Pour la sécurité de l’information et l’audit
Réponses pour votre audit de sécurité.
Classées selon les domaines du C5:2026, le référentiel cloud de l’Office fédéral allemand de la sécurité de l’information (BSI).
Localisation et niveaux de service
C5: GC, PSS-12, OIS-03- Où nos données sont-elles traitées et stockées ?
- Avec le serveur, là où il se trouve, en général dans vos locaux. Le cloud fonctionne dans le centre de données de Munich-Est ; les sauvegardes sont conservées dans un second centre de données en Allemagne. Les services complémentaires que vous activez, comme la recherche web via Staan.ai, et la puissance de calcul supplémentaire, par exemple chez STACKIT ou Mistral AI, fonctionnent dans l’UE. Si vous imposez votre propre fournisseur, par exemple Microsoft Azure, nous y utilisons une région de l’UE. Liste des sous-traitants ultérieurs (PDF, en allemand) ↗
- Quelle disponibilité garantissez-vous ?
- Nous ne garantissons pas de disponibilité minimale. Des niveaux de service supérieurs sont proposés sur demande. Le support est assuré les jours ouvrés de 9 h à 17 h, avec un premier retour sous un jour ouvré, priorisé selon la gravité. L’annexe « Support et niveaux de service » fait foi.
- Comment les responsabilités sont-elles réparties entre basebox et nous ?
- Dans le cloud, basebox exploite la plateforme, avec mises à jour, sauvegarde et surveillance ; vous gérez les personnes, les groupes et les partages. Avec le serveur, vous exploitez le matériel, le réseau et la sauvegarde ; basebox fournit le logiciel, les mises à jour et le support. Les MTO précisent la répartition pour chaque mode d’exploitation. MTO (PDF, en allemand) ↗
Organisation et politiques
C5: OIS, SP- basebox dispose-t-il d’un système de management de la sécurité de l’information ?
- Oui. Le SMSI de basebox GmbH est certifié ISO/IEC 27001:2022, avec des politiques de protection des données et de sécurité et des audits de surveillance annuels. Le périmètre couvre le développement, la mise en œuvre et l’exploitation du logiciel. Certificat ISO 27001 (PDF) ↗
- Le certificat couvre-t-il aussi notre serveur ?
- Non. Le certificat porte sur basebox en tant que fournisseur, donc, pour un serveur dans vos locaux, sur le logiciel et sa chaîne d’approvisionnement. L’exploitation du serveur relève de votre propre SMSI.
- Comment basebox vérifie-t-il l’efficacité de ses mesures ?
- Régulièrement et en cas de besoin : par des contrôles de sécurité et de protection des données, l’analyse des rapports d’audit et des journaux, et des tests de sauvegarde et de restauration. Les enseignements alimentent les améliorations et les formations.
- Qui contacter pour la protection des données et la sécurité ?
- Notre délégué à la protection des données, à l’adresse datenschutz@basebox.ai. Signalez les failles de sécurité à security@basebox.ai. Signaler une faille de sécurité →
Personnel
C5: HR- Les collaborateurs de basebox sont-ils tenus à la confidentialité ?
- Oui, tous. Seuls ceux qui en ont besoin pour la prestation ont accès aux données personnelles. Pour les professions soumises au secret, s’applique en outre l’accord au titre de l’article 203 du Code pénal allemand (StGB), avec information sur la responsabilité pénale et engagement écrit des tiers impliqués. Accord au titre de l’article 203 StGB (PDF, en allemand) ↗
- Comment les collaborateurs sont-ils formés ?
- Tous les collaborateurs sont formés et sensibilisés à la protection des données et à la sécurité de l’information. Seules des personnes qualifiées et formées effectuent les tâches d’administration ; les suppléances sont organisées.
- Quelles règles s’appliquent aux postes de travail des développeurs ?
- Chaque développeuse et chaque développeur confirme chaque trimestre par écrit, avec contre-signature : disque chiffré, verrouillage de l’écran après 10 minutes, mises à jour de sécurité sous 5 jours, authentification à deux facteurs dès que possible, accès à distance uniquement par VPN. Les données de production ne sont jamais stockées en local, les secrets jamais dans le système de gestion de versions.
Centre de données et sécurité physique
C5: PS- Dans quel centre de données le cloud fonctionne-t-il ?
- Chez noris network AG, sur le site de Munich-Est. noris fournit l’espace, l’électricité et la connectivité. Nous vous communiquons sur demande les certificats et les contrôles d’accès du centre de données.
- Qui a un accès physique aux serveurs du cloud ?
- Le personnel du centre de données et notre partenaire matériel FAST LTA, propriétaire des serveurs, qui en assure la maintenance. Tous deux figurent dans la liste des sous-traitants ultérieurs. Liste des sous-traitants ultérieurs (PDF, en allemand) ↗
- Qui assure la sécurité physique du serveur ?
- Vous, si le serveur se trouve dans vos locaux. S’il se trouve dans notre centre de données, basebox est responsable de l’accès, de la baie, de l’électricité, du refroidissement et de la protection incendie.
Exploitation : capacité, logiciels malveillants, sauvegarde
C5: OPS-01 à OPS-09- Comment la capacité est-elle planifiée ?
- Dans le cloud, basebox s’adapte dans la limite du nombre de personnes convenu ; des charges exceptionnelles peuvent nécessiter une offre spécifique. Pour le serveur, la taille dépend du nombre de personnes qui posent des questions en même temps. Calculer le prix →
- Comment basebox protège-t-il contre les logiciels malveillants ?
- Les documents téléversés sont lus dans un processus isolé. Les contenus issus de la recherche web arrivent uniquement en texte brut ; les scripts et contenus actifs sont supprimés. Le backend est écrit en Rust, un langage sûr pour la mémoire.
- Comment le cloud est-il sauvegardé ?
- Chaque jour et de manière chiffrée, dans un second centre de données en Allemagne, avec une conservation de 30 jours. Avant chaque mise à jour, nous sauvegardons en plus la base de données.
- Qui sauvegarde le serveur ?
- Vous, avec vos outils. basebox n’en a ni copie ni accès. Tout l’état réside dans les bases de données et un répertoire de données ; la documentation recommande une sauvegarde quotidienne et un test de restauration mensuel. Sauvegarde et restauration ↗
- Les restaurations sont-elles testées ?
- Oui, les tests de restauration font partie de nos MTO. Nous vous communiquons sur demande le détail de leur périmètre et de leur fréquence.
Journalisation et surveillance
C5: OPS-10 à OPS-17, PSS-04- Que journalise basebox ?
- Le journal d’audit enregistre qui a fait quoi et quand : connexions et tentatives échouées, modifications de droits, configuration, connecteurs, conversations, documents, processus et exports. Il ne contient que des identifiants, ni noms ni adresses e-mail. Journal d’audit →
- Quelqu’un peut-il modifier le journal d’audit ou en supprimer des entrées ?
- Non. La base de données n’accepte que de nouvelles entrées et rejette les modifications et suppressions. Les entrées n’expirent qu’à la fin de la durée de conservation paramétrée.
- Combien de temps les journaux sont-ils conservés ?
- Le journal d’audit 6 mois ; votre administrateur peut régler entre 3 et 36 mois. Les journaux système sont supprimés au bout de 7 jours, sauf autre réglage de votre part.
- Le contenu des questions et des réponses est-il journalisé ?
- Uniquement si votre organisation active la journalisation détaillée ; tout le monde voit alors dans la conversation un avertissement qui ne peut pas être désactivé. Les mots de passe, clés et identifiants des connecteurs ne figurent jamais dans le journal.
- Pouvons-nous transmettre le journal d’audit à notre SIEM ?
- Aujourd’hui, nous exportons le journal d’audit sur demande en CSV ou via REST et vous le remettons. Il n’existe pas encore de transfert automatique vers votre SIEM. Connexion au SIEM ↗
- Qui surveille l’exploitation ?
- Dans le cloud, basebox : nous surveillons l’environnement sur le plan technique, analysons les journaux pour repérer les événements inhabituels et journalisons les accès administratifs à l’infrastructure. Avec le serveur, votre DSI assure la surveillance ; avec un contrat d’exploitation, basebox surveille ses propres composants logiciels.
Vulnérabilités et mises à jour
C5: OPS-18 à OPS-29, PSS-02, PSS-03- Comment basebox détecte-t-il les vulnérabilités ?
- Chaque version passe par une vérification des dépendances pour les vulnérabilités connues (CVE) et une analyse statique du code ; une vulnérabilité connue fait échouer la version. Nous suivons en outre en continu les informations sur les vulnérabilités et faisons réaliser des tests d’intrusion.
- Un test d’intrusion a-t-il été réalisé ?
- Oui. En novembre 2025, des auditeurs externes ont testé l’application web, les interfaces et l’authentification du cloud, en boîte blanche avec le code source, selon l’OWASP Top 10 et l’OWASP API Security Top 10. Les constats critiques sont corrigés.
- Qui installe les mises à jour de sécurité, et dans quel délai ?
- Les mises à jour sont incluses dans la licence. Dans le cloud, basebox les installe, y compris les mises à jour de sécurité urgentes hors fenêtre de maintenance. Avec le serveur sans contrat d’exploitation, vous les installez et examinez sans délai les mises à jour de sécurité urgentes.
- Comment sommes-nous informés des nouvelles versions ?
- Par e-mail, avec des notes de version pour chaque version. Rien ne s’installe automatiquement sur le serveur.
- Comment signaler une faille de sécurité ?
- À security@basebox.ai. Nous accusons réception sous deux jours ouvrés ; les coordonnées figurent sous forme lisible par machine dans le fichier security.txt. security.txt →
Séparation des organisations
C5: OPS-30, OPS-31, COS-06- Comment les clients sont-ils séparés les uns des autres dans le cloud ?
- Chaque organisation dispose de son propre environnement Kubernetes virtuel et de son propre annuaire (Keycloak). Les environnements fonctionnent sur un serveur partagé.
- Les clients partagent-ils le modèle d’IA ?
- Dans le cloud, oui par défaut : la puissance de calcul et le modèle d’IA sont partagés ; chaque requête est traitée sans stockage durable et reste séparée logiquement. Sur demande, nous convenons d’un modèle d’IA réservé à votre organisation ; vous trouverez le prix dans votre offre personnalisée.
- Comment le serveur est-il séparé ?
- Un serveur appartient à un seul client. Les GPU ne sont partagés qu’entre vos propres services.
- Qu’en est-il de l’environnement de démarrage ?
- Les nouveaux comptes démarrent dans un environnement partagé chez Hetzner à Nuremberg, séparés logiquement les uns des autres et avec un annuaire commun. Pour les données de santé et les autres catégories particulières au sens de l’article 9 du RGPD, nous recommandons le serveur. Environnement de démarrage →
Authentification et droits
C5: IAM, PSS-05 à PSS-09- Comment les personnes se connectent-elles ?
- Via Keycloak avec OpenID Connect (flux « authorization code » avec PKCE) ; basebox lui-même ne voit jamais de mot de passe. Votre annuaire est connecté via LDAP, OIDC ou SAML, par exemple Active Directory ou Entra ID. Authentification ↗
- Existe-t-il une authentification à deux facteurs ?
- Oui, activable par organisation : avec une application d’authentification (TOTP), en option par SMS via une passerelle que vous connectez.
- Qui définit les règles de mot de passe, la durée des sessions et le verrouillage après des tentatives échouées ?
- Votre administrateur, dans les paramètres de Keycloak. À chaque requête, basebox vérifie la signature, l’expiration et l’émetteur de l’authentification.
- Quels rôles et droits existent ?
- Volontairement peu de rôles : personnes et administrateurs. Qui crée une app la partage avec des groupes ou des personnes, pour l’utiliser ou la modifier ; partager une app ne partage jamais de données. Les groupes proviennent de votre annuaire, et les modifications qui y sont faites s’appliquent aussi dans basebox. Droits →
- Les droits s’appliquent-ils aussi aux documents d’une app pris individuellement ?
- Non. Qui peut utiliser une app accède à tous les documents qui y sont déposés. Via les connecteurs, en revanche, ce sont les droits de la personne dans le système concerné qui s’appliquent.
- Comment les connecteurs accèdent-ils à nos systèmes ?
- Avec l’accès propre de la personne ; il n’existe pas de compte de service commun. Les identifiants sont enregistrés par personne et jamais affichés ; le système cible applique ses droits. L’écriture est désactivée par défaut. Accès des connecteurs ↗
Accès par basebox
C5: IAM-06, IAM-07, SSO- Qui, chez basebox, peut accéder à nos données dans le cloud ?
- Notre personnel d’exploitation a un accès technique aux bases de données, fichiers et journaux, uniquement pour l’exploitation et selon le principe du besoin d’en connaître. Chaque accès est journalisé ; nous ne consultons pas les contenus. Le concept d’autorisations de l’exploitation vous est remis sur demande.
- basebox a-t-il accès à notre serveur ?
- Non, pas sans contrat d’exploitation. La maintenance à distance n’a lieu que sur votre demande : via VPN, bastion ou équivalent, limitée dans le temps, autorisée par vous, journalisée et révocable à tout moment. Après chaque fenêtre de maintenance, vous recevez un rapport.
- Qui a un accès technique au matériel ?
- Dans le cloud, FAST LTA, notre partenaire matériel, pour la mise à disposition, la maintenance et le service matériel ; FAST LTA est à ce titre sous-traitant ultérieur. Avec le serveur, vous achetez le matériel et le contrat de service auprès de FAST LTA ; FAST LTA est alors votre cocontractant et non un sous-traitant ultérieur de basebox.
Chiffrement
C5: CRY- Les transmissions sont-elles chiffrées ?
- Oui. De l’extérieur, basebox n’est accessible qu’en HTTPS sur le port 443, avec votre certificat pour le serveur et le nôtre dans le cloud.
- Et entre les services au sein de la plateforme ?
- Au sein du cluster, les services communiquent via un réseau privé sans chiffrement propre. Lorsqu’une connexion franchit des hôtes ou des zones de sécurité, par exemple vers un serveur GPU séparé, TLS est obligatoire ; TLS vers la base de données peut être imposé.
- Les données stockées sont-elles chiffrées ?
- L’application ne chiffre pas elle-même les données stockées ; elles sont protégées par des supports de stockage chiffrés. Pour le serveur, c’est vous qui les mettez en place ; pour le cloud, nous vous communiquons les détails sur demande. Les sauvegardes du cloud sont chiffrées.
- Comment les mots de passe et les secrets sont-ils protégés ?
- Keycloak ne stocke les mots de passe des comptes locaux que sous forme de hachage. Les mots de passe de base de données et les clés sont conservés sous forme de secrets Kubernetes ou Docker, séparés par service, et n’apparaissent jamais dans le navigateur ni dans les journaux.
Réseau et communication
C5: COS, PI-01- Qu’est-ce qui est accessible de l’extérieur ?
- Un point d’accès unique en HTTPS pour l’interface et l’authentification. Tous les autres services ne communiquent qu’en interne ; les personnes n’ont jamais de connexion au modèle d’IA ni aux systèmes cibles. Flux de données →
- Le serveur établit-il des connexions vers l’extérieur ?
- Pas par défaut : ni télémétrie, ni vérification de licence, ni recherche de mises à jour. Ne sort que ce que vous configurez, par exemple la recherche web, un modèle externe, des connecteurs, un service SMS ou votre SIEM.
- basebox fonctionne-t-il sans Internet ?
- Oui, le serveur fonctionne entièrement sans Internet, avec le modèle d’IA, les documents, les apps, les droits et le journal d’audit. Le logiciel et les modèles arrivent sous forme de paquet hors ligne via votre dépôt interne ; seule la recherche web n’est pas disponible. Fonctionnement sans Internet ↗
- Vers où un connecteur peut-il établir des connexions ?
- Uniquement vers les destinations autorisées pour lui ; la recherche web n’atteint que son fournisseur. Les connexions aux connecteurs et au modèle d’IA sont établies uniquement par le serveur basebox, jamais par l’appareil de la personne.
Restitution et suppression des données
C5: PI- Comment récupérons-nous nos données à la fin du contrat ?
- À votre choix, nous restituons ou supprimons les données, sauf obligation légale de conservation. Dans le cloud, nous accompagnons l’export dans un format courant, en accord avec vous ; nous mettons ensuite votre environnement hors service et le supprimons. Accord de traitement des données →
- Qu’advient-il des sauvegardes ?
- Les données supprimées disparaissent des sauvegardes du cloud à leur expiration, au bout de 30 jours. Avec le serveur, vous décidez vous-même de la durée de conservation des sauvegardes.
- Comment les données sont-elles supprimées en cours d’exploitation ?
- Les personnes suppriment elles-mêmes leurs conversations et leurs documents ; les administrateurs suppriment des personnes et tout ce qui leur appartient. Lorsqu’un document est supprimé, basebox supprime l’original, le texte extrait et l’index de recherche. Suppression ↗
- Qui supprime les données sur le serveur ?
- Vous. Avec le serveur, vous êtes responsable de la sauvegarde, de l’export, de la conservation et de la suppression.
- Par quelles interfaces les données peuvent-elles sortir ?
- Par une interface REST avec une clé propre à chaque personne, révocable et dont l’usage est journalisé. S’y ajoute l’export du journal d’audit en CSV. basebox s’appuie sur des standards ouverts comme OIDC, SAML, LDAP et PostgreSQL.
Développement et modifications
C5: DEV- Avec quelles technologies basebox est-il construit ?
- Le backend est écrit en Rust, un langage sûr pour la mémoire, sans environnement d’exécution. L’interface est une application Vue 3 qui communique avec le backend via GraphQL ; pour vos propres applications, il existe une interface REST et une interface compatible OpenAI. Authentification via Keycloak, données dans PostgreSQL, exploitation en conteneurs sur Kubernetes. Composants dans la documentation ↗
- Comment une version est-elle contrôlée et validée ?
- Avant chaque version : analyse statique du code, vérification des dépendances et des vulnérabilités connues, tests unitaires, installation de test et assurance qualité manuelle. La validation suit le principe des quatre yeux.
- Existe-t-il une nomenclature logicielle (SBOM) ?
- Oui, générée automatiquement pour chaque version. Les clients la consultent intégralement dans leur basebox ; avant l’achat, nous l’envoyons sur demande. Nous mettrons en œuvre les autres obligations du Cyber Resilience Act d’ici décembre 2027. Demander la SBOM →
- D’où viennent le logiciel et les modèles d’IA ?
- Sous forme d’images de conteneurs versionnées issues du registre de basebox ou de paquet hors ligne, installées par chart Helm. Un registre des modèles documente l’origine, la version et la licence de chaque modèle d’IA. Registre des modèles ↗
- Les images sont-elles signées ?
- Pas encore, la signature est en préparation. D’ici là, les empreintes (digests) des images prouvent qu’elles n’ont pas été modifiées.
- Comment les modifications sont-elles tracées ?
- Chaque version dispose de notes de version et d’un journal des modifications. Les migrations de base de données sont numérotées, sécurisées par somme de contrôle et ne s’exécutent que vers l’avant ; une sauvegarde de la base de données est obligatoire avant chaque mise à jour.
Fournisseurs et sous-traitants ultérieurs
C5: SSO- Quels sous-traitants ultérieurs basebox fait-il intervenir dans le cloud ?
- noris network (centre de données de Munich-Est) et FAST LTA (serveurs et service matériel). Pour la puissance de calcul supplémentaire, nous faisons appel à des fournisseurs comme STACKIT ou Mistral AI dans l’UE, ou au fournisseur que vous imposez, par exemple via votre contrat-cadre avec Microsoft Azure. La liste indique lesquels interviennent pour vous. Les fournisseurs que vous mandatez et connectez vous-même ne sont pas des sous-traitants ultérieurs de basebox. Liste des sous-traitants ultérieurs (PDF, en allemand) ↗
- Comment sommes-nous informés des changements de sous-traitants ultérieurs ?
- Nous vous informons à l’avance, avec un préavis raisonnable. Vous pouvez vous y opposer pour un motif important lié à la protection des données.
- Nos données servent-elles à l’entraînement ?
- Non. Nous ne faisons appel qu’à des prestataires d’IA dont le contrat exclut l’entraînement sur les données transmises.
- Qu’en est-il de l’app avec un modèle externe ?
- Elle fonctionne sur Google Vertex à Francfort et constitue une app distincte, que votre administrateur partage uniquement avec des groupes choisis. Google ne s’entraîne pas sur vos saisies et les journalise pour la détection des abus pendant 30 jours au plus ; en tant qu’entreprise américaine, Google est soumis au CLOUD Act américain. Comparaison →
- Qu’en est-il de la recherche web ?
- Elle passe par Staan.ai dans l’UE, et uniquement si vous l’activez. Seul le terme de recherche est transmis, sans l’identité ni l’adresse IP de la personne ; nous avons conclu un accord de traitement des données avec Staan, et tout entraînement est exclu. Recherche web →
Incidents de sécurité
C5: SIM, OPS-24- Dans quel délai basebox notifie-t-il une violation de données personnelles ?
- Dans les meilleurs délais après en avoir pris connaissance, avec les informations prévues à l’article 33, paragraphe 3, du RGPD. Ce qui ne s’éclaircit que plus tard, nous le communiquons sans retard injustifié.
- Existe-t-il un délai de notification en heures, par exemple pour NIS2 ?
- Non, le contrat prévoit « dans les meilleurs délais ». Nous notifions dès que nous en avons connaissance, afin que vous puissiez respecter vos propres délais.
- Sommes-nous aussi informés des autres incidents de sécurité ?
- Oui. En cas de risques systémiques connus ou d’incidents ayant une incidence sur la sécurité, nous informons sans délai les clients concernés. Depuis le 11 septembre 2026, nous signalons les vulnérabilités activement exploitées conformément au Cyber Resilience Act.
- Comment signaler un incident ?
- Via le support (en allemand et en anglais) ; nous l’examinons dans le cadre du support. Vous restez responsable des incidents dans votre propre infrastructure ; une assistance plus large fait l’objet d’un accord séparé.
- Comment les collaborateurs de basebox gèrent-ils les incidents ?
- Ils signalent immédiatement chaque incident à un point central. Des procédures documentées existent pour les incidents de sécurité, et chaque incident est consigné avec ses justificatifs.
Urgence et reprise
C5: BCM, GC-03, GC-04- Existe-t-il une gestion de la continuité d’activité ?
- Oui. Les processus d’urgence et de restauration, les tests de restauration et la protection contre la destruction accidentelle font partie de nos MTO. Nous vous en communiquons le détail sur demande. MTO (PDF, en allemand) ↗
- Quels délais de reprise (RTO, RPO) s’appliquent ?
- Nous ne garantissons pas de délais de reprise fixes. Nous résolvons les incidents avec un soin raisonnable, si nécessaire d’abord par une solution de contournement. La haute disponibilité et un centre de données de secours ne font pas partie de la prestation.
- Que se passe-t-il si notre serveur tombe en panne ?
- FAST LTA remplace les pièces défectueuses, GPU compris, dans le cadre du contrat de service. Si le serveur tombe entièrement en panne, vous restaurez basebox sur un nouveau matériel à partir des bases de données et du répertoire de données ; pour la résilience, plusieurs serveurs peuvent être couplés.
- Que se passe-t-il si le modèle d’IA tombe en panne ?
- basebox affiche une erreur. Il n’y a pas de bascule silencieuse vers un autre modèle.
Conformité et justificatifs
C5: COM, GC-06- Quels certificats et attestations basebox détient-il ?
- basebox est certifié ISO 27001. L’attestation BSI C5 de type 1 pour le cloud est en cours, prévue selon le C5:2026. Certificats →
- Avons-nous besoin d’une attestation C5 pour le serveur ?
- Non. Le C5 s’applique aux services cloud ; pour le serveur, ce sont vos exigences d’exploitant qui s’appliquent. BSI C5 →
- Pouvons-nous auditer basebox ?
- Oui. En priorité sur la base de nos justificatifs ; un audit sur site a lieu si les justificatifs ne suffisent pas et qu’un motif légitime existe, annoncé à l’avance et à vos frais.
- Quels documents recevons-nous pour notre audit ?
- Synthèse protection des données et sécurité de l’information, accord de traitement des données, liste des sous-traitants ultérieurs, MTO, accord au titre de l’article 203 StGB, certificat ISO 27001 et SBOM. Nous envoyons sur demande la description de l’architecture et des flux de données (en anglais). Demander l’architecture →
- basebox aide-t-il pour NIS2, les infrastructures critiques (KRITIS) et le B3S hôpital ?
- Les obligations vous incombent en tant qu’exploitant ; en tant que fournisseur, basebox fournit les justificatifs. Nous établissons actuellement la correspondance entre nos mesures et le B3S Krankenhaus, le référentiel de sécurité allemand pour les hôpitaux ; vous la recevez sur demande. NIS2, KRITIS, B3S →
- Comment basebox se situe-t-il au regard du règlement européen sur l’IA (AI Act) ?
- basebox est une plateforme, pas un système d’IA à haut risque ; vos obligations dépendent de l’usage. Pour cela, il existe le registre des modèles, le journal d’audit, la validation humaine des actions d’écriture et des formations à la maîtrise de l’IA. Règlement européen sur l’IA →
- Des informations classifiées ou des systèmes de conduite peuvent-ils être confiés à basebox ?
- Non. basebox n’est pas homologué pour les informations classifiées allemandes (VS-NfD) ; celles-ci n’y ont pas leur place. Les systèmes de conduite et de pilotage d’installations ne sont pas connectés ; basebox travaille avec des documents et des systèmes bureautiques. Infrastructures critiques et administrations →
Demandes des autorités
C5: INQ, GC-05- basebox communique-t-il des données aux autorités ?
- Uniquement si une décision administrative ou judiciaire nous y oblige. Dans la mesure où cela est permis et possible dans le cas d’espèce, nous vous en informons au préalable ; c’est ce que prévoit l’accord au titre de l’article 203 StGB.
- basebox est-il soumis au CLOUD Act américain ?
- Non, basebox est une entreprise allemande. Pour l’app avec un modèle externe chez Google, le CLOUD Act s’applique, car Google est une entreprise américaine.
- Qu’en est-il du serveur ?
- Sans contrat d’exploitation, basebox n’a pas accès à vos données et ne peut donc pas en communiquer. Nous ne répondons pas nous-mêmes aux demandes des personnes concernées, uniquement sur vos instructions.
Paramètres pour votre sécurité
C5: PSS-01, PSS-12- Que paramétrons-nous nous-mêmes ?
- Le second facteur, les règles de mot de passe, les sessions et verrouillages, le niveau de détail et la conservation du journal d’audit, la recherche web, les connecteurs avec des droits d’écriture accordés un par un et le partage des modèles d’IA avec les apps et les groupes.
- La recherche web est-elle désactivée par défaut ?
- Oui. Vous l’activez par app, et chaque personne confirme avant la première recherche. Les contenus web n’atteignent pas les données internes ; nous recommandons de ne pas combiner recherche web et connecteurs internes dans la même app.
- Que peuvent faire les agents d’IA ?
- Uniquement ce que peut faire la personne au nom de laquelle ils agissent. Les actions d’écriture sont désactivées par défaut et ne s’exécutent qu’après validation par un humain.
- basebox vérifie-t-il les réponses du modèle d’IA au préalable ?
- Non. Chaque réponse indique ses sources avec le passage cité, et le modèle et sa version sont documentés ; l’expert vérifie à la source et est responsable de l’usage qui en est fait. Traçabilité →
- Quels contrôles nous incombent ?
- Gérer les personnes, les groupes et les partages, activer le second facteur, analyser le journal d’audit et réaliser l’analyse d’impact (AIPD). Avec le serveur, en plus : l’exploitation, le réseau, le chiffrement des supports et la sauvegarde. Modèle d’analyse d’impact →
Ces réponses sont fournies à titre indicatif ; seuls votre contrat, l’accord de traitement des données et les MTO (mesures techniques et organisationnelles) font foi. En France, basebox est proposé uniquement en serveur jusqu’à la certification HDS ; les réponses sur le cloud concernent notre cloud en Allemagne. Sécurité et justificatifs →