Comment nous traitons l’accès au code qui fait tourner votre entreprise.
Comment nous obtenons puis restituons les accès, ce que nous faisons des outils d’IA, ce qui se passe quand quelque chose casse, et quels documents vous pouvez obtenir avant de signer quoi que ce soit.
Aucune certification
Nous ne détenons aucune certification de sécurité : ni ISO 27001, ni rapport SOC 2. À la place, voici les règles que nous appliquons. Si vous voulez voir comment nous travaillons avant de nous donner le moindre accès, commencez par un Debt Check. Il ne demande aucun accès à votre code ni à vos systèmes.
Qui peut voir votre code
Seules les personnes qui travaillent sur votre projet ont accès à votre code, à vos systèmes et à vos identifiants : elles sont nommées dans le contrat et liées par l’accord de confidentialité. Personne d’autre.
Avec votre accord, donné dans l’annexe IA du contrat (voir Comment nous utilisons les outils d’IA), des parties de votre code sont traitées par les fournisseurs d’IA listés parmi les sous-traitants ultérieurs, dans le cadre du contrat de sous-traitance des données.
Pas de sous-traitant sans votre accord écrit préalable. Si nous en proposons un pour votre projet, il signe le même accord de confidentialité et les mêmes clauses de protection des données avant d’obtenir un accès.
Comment nous accédons à vos systèmes
-
Moindre privilège
D’abord un accès en lecture seule au dépôt. L’accès en écriture, la préproduction, la CI et les serveurs viennent ensuite, un par un, quand une tâche l’exige. Nous ne demandons ni droits de propriétaire de l’organisation ni accès à la facturation. Quand un travail sur serveur demande des droits root, nous demandons
sudosur notre compte nominatif, nous disons à quoi il sert, et nous le rendons une fois la tâche terminée. -
Des comptes séparés et nominatifs
Vous nous créez un compte dans chaque système : hébergement Git, CI, cloud, serveur. Nous n’utilisons jamais d’identifiant partagé ni le compte d’un ancien développeur. Chacune de nos actions est rattachée à notre compte nominatif.
-
Votre infrastructure, vos clés
Nous nous connectons via votre VPN, votre bastion ou votre SSO s’ils existent. Nous utilisons une clé SSH distincte pour chaque client, et la clé ne quitte jamais notre poste.
-
MFA sur chaque compte
L’authentification multifacteur est activée sur chaque compte que nous utilisons pour le travail client : messagerie, hébergement Git, consoles cloud, comptes des outils d’IA et gestionnaire de mots de passe. Si l’un de vos systèmes ne la prend pas en charge, nous vous le signalons et le notons dans l’inventaire des accès.
-
Inventaire des accès
La liste de tous les accès que vous nous avez donnés : système, compte, niveau de droits, date d’attribution. Vous en recevez une copie à tout moment. En Care Standard et Plus, nous la passons en revue à chaque revue trimestrielle ; en Care Basic, au moins une fois par an.
Comment nous traitons votre code et vos données
-
Les données de production restent chez vous
En règle générale, les données de production restent dans votre environnement. Les tests utilisent des données synthétiques ou un extrait anonymisé produit dans votre environnement. Si une tâche exige une copie locale, celle-ci est temporaire, convenue avec vous au préalable et supprimée une fois la tâche terminée.
-
Les secrets restent hors du code et des prompts
Mots de passe, clés d’API et fichiers
.envne vont ni dans le dépôt ni dans un outil d’IA. Si nous trouvons des secrets déjà versionnés, nous vous le signalons et recommandons ceux à renouveler. -
Chiffrement
Tout le trafic vers vos systèmes passe par SSH ou TLS. Les identifiants sont conservés dans un gestionnaire de mots de passe chiffré.
-
Des modifications qui suivent votre processus
Chaque modification est une merge request dans votre dépôt, avec des tests et une CI au vert. S’il n’y a pas encore de CI, sa mise en place fait partie des premières choses que nous faisons lors d’un Takeover ; d’ici là, chaque merge request est accompagnée d’une note de test. Avant toute modification en production, nous confirmons qu’une sauvegarde récente existe et nous documentons le retour arrière.
-
Suppression à la fin
À la fin de la collaboration, nous supprimons les copies locales de votre code et toutes les données du projet sous 30 jours, et nous le confirmons par écrit. S’il en reste des copies dans nos sauvegardes chiffrées, la confirmation indique quand elles expirent.
À la fin de la collaboration
01
Kit de réversibilité
Dépôt, documentation, runbook et inventaire des accès, sans frais, sous 10 jours ouvrés.
02
Identifiants
Nous listons chaque identifiant auquel nous avons eu accès et signalons ceux que vous devriez renouveler.
03
Comptes fermés
Vous supprimez nos comptes. Avec votre accord, nous vérifions qu’ils sont bien fermés et nous confirmons par écrit que nous ne conservons plus aucun accès.
04
Copies supprimées
Nous supprimons les copies locales sous 30 jours et le confirmons.
Comment nous utilisons les outils d’IA
Nous utilisons des outils de programmation IA pour une partie du travail : lire de grosses bases de code, rédiger des premières versions de tests, préparer les modifications mécaniques d’une montée de version. C’est l’une des raisons pour lesquelles nous pouvons proposer des prix fermes. La méthode est décrite dans Notre méthode.
-
Uniquement avec votre accord signé
L’usage de l’IA est décrit dans une annexe distincte au contrat, l’AI Tooling Disclosure & Consent (information et accord sur les outils d’IA), qui nomme les outils et les fournisseurs. Sans votre signature, nous n’utilisons pas ces outils sur votre code.
-
Dans le cadre du contrat de sous-traitance des données
Le fournisseur d’IA figure comme sous-traitant ultérieur dans le contrat de sous-traitance des données. Les outils que nous utilisons, et à quelles conditions, sont précisés dans l’annexe IA de votre projet. Si votre politique exige des conditions commerciales (pas d’entraînement sur votre code, conservation limitée), nous les appliquons. Pour ses produits commerciaux, Anthropic, fournisseur des modèles Claude que nous utilisons, indique que par défaut il n’entraîne pas ses modèles sur les entrées ni sur les sorties de ses produits commerciaux, et que les entrées et sorties de l’API sont supprimées sous 30 jours (plus longtemps uniquement pour les contenus signalés au titre de sa politique d’utilisation). Nous n’activons aucune conservation prolongée, et nous n’envoyons aucun retour au fournisseur depuis les sessions qui portent sur votre code.
-
Traitement dans l’UE uniquement, sur demande
Si votre politique impose un traitement dans l’UE, nous convenons de la configuration dans l’annexe, par exemple Amazon Bedrock avec un profil d’inférence UE, qui maintient les requêtes dans des régions AWS situées dans l’UE. AWS indique que les fournisseurs de modèles n’ont pas accès aux prompts ni aux réponses traités dans Bedrock. Cette option coûte plus cher ; le devis indique combien avant la signature.
-
Vous pouvez exclure des parties de votre code
Si certains dépôts ou répertoires ne doivent pas être traités par des outils d’IA, par exemple du code tiers sous licence ou des modules de sécurité, listez-les dans l’annexe. Nous travaillons sur ces parties sans outils d’IA.
-
Ce qui n’entre jamais dans un outil d’IA
Les données de production, les données personnelles de vos bases, les secrets et les identifiants, et tout ce que vous avez exclu.
-
Une personne relit chaque modification
Rien de ce que produit un outil d’IA n’arrive dans votre dépôt sans la relecture de l’ingénieur, les tests et la CI. La responsabilité de la modification nous revient, comme pour n’importe quelle autre ligne de code.
-
Quand l’IA n’est pas envisageable
Par défaut, nous travaillons avec des outils d’IA : nos prix fermes reposent sur eux. Si votre politique exclut les deux options ci-dessus, nous pouvons travailler sans IA. Ce travail fait alors l’objet d’un devis individuel.
Sous-traitants ultérieurs
Uniquement les services susceptibles de traiter votre code ou vos données. La liste complète, avec les entités juridiques, les adresses et le fondement juridique de chaque transfert hors de l’UE, est annexée au contrat de sous-traitance des données. Elle nomme aussi le gestionnaire de mots de passe qui conserve les identifiants que vous nous confiez. Nous vous prévenons 30 jours avant d’ajouter un sous-traitant ultérieur, et vous pouvez vous y opposer.
| Sous-traitant ultérieur | Finalité | Lieu de traitement | Quand |
|---|---|---|---|
| Anthropic | modèles d’IA (Claude) | États-Unis | par défaut |
| Amazon Web Services EMEA SARL (Amazon Bedrock) | modèles d’IA (Claude) via un profil d’inférence UE | UE | option UE uniquement |
| Google Cloud EMEA Limited (Google Workspace) | messagerie de refberg.com | UE/États-Unis | toujours |
Quand quelque chose casse dans votre application
Ceci concerne les clients qui ont une formule Care.
-
Horaires
Du lundi au vendredi, de 9 h à 18 h, heure d’Europe centrale (CET/CEST), hors jours fériés polonais. Les délais de prise en charge sont ceux de votre formule : le jour ouvré suivant en Basic, au plus 4 heures ouvrées pour les incidents critiques en Standard et Plus. Les soirs et les week-ends font l’objet d’une option payante (Extended hours). Nous ne proposons pas d’astreinte 24 h/24, et nous ne vous en vendrons pas.
-
Ce que signifie une prise en charge
Nous accusons réception de l’incident et commençons le diagnostic. Pas forcément la correction.
-
Ce que nous faisons
D’abord contenir : retour arrière, désactivation de la fonctionnalité, blocage du trafic. Ensuite corriger, puis expliquer. Tant que l’incident est ouvert, vous recevez de courts points de situation.
-
Le rapport d’incident
Après un incident critique, vous recevez un rapport d’incident : ce qui s’est passé, la cause, ce que nous avons modifié et ce qui empêcherait que cela se reproduise. Il arrive au plus tard avec le rapport mensuel suivant.
Si un problème survient de notre côté
Si l’un de nos appareils est perdu ou volé, si l’un de nos comptes est compromis, ou si nous soupçonnons que votre code ou vos identifiants ont pu être exposés, nous vous prévenons dans les 48 heures après l’avoir constaté. Nous vous disons ce qui peut être concerné et quels identifiants renouveler, et nous supprimons nous-mêmes nos accès quand c’est possible.
Cela vaut aussi pendant nos périodes de congés. Les obligations complètes figurent dans le contrat de sous-traitance des données.
Continuité : vous ne dépendez jamais de nous
Vous pouvez continuer sans nous à tout moment. Ces règles y veillent.
-
Tout reste dans vos comptes
Le code, la CI, la documentation et les identifiants sont dans vos systèmes, pas dans les nôtres. Vous pouvez confier l’application à quelqu’un d’autre à tout moment.
-
Le runbook est tenu à jour
Déploiement, retour arrière, restauration de sauvegarde, tâches planifiées, files de messages et supervision sont documentés. Le runbook est mis à jour dès que l’un de ces éléments change, et relu à chaque revue trimestrielle en Care Standard et Plus. Un autre développeur PHP doit pouvoir reprendre l’application à partir de ce document.
-
Les absences planifiées sont annoncées
Au plus deux périodes de congés par an, de deux semaines au maximum chacune, annoncées au moins 30 jours à l’avance. Pendant ces périodes, nous ne traitons que les incidents de sécurité critiques, dans la mesure du possible et sans délai de prise en charge.
-
Les absences imprévues ont leurs règles
Elles figurent dans le contrat : le prix de Care est réduit à partir du 6e jour ouvré d’absence, et au-delà de 10 jours ouvrés, vous pouvez mettre fin à Care immédiatement.
-
Kit de réversibilité sans frais
Si vous partez, vous recevez tout ce qu’il faut pour continuer sans nous.
Les documents que vous pouvez obtenir avant de signer
| Document | Quand |
|---|---|
| Accord de confidentialité réciproque | avant que nous voyions le moindre code |
| Contrat de sous-traitance des données (art. 28 du RGPD), avec la liste des sous-traitants ultérieurs | avec l’offre |
| AI Tooling Disclosure & Consent (information et accord sur les outils d’IA) | avec l’offre |
| Nos réponses types à un questionnaire de sécurité fournisseur | sur demande, sous un jour ouvré |
| Extrait officiel du CEIDG (inscription au registre des entreprises) | sur demande |
| W-8BEN (pour les clients aux États-Unis) | sur demande |
Questions de sécurité
Pouvons-nous voir vos réponses au questionnaire de sécurité avant d’échanger ?
Oui. Demandez-les via le formulaire de contact, et nous vous envoyons nos réponses types sous un jour ouvré. Si vous utilisez SIG Lite, CAIQ ou votre propre format, envoyez-le et nous le remplissons.
Le traitement de notre code par l’IA peut-il rester dans l’UE ?
Oui. Avec l’option UE uniquement, nous convenons dans l’annexe d’une configuration dans l’UE, par exemple Amazon Bedrock avec un profil d’inférence UE. Vous pouvez aussi exclure entièrement certains dépôts ou répertoires du traitement par l’IA.
Comment vérifier que vous êtes une vraie entreprise ?
Dans les registres publics polonais et européens. La page Vérifier notre entreprise liste chaque registre, ce qu’il faut y saisir et ce que vous devez voir.
Comment signaler un problème de sécurité dans une application que vous avez développée ou que vous maintenez ?
Écrivez à contact@refberg.com en indiquant « Sécurité » dans l’objet.
Envoyez d’abord vos questions de sécurité
Avant toute autre chose. Vous recevez nos réponses, et vous lisez l’accord de confidentialité, le contrat de sous-traitance des données et l’accord sur les outils d’IA avant de signer quoi que ce soit.