Sécurité WivenLLM
La sécurité par l'architecture,
pas par la promesse
WivenLLM s'installe sur votre matériel. Vos documents, vos conversations et vos index restent là où vous les avez mis. Cette page décrit précisément ce qui est en place, dans quel périmètre, et ce qui reste à votre charge.
Elle couvre les trois formats de déploiement. Dans le format hébergé, chaque client dispose de sa propre instance : aucune donnée, aucun index et aucune base ne sont partagés entre organisations. Ce qui est mutualisé, ce sont le matériel et les coûts, jamais les données.
Ce qui ne sort pas de chez vous
La donnée n'est pas protégée par une promesse contractuelle : elle n'est simplement pas transmise.
- Vos données restent sur votre machine. Base, documents déposés, index vectoriel et historique de conversation résident dans le dossier de stockage du poste ou du serveur que vous avez choisi.
- Aucun entraînement sur vos données. WivenLLM ne comporte aucun mécanisme d'entraînement ni d'affinage de modèle. Les modèles sont utilisés en inférence uniquement. Vos documents ne nourrissent aucun modèle, ni le nôtre ni celui d'un tiers.
- Aucune télémétrie active par défaut. Nos images et nos valeurs par défaut désactivent toute remontée d'usage. L'activer est un choix explicite de votre part, jamais un réglage à découvrir puis à désactiver.
- Fonctionnement hors ligne possible. Avec des modèles locaux et une base vectorielle locale, WivenLLM fonctionne sans aucune connexion sortante. C'est le mode retenu pour les environnements isolés.
- Modèles open source auditables. Mistral, LLaMA, Qwen, KIMI. Vous savez ce qui tourne sur votre machine.
Chiffrement
Nous préférons être précis sur le périmètre plutôt que d'écrire « tout est chiffré ».
- TLS 1.2 au minimum, imposé. Les échanges entre les postes et le serveur sont chiffrés, la version minimale du protocole est fixée explicitement dans la configuration, et les accès en clair sont redirigés vers HTTPS.
- Secrets chiffrés par l'application. Clés d'API des fournisseurs et secrets d'authentification unique sont chiffrés en AES-256, avec une clé dérivée propre à votre installation.
- Chiffrement intégral du support, vérifié et attesté. Le chiffrement du volume — LUKS, BitLocker ou FileVault selon la plateforme — est un prérequis d'installation. Un contrôle au démarrage signale un volume non chiffré, et le point est attesté dans le procès-verbal de livraison que vous signez.
- Rotation des clés outillée. Un script de rechiffrement permet de changer la clé applicative sans perdre les secrets existants. Le secret de session est rotatif, avec une fenêtre de double acceptation le temps de la bascule. Les secrets sont sortis du fichier d'environnement vers un stockage à droits restreints.
- Intégrité des échanges internes. Les appels entre le serveur et le composant de traitement documentaire sont signés cryptographiquement, ce qui empêche un tiers d'en injecter.
Accès, rôles et cloisonnement
L'accès est nominatif, hérité de votre annuaire, et les pouvoirs sont séparés.
Authentification unique par défaut
Le mode multi-utilisateur avec authentification OpenID Connect est la configuration par défaut de tout déploiement. La connexion locale par mot de passe est désactivée hors compte de secours.
Double facteur hérité de votre annuaire
Comme la connexion passe par votre fournisseur d'identité, vos propres exigences s'appliquent — y compris le second facteur, sans possibilité de le contourner par une connexion locale.
Sessions courtes et révocables
Durée de session limitée. Un changement de mot de passe, une suspension ou une révocation manuelle ferment immédiatement toutes les sessions ouvertes, y compris sur les autres appareils.
Séparation des pouvoirs
L'administration technique — comptes, rôles, connecteurs, configuration — s'exerce sans accès au contenu des conversations. L'accès au contenu relève d'un rôle distinct et laisse une trace ineffaçable.
Espaces cloisonnés
Un utilisateur ne voit que les espaces auxquels il est rattaché. Les vecteurs sont isolés par espace, dans des espaces de noms distincts.
Second Brain personnel
La mémoire de travail d'un utilisateur lui est propre. Elle n'est pas visible de ses collègues, ni des responsables, et ne se partage pas implicitement.
Journal d'audit
Un journal qu'un administrateur peut effacer ne prouve rien. Le nôtre ne peut pas l'être depuis l'application.
- Non effaçable depuis l'application. Le journal est en écriture seule. Aucune suppression manuelle n'est possible ; seule la politique de rétention que vous fixez fait expirer les entrées.
- Couverture large. Connexions et échecs de connexion, déconnexions, création et modification de comptes, accès et téléchargement de documents, requêtes documentaires, exports de conversations, modifications de configuration.
- L'accès au contenu est lui-même tracé. Si un rôle habilité exporte une conversation, l'opération est journalisée, et cette journalisation ne peut pas être désactivée.
- Export vers votre SIEM. Le journal se déverse en continu vers votre système de supervision, en syslog ou par webhook. Vos règles de corrélation et de conservation s'appliquent.
- Contrôle de contenu. Règles de blocage, de masquage ou de signalement sur des termes ou des motifs, avec journal des déclenchements. Seul un extrait tronqué est conservé, jamais le message complet.
Chaîne de livraison
Ce que vous installez doit être vérifiable avant d'être exécuté.
Binaires signés
Les installeurs sont signés — Authenticode sous Windows, notarisation Apple sous macOS — et publiés avec leur empreinte SHA-256. Aucun écran d'avertissement à l'installation.
Images vérifiables
Les déploiements serveur utilisent une image versionnée et signée, accompagnée de son inventaire logiciel et de son attestation de provenance.
Contrôle à chaque modification
Analyse statique du code et contrôle des dépendances à chaque changement, bloquants sur les vulnérabilités élevées et critiques.
Veille et correctifs
Nous suivons les avis de sécurité des composants open source que nous intégrons et reportons les correctifs. Vulnérabilité critique : correctif publié sous 7 jours. Vulnérabilité élevée : sous 30 jours. Vous êtes notifié par liste de diffusion et par bannière dans l'application.
Mise à jour signée
Côté poste, la mise à jour est signée et vérifiée avant application.
Divulgation responsable
Une vulnérabilité se signale à security@wiven.ai. Accusé de réception sous 72 heures, engagement de correction gradué selon la gravité, et aucune poursuite engagée contre un chercheur de bonne foi.
Qui fait quoi
Une IA installée chez vous déplace une partie de la responsabilité vers vous. Autant l'écrire noir sur blanc.
| Poste individuel | Serveur dédié | |
|---|---|---|
| Fourniture et configuration | Wiven | Wiven |
| Installation et prise en main | Wiven | Wiven |
| Chiffrement du support | Vous, vérifié et attesté par Wiven | Vous, vérifié et attesté par Wiven |
| TLS et certificats | Sans objet en local | Wiven à l'installation, vous ensuite |
| Sauvegardes | Vous | Vous |
| Sécurité physique | Vous | Vous |
| Pare-feu et réseau | Sans objet en local | Vous |
| Annuaire, comptes et rôles | Sans objet | Vous |
| Correctifs de sécurité | Publiés et notifiés par Wiven, appliqués par vous | Publiés et notifiés par Wiven, appliqués par vous |
| Supervision et SIEM | Sans objet | Vous, Wiven fournit le flux |
Suppression et réversibilité
- Suppression granulaire. Un document, un espace de travail ou un compte se supprime depuis l'interface ; les données associées, y compris les vecteurs, sont retirées avec lui.
- Export de vos échanges. Les conversations s'exportent en JSON ou en CSV. Vos documents sources n'ont jamais quitté votre dossier de stockage.
- Après le contrat, rien ne reste chez nous. Aucune de vos données n'a jamais transité par notre infrastructure. Il n'y a donc rien à restituer ni à effacer de notre côté.
Documents
Vos équipes achats et juridiques n'ont pas besoin d'une page web, elles ont besoin de pièces. Les voici.
Contrat de sous-traitance
Le DPA encadrant le traitement des données à caractère personnel, à annexer à votre contrat.
Registre des traitements
La description des traitements opérés par WivenLLM, leurs finalités et leurs bases légales.
Analyse d'impact
L'AIPD, à reprendre et à adapter à votre propre contexte de déploiement.
Politique de sécurité
Nos règles internes : gestion des accès, des correctifs, des secrets et des environnements.
Procédure d'incident
Qui alerte qui, dans quel ordre et sous quel délai, avec les échéances de notification applicables.
Liste des sous-traitants
La liste nominative des tiers susceptibles d'intervenir dans la chaîne, et à quel titre.
Notre position au regard de la nLPD et du RGPD est documentée dans ce dossier. L'ensemble est communiqué sur demande, sous accord de confidentialité si votre procédure l'exige : info@wiven.ai
Ce que nous ne revendiquons pas encore
Une page sécurité n'a de valeur que si elle dit aussi ce qui n'est pas fait.
- Aucune certification ISO 27001 ni SOC 2 à ce jour. Nous ne nous en prévalons pas. WivenLLM porte le label Swiss Made Software, qui atteste de l'origine du développement, pas d'un audit de sécurité.
- Aucun test de pénétration indépendant n'a encore été conduit. Nous en publierons le prestataire, le périmètre et la date lorsqu'il aura eu lieu.
- Le chiffrement applicatif de la base est en feuille de route. Aujourd'hui, seuls les secrets sont chiffrés par l'application ; le contenu est protégé par le chiffrement intégral du support, vérifié à l'installation.
- Le second facteur natif n'est pas encore livré. Il est aujourd'hui hérité de votre fournisseur d'identité, ce qui couvre le besoin dans la quasi-totalité des cas. Une authentification à deux facteurs intégrée, obligatoire pour les administrateurs, suivra.
Parler à quelqu'un
Vingt minutes pour examiner votre contexte, vos contraintes réglementaires et le format de déploiement adapté. Vos équipes techniques et juridiques sont les bienvenues.
Une question de sécurité, un questionnaire fournisseur ou une demande de documents : info@wiven.ai