Sécurité, conformité et souveraineté — rendues transparentes.

Exclusivement dans des centres de données de T Cloud Public (Deutsche Telekom) en Allemagne, à Biere/Magdeburg. Les données de la plateforme relèvent du droit européen — le cocontractant, le droit applicable et le for juridique sont allemands ; les métadonnées d'identité et de rendez-vous sont traitées via Microsoft dans la région UE.

VamiRedteam est exploité par VamiSec GmbH, dont le SMSI est certifié selon la norme ISO/IEC 27001 par un organisme accrédité DAkkS. L’exploitation de VamiRedteam suit les processus de ce système de management. Le périmètre certifié couvre expressément, outre les prestations de conseil, les produits numériques qui y sont liés ainsi que les installations de traitement de l’information associées (certificat DE-IS-20250191, ISO/IEC 27001:2022, valable jusqu’au 18 septembre 2028). La plateforme d’hébergement T Cloud Public apporte en outre une attestation BSI C5, des certificats ISO 27001, un label TISAX (AL 3) et des rapports SOC 1/2/3.

Par Single Sign-On avec authentification multifacteur imposée via Microsoft Entra External ID (OIDC). Les sessions reposent sur des cookies httpOnly à courte durée de vie ; l'accès suit le principe du moindre privilège.

Grâce à l'Authorization Cage : le périmètre est en liste blanche uniquement, chaque mission est couverte par des Authorization Letters signées, les cibles hors périmètre sont bloquées de manière stricte, et chaque opération active est consignée dans un journal d'audit chaîné par hachage.

Nous suivons un processus de réponse aux incidents défini et informons rapidement les clients concernés — en visant un premier rapport sous 24 heures. Signalez les vulnérabilités de sécurité en toute confidentialité à security@vamisec.com — également lisible par machine via /.well-known/security.txt (RFC 9116).

L'intégration du LLM est configurable. Sur demande, nous utilisons des modèles hébergés en Europe ou en self-hosted, de sorte que les prompts et les findings ne quittent pas la zone de confiance européenne. Vos données ne sont pas utilisées pour entraîner des modèles d'IA : nous n'utilisons ni les données du scope, ni les prompts, ni les findings, ni les rapports pour entraîner ou affiner nos propres modèles, et nous n'intégrons des modèles externes que sous des conditions contractuelles qui excluent toute utilisation pour l'entraînement par le fournisseur. Les résultats font l'objet d'un triage humain avant le reporting.

Les documents publics sont directement accessibles. Pour les synthèses de tests d'intrusion, les livres blancs d'architecture ou les questionnaires renseignés, une brève demande à security@vamisec.com suffit ; les justificatifs soumis à NDA sont communiqués après signature.

Nous surveillons la plateforme en continu (monitoring centralisé, appuyé par le SOC) et annonçons les maintenances planifiées à l’avance. Les engagements contractuels de disponibilité (SLA) sont convenus dans le cadre du contrat — parlez-en avec nous. Vérifiez l’état opérationnel actuel en direct sur status.vamiredteam.com.

Les données de production sont supprimées sous 30 jours après la fin du contrat ; les sauvegardes sont ensuite écartées automatiquement sous 90 jours supplémentaires (délais convenus dans le DPA). Vous pouvez exporter vos données avant la suppression.