Livre blanc sur la sécurité

1. Périmètre et modèle de service

Phaseo propose un répertoire public de modèles d’IA, un tableau de bord client et une passerelle API qui transmet les requêtes à des fournisseurs d’IA tiers. Ce document couvre l’application, la passerelle, les espaces de stockage et les intégrations opérationnelles contrôlés par Phaseo. Il ne décrit pas les contrôles d’un fournisseur d’IA ni d’une destination configurée par le client.

Le site public est une application Next.js hébergée par Vercel et distribuée derrière Cloudflare. La passerelle s’exécute sur Cloudflare Workers. Supabase fournit l’authentification et la principale base de données relationnelle. Les autres services figurent dans le registre des sous-traitants.

2. Flux de données de la passerelle

3. Choix et exceptions relatifs au stockage du contenu

Phaseo ne garantit pas une conservation nulle des données dans tous les cas. En plus du cache de réponse à courte durée de vie, les choix suivants du client peuvent prolonger le stockage du contenu :

• Journalisation privée des entrées/sorties (I/O): Un paramètre d’espace de travail, disponible uniquement si la fonctionnalité est activée, peut stocker les requêtes, les réponses et les charges utiles facultatives du fournisseur dans un Cloudflare R2 privé pendant 90, 180 ou 365 jours. Cette option est désactivée par défaut.
• Contribution de données: Une acceptation explicite peut enregistrer les prompts et réponses réussis, hors BYOK, dans un Cloudflare R2 privé pendant 30 jours au maximum. Phaseo applique une rédaction au mieux, mais les clients ne doivent pas la considérer comme une garantie. Un échantillon configuré est envoyé à OpenAI, avec le stockage API désactivé, pour classifier les tâches de manière asynchrone.
• Exports d’observabilité et notifications: Selon leurs paramètres, les destinations configurées par le client peuvent recevoir des prompts, des réponses, des métadonnées ou le contenu d’alertes.
• API asynchrones et multimédias: Les fournisseurs peuvent conserver l’état des tâches, les fichiers, les entrées ou les ressources générées pendant les durées qu’ils documentent. Phaseo stocke les métadonnées des tâches et de facturation nécessaires au rapprochement de ces requêtes.

La désactivation d’une fonctionnalité de stockage Phaseo arrête les nouvelles captures après propagation du changement et la fin des tâches en cours. Elle ne supprime pas les données déjà reçues par un fournisseur d’IA ou une destination configurée par le client.

4. Contrôles techniques actuels

5. Logiciels et gestion des changements

Le dépôt principal de Phaseo est public. Les changements utilisent le contrôle de version, des fichiers de verrouillage des dépendances, des vérifications automatiques de lint et de types, ainsi que des tests automatisés ciblés. Les validations axées sur la sécurité couvrent certaines limites de secrets, les politiques de base de données, les flux d’authentification et les contrats de la passerelle.

Ces pratiques réduisent les risques, mais ne prouvent pas que chaque changement fait l’objet d’une revue formelle de sécurité ni que le service est exempt de vulnérabilités. Phaseo ne publie actuellement ni certification de développement sécurisé ni contrôle de gestion des changements audité indépendamment.

6. Disponibilité et gestion des incidents

Phaseo utilise une infrastructure gérée et un routage basé sur l’état des fournisseurs pour limiter certaines défaillances. incident.io héberge la page d’état publique. Phaseo ne propose pas de SLA contractuel de disponibilité pour le service public et ne prétend pas que ses processus de réponse aux incidents ou de continuité d’activité ont été testés de manière indépendante.

Les incidents de sécurité impliquant des données personnelles sont évalués au regard des obligations de notification applicables. La politique publique de signalement des vulnérabilités vise un accusé de réception des signalements de bonne foi sous trois jours ouvrés ; il s’agit d’un objectif opérationnel, pas d’un délai contractuel de résolution.

7. Responsabilités du client

• N’envoyez pas de données sensibles ou réglementées, sauf si la configuration choisie de Phaseo et du fournisseur d’IA est adaptée à ces données.
• Vérifiez les conditions de conservation, d’entraînement, de résidence et d’utilisation acceptable du fournisseur avant d’activer une route.
• Utilisez des listes d’autorisation de fournisseurs et des contrôles de routage privé lorsque le choix de la route est important.
• Protégez et renouvelez les identifiants de compte, API, gestion, BYOK, webhook et OAuth.
• Limitez les membres de l’espace de travail et les autorisations OAuth aux besoins de chaque personne ou application.
• Vérifiez les paramètres de journalisation privée I/O, de contribution de données, de cache des réponses, d’observabilité et de notifications avant toute utilisation en production.

8. Lacunes connues en matière d’assurance

• Aucune certification Phaseo SOC 2, ISO 27001, PCI DSS, HIPAA ou équivalente n’est revendiquée.
• Aucun test d’intrusion indépendant achevé ni rapport d’audit public n’est revendiqué.
• Aucune garantie universelle de conservation nulle des données ou d’absence d’entraînement ne s’applique à tous les fournisseurs.
• Aucune garantie de résidence régionale de bout en bout ne s’applique à toutes les routes.
• Les durées générales de conservation pour toutes les catégories de comptes, métadonnées, sauvegardes, assistance et journaux opérationnels ne sont pas encore réunies dans un registre public unique.

9. Contact

Envoyez les signalements de sécurité à [email protected]. Envoyez les questions sur la confidentialité, le DPA et les sous-traitants à [email protected].