Conformité
Plateforme SaaS pour courtiers intégrant RGPD, LCB-FT, traçabilité, gouvernance IA et sécurité cloud-native.
La conformité et la sécurité ne sont pas ajoutées après le développement. Elles structurent l’architecture fonctionnelle et technique dès l’origine.
La plateforme est conçue pour : produire des preuves, limiter les risques opérationnels, tracer les décisions, contrôler les accès, structurer les responsabilités. La conformité devient une propriété du système.
Chaque action significative effectuée dans la plateforme est :
Cela concerne notamment la création ou modification d’un contrat, validation d’un document, modification d’un paramétrage, interaction avec l’IA, validation d’une recommandation.
L’objectif est double : sécuriser les décisions internes, permettre une restitution claire en cas d’audit.
La journalisation couvre :
Les journaux sont centralisés, protégés contre l’altération, conservés selon une politique de rétention définie.
La conservation respecte les exigences réglementaires applicables, les durées adaptées aux objets métiers concernés, les obligations liées aux contrôles internes.
La plateforme permet de démontrer :
Cette capacité d’auditabilité est essentielle pour les contrôles internes, les audits externes, les demandes de justification réglementaire.
La plateforme est conçue pour limiter la collecte de données au strict nécessaire. Les formulaires et processus évitent les champs non justifiés, distinguent les données obligatoires des données facultatives, structurent les informations selon leur finalité. La minimisation n’est pas déclarative. Elle est intégrée dans la conception des écrans et des flux.
La protection des données repose notamment sur chiffrement des communications, contrôle des accès par rôle, séparation des environnements, gestion centralisée des secrets, surveillance des accès sensibles. Les habilitations sont attribuées selon le principe du moindre privilège. Un utilisateur ne peut accéder qu’aux données nécessaires à sa fonction.
La structuration des données permet d’identifier les données rattachées à une personne, corriger une information, exporter les données lorsque nécessaire, anonymiser ou supprimer selon les règles applicables. Les opérations sensibles sont tracées, attribuées, documentées.
Chaque traitement structuré dans la plateforme correspond à une finalité identifiée, repose sur une base légale, peut être documenté. Les évolutions importantes peuvent donner lieu à une analyse d’impact lorsque nécessaire. La conformité RGPD repose sur une articulation entre architecture technique, règles de gestion, gouvernance interne.
La lutte contre le blanchiment et le financement du terrorisme (LCB-FT) repose sur l’identification des parties, la collecte de pièces justificatives, la traçabilité des vérifications, la conservation des preuves. La plateforme permet d’associer à un dossier les éléments d’identification, les pièces collectées, les dates de contrôle, l’identité du contrôleur.
Les diligences effectuées sont enregistrées, horodatées, rattachées à un dossier précis. En cas de revue interne ou externe, il est possible de démontrer : les étapes suivies, les pièces examinées, les validations réalisées. La plateforme ne remplace pas l’analyse humaine. Elle structure la preuve de cette analyse.
La plateforme repose sur une infrastructure cloud structurée. Les principes appliqués incluent séparation des environnements (développement, test, production), gestion centralisée des identités, contrôle des accès par rôle (RBAC), journalisation des événements critiques. L’architecture est conçue pour limiter les accès non autorisés, les modifications non tracées, les dépendances techniques fragiles.
Les accès sont nominatifs, authentifiés, soumis à des règles de sécurité renforcées, révisés périodiquement. Les rôles sont définis selon les fonctions métier, les responsabilités, le principe de séparation des tâches lorsque pertinent. Les accès sensibles peuvent faire l’objet de contrôles renforcés, de validations spécifiques.
Les éléments sensibles (clés, secrets, identifiants techniques) ne sont pas stockés dans le code. Ils sont centralisés, protégés, soumis à des règles de rotation. Cette organisation limite les risques d’exposition accidentelle.
La plateforme met en œuvre des sauvegardes régulières, une politique de conservation définie, des tests de restauration périodiques. L’objectif est de garantir la disponibilité des données, la capacité de reprise, la continuité opérationnelle.
L’IA intervient comme assistance. Certaines catégories d’usage peuvent imposer validation humaine obligatoire, seuils de confiance, limitation du périmètre documentaire. Les règles sont définies et documentées.
Les éléments suivants sont versionnés : modèles utilisés, corpus documentaire, règles de génération, instructions adressées au modèle. Chaque interaction importante conserve la requête, le contexte utilisé, la réponse produite, l’utilisateur, la date.
L’IA : cite ses sources, indique le périmètre utilisé, ne prend pas de décision autonome, ne s’appuie pas sur un corpus indéterminé. La décision finale appartient à l’utilisateur.
L’environnement réglementaire évolue. La plateforme est conçue pour :
La modularité technique permet d’intégrer des évolutions sans remettre en cause l’architecture globale.