VamiThreat Trust Center

Sécurité, conformité et souveraineté — rendues transparentes.

VamiThreat est la plateforme de modélisation des menaces de VamiSec GmbH, assistée par l’IA : à partir de descriptions d’architecture, de documents et de diagrammes, elle produit un diagramme de flux de données, un modèle de menaces selon STRIDE et MAESTRO, des chemins d’attaque et des mesures. Ce Trust Center montre comment nous protégeons les données, où nous hébergeons et comment nous développons en toute sécurité.

SMSI certifié ISO/IEC 27001:2022 SMSI de VamiSec GmbH · Proks Certification GmbH (accréditée DAkkS) · certificat n° DE-IS-20250191 · valable jusqu’au 18 septembre 2028 Télécharger le certificat (PDF) ⤓

Consulter les documents security@vamisec.com

ExploitantVamiSec GmbH · Bonn, Allemagne

HébergementT Cloud Public · Allemagne

Signaler un incident de sécuritésecurity@vamisec.com

Dernière mise à jour13 octobre 2026

StatutBêta · accès sur demande

01 — Conformité & certifications

Construit sur des fondations certifiées.

VamiThreat est exploité par VamiSec GmbH, dont le système de management de la sécurité de l’information est certifié ISO/IEC 27001 par un organisme accrédité DAkkS. Nous indiquons de manière transparente ce qui est certifié, ce qui est en préparation et ce qui relève d’une attestation de la plateforme d’hébergement.

ISO/IEC 27001

SMSI de la VamiSec GmbH — certifié par Proks Certification GmbH (accréditée DAkkS), valable jusqu’en 09/2028.

Certifié

ISO/IEC 42001

Système de management de l’IA de VamiSec en cours de mise en place — certification ISO/IEC 42001 en préparation.

En préparation

RGPD / GDPR

Contrat de traitement des données au titre de l’art. 28 du RGPD sur demande (privacy@vamisec.com), sous-traitants ultérieurs divulgués.

DPA sur demande

BSI C5 · ISO 27001 · TISAX

Attestation, label & certificats de la plateforme d’exploitation T Cloud Public (Deutsche Telekom).

Plateforme d’hébergement

ISO 14001

Système de management environnemental de VamiSec GmbH mis en place selon ISO 14001:2026 — certification en préparation.

En préparation

EcoVadis

Notation de durabilité de VamiSec GmbH — badge Committed, obtenu en octobre 2026.

Badge Committed

02 — Hébergement & souveraineté numérique

Hébergé de manière souveraine en Allemagne — sous le droit européen.

VamiThreat est hébergé sur T Cloud Public (anciennement Open Telekom Cloud) de Deutsche Telekom — un cloud européen souverain, exclusivement dans des centres de données en Allemagne. Les données et journaux de la plateforme relèvent du droit européen ; le cocontractant, le droit applicable et le for juridique sont allemands. La connexion passe par l’authentification unique (SSO) via Microsoft Entra ID (région UE) ; le lieu du traitement par l’IA dépend du LLM choisi — localement en Allemagne ou chez le fournisseur public aux États-Unis.

Centres de données en Allemagne uniquementRégion twin-core Biere/Magdeburg (Saxe-Anhalt) — hébergement exclusivement en Allemagne, dans le cadre juridique de l’UE.

Accès uniquement après connexionL’ensemble de l’application — interface et API — se trouve derrière une authentification en amont ; sans authentification unique via Microsoft Entra ID, elle n’est pas utilisable.

Transport chiffréVamiThreat n’est accessible qu’en HTTPS ; les requêtes HTTP non chiffrées sont redirigées vers HTTPS. Les navigateurs actuels se connectent en TLS 1.3.

LLM au choixLe modèle de langage des fonctions d’IA est au choix : un Qwen3.8 local dans le centre de données de VamiSec à Sankt Augustin — le traitement par l’IA reste alors en Allemagne — ou un fournisseur public comme Anthropic ou OpenAI. Aucun entraînement d’IA sur les données clients.

T Cloud PublicDeutsche Telekom · cloud souverain

BSI C5 Type II (ISAE 3000)
ISO/IEC 27001, 27017, 27018, 27701
SOC 1/2/3, TISAX AL 3
ISO 22301 (BCM), centres de données ISO 27001

Certificats, attestations et labels de la plateforme d’hébergement (Deutsche Telekom), délivrés par des auditeurs indépendants — pas de la VamiSec GmbH. Source : certificats & attestations T Cloud Public.

03 — Security Controls

Comment nous protégeons — par domaines.

Des contrôles concrets plutôt que du marketing. Ces mesures font partie de notre concept de sécurité et s’alignent sur le SMSI de VamiSec.

Sécurité des données

Transport chiffré (TLS, HTTPS imposé)
Données de la plateforme exclusivement dans des centres de données en Allemagne (SaaS) ; conservation et suppression régies par le contrat de traitement des données
Vos entrées — descriptions, documents, diagrammes — sont traitées par le LLM choisi, en local ou chez le fournisseur public
Aucun entraînement sur les données clients — nous n’entraînons pas nos propres modèles avec elles et n’intégrons des modèles externes que sous des conditions excluant l’entraînement

Sécurité applicative

Secure SDLC, des exigences à l’exploitation (détails ci-dessous)
Modélisation des menaces, revue de code et tests automatisés dans la CI
Aucune fonction utilisable sans connexion : interface et API uniquement après connexion SSO

Accès & identité

Authentification unique via Microsoft Entra ID (OpenID Connect)
Connexion via le flux OAuth 2.0 Authorization Code avant toute utilisation de l’application
Accès bêta réservé aux comptes du locataire Entra de VamiSec GmbH

Infrastructure

Hébergement souverain sur T Cloud Public (DE)
LLM local (Qwen3.8) au choix, exploité dans le centre de données de VamiSec à Sankt Augustin
Déploiement on-premise dans votre propre cluster Kubernetes (sur demande)

Résultats d’IA traçables

Diagramme de flux de données modifiable (Mermaid) avec frontières de confiance, base vérifiable du modèle
Pour chaque menace : chemin d’attaque, risque et mesure (Threat · Attack · Risk · Response)
Méthodologie transparente : STRIDE, MAESTRO, correspondance avec MITRE ATT&CK et ATLAS

Gestion des incidents

Processus de réponse aux incidents défini
Les clients concernés sont informés sans retard injustifié ; les détails sont régis par le contrat de traitement des données
Responsible disclosure via bugbounty.vamisec.com · security.txt

Gouvernance de l’IA & human-in-the-loop

Assisté par LLM, non autonome : l’IA enrichit, classe et propose des mesures
Les utilisateurs vérifient et corrigent les diagrammes analysés avant leur utilisation
Fournisseurs de LLM publics divulgués — intégrés uniquement sous des conditions excluant l’entraînement

Organisation & gouvernance

SMSI certifié ISO/IEC 27001 (DAkkS)
Formations de sensibilisation à la sécurité pour tous les collaborateurs
Processus de gestion des fournisseurs et des risques

Exploitation & protection des données

Exploité par VamiSec GmbH, dont le SMSI — y compris les produits numériques qui y sont liés — est certifié ISO/IEC 27001
Contrat de traitement des données (art. 28 RGPD) sur demande (privacy@vamisec.com)
Exploitation sur T Cloud Public — région twin-core Biere/Magdeburg

04 — Secure Software Development Lifecycle

Nous développons avec la même rigueur que celle que nous appliquons à nos tests.

Chez VamiThreat, la sécurité n’est pas une étape secondaire, mais ancrée dans chaque phase du développement — selon l’état de l’art, des exigences jusqu’à l’exploitation.

Ingénierie des exigences de sécurité

Les exigences de sécurité et de protection des données sont définies avant la première ligne de code.

Modélisation des menaces

Modélisation des menaces selon STRIDE et — pour les composants d’IA/d’agents — MAESTRO.

Revue de code

Les modifications sont relues avant leur intégration — en tenant compte de la sécurité et de la protection des données.

Tests automatisés

La suite de tests automatisés s’exécute dans la CI à chaque pull request.

Déploiement sécurisé

Exploitation sur T Cloud Public en Allemagne ; HTTPS imposé, accès uniquement après connexion.

Divulgation responsable

Nous recevons les signalements de sécurité via security@vamisec.com et notre programme de bug bounty — lisible par machine via security.txt (RFC 9116).

05 — Sous-traitants ultérieurs

En toute transparence — qui traite quelles données.

Nous faisons appel à un nombre volontairement restreint de sous-traitants ultérieurs soigneusement sélectionnés et indiquons pour chacun la finalité et la région de traitement. Nous informons nos clients à l’avance de toute modification.

Hébergement en Allemagne, connexion via Microsoft Entra ID dans l’UE. Si vous choisissez un LLM public via VamiSec pour les fonctions d’IA, Anthropic ou OpenAI traitent vos requêtes aux États-Unis (API directe) ; les transferts reposent sur les clauses contractuelles types de l’UE (CCT). Si vous enregistrez votre propre clé d’API, la relation contractuelle s’établit directement entre vous et le fournisseur ; ce sont alors les conditions du fournisseur avec vous qui s’appliquent, y compris concernant l’entraînement.

Sous-traitant ultérieur	Finalité	Région
Telekom Deutschland GmbH T Cloud Public	Hébergement cloud & infrastructure de VamiThreat dans la région de Biere/Magdeburg — uniquement en mode SaaS	DE
Microsoft Microsoft Entra ID	Connexion (authentification unique) à VamiThreat via le locataire Entra de VamiSec GmbH ; périmètre régional du locataire : UE, siège du groupe aux États-Unis — accès limités depuis des pays tiers possibles selon le DPA de Microsoft (CCT)	UE
Anthropic API Claude	Inférence IA (modèle de langage Claude) — uniquement si vous choisissez un LLM public via VamiSec pour les fonctions d’IA ; aucune utilisation pour l’entraînement selon les conditions contractuelles du fournisseur	États-Unis
OpenAI API OpenAI	Inférence IA (modèles de langage d’OpenAI) — uniquement si vous choisissez un LLM public via VamiSec pour les fonctions d’IA ; aucune utilisation pour l’entraînement selon les conditions contractuelles du fournisseur	États-Unis

Pas un sous-traitant ultérieur : VamiSec GmbH exploite elle-même le Qwen3.8 local dans son centre de données de Sankt Augustin. Si vous choisissez ce modèle, le traitement par l’IA reste en Allemagne, sans fournisseur tiers.

Liste complète et toujours à jour des sous-traitants ultérieurs, y compris le contact pour les notifications de modification : privacy@vamisec.com.

06 — Documents & justificatifs

VamiSec GmbH, exploitant de VamiThreat, dispose d’un système de management environnemental (SME/EMS) documenté selon ISO 14001:2026. Il est intégré à notre SMSI certifié ISO/IEC 27001 au sein d’un système de management intégré ; notre engagement en matière de durabilité est en outre évalué de manière externe par EcoVadis.

Système de management environnemental selon ISO 14001:2026Politique environnementale, registres des aspects environnementaux et des exigences légales, objectifs environnementaux mesurables avec indicateurs et responsabilité EMS clairement attribuée.

Intégré au SMSIL’EMS s’appuie sur les processus de notre SMSI certifié ISO/IEC 27001 — de la gestion des changements et des actions correctives jusqu’à la revue de direction commune.

Certification en préparationLa certification ISO 14001 par un organisme accrédité DAkkS est en préparation ; l’audit est prévu pour 2027.

EcoVadis Committed – Sustainability Rating

EcoVadisNotation de durabilité · Badge Committed 2026

Dans la notation de durabilité EcoVadis, VamiSec GmbH a obtenu le badge Committed en octobre 2026 — une reconnaissance de son amélioration continue en matière de durabilité.

La notation et le système de management environnemental portent sur VamiSec GmbH en tant qu’entreprise, qui développe et exploite VamiThreat.

08 — FAQ

Questions fréquentes lors de la due diligence.

Où nos données sont-elles stockées ?

En mode SaaS, nous stockons les données de la plateforme VamiThreat exclusivement dans des centres de données situés en Allemagne ; le cocontractant, le droit applicable et le for juridique sont allemands. Lorsqu’une fonction fait appel à des prestataires externes — par exemple pour l’identité ou l’IA —, nous indiquons le prestataire, la finalité et la région de traitement dans le tableau des sous-traitants ultérieurs.

VamiThreat est-il certifié ISO 27001 ?

VamiThreat est exploité par VamiSec GmbH, dont le SMSI est certifié ISO/IEC 27001 par un organisme accrédité DAkkS ; il n’existe pas de certificat propre au produit VamiThreat. Selon le certificat, le périmètre couvre les prestations de conseil en sécurité de l’information, « les produits numériques qui y sont liés et les installations de traitement de l’information associées … » (certificat DE-IS-20250191, ISO/IEC 27001:2022, valable jusqu’au 18 septembre 2028).

Comment les utilisateurs s’authentifient-ils ?

Par authentification unique avec Microsoft Entra ID (OpenID Connect, flux OAuth 2.0 Authorization Code). L’ensemble de l’application — interface et API — se trouve derrière une authentification en amont et n’est pas utilisable sans connexion. Pendant la phase bêta, les utilisateurs se connectent avec des comptes du locataire Entra de VamiSec GmbH ; l’accès à la bêta est possible sur demande.

Quels modèles d’IA VamiThreat utilise-t-il, et voient-ils nos données ?

VamiThreat est assisté par LLM, mais n’agit pas de manière autonome : le modèle de langage enrichit vos informations d’architecture, classe les menaces et propose des mesures. Pour cela, il traite vos entrées — descriptions, documents téléversés (Word, texte, PDF) et images de diagrammes. Le modèle est au choix : un Qwen3.8 local dans le centre de données de VamiSec à Sankt Augustin — le traitement par l’IA reste alors en Allemagne — ou un fournisseur public comme Anthropic ou OpenAI, avec un traitement aux États-Unis sur la base des clauses contractuelles types de l’UE. Nous n’utilisons pas les données clients comme données d’entraînement : nous n’entraînons ni n’affinons aucun modèle d’IA avec elles, et nous n’intégrons des modèles d’IA externes que sous des conditions contractuelles qui excluent toute utilisation pour l’entraînement. Vous vérifiez et corrigez les diagrammes analysés avant leur utilisation.

Comment serons-nous informés en cas d’incident de sécurité ?

Nous suivons un processus de réponse aux incidents défini et informons les clients concernés sans retard injustifié ; les détails sont régis par le contrat de traitement des données. Les chercheurs en sécurité peuvent nous joindre via bugbounty.vamisec.com — lisible par machine selon la RFC 9116 : /.well-known/security.txt.

Nos données servent-elles à entraîner des modèles d’IA ?

Non. Nous n’utilisons pas les données clients comme données d’entraînement : nous n’entraînons ni n’affinons aucun modèle d’IA avec elles, et nous ne connectons des modèles d’IA externes que dans le cadre de conditions contractuelles excluant toute utilisation pour l’entraînement. Le tableau des sous-traitants ultérieurs indique si VamiThreat fait appel à des fournisseurs d’IA externes, et lesquels.

Comment obtenons-nous l’accès aux documents confidentiels ?

Les documents publics sont directement accessibles. Pour la déclaration d’applicabilité, les livres blancs d’architecture ou les questionnaires renseignés, une brève demande à security@vamisec.com suffit ; les justificatifs soumis à NDA sont communiqués après signature.

VamiThreat est-il en disponibilité générale ?

VamiThreat est actuellement en phase bêta. L’accès à la bêta est possible sur demande — le plus simple est de réserver une démo.

Pouvons-nous exploiter VamiThreat dans notre propre environnement ?

Oui, sur demande. Outre l’exploitation SaaS sur T Cloud Public, une exploitation sur site, dans votre propre cluster Kubernetes, est possible ; Telekom Deutschland GmbH n’intervient alors pas comme sous-traitant ultérieur. Dans ce cas, un modèle de langage local s’exécute sur votre propre infrastructure GPU.

D’autres questions ?

Échangez avec notre équipe.

Nous répondons à vos questions de sécurité et de conformité et fournissons les justificatifs dont votre service achats a besoin.

Réserver une démo security@vamisec.com