VamiReverse Trust Center

Sécurité, conformité et souveraineté — rendues transparentes.

VamiReverse est la plateforme multi-agents de VamiSec, assistée par l’IA, pour la rétro-ingénierie et l’analyse de logiciels malveillants — destinée aux analystes qui examinent des applications Android ainsi que des programmes Windows et Linux ; actuellement en version bêta. Ce Trust Center montre comment nous protégeons les données, où nous hébergeons et comment nous développons de manière sécurisée.

Certifié ISO/IEC 27001:2022 SMSI de VamiSec GmbH · Proks Certification GmbH (accréditée DAkkS) · certificat n° DE-IS-20250191 · valable jusqu’au 18 septembre 2028 Télécharger le certificat (PDF) ⤓

Consulter les documents security@vamisec.com

ExploitantVamiSec GmbH · Bonn, Allemagne

HébergementT Cloud Public · Allemagne

Signaler un incident de sécuritésecurity@vamisec.com

Dernière mise à jour13 octobre 2026

StatutBêta

01 — Conformité & certifications

Construit sur des fondations certifiées.

VamiReverse est exploité par VamiSec GmbH, dont le système de management de la sécurité de l’information est certifié ISO/IEC 27001 par un organisme accrédité DAkkS. Nous indiquons de manière transparente ce qui est certifié, ce qui est en préparation et ce qui relève d’une attestation de la plateforme d’hébergement.

ISO/IEC 27001

SMSI de VamiSec GmbH — certifié par Proks Certification GmbH (accréditée DAkkS), valable jusqu’en 09/2028.

Certifié

ISO/IEC 42001

Système de management de l’IA de VamiSec en cours de mise en place — certification ISO/IEC 42001 en préparation.

En préparation

RGPD / GDPR

Contrat de traitement des données au titre de l’art. 28 du RGPD sur demande (privacy@vamisec.com), sous-traitants ultérieurs publiés.

DPA sur demande

BSI C5 · ISO 27001 · TISAX

Attestation, label & certificats de la plateforme d’exploitation T Cloud Public (Deutsche Telekom).

Plateforme d’hébergement

ISO 14001

Système de management environnemental de VamiSec GmbH mis en place selon ISO 14001:2026 — certification en préparation.

En préparation

EcoVadis

Notation de durabilité de VamiSec GmbH — badge Committed, obtenu en octobre 2026.

Badge Committed

02 — Hébergement & souveraineté numérique

Hébergé de manière souveraine en Allemagne — sous le droit européen.

Pour le mode SaaS, VamiReverse s’appuie sur T Cloud Public (anciennement Open Telekom Cloud) de Deutsche Telekom — un cloud européen souverain, exclusivement dans des centres de données en Allemagne. Les données et journaux de la plateforme relèvent du droit européen ; le cocontractant, le droit applicable et le for juridique sont allemands. Le lieu de traitement des fonctions d’IA dépend du modèle de langage retenu ; la connexion s’effectue par authentification unique (SSO) via Microsoft Entra ID.

Centres de données en Allemagne uniquementRégion twin-core Biere/Magdeburg (Saxe-Anhalt) — hébergement exclusivement en Allemagne, dans le cadre juridique de l’UE.

Modèle de langage au choixPour les fonctions d’IA, VamiReverse prévoit le choix entre le Qwen3.8 local et un LLM public comme Claude (Anthropic) ou OpenAI ; un LLM public traite les requêtes aux États-Unis. Nous vous indiquons à l’avance quels modèles sont actifs dans votre déploiement.

LLM local à Sankt AugustinVamiSec exploite Qwen3.8 dans son centre de données de Sankt Augustin — les requêtes adressées à ce modèle restent en Allemagne, sans fournisseur d’IA externe.

Sur site, sur votre cluster KubernetesOutre le mode SaaS : exploitation de VamiReverse sur le cluster Kubernetes de votre organisation — sur demande.

T Cloud PublicDeutsche Telekom · cloud souverain

BSI C5 Type II (ISAE 3000)
ISO/IEC 27001, 27017, 27018, 27701
SOC 1/2/3, TISAX AL 3
ISO 22301 (BCM), centres de données ISO 27001

Certificats, attestations et labels de la plateforme d’hébergement (Deutsche Telekom), délivrés par des auditeurs indépendants — pas de VamiSec GmbH. Source : certificats & attestations T Cloud Public.

03 — Contrôles de sécurité

Comment nous protégeons — par domaines.

Des contrôles concrets plutôt que du marketing — état de la phase bêta actuelle de VamiReverse. Plus de détails sur demande à security@vamisec.com.

Sécurité des données

En mode SaaS, données stockées exclusivement dans des centres de données en Allemagne
La conservation, la suppression et le chiffrement sont régis par le DPA, fourni sur demande
Nous traitons les données personnelles contenues dans vos artefacts en tant que sous-traitant au sens de l’art. 28 du RGPD
Aucun entraînement sur les données clients — ni pour nos propres modèles, ni pour des modèles d’IA externes

Sécurité applicative

Secure SDLC, des exigences à l’exploitation (détails ci-dessous)
Modélisation des menaces selon STRIDE et — pour les agents d’IA — MAESTRO
Revue de code et tests automatisés avant l’intégration des modifications

Accès & identité

Connexion par authentification unique (SSO) via Microsoft Entra ID
Modèle de connexion, authentification multifacteur et attribution des droits : détails sur demande

Infrastructure

Hébergement souverain sur T Cloud Public (DE)
Justificatifs de la plateforme : attestation BSI C5, certificat ISO/IEC 27001 et label TISAX (AL 3) de Deutsche Telekom
Exploitation sur site, sur le cluster Kubernetes de votre organisation : sur demande

Outils d’analyse auto-hébergés

Analyse statique avec des outils open source exploités par nos soins, tels que Ghidra, ILSpy, jadx, capa, Detect It Easy et YARA
Les bases de connaissances comme MITRE ATT&CK et CWE sont conservées en copies locales
Pour l’analyse, nous ne transmettons pas vos artefacts aux éditeurs de ces outils et bases de connaissances ; informations sur les recoupements optionnels de threat intelligence sur demande

Gestion des incidents

Processus de réponse aux incidents défini
Notification client visant un rapport sous 24 heures
Divulgation responsable via bugbounty.vamisec.com · security.txt

Gouvernance de l’IA & human-in-the-loop

Les résultats de l’IA sont des hypothèses de travail et doivent être vérifiés par une personne qualifiée avant toute utilisation
L’IA assiste vos analystes au lieu de les remplacer
Politique IA de VamiSec ; système de management de l’IA selon ISO/IEC 42001 en cours de mise en place

Organisation & gouvernance

SMSI certifié ISO/IEC 27001 (DAkkS)
Formations de sensibilisation à la sécurité pour tous les collaborateurs
Processus de gestion des fournisseurs et des risques

Continuité d’activité

Plateforme d’hébergement certifiée ISO 22301 (BCM) — certificat de Deutsche Telekom
Sauvegarde et restauration : les détails sont régis par le DPA (sur demande)
Exploitation sur T Cloud Public dans des centres de données en Allemagne

04 — Cycle de développement logiciel sécurisé

Nous développons avec la même rigueur que celle que nous appliquons à nos tests.

Pour VamiReverse, la sécurité fait partie du processus de développement — des exigences au déploiement.

Ingénierie des exigences de sécurité

Les exigences de sécurité et de protection des données sont intégrées à la planification des nouvelles fonctionnalités.

Modélisation des menaces

Modélisation des menaces selon STRIDE et — pour les composants d’IA/d’agents — MAESTRO.

Revue de code

Les modifications sont relues avant leur intégration — en tenant compte de la sécurité et de la protection des données.

Tests automatisés

La suite de tests automatisés s’exécute dans la CI à chaque pull request.

Déploiement

En mode SaaS sur T Cloud Public en Allemagne ; exploitation sur le cluster Kubernetes de votre organisation sur demande.

Divulgation responsable

Nous recevons les signalements de vulnérabilités via bugbounty.vamisec.com et security@vamisec.com ; les coordonnées sont lisibles par machine dans security.txt (RFC 9116).

05 — Sous-traitants ultérieurs

En toute transparence — qui traite quelles données.

Nous faisons appel à un nombre volontairement restreint de sous-traitants ultérieurs soigneusement sélectionnés et indiquons pour chacun la finalité et la région de traitement. Nous informons nos clients à l’avance de toute modification.

Telekom Deutschland héberge exclusivement dans des centres de données en Allemagne ; Telekom fournit les services d’exploitation et de support depuis des États membres de l’UE. Microsoft (Entra ID) traite les données dans le cadre de la limite de données de l’UE (EU Data Boundary) ; tout accès depuis des pays tiers est couvert par les clauses contractuelles types de l’UE (CCT). Anthropic et OpenAI n’interviennent que dans la mesure où un LLM public via VamiSec est utilisé dans votre déploiement. Ils traitent alors les requêtes aux États-Unis (API directe) sur la base des clauses contractuelles types de l’UE (CCT) et, selon leurs conditions contractuelles, ne les utilisent pas pour l’entraînement.

Sous-traitant ultérieur	Finalité	Région
Telekom Deutschland GmbH T Cloud Public	Hébergement & infrastructure de VamiReverse — uniquement en mode SaaS	DE
Microsoft Ireland Operations Limited Microsoft Entra ID	Connexion par authentification unique (SSO) — lorsque les comptes utilisateurs sont gérés dans le locataire Entra de VamiSec	UE
Anthropic Claude (API)	Modèle de langage pour les fonctions d’IA — dans la mesure où un LLM public via VamiSec est utilisé dans votre déploiement ; aucune utilisation pour l’entraînement selon les conditions contractuelles du fournisseur	États-Unis
OpenAI API OpenAI	Modèle de langage pour les fonctions d’IA — dans la mesure où un LLM public via VamiSec est utilisé dans votre déploiement ; aucune utilisation pour l’entraînement selon les conditions contractuelles du fournisseur	États-Unis

Pas de sous-traitant ultérieur : VamiSec exploite elle-même le modèle de langage local Qwen3.8 dans son propre centre de données à Sankt Augustin (Allemagne). Les outils d’analyse tels que Ghidra, jadx ou YARA sont également exploités par nos soins et ne sont pas des sous-traitants ultérieurs.

Liste complète et toujours à jour des sous-traitants ultérieurs, y compris le contact pour les notifications de modification : privacy@vamisec.com.

06 — Documents & justificatifs

VamiSec GmbH, exploitant de VamiReverse, dispose d’un système de management environnemental (SME/EMS) documenté selon ISO 14001:2026. Il est intégré à notre SMSI certifié ISO/IEC 27001 au sein d’un système de management intégré ; notre engagement en matière de durabilité est en outre évalué de manière externe par EcoVadis.

Système de management environnemental selon ISO 14001:2026Politique environnementale, registres des aspects environnementaux et des exigences légales, objectifs environnementaux mesurables avec indicateurs et responsabilité EMS clairement attribuée.

Intégré au SMSIL’EMS s’appuie sur les processus de notre SMSI certifié ISO/IEC 27001 — de la gestion des changements et des actions correctives jusqu’à la revue de direction commune.

Certification en préparationLa certification ISO 14001 par un organisme accrédité DAkkS est en préparation ; l’audit est prévu pour 2027.

EcoVadis Committed – Sustainability Rating

EcoVadisNotation de durabilité · Badge Committed 2026

Dans la notation de durabilité EcoVadis, VamiSec GmbH a obtenu le badge Committed en octobre 2026 — une reconnaissance de son amélioration continue en matière de durabilité.

La notation et le système de management environnemental portent sur VamiSec GmbH en tant qu’entreprise, qui développe et exploite VamiReverse.

08 — FAQ

Questions fréquentes lors de la due diligence.

Où nos données sont-elles stockées ?

En mode SaaS, nous stockons les données de la plateforme VamiReverse exclusivement dans des centres de données situés en Allemagne ; le cocontractant, le droit applicable et le for juridique sont allemands. Lorsqu’une fonction fait appel à des prestataires externes — par exemple pour l’identité ou l’IA —, nous indiquons le prestataire, la finalité et la région de traitement dans le tableau des sous-traitants ultérieurs.

VamiReverse est-il certifié ISO 27001 ?

La certification ISO/IEC 27001 porte sur le système de management de la sécurité de l’information (SMSI) de VamiSec GmbH, qui développe et exploite VamiReverse — la norme ISO/IEC 27001 certifie des systèmes de management, pas des produits individuels. Le certificat a été délivré par Proks Certification GmbH, organisme accrédité DAkkS (certificat DE-IS-20250191, ISO/IEC 27001:2022, valable jusqu’au 18 septembre 2028). Le périmètre indiqué sur le certificat (rédigé en allemand) est, en traduction : « fourniture de prestations de conseil en sécurité de l’information, des produits numériques qui y sont liés et des installations de traitement de l’information associées … » — le certificat ne nomme pas de produits individuels.

Comment les utilisateurs s’authentifient-ils ?

La connexion à VamiReverse s’effectue par authentification unique (SSO) via Microsoft Entra ID. Les détails sur le modèle de connexion, l’authentification multifacteur et l’attribution des droits sont disponibles sur demande à security@vamisec.com.

Quels modèles d’IA VamiReverse utilise-t-il, et ont-ils accès à nos données ?

Pour les fonctions d’IA — par exemple nommer les variables du code décompilé ou formuler des hypothèses sur le comportement et les vulnérabilités — VamiReverse prévoit le choix du modèle de langage : le Qwen3.8 local dans le centre de données de VamiSec à Sankt Augustin ou un LLM public comme Claude (Anthropic) ou OpenAI. Nous vous indiquons à l’avance quels modèles sont actifs dans votre déploiement. VamiSec exploite elle-même le modèle local ; les requêtes qui lui sont adressées restent en Allemagne. Avec un LLM public, le fournisseur traite les requêtes aux États-Unis sur la base des clauses contractuelles types de l’UE et, selon ses conditions contractuelles, ne les utilise pas pour l’entraînement. L’analyse statique elle-même repose sur des outils exploités par nos soins comme Ghidra, jadx ou YARA ; les résultats de l’IA sont des hypothèses de travail que vos analystes vérifient.

Comment serons-nous informés en cas d’incident de sécurité ?

Nous suivons un processus de réponse aux incidents défini et informons rapidement les clients concernés — en visant un premier rapport sous 24 heures. Les chercheurs en sécurité peuvent nous joindre via security@vamisec.com et bugbounty.vamisec.com ; les coordonnées sont lisibles par machine selon la RFC 9116 : /.well-known/security.txt.

Nos données servent-elles à entraîner des modèles d’IA ?

Non. Nous n’utilisons pas les données clients comme données d’entraînement : nous n’entraînons ni n’affinons aucun modèle d’IA avec elles, et nous ne connectons des modèles d’IA externes que dans le cadre de conditions contractuelles excluant toute utilisation pour l’entraînement. Le tableau des sous-traitants ultérieurs indique si VamiReverse fait appel à des fournisseurs d’IA externes, et lesquels.

Comment obtenons-nous l’accès aux documents confidentiels ?

Les documents publics sont directement accessibles. Pour la déclaration d’applicabilité, le livre blanc sécurité ou les questionnaires renseignés, une brève demande à security@vamisec.com suffit ; les justificatifs soumis à NDA sont communiqués après signature.

Quelles données VamiReverse traite-t-il ?

VamiReverse traite les artefacts que vous téléversez — applications Android (APK) ainsi que programmes Windows et Linux (PE/ELF) — et les données d’analyse qui en découlent : code décompilé, chaînes de caractères et métadonnées, IOC, règles de détection (YARA, Sigma, Suricata), correspondances MITRE ATT&CK et rapports d’analyse. Les artefacts peuvent contenir des données personnelles ; vous en restez le responsable du traitement et nous les traitons pour votre compte conformément à l’art. 28 du RGPD. Pour la connexion, nous traitons également les données de compte de vos utilisateurs issues de Microsoft Entra ID, par exemple le nom et l’adresse e-mail professionnelle. La conservation et la suppression sont régies par le DPA, fourni sur demande (privacy@vamisec.com).

D’autres questions ?

Échangez avec notre équipe.

Nous répondons à vos questions de sécurité et de conformité et fournissons les justificatifs dont votre service achats a besoin.

Réserver une démo security@vamisec.com