Comment un éditeur de sécurité gagne le droit d'en être un
Un outil de sécurité auquel vous ne faites pas confiance n'est pas un outil de sécurité. Cette page présente sans filtre la posture de sécurité de Zero Hunt elle-même : ce que nous détenons, ce sur quoi nous travaillons, qui traite quelles données pour notre compte et comment nous signaler une vulnérabilité.
Certifications et assurance
Où nous en sommes aujourd'hui, pas où nous voulons être. Le statut reflète la réalité actuelle — nous le mettons à jour au fil des audits.
ISO/IEC 27001:2022
En coursSystème de management de la sécurité de l'information dans le périmètre. Audit de phase 1 (Stage 1) prévu au S2 2026.
SOC 2 Type II
PlanifiéPrévu pour 2027, dès qu'une fenêtre d'observation de 12 mois sera réalisable.
Test d'intrusion annuel de l'appliance par un tiers
ActifMission offensive externe menée chaque année par une société indépendante contre l'image de l'appliance Zero Hunt. Les vulnérabilités sont corrigées selon notre propre politique de divulgation.
EU AI Act — documentation haut risque
En coursNous traitons Zero Hunt comme un système d'IA à haut risque et tenons sa documentation à ce niveau d'exigence (articles 9–19) avant même les obligations, applicables à partir du 2 décembre 2027 après l'AI Omnibus de 2026 : système de gestion des risques, documentation technique, journalisation, contrôle humain avec commande d'arrêt, surveillance après commercialisation. Documents disponibles pour les clients sous NDA.
Conformité RGPD (Règlement (UE) 2016/679)
ActifPolitique de confidentialité, DPO désigné, modèle de DPA disponible sur demande. L'architecture on-premise minimise les flux de données dès la conception.
Sous-traitants (site web uniquement)
Ces sous-traitants gèrent uniquement le site zerohunt.ai, le contact commercial et la mesure d'audience. L'appliance Zero Hunt elle-même fonctionne entièrement on-premise, dans le périmètre du client, et n'a aucun sous-traitant par conception — c'est l'architecture, pas un argument marketing. Toute modification substantielle des sous-traitants du site est notifiée à l'adresse que vous avez utilisée pour nous contacter, avec un préavis d'au moins 30 jours.
| Subprocessor | Juridiction | Garanties |
|---|---|---|
Cloudflare, Inc. Hébergement du site web (zerohunt.ai), CDN, Cloudflare Web Analytics (sans cookies). | USA | EU-US Data Privacy Framework + clauses contractuelles types. |
Google LLC / Google Ireland Limited Google Analytics 4 avec IP anonymisée, signaux publicitaires désactivés. Activé par défaut pour la mesure d'audience ; tout visiteur peut le désactiver dans le bandeau cookies (voir la politique de confidentialité). | États-Unis / Irlande | EU-US Data Privacy Framework + clauses contractuelles types. Consent Mode v2. |
Infrastructure e-mail auto-hébergée dans l'UE Correspondance par e-mail et acheminement des messages du formulaire de contact. | UE (Italie) | Exploitée dans le périmètre du responsable du traitement ; aucun sous-traitant tiers. |
Divulgation des vulnérabilités
Vous avez trouvé un problème de sécurité affectant zerohunt.ai, l'appliance Zero Hunt ou un service en aval ? Nous suivons un modèle de divulgation coordonnée :
- Signalez-le à [email protected] ou via le fichier lisible par machine /.well-known/security.txt.
- Nous accusons réception sous 5 jours ouvrés.
- La fenêtre de divulgation par défaut est de 90 jours à compter de l'accusé de réception ; nous la prolongeons sur demande lorsque la correction exige plus de temps.
- Les chercheurs agissant de bonne foi ne feront l'objet d'aucune poursuite. Hors périmètre : ingénierie sociale, attaques physiques, déni de service.
- Sur demande, les auteurs de signalements reconnus sont crédités sur cette page.
Nous utilisons notre propre moteur contre nous-mêmes
L'image de l'appliance Zero Hunt fait l'objet d'un test d'intrusion annuel par un tiers indépendant. En interne, le même moteur génératif à 10 agents que nous vendons à nos clients s'exécute chaque nuit contre un déploiement représentatif de l'appliance, ainsi que contre le site web et l'infrastructure e-mail. Les vulnérabilités alimentent le même espace d'artefacts du Trust Center et le même registre de preuves signé et chaîné par hachage (Ed25519) que celui des déploiements clients.
EU AI Act — documentation de système à haut risque
Nous traitons le moteur offensif de Zero Hunt comme un système d'IA à haut risque au sens de l'annexe III du règlement (UE) 2024/1689 (infrastructures critiques) et tenons sa documentation technique, son système de gestion des risques, sa journalisation, ses contrôles de supervision humaine, y compris la commande d'arrêt, et sa surveillance après commercialisation au niveau des articles 9–19, avant même les obligations applicables à partir du 2 décembre 2027. Les documents de conformité détaillés sont disponibles pour les clients sous NDA via le formulaire de contact (motif : juridique).
Comment nous traitons les données
- Télémétrie client issue de l'appliance : ne quitte jamais le périmètre du client. Zero Hunt ne voit, ne collecte ni ne traite aucune donnée provenant des appliances en production. L'architecture on-prem est la garantie.
- Données de contact du site / commerciales : stockées sur une infrastructure hébergée dans l'UE ; conservation limitée au strict nécessaire ; l'ensemble de vos droits est décrit dans notre Politique de confidentialité.
- Télémétrie de mise à jour (facultative) : lorsque les clients acceptent la télémétrie anonyme de réussite des mises à jour depuis le serveur de synchronisation, les données transmises se limitent à l'ID de release + statut + horodatage. Les déploiements en air-gap ne transmettent rien.
Contacts sécurité et confidentialité
- Divulgation des vulnérabilités : security(at)zerohunt.ai
- Délégué à la protection des données (RGPD) : dpo(at)zerohunt.ai
- Juridique / DPA : formulaire de contact — « Juridique, confidentialité ou DPA »
Dernière révision: 18 mai 2026