Vamiset Trust Center

Sécurité, conformité et souveraineté — rendues transparentes.

Vamiset est la solution de VamiSec pour la découverte des actifs et la conformité continue, avec des connexions en lecture seule aux comptes cloud, aux dépôts de code et à BambooHR. Ce Trust Center montre comment nous protégeons les données, où nous hébergeons et comment nous développons de manière sécurisée.

Certifié ISO/IEC 27001:2022 SMSI de VamiSec GmbH · Proks Certification GmbH (accréditée DAkkS) · certificat n° DE-IS-20250191 · valable jusqu’au 18 septembre 2028 Télécharger le certificat (PDF) ⤓

Consulter les documents security@vamisec.com

ExploitantVamiSec GmbH · Bonn, Allemagne

HébergementT Cloud Public · Allemagne

Signaler un incident de sécuritésecurity@vamisec.com

Dernière mise à jour13 octobre 2026

StatutEn production

01 — Conformité & certifications

Construit sur des fondations certifiées.

Vamiset est exploité par VamiSec GmbH, dont le système de management de la sécurité de l’information est certifié ISO/IEC 27001 par un organisme accrédité DAkkS. Nous indiquons de manière transparente ce qui est certifié, ce qui est en préparation et ce qui relève d’une attestation de la plateforme d’hébergement.

ISO/IEC 27001

SMSI de VamiSec GmbH — certifié par Proks Certification GmbH (accréditée DAkkS), valable jusqu’en 09/2028.

Certifié

ISO/IEC 42001

Système de management de l’IA de VamiSec en cours de mise en place — certification ISO/IEC 42001 en préparation.

En préparation

RGPD / GDPR

Contrat de traitement des données (DPA) propre au produit, au titre de l’art. 28 du RGPD — sur demande via privacy@vamisec.com ; sous-traitants ultérieurs publiés.

DPA produit disponible

BSI C5 · ISO 27001 · TISAX

Attestation, label & certificats de la plateforme d’exploitation T Cloud Public (Deutsche Telekom).

Plateforme d’hébergement

ISO 14001

Système de management environnemental de VamiSec GmbH mis en place selon ISO 14001:2026 — certification en préparation.

En préparation

EcoVadis

Notation de durabilité de VamiSec GmbH — badge Committed, obtenu en octobre 2026.

Badge Committed

02 — Hébergement & souveraineté numérique

Hébergé de manière souveraine en Allemagne — sous le droit européen.

En mode SaaS, Vamiset est hébergé sur T Cloud Public (anciennement Open Telekom Cloud) de Deutsche Telekom — un cloud européen souverain, exclusivement dans des centres de données en Allemagne. Les données de la plateforme relèvent du droit européen ; le cocontractant est allemand, le droit allemand s’applique et la juridiction compétente se trouve en Allemagne. L’inventaire des actifs, les instantanés de configuration et les constats sont stockés dans ces centres de données ; Vamiset n’utilise aujourd’hui aucune fonction d’IA.

Centres de données en Allemagne uniquementRégion Twin-Core Biere/Magdeburg (Saxe-Anhalt) — hébergement exclusivement en Allemagne, dans le cadre juridique de l’UE.

Modèles d’exploitationSaaS sur T Cloud Public ; sur demande, également exploitation sur votre propre cluster Kubernetes (on-premise).

Accès en lecture seuleVamiset connecte les comptes cloud (AWS, Azure, GCP), les dépôts (GitHub, GitLab) et BambooHR exclusivement avec des droits de lecture.

Aucune fonction d’IA à ce jourVamiset est un outil de sécurité classique sans fonction d’IA. Nous n’utilisons pas les données clients comme données d’entraînement.

T Cloud PublicDeutsche Telekom · cloud souverain

BSI C5 Type II (ISAE 3000)
ISO/IEC 27001, 27017, 27018, 27701
SOC 1/2/3, TISAX AL 3
ISO 22301 (BCM), centres de données ISO 27001

Certificats, attestations et labels de la plateforme d’hébergement (Deutsche Telekom), délivrés par des auditeurs indépendants — et non de VamiSec GmbH. Source : certificats & attestations T Cloud Public.

03 — Contrôles de sécurité

Comment nous protégeons — par domaines.

Des informations concrètes plutôt que du marketing : cette section présente ce qui s’applique à Vamiset aujourd’hui — d’autres détails techniques sont disponibles sur demande. Les mesures s’alignent sur le SMSI de VamiSec.

Sécurité des données

En mode SaaS, données de la plateforme exclusivement dans des centres de données en Allemagne
Délais de suppression et de conservation définis, régis par le contrat de traitement des données (DPA) propre à Vamiset (sur demande via privacy@vamisec.com)
Chiffrement des données au repos (at rest) et en transit (TLS)
Aucun entraînement sur les données clients — ni pour nos propres modèles, ni pour des modèles d’IA externes

Sécurité applicative

Secure SDLC, des exigences à l’exploitation (détails ci-dessous)
Modélisation des menaces, revue de code et tests automatisés dans la CI

Accès & identité

Accès en lecture seule à vos systèmes — aucun accès en écriture par Vamiset
La gestion des habilitations fait partie du SMSI certifié ISO/IEC 27001 de VamiSec GmbH ; accès aux données clients de Vamiset : informations sur demande
Connexion à Vamiset avec authentification multifacteur (MFA) ; détails du modèle de rôles sur demande

Infrastructure

Hébergement souverain sur T Cloud Public (DE)
Exploitant et cocontractant : VamiSec GmbH, Bonn — droit allemand, juridiction compétente en Allemagne
Cloisonnement des locataires et isolation réseau : informations sur demande

Preuves pour vos audits (fonctionnalité produit)

Instantané de configuration par actif à chaque découverte — ad hoc ou planifiée (quotidienne, hebdomadaire, mensuelle)
Constats avec sévérité, propriétaire et contrôle défaillant — suivis jusqu’à leur clôture
Export des constats comme preuves d’audit pour vos évaluations

Gestion des incidents

Processus de réponse aux incidents défini
Notification client visant un rapport sous 24 heures
Divulgation responsable via security@vamisec.com · security.txt

Mapping des référentiels

Évaluation au regard des contrôles ISO 27001, SOC 2, RGPD, NIS2, PCI-DSS et HIPAA
S’y ajoutent les benchmarks CIS (cloud, OS, Kubernetes) et vos propres politiques en YAML
Le mapping étaye vos justificatifs — il ne constitue ni une certification ni une attestation de Vamiset

Organisation & gouvernance

SMSI de VamiSec GmbH certifié ISO/IEC 27001 (Proks Certification GmbH, accréditée DAkkS)
Formations de sensibilisation à la sécurité pour tous les collaborateurs
Processus de gestion des fournisseurs et des risques

Continuité d’activité

Concept de sauvegarde et de restauration : informations sur demande
Plateforme d’hébergement T Cloud Public certifiée ISO 22301 (BCM) — justificatif de Deutsche Telekom, et non de VamiSec GmbH

04 — Secure Software Development Lifecycle

Nous développons avec la même rigueur que celle que nous appliquons à nos tests.

Chez Vamiset, la sécurité n’est pas une étape secondaire, mais ancrée dans chaque phase du développement — selon l’état de l’art, des exigences jusqu’à l’exploitation.

Ingénierie des exigences de sécurité

Les exigences de sécurité et de protection des données sont définies avant la première ligne de code.

Modélisation des menaces

Modélisation des menaces selon STRIDE.

Revue de code

Les modifications sont relues avant leur intégration — en tenant compte de la sécurité et de la protection des données.

Tests automatisés

La suite de tests automatisés s’exécute dans la CI à chaque pull request.

Déploiement souverain

En mode SaaS, déploiement exclusivement sur T Cloud Public dans des centres de données en Allemagne.

Divulgation responsable

Les chercheurs en sécurité signalent les vulnérabilités à security@vamisec.com — lisible par machine via security.txt.

05 — Sous-traitants ultérieurs

En toute transparence — qui traite quelles données.

Nous faisons appel à un nombre volontairement restreint de sous-traitants ultérieurs soigneusement sélectionnés et indiquons pour chacun la finalité et la région de traitement. Nous informons nos clients à l’avance de toute modification.

T Cloud Public traite les données de la plateforme exclusivement en Allemagne. Vamiset n’utilise aujourd’hui aucune fonction d’IA et ne fait donc appel à aucun fournisseur d’IA comme sous-traitant ultérieur.

Sous-traitant ultérieur	Finalité	Région
Telekom Deutschland GmbH T Cloud Public	Hébergement cloud & infrastructure de la plateforme — centres de données de Biere/Magdeburg, en mode SaaS uniquement	DE

Liste à jour des sous-traitants ultérieurs et notifications de modification : privacy@vamisec.com.

06 — Documents & justificatifs

VamiSec GmbH, exploitant de Vamiset, dispose d’un système de management environnemental (SME/EMS) documenté selon ISO 14001:2026. Il est intégré à notre SMSI certifié ISO/IEC 27001 au sein d’un système de management intégré ; notre engagement en matière de durabilité est en outre évalué de manière externe par EcoVadis.

Système de management environnemental selon ISO 14001:2026Politique environnementale, registres des aspects environnementaux et des exigences légales, objectifs environnementaux mesurables avec indicateurs et responsabilité du SME clairement attribuée.

Intégré au SMSILe SME s’appuie sur les processus de notre SMSI certifié ISO/IEC 27001 — de la gestion des changements et des actions correctives jusqu’à la revue de direction commune.

Certification en préparationLa certification ISO 14001 par un organisme accrédité DAkkS est en préparation ; l’audit est prévu pour 2027.

EcoVadis Committed – Sustainability Rating

EcoVadisNotation de durabilité · Badge Committed 2026

Dans la notation de durabilité EcoVadis, VamiSec GmbH a obtenu le badge Committed en octobre 2026 — une reconnaissance de son amélioration continue en matière de durabilité.

La notation et le système de management environnemental portent sur VamiSec GmbH en tant qu’entreprise, qui développe et exploite Vamiset.

08 — FAQ

Questions fréquentes lors de la due diligence.

Où nos données sont-elles stockées ?

En mode SaaS, nous stockons les données de la plateforme Vamiset exclusivement dans des centres de données situés en Allemagne ; le cocontractant est allemand, le droit allemand s’applique et la juridiction compétente se trouve en Allemagne. Nous indiquons les sous-traitants ultérieurs auxquels nous faisons appel, avec leur finalité et leur région de traitement, dans le tableau des sous-traitants ultérieurs.

Vamiset est-il certifié ISO 27001 ?

Est certifié le système de management de la sécurité de l’information de VamiSec GmbH, qui exploite Vamiset — et non Vamiset en tant que produit individuel. Le SMSI est certifié ISO/IEC 27001:2022 par Proks Certification GmbH, organisme accrédité DAkkS (certificat DE-IS-20250191, valable jusqu’au 18 septembre 2028). Selon le certificat, le périmètre couvre la « fourniture de services de conseil en sécurité de l’information, de produits numériques associés et d’installations de traitement de l’information qui les soutiennent … » (traduit de l’original allemand).

Quels accès Vamiset obtient-il à nos systèmes ?

Uniquement des accès en lecture aux systèmes connectés. Vamiset connecte les comptes cloud (AWS, Azure, GCP), les dépôts de code (GitHub, GitLab) et le système RH BambooHR avec des accès en lecture seule et ne dispose d’aucun accès en écriture à ces systèmes. Vamiset analyse la surface d’attaque externe avec son propre scanner de sites web.

Vamiset utilise-t-il l’IA, et des fournisseurs d’IA voient-ils nos données ?

Non. Vamiset est aujourd’hui un outil de sécurité classique sans fonction d’IA ; aucun fournisseur d’IA n’intervient donc comme sous-traitant ultérieur. Si des fonctions d’IA venaient à être ajoutées, nous indiquerions au préalable les fournisseurs d’IA utilisés dans le tableau des sous-traitants ultérieurs. Nous n’utilisons pas les données clients comme données d’entraînement.

Comment serons-nous informés en cas d’incident de sécurité ?

Nous suivons un processus de réponse aux incidents défini et informons rapidement les clients concernés — en visant un premier rapport sous 24 heures. Les chercheurs en sécurité peuvent nous joindre via security@vamisec.com — lisible par machine selon la RFC 9116 : /.well-known/security.txt.

Nos données servent-elles à entraîner des modèles d’IA ?

Non. Nous n’utilisons pas les données clients comme données d’entraînement : nous n’entraînons ni n’affinons aucun modèle d’IA avec elles, et nous ne connectons des modèles d’IA externes que dans le cadre de conditions contractuelles excluant toute utilisation pour l’entraînement. Le tableau des sous-traitants ultérieurs indique si Vamiset fait appel à des fournisseurs d’IA externes, et lesquels.

Comment obtenons-nous l’accès aux documents confidentiels ?

Les documents publics sont directement accessibles. Pour la déclaration d’applicabilité, les livres blancs d’architecture ou les questionnaires renseignés, une brève demande à security@vamisec.com suffit ; les justificatifs soumis à NDA sont communiqués après signature.

Quelles données personnelles Vamiset traite-t-il ?

Via l’intégration BambooHR, Vamiset traite des données relatives aux salariés issues de votre système RH — donc des données personnelles. Les informations sur les champs récupérés sont disponibles sur demande. Des délais de suppression et de conservation définis s’appliquent aux données traitées ; ils sont régis par le contrat de traitement des données (art. 28 RGPD) propre au produit, que nous fournissons sur demande : privacy@vamisec.com.

Comment les utilisateurs s’authentifient-ils, et comment les identifiants enregistrés sont-ils protégés ?

La connexion à Vamiset est protégée par une authentification multifacteur (MFA). Vamiset stocke les données au repos sous forme chiffrée, et les données en transit sont chiffrées via TLS. Nous décrivons sur demande d’autres détails techniques — par exemple le modèle de rôles et la protection des identifiants en lecture seule enregistrés (gestion des secrets) : écrivez à security@vamisec.com. Les délais de suppression et de conservation sont régis par le contrat de traitement des données propre au produit.

D’autres questions ?

Échangez avec notre équipe.

Nous répondons à vos questions de sécurité et de conformité et fournissons les justificatifs dont votre service achats a besoin.

Prendre rendez-vous security@vamisec.com