La version allemande fait foi. Cette traduction est fournie à titre informatif.
Données chiffrées hébergées à Zurich · Souveraineté des clés en Suisse · nLPD, RGPD et règlement européen sur l'IA · Exploitation sur infrastructure certifiée ISO 27001 et SOC 2 Type II
Cette page décrit la plateforme en exploitation régulière, telle qu'elle est mise à la disposition des nouveaux clients.
Vos données restent en Suisse
Toutes les données clients, contractuelles et documentaires sont conservées chiffrées dans un centre de calcul certifié à Zurich, y compris les données auxquelles la recherche accède. Ces données ne se trouvent pas aux États-Unis
Clé matérielle suisse
La clé principale pour les indications particulièrement sensibles est conservée dans un module matériel de sécurité en Suisse, en dehors de l'infrastructure de nos fournisseurs cloud. Elle ne quitte pas le module.
Aussi pour les données sensibles
Numéros AVS, données de santé, données contractuelles : conçu précisément pour les catégories devant lesquelles les autres outils reculent
Deux lois, un standard
Traitement IA conformément au droit de la protection des données en vigueur : nLPD révisée, RGPD européen et exigences du règlement européen sur l'IA
Prouvable sans lacune
Chaque étape de conseil est journalisée par chaînage cryptographique et conservée dix ans. Inaltérable a posteriori, exactement la preuve que votre autorité de surveillance attend
Vos données n'entraînent rien
Aucun entraînement de modèle, aucune conservation et aucun accès par le personnel du fournisseur IA — garanti contractuellement
Analyse par IA dans des centres de calcul de l'UE, sans entraînement sur vos données
→
Résultat dans le dossier
Le résultat se trouve en Suisse et chaque étape demeure traçable
Localisation des données et souveraineté
Tout ce qui est stocké reste chiffré en Suisse.
Base de données et mémoire principale dans un centre de calcul suisse certifié à Zurich
Les données auxquelles la recherche accède se trouvent également en Suisse
Journaux d'audit en Suisse avec conservation de 10 ans
Vos données se trouvent en Suisse et sont traitées en Suisse : l'application, la base de données et le stockage de fichiers fonctionnent à Zurich. Seule l'analyse par IA fait exception : un document est alors transmis chiffré à des centres de calcul de l'UE, avec garantie contractuelle et sans entraînement sur vos données ; le résultat se trouve à nouveau en Suisse. Le stockage et l'analyse ont donc lieu exclusivement en Suisse et dans l'UE.
Chiffrement
Votre propre coffre numérique. Sans notre autorisation, les indications particulièrement sensibles telles que les numéros AVS restent illisibles.
AES-256 pour toutes les données stockées, TLS 1.2+ pour chaque connexion
Chiffrement au niveau des champs pour les indications particulièrement sensibles : numéros AVS, dates de naissance, numéros de police, déclarations de sinistre
Gestion des clés adossée au matériel avec rotation régulière
La souveraineté des clés appartient à une entreprise suisse, la base de données peut être rendue cryptographiquement illisible à tout moment
Clé matérielle suisse : la clé principale pour les indications particulièrement sensibles est conservée dans un module matériel de sécurité en Suisse, en dehors de l'infrastructure de nos fournisseurs cloud, et ne quitte pas le module
Sécurité réseau
Notre base de données n'est pas accessible depuis l'internet ouvert.
Private Networking, base de données jamais accessible via l'internet public
Connexion cloud privée, la base de données n'est pas accessible via l'internet public, mais uniquement via un tunnel réseau interne privé
Infrastructure isolée du réseau en Suisse
Résolution DNS privée, les adresses ne sont résolues qu'à l'intérieur du réseau interne
Un service de protection spécialisé contre les attaques par saturation et les attaques automatisées est placé devant la plateforme. Il contrôle chaque requête en mémoire vive et la transmet chiffrée à l'application à Zurich ; il ne stocke aucun contenu du portail.
IA avec protection des données
Le stockage se fait à 100 % en Suisse. L'IA analyse vos documents dans des centres de calcul de l'UE, avec garantie contractuelle et sans entraînement sur vos données.
L'IA traite. Et oublie aussitôt.
L'IA ne lit un document qu'en mémoire vive, dans des centres de calcul de l'UE. Après l'analyse, il n'en reste rien sur place.
0
Conservation après le traitement
0
Accès par des personnes chez le fournisseur IA
0
Entraînement sur vos données
Analyse par IA exclusivement dans des centres de calcul situés dans des États membres de l'UE, garantie contractuellement
Aucun entraînement de modèle, aucune conservation et aucun accès par le personnel du fournisseur IA, garanti contractuellement
Pour les recherches générales sur le marché et l'actualité, la plateforme utilise une recherche sur Internet. Les données des clients et des documents ne sont pas transmises à cette recherche.
Conçu pour la nLPD, le RGPD et les exigences du règlement européen sur l'IA
Chaque analyse reste traçable et est journalisée de manière inaltérable
Contrôle d'accès
Chaque mandant est techniquement séparé. La connexion à 2 facteurs est obligatoire.
Multi-Factor Authentication (MFA) pour tous les collaborateurs
Role-Based Access Control (RBAC) selon le principe du moindre privilège
Strict Tenant Isolation, séparation multi-mandants au niveau des données
Service Accounts séparés avec autorisations minimales
L'accès aux clés de chiffrement est séparé de tout autre accès système et autorisé de manière distincte
Utilisateurs de base de données séparés pour App, Analytics et Backup
Audit et monitoring
Chaque accès est journalisé, immuable pendant 10 ans.
Journalisation par chaîne de hash de toutes les mutations métier ainsi que de tous les accès aux données particulièrement sensibles (read_sensitive) ; en complément, audit de base de données côté serveur au niveau infrastructure
Plateforme de logs centrale avec conservation à long terme
Journal d'audit immuable et chaîné par hachage, sans voie de suppression, conservé en Suisse
Monitoring 24/7 de l'infrastructure
Sauvegardes et reprise après sinistre
Les sauvegardes quotidiennes, également chiffrées, restent en Suisse.
Continuous Backups avec Point-in-Time Recovery
Sauvegardes en Suisse, pas de réplication cross-region en dehors de CH/UE
Sauvegardes chiffrées avec les mêmes clés que le système productif
Buckets de stockage versionnés (résistants aux ransomwares)
Stockage de fichiers
Les fichiers ne sont jamais publics. Les liens d'upload sont valables 15 minutes au maximum.
Public Access Prevention impérativement activé
Contrôle d'accès uniforme au niveau du conteneur, aucun fichier accidentellement rendu public
Clés de chiffrement propres également pour le stockage de fichiers
Signed URLs à courte validité (max. 15 minutes pour les uploads)
Lifecycle Rules pour les données temporaires
Access Logging sur un bucket d'audit séparé
Cadres de conformité
Infrastructure auditée selon les standards suisses, européens et internationaux.
Aligné sur la nLPD (loi suisse révisée sur la protection des données)
Aligné sur le RGPD / GDPR
Aligné sur les exigences du règlement européen sur l'IA (règlement 2024/1689)
ISO 27001 + SOC 2 Type II, l'ensemble de l'infrastructure serveur et pipeline sur laquelle SOTHURA SAFE est exploité tourne dans des centres de calcul certifiés ISO 27001 et SOC 2 Type II
Circulaire FINMA 2018/3 Outsourcing, alignée sur les exigences pour les clients assureurs
Information, suppression, export. Réglés en 30 jours au plus.
Information, rectification, suppression en ≤ 30 jours
Portabilité des données, export de vos propres données possible à tout moment
Notification d'incident aux autorités de surveillance et personnes concernées, aussi rapidement que possible (art. 24 nLPD) ; en cas de référence UE en outre dans les 72 heures (art. 33 RGPD)
Annonces de sécurité :security [at] sothura [dot] com, de préférence chiffrées. Demandes de protection des données : datenschutz [at] sothura [dot] com.
Nous répondons aux signalements qualifiés dans les trois jours ouvrés. Veuillez indiquer un chemin de reproduction clairement décrit, le composant concerné et — dans la mesure du possible — une évaluation de l'impact.
Safe Harbor. Nous ne poursuivons pas civilement ou pénalement les chercheurs en sécurité, tant que (i) le signalement est fait de bonne foi, (ii) seuls des comptes de test propres sont utilisés, (iii) aucune donnée client tierce n'est consultée, copiée ou divulguée, (iv) aucun test de déni de service ou attaque par ingénierie sociale contre les collaborateurs n'est effectué et (v) un délai raisonnable de correction est accordé avant publication. Les tests d'intrusion non autorisés, l'exploitation de vulnérabilités au-delà de la profondeur nécessaire au signalement ainsi que la captation de données tierces sont inadmissibles et seront poursuivis pénalement (art. 143, 143bis, 144bis CP).
Avril 2026: Publication initiale de la page Sécurité.
Les mentions légales
SOTHURA SAFE GmbH, Wassergasse 5, 4573 Lohn-Ammannsegg, canton de Soleure. Inscrite au registre du commerce du canton de Soleure, IDE CHE-429.131.582. La direction est assurée par Silvio Siegenthaler et Michel Di Vito, signature collective à deux. L'identification complète du fournisseur figure dans les mentions légales.