VamiGRC Trust Center — Sécurité, conformité & hébergement souverain

01 — Conformité & certifications

Construit sur des fondations certifiées.

VamiGRC est exploité par la VamiSec GmbH, dont le système de management de la sécurité de l'information est certifié ISO/IEC 27001 par un organisme accrédité DAkkS. La plateforme d'exploitation T Cloud Public apporte ses propres preuves attestées. Nous indiquons de manière transparente ce qui est certifié, ce qui est en préparation et ce qui relève d'une preuve de la plateforme.

ISO/IEC 27001

SMSI de la VamiSec GmbH — certifié par Proks Certification GmbH (accréditée DAkkS), valable jusqu’en 09/2028.

Certifié

ISO/IEC 42001

Système de management de l'IA construit selon ISO/IEC 42001 — certification en préparation.

En préparation

RGPD / GDPR

Contrat de traitement des données au titre de l’art. 28 du RGPD, sous-traitants ultérieurs divulgués, données de la plateforme en Allemagne.

DPA disponible

BSI C5 · ISO 27001 · TISAX

Attestation, label & certificats de la plateforme d'exploitation T Cloud Public (Deutsche Telekom).

Plateforme d'hébergement

ISO 14001

Système de management environnemental de VamiSec GmbH mis en place selon ISO 14001:2026 — certification en préparation.

En préparation

EcoVadis

Notation de durabilité de VamiSec GmbH — badge Committed, obtenu en octobre 2026.

Badge Committed

02 — Hébergement & souveraineté numérique

Hébergé de manière souveraine en Allemagne — sous le droit européen.

VamiGRC s'exécute sur T Cloud Public (anciennement Open Telekom Cloud) de Deutsche Telekom — un cloud souverain européen, pour VamiGRC exclusivement avec des centres de données en Allemagne. Les données de la plateforme et les journaux relèvent du droit européen et de la juridiction allemande. La connexion SSO passe par le locataire Microsoft Entra de votre entreprise ; Microsoft 365 traite les e-mails système dans le périmètre de l’EU Data Boundary ; les fournisseurs d’IA traitent les requêtes aux États-Unis (voir sous-traitants ultérieurs).

Centres de données en AllemagneRégion Twin-Core Biere/Magdeburg (Saxe-Anhalt) — plateforme et stockage des données dans des centres de données allemands.

Cloisonnement logique des locatairesAu niveau applicatif : chaque requête est validée contre le contexte du locataire via un JWT Keycloak ; cette validation est complétée par un contrôle d'accès basé sur les rôles.

Transport chiffréTLS pour toutes les connexions, HTTPS imposé. Les identifiants des intégrations et des fournisseurs d’IA sont stockés chiffrés au niveau applicatif.

IA configurableLe LLM par défaut est Claude (Anthropic), traitement aux États-Unis ; les embeddings pour la recherche sont fournis par OpenAI (États-Unis). La plateforme est en cours de migration des modèles GPT d’OpenAI vers Claude ; jusqu’à la fin de la migration, les modèles GPT d’OpenAI (États-Unis, sans utilisation pour l’entraînement) traitent les requêtes IA. Aucune utilisation pour l’entraînement — ni par VamiSec, ni selon les conditions des fournisseurs. Via la politique de routage de votre locataire, vous pouvez limiter le chat, l’assistant et les agents à vos propres modèles (BYOLLM, local) ; les embeddings pour la recherche et certaines fonctions spécifiques passent actuellement toujours par OpenAI.

T Cloud PublicDeutsche Telekom · cloud souverain

BSI C5 Type II (ISAE 3000)
ISO/IEC 27001, 27017, 27018, 27701
SOC 1/2/3, TISAX AL 3
ISO 22301 (BCM), centres de données ISO 27001

Certificats, attestations et labels de la plateforme d’hébergement (Deutsche Telekom), délivrés par des auditeurs indépendants — pas de la VamiSec GmbH. Source : certificats & attestations T Cloud Public.

03 — Security Controls

Comment nous protégeons — par domaines.

Des contrôles concrets plutôt que du marketing. Ces mesures font partie de notre concept de sécurité et s'alignent sur le SMSI de VamiSec.

Sécurité des données

Transport chiffré (TLS, HTTPS imposé) ; identifiants des intégrations et des fournisseurs d’IA chiffrés au niveau applicatif
Données de la plateforme en Allemagne ; après la fin du contrat, 30 jours calendaires pour récupérer les données, puis suppression (sauvegardes sous 90 jours calendaires supplémentaires)
Accès du personnel aux données clients uniquement si nécessaire à l’exploitation, au support ou à l’onboarding

Sécurité applicative

Secure SDLC, des exigences à l'exploitation (détails ci-dessous)
Modélisation des menaces, revue de code et tests automatisés dans la CI
Tests d’intrusion externes au moins une fois par an ; synthèse pour la direction sur demande

Accès & identité

SSO via Microsoft Entra ID (OIDC), relayé par Keycloak ; MFA selon les règles de votre locataire Entra
Validation JWT Keycloak à chaque requête
Least Privilege & contrôle d'accès basé sur les rôles

Infrastructure

Hébergement souverain sur T Cloud Public (DE)
Exploitation conteneurisée sur Kubernetes ; cloisonnement logique des locataires au niveau applicatif
Gestion centralisée des secrets — les identifiants sont chargés à l’exécution depuis des secrets Kubernetes

Journalisation & traçabilité

Journalisation structurée des services de la plateforme
Page de statut status.vamigrc.com avec contrôle en direct des services
Historique des modifications par module et journal d’audit des appels à l’IA

Gestion des incidents

Processus de réponse aux incidents défini
Information des clients concernés sans délai injustifié — objectif : première information sous 24 heures après en avoir pris connaissance
Divulgation responsable : signalez les vulnérabilités à security@vamisec.com · security.txt (RFC 9116)

Gouvernance de l'IA & human-in-the-loop

Niveaux d'autonomie L0–L3 — vous décidez par workflow ce que l'IA peut faire
Réponses de l'IA avec citations des sources de votre base de connaissances
LLM par défaut : Claude (Anthropic, États-Unis) — configurable par locataire ; chat, assistant et agents limitables à vos propres modèles (BYOLLM) via la politique de routage
Aucun entraînement sur les données clients — ni pour nos propres modèles, ni pour des modèles d’IA externes

Organisation & gouvernance

SMSI certifié ISO/IEC 27001 (DAkkS)
Formations de sensibilisation à la sécurité pour tous les collaborateurs
Processus de gestion des fournisseurs et des risques

Business Continuity & sauvegardes

Sauvegardes régulières des données de la plateforme en Allemagne
La restauration est testée régulièrement
Exploitation sur T Cloud Public — région twin-core Biere/Magdeburg

04 — Secure Software Development Lifecycle

Nous développons avec la même rigueur que celle que nos clients doivent démontrer en audit.

Chez VamiGRC, la sécurité n'est pas une étape secondaire, mais ancrée dans chaque phase du développement — des exigences jusqu'à l'exploitation.

01

Ingénierie des exigences de sécurité

Les exigences de sécurité et de protection des données sont définies avant la première ligne de code.

02

Modélisation des menaces

Modélisation des menaces selon STRIDE et — pour les composants d'IA/d'agents — MAESTRO.

03

Revue de code

Les modifications sont relues avant leur intégration — en tenant compte de la sécurité et de la protection des données.

04

Tests automatisés

La suite de tests automatisés s’exécute dans la CI à chaque pull request.

05

Déploiement sécurisé

Conteneurs sur Kubernetes, HTTPS imposé, identifiants conservés en secrets Kubernetes.

06

Tests d'intrusion

Tests d’intrusion externes au moins une fois par an ; la synthèse pour la direction est disponible sur demande.

05 — Sous-traitants ultérieurs

En toute transparence — qui traite quelles données.

Nous stockons les données de la plateforme et les sauvegardes dans des centres de données en Allemagne (T Cloud Public). Les fournisseurs d’IA (Anthropic, OpenAI) traitent les requêtes aux États-Unis. Les transferts vers des pays tiers reposent sur les clauses contractuelles types de l’UE (CCT/SCC) et — lorsque le fournisseur est certifié de manière vérifiable — sur l’EU-U.S. Data Privacy Framework (DPF). Nous informons nos clients sous contrat de toute modification au moins 30 jours calendaires à l’avance, sous forme textuelle ; pendant ce délai, vous pouvez formuler une objection pour un motif important lié à la protection des données.

Sous-traitant ultérieur	Service	Finalité	Région
Telekom Deutschland GmbH	T Cloud Public (anciennement Open Telekom Cloud) : Kubernetes, base de données PostgreSQL managée, Object Storage, Redis, registre de conteneurs, load balancer	Hébergement et exploitation de l’ensemble de la plateforme, y compris base de données, stockage de fichiers et sauvegardes, ainsi que des composants exploités par nos soins (p. ex. Keycloak)	DERégion eu-de (Biere/Magdeburg) ; support par des sous-traitants de Telekom uniquement depuis des États membres de l’UE
Microsoft (Microsoft 365)	Exchange Online (e-mails système, boîte de support) et Microsoft Teams (rendez-vous)	Envoi des e-mails système de la plateforme (p. ex. invitations, notifications, questionnaires fournisseurs, packs de conformité) ; traitement des demandes de support ; rendez-vous d’onboarding, de customer success et de support	UEEU Data Boundary ; siège du groupe aux États-Unis, accès limités depuis des pays tiers possibles (CCT, DPF)
Microsoft (Microsoft Azure)	Azure Service Bus et Azure Blob Storage	Transmission des tâches de scan des connecteurs cloud et d’identité au scan worker ; stockage du fichier de clé du compte de service du connecteur GCP — uniquement si vous activez ces connecteurs	DE (fixée avant activation)Région Azure en Allemagne, fixée et justifiée avant activation ; siège du groupe aux États-Unis (CCT, DPF)
Anthropic	API Claude (claude-haiku-4-5, claude-sonnet-5, claude-opus-5)	Modèle de langage par défaut des fonctions d’IA (assistant VamiAI, requêtes de graphe, brouillons, agents, bot Teams) ; utilisation définie par locataire lors de l’onboarding ; remplaçable par vos propres modèles ; aucune utilisation pour l’entraînement (Commercial Terms)	États-UnisAPI directe, pas de région UE ; sous-traitants d’infrastructure d’Anthropic dans le monde entier selon la liste du fournisseur ; clauses contractuelles types de l’UE
OpenAI	API OpenAI : embeddings (text-embedding-3-large) et certaines fonctions spécifiques	Vecteurs pour la recherche sémantique ; fonctions spécifiques comme l’export de documents et l’import de catalogues assisté par IA, tant qu’elles ne sont pas portées ; jusqu’à la fin de la migration vers Claude, également les modèles GPT pour les fonctions IA ; aucune utilisation pour l’entraînement (conditions de l’API)	États-UnisAPI directe, pas de résidence des données dans l’UE ; clauses contractuelles types de l’UE
Cloudflare	Cloudflare for SaaS (noms d’hôte personnalisés, TLS, reverse proxy)	Diffusion de votre Trust Center VamiGRC public sous votre propre domaine — uniquement si vous utilisez votre propre domaine	MondeCentre de données Cloudflare le plus proche ; siège aux États-Unis (DPF, CCT)

Modifications au 4 octobre 2026 (correction et complément de la liste) : nouvellement mentionnés OpenAI, Microsoft Azure (en option) et Cloudflare (en option) ; Microsoft 365 (Exchange Online, Teams) remplace l’ancienne entrée Bookings/Outlook et couvre désormais aussi l’envoi des e-mails système ; Microsoft Entra External ID supprimé (la connexion SSO passe par le locataire Entra de votre entreprise) ; région d’Anthropic corrigée de l’UE vers les États-Unis ; entité juridique précisée : Telekom Deutschland GmbH.

Liste complète et toujours à jour des sous-traitants ultérieurs, y compris le contact pour les notifications de modification : privacy@vamisec.com

06 — Documents & justificatifs

Informations au titre des art. 26 et 28 du règlement (UE) 2023/2854 (Data Act) pour VamiGRC en tant que service de traitement de données. Les dispositions de votre contrat font foi ; nous tenons ces informations à jour.

Procédure de changement

Vous demandez le changement, le transfert ou l’effacement sous forme textuelle ; le délai de préavis est de deux mois à compter de la réception de votre demande
Période de transition de 30 jours calendaires au maximum, prolongeable une fois ; si elle est techniquement irréalisable, nous vous en informons sous 14 jours ouvrables et proposons une alternative de sept mois au maximum
Ensuite 30 jours calendaires pour récupérer les données, puis effacement avec confirmation sous forme textuelle (sauvegardes sous 90 jours calendaires supplémentaires)
Aucuns frais de changement ni d’extraction de données ; si le contrat prend fin de manière anticipée du fait du changement, seule la rémunération de l’année de licence en cours reste due (avant le début de la licence : la première année de licence) ; nous soutenons votre stratégie de sortie avec toutes les informations pertinentes

Méthodes et interfaces

Export par registre dans l’interface (CSV, XLSX, JSON) ainsi que rapports PDF pour des objets individuels
API REST publique (v1) avec jetons d’accès personnels — gratuite pour vous et pour les fournisseurs destinataires que vous désignez
Export complet de votre locataire, même sans changement de fournisseur : sur demande sous forme textuelle reçue au plus tard un mois avant la fin du contrat, nous le fournissons sous dix jours ouvrables

Limitations connues

Textes de normes tiers sous licence (p. ex. normes ISO) uniquement sous forme de référence : catalogue, version, identifiant du contrôle
Non exportables : code source, configurations de prompts et d’agents propres à la plateforme, modèles et playbooks protégés de VamiSec ainsi que journaux d’exploitation et de sécurité communs à plusieurs locataires, dans la mesure où ils contiennent des secrets d’affaires de VamiSec
Historiques et journaux de l’IA uniquement dans la mesure où ils sont stockés dans le locataire
Les exports via l’interface et l’API sont limités par requête (pagination) ; il n’existe pas d’export complet en libre-service — nous le réalisons sur demande
Les documents et pièces jointes ainsi que les actions de workflow et de validation ne sont pas disponibles via l’API ; vous recevez les documents via l’export complet

Registre en ligne : structures de données, formats et normes

Registre au titre de l’art. 26, point b), du Data Act · version 1.0 · état au 4 octobre 2026. Il indique dans quelles structures, quels formats, normes et spécifications ouvertes vos données exportables sont disponibles. Les champs de chaque registre sont documentés dans la description OpenAPI de l’API REST publique v1, que nous fournissons sur demande.

Catégorie de données	Structure des données	Format	Norme / spécification ouverte
Données des registres (p. ex. risques, contrôles, actifs, fournisseurs, processus, incidents, vulnérabilités)	Un enregistrement par objet avec les champs du registre ; liens via des identifiants uniques	JSON, CSV, XLSX	JSON : RFC 8259 · CSV : RFC 4180 · XLSX : Office Open XML (ISO/IEC 29500)
Documents et pièces jointes	Fichier original avec métadonnées (nom, type, rattachement)	Format d’origine (p. ex. PDF, DOCX, XLSX) ; métadonnées en JSON	Format du fichier concerné · JSON : RFC 8259
Jeux de contrôles, catalogues de référentiels, profils et plans de sécurité du système (SSP)	Modèles OSCAL catalog, profile (résolu) et system security plan	OSCAL-JSON	NIST OSCAL 1.x (spécification ouverte)
Métadonnées et historique (versions, modifications, statut de workflow et de validation, rattachements)	Entrées par objet avec horodatage, acteur et modification	JSON	JSON : RFC 8259
Configuration du locataire (référentiels, workflows, rapports et modèles propres)	Objets de configuration par type	JSON ; référentiels propres également en OSCAL-JSON	JSON : RFC 8259 · NIST OSCAL 1.x
Journaux d’audit et historiques des actions de l’IA et des validations (s’ils sont stockés dans le locataire)	Entrées de journal avec horodatage, acteur et action	JSON ou CSV	JSON : RFC 8259 · CSV : RFC 4180
Accès programmatique (API REST publique v1)	Ressources par registre, récupérables page par page	JSON via HTTPS ; exports également en CSV ou XLSX	Description d’interface OpenAPI (lisible par machine, sur demande) · JSON : RFC 8259 · transport : HTTPS (TLS)

Juridiction par composant

Juridiction de l’infrastructure TIC au titre de l’art. 28, paragraphe 1, point a), du Data Act. Les fournisseurs dont le groupe a son siège aux États-Unis sont en outre soumis au droit américain.

Composant	Fournisseur / infrastructure	Juridiction
Plateforme, base de données, stockage de fichiers et sauvegardes	Telekom Deutschland GmbH — T Cloud Public, centres de données Biere/Magdeburg	Allemagne (UE) ; support par des sous-traitants de Telekom établis dans des États membres de l’UE
Identité et connexion	Keycloak, exploité par nos soins sur T Cloud Public ; SSO via Microsoft Entra ID dans le locataire Microsoft du client	Keycloak : Allemagne · Entra ID : région du locataire Microsoft du client, siège du groupe aux États-Unis
E-mails système et support	Microsoft 365 (Exchange Online, Microsoft Teams)	EU Data Boundary, siège du groupe aux États-Unis
Fonctions d’IA	Anthropic (Claude) · OpenAI (embeddings, certaines fonctions spécifiques)	États-Unis
Modèles propres (BYOLLM)	Infrastructure du client	Au choix du client
Connecteurs de scan (en option)	Microsoft Azure (Service Bus, Blob Storage)	Région Azure fixée avant activation ; siège du groupe aux États-Unis
Trust Center sous votre propre domaine (en option)	Cloudflare (Cloudflare for SaaS)	Réseau mondial, siège aux États-Unis

Protection contre l’accès gouvernemental illicite depuis des pays tiers

Description générale au titre de l’art. 28, paragraphe 1, point b), et de l’art. 32 du Data Act pour les données à caractère non personnel stockées dans l’UE. Les données à caractère personnel relèvent en outre du RGPD et du DPA.

Mesures techniques

Données de la plateforme et sauvegardes dans des centres de données en Allemagne (T Cloud Public)
TLS pour toutes les connexions ; cloisonnement logique des locataires avec contrôle de chaque requête
IA tierce pour le chat, l’assistant et les agents limitable par locataire à vos propres modèles (hors embeddings et certaines fonctions spécifiques)

Mesures organisationnelles

Accès du personnel aux données clients selon le principe du besoin d’en connaître uniquement
Nous examinons les demandes d’autorités ou de juridictions de pays tiers au regard des conditions de l’art. 32, paragraphes 2 et 3, du Data Act (pour les données à caractère personnel, art. 48 du RGPD) et exerçons les voies de recours raisonnables contre les demandes illicites
Communication limitée au strict nécessaire ; information préalable du client, sauf si la demande sert à des fins répressives et aussi longtemps que nécessaire pour préserver l’efficacité de l’action répressive ; les demandes et leur traitement sont documentés

Mesures contractuelles

Les sous-traitants ultérieurs sont liés contractuellement (DPA, clauses contractuelles types de l’UE)
Changement de fournisseur d’infrastructure uniquement vers des centres de données en Allemagne disposant d’une attestation BSI C5 (type 2) ou d’une preuve équivalente
Modifications des sous-traitants ultérieurs au moins 30 jours calendaires à l’avance, avec possibilité d’objection

Questions sur le changement de fournisseur et l’export des données : vamigrc@vamisec.com. Base juridique : règlement (UE) 2023/2854, chapitres VI et VII, applicable depuis le 12 septembre 2025.

08 — Management environnemental & durabilité

Une responsabilité au-delà de la sécurité de l’information.

VamiSec GmbH, exploitant de VamiGRC, dispose d’un système de management environnemental (SME/EMS) documenté selon ISO 14001:2026. Il est intégré à notre SMSI certifié ISO/IEC 27001 au sein d’un système de management intégré ; notre engagement en matière de durabilité est en outre évalué de manière externe par EcoVadis.

Système de management environnemental selon ISO 14001:2026Politique environnementale, registres des aspects environnementaux et des exigences légales, objectifs environnementaux mesurables avec indicateurs et responsabilité EMS clairement attribuée.

Intégré au SMSIL’EMS s’appuie sur les processus de notre SMSI certifié ISO/IEC 27001 — de la gestion des changements et des actions correctives jusqu’à la revue de direction commune.

Certification en préparationLa certification ISO 14001 par un organisme accrédité DAkkS est en préparation ; l’audit est prévu pour 2027.

EcoVadis Committed – Sustainability Rating

EcoVadisNotation de durabilité · Badge Committed 2026

Dans la notation de durabilité EcoVadis, VamiSec GmbH a obtenu le badge Committed en octobre 2026 — une reconnaissance de son amélioration continue en matière de durabilité.

La notation et le système de management environnemental portent sur VamiSec GmbH en tant qu’entreprise, qui développe et exploite VamiGRC.

09 — FAQ

Questions fréquentes lors de la due diligence.

Où nos données sont-elles stockées ?

Nous stockons les données de la plateforme et les sauvegardes dans des centres de données allemands de T Cloud Public (Deutsche Telekom) ; elles relèvent du droit européen et de la juridiction allemande. La connexion SSO passe par le locataire Microsoft Entra de votre entreprise ; Microsoft 365 traite les e-mails système dans le périmètre de l’EU Data Boundary. Pour les fonctions d’IA, y compris la recherche sémantique, Anthropic et OpenAI traitent les requêtes concernées aux États-Unis.

VamiGRC est-il certifié ISO 27001 ?

VamiGRC est exploité par VamiSec GmbH, dont le SMSI est certifié selon la norme ISO/IEC 27001 par un organisme accrédité DAkkS. L'exploitation de VamiGRC suit les processus de ce système de management. Le périmètre certifié couvre expressément, outre les prestations de conseil, les produits numériques qui y sont liés ainsi que les installations de traitement de l’information associées (certificat DE-IS-20250191, ISO/IEC 27001:2022, valable jusqu’au 18 septembre 2028). La plateforme d'hébergement T Cloud Public apporte en outre une attestation BSI C5, des certificats ISO 27001, un label TISAX (AL 3) et des rapports SOC 1/2/3.

Comment les utilisateurs s'authentifient-ils ?

Par Single Sign-On via Microsoft Entra ID (OIDC) ; l’authentification multifacteur suit les règles de votre locataire Entra. Chaque requête API est en outre validée contre le contexte du locataire via un JWT Keycloak ; l'accès suit le principe du moindre privilège. Nous exploitons Keycloak nous-mêmes sur T Cloud Public — il relaie la connexion et émet les jetons liés au locataire ; c’est pourquoi il n’apparaît pas comme sous-traitant.

L'IA voit-elle nos données, quels modèles utilisez-vous — et nos données servent-elles à l’entraînement ?

Le LLM par défaut de VamiAI est Claude (Anthropic) ; le traitement s’effectue via l’API d’Anthropic aux États-Unis. Pour la recherche sémantique, OpenAI génère des embeddings, également aux États-Unis ; certaines fonctions spécifiques utilisent OpenAI tant qu’elles ne sont pas portées. La plateforme est en cours de migration des modèles GPT d’OpenAI vers Claude ; jusqu’à la fin de la migration, les modèles GPT d’OpenAI (États-Unis, sans utilisation pour l’entraînement) traitent les requêtes IA. Conformément à leurs conditions contractuelles (Anthropic Commercial Terms, conditions de l’API OpenAI), aucun des deux fournisseurs n’utilise vos entrées et sorties pour entraîner des modèles. VamiSec n’utilise pas non plus vos données comme données d’entraînement : nous n’entraînons ni n’affinons aucun modèle d’IA avec elles. Via la politique de routage de votre locataire, vous pouvez limiter le chat, l’assistant et les agents à votre propre point de terminaison (BYOLLM) ou à des modèles exploités localement ; les embeddings et les fonctions spécifiques mentionnées passent actuellement toujours par OpenAI. Les réponses de VamiAI sont étayées par des citations des sources de votre base de connaissances, et via les niveaux d’autonomie L0–L3, vous décidez de ce que l’IA peut faire sans validation humaine.

Comment le cloisonnement des locataires est-il mis en œuvre ?

De manière logique, au niveau applicatif : tous les locataires partagent un schéma de base de données et chaque enregistrement est rattaché à un locataire. Chaque requête est validée contre le contexte du locataire via un JWT Keycloak ; le contrôle d'accès basé sur les rôles s'applique en plus. Tout accès entre locataires est traité comme un défaut critique pour la sécurité.

Comment serons-nous informés en cas d'incident de sécurité ?

Nous suivons un processus de réponse aux incidents défini et informons sans délai injustifié les clients concernés, sous forme textuelle — avec pour objectif une première information sous 24 heures après en avoir pris connaissance. Signalez les vulnérabilités de sécurité de manière confidentielle à security@vamisec.com — également lisible par machine via /.well-known/security.txt (RFC 9116).

Comment obtenons-nous l'accès aux documents confidentiels ?

Les documents publics sont directement accessibles. Pour les synthèses de tests d'intrusion, les livres blancs d'architecture ou les questionnaires renseignés, une brève demande à security@vamisec.com suffit ; les justificatifs soumis à NDA sont communiqués après signature.

Quelle disponibilité s’applique à la plateforme ?

Vérifiez l’état opérationnel actuel en direct sur status.vamigrc.com — la page contrôle la disponibilité des services à chaque consultation. Nous annonçons les maintenances planifiées à l’avance. L’objectif de disponibilité, les fenêtres de maintenance et les délais de réaction sont définis dans le SLA de votre contrat — parlez-en avec nous.

Qu’advient-il de nos données après la fin du contrat ?

Après la fin du contrat, vous pouvez récupérer vos données pendant 30 jours calendaires ; en cas de changement de fournisseur au titre de l’EU Data Act, ce délai commence à la fin de la période de transition. Nous supprimons ensuite les données dans le système de production ; les sauvegardes sont supprimées sous 90 jours calendaires supplémentaires. Nous confirmons les deux suppressions sous forme textuelle. Détails dans la section EU Data Act.