats, notaires)

Le GPU souverain est disponible sur les plans Pro et Entreprise de SkaLean. Avec les plans Starter utilisant un LLM cloud, seuls les extraits anonymisés pertinents transitent, jamais le document complet. Pour les secteurs cités, nous recommandons systématiquement le GPU souverain.

SkaLean applique un chiffrement de bout en bout à deux stades.

1. En transit (données qui se déplacent) : toutes les communications entre votre navigateur/application et les serveurs SkaLean utilisent TLS 1.3 (la version la plus récente et sécurisée du protocole). Les communications entre les serveurs internes utilisent mTLS (mutual TLS avec authentification des deux côtés). Aucune communication HTTP non chiffrée n'est permise dans l'infrastructure.
2. Au repos (données stockées) : tous les fichiers (documents, base vectorielle, journaux) sont chiffrés avec AES-256 (standard de l'industrie pour les données sensibles). Les clés de chiffrement sont gérées par un système de gestion de clés (KMS) avec rotation automatique tous les 90 jours. Pour les clients Entreprise, la gestion des clés peut être transférée au client (BYOK : Bring Your Own Key), ce qui signifie que SkaLean ne peut techniquement pas accéder à vos données même en cas de demande externe.

Les sauvegardes sont également chiffrées et stockées dans une région séparée. La durée de conservation des données après résiliation est de 30 jours par défaut (configurable de 7 à 90 jours), puis suppression définitive certifiée.

SkaLean dispose d'un plan de réponse aux incidents documenté en 5 phases.

1. Détection : surveillance continue de l'infrastructure 24h/24 avec alertes automatiques sur les comportements anormaux (accès inhabituels, volumes de requêtes anormaux, tentatives d'intrusion). Les anomalies déclenchent une alerte vers l'équipe de sécurité en moins de 5 minutes.
2. Confinement : isolation immédiate de la zone affectée pour stopper la propagation, sans couper le service pour les clients non affectés.
3. Notification : en cas de violation avérée impliquant des données personnelles, SkaLean notifie les clients affectés dans les 24 heures (bien en deçà des 72 heures requises par le RGPD et des 30 jours requis par la Loi 25). Vous êtes ensuite responsable de la notification à votre Autorité de protection des données si requis.
4. Remédiation : correction de la vulnérabilité, analyse des journaux pour déterminer l'étendue de l'incident, rapport post-incident remis au client.
5. Amélioration : chaque incident fait l'objet d'un post-mortem avec actions correctives documentées. Le rapport est partagé avec les clients affectés.

SLA de disponibilité : 99 % (Starter), 99,5 % (Pro), 99,9 % (Entreprise). Les historiques d'incidents sont publiés sur le tableau de statut public.

Oui. SkaLean dispose d'un package de documentation de conformité standard disponible pour les clients sous accord de non-divulgation (NDA).

1. Questionnaire de sécurité complété : format SIG Lite, CAIQ v4 (Cloud Security Alliance), ou questionnaire personnalisé de votre organisation. Inclut les contrôles techniques, organisationnels et physiques.
2. Architecture de sécurité documentée : diagrammes d'architecture avec flux de données, points de chiffrement, segmentation réseau, accès externes.
3. Politique de sécurité de l'information : document de 40+ pages couvrant la gestion des accès, la classification des données, la gestion des incidents et la continuité des activités.
4. Rapport de test de pénétration (pentest) : réalisé par un tiers accrédité, disponible sous NDA. Fréquence : annuelle et après tout changement architectural majeur.
5. Rapport d'analyse des risques : basé sur la norme ISO 27005.
6. Accord de traitement des données (DPA) : conforme RGPD/Loi 25, personnalisable selon vos exigences.

Pour les clients Entreprise, SkaLean peut participer à vos propres audits de sécurité (questionnaires personnalisés, entretiens avec l'équipe sécurité, revue de l'architecture). Le délai de réponse standard pour la documentation est de 5 jours ouvrables.