Sécurité et protection des données chez Scanara

Les données client sont stockées dans AWS eu-west-1 (Dublin, Irlande) : résultats de scan avec de courts extraits de code, évaluations, dossiers et enregistrements d'audit. Scanara ne conserve pas de copie complète de votre repository. Pendant un scan, les fichiers sont lus depuis GitHub (États-Unis) dans une mémoire éphémère en eu-west-1. Francfort (eu-central-1) est la région de secours prévue ; un basculement complet n'a pas encore été testé. L'analyse d'audience du site ne se charge qu'après votre consentement aux cookies et envoie des données d'usage à Google et Microsoft aux États-Unis, sur la base du EU-US Data Privacy Framework et des clauses contractuelles types de l'UE.

Les données stockées sont chiffrées en AES-256. Les données en transit utilisent TLS 1.2 ou supérieur. Le stockage d'audit et les journaux utilisent des clés KMS dédiées que Scanara gère dans son propre compte AWS.

La connexion repose sur AWS Cognito avec la sécurité avancée (authentification adaptative, détection d'identifiants compromis). L'authentification multifacteur avec une application d'authentification est disponible mais facultative ; Scanara ne l'impose pas. Les clients Enterprise peuvent utiliser l'authentification unique via OIDC ; SAML est prévu.

Les actions dans Scanara sont écrites sous forme d'événements dans un journal à écriture unique (S3 Object Lock en mode conformité), chacun avec un hachage d'intégrité SHA-256. Scanara conserve ces enregistrements au moins 10 ans dans tous les plans. Les fournisseurs de systèmes d'IA à haut risque doivent conserver leur documentation pendant 10 ans après la mise sur le marché ou la mise en service du système (article 18, paragraphe 1, du règlement sur l'IA).

Scanara documente ses mesures RGPD : un registre des activités de traitement, une analyse d'impact relative à la protection des données pour l'analyse de code source, des analyses d'impact des transferts pour ses prestataires américains et un accord de sous-traitance au titre de l'article 28. Les données de compte et d'organisation sont supprimées ou anonymisées dans les 30 jours suivant la clôture. Scanara n'entraîne aucun modèle d'IA sur le code des clients.

Des rôles limitent ce que chaque utilisateur peut faire dans une organisation : administrateur d'organisation, responsable conformité, ingénieur IA, auditeur et lecteur. Les données sont séparées par organisation grâce à des requêtes limitées à l'organisation et à la sécurité au niveau des lignes. Le personnel de Scanara accède à AWS via IAM Identity Center, sans identifiants de longue durée.

Scanara ne détient aujourd'hui aucune certification de sécurité. ISO 27001 est en préparation ; SOC 2 et ISO/IEC 42001 sont prévus, sans dates publiées. Un test d'intrusion externe est prévu ; aucune date n'est publiée. Les certifications d'AWS ne couvrent que l'infrastructure AWS.

Achats

Le pack d'évaluation fournisseur s'adresse aux équipes achats

Il contient un questionnaire de sécurité prérempli, un modèle d'accord de sous-traitance, la liste des sous-traitants ultérieurs, une présentation de l'architecture et une déclaration sur la localisation des données. Les documents sont en anglais.