1. Approche de la sécurité
DIRI AI utilise des contrôles fondés sur les risques, destinés à protéger la confidentialité, l'intégrité et la disponibilité. La sécurité est partagée : DIRI AI protège le service et l'infrastructure configurée ; les clients protègent leurs utilisateurs, appareils, identifiants, choix de contenu et décisions d'administrateur.
Le présent aperçu décrit la conception des contrôles. Il ne revendique pas de certification ISO 27001, SOC 2 ou PCI DSS pour DIRI AI, ni de couverture par des tests d'intrusion, ni de service ininterrompu. Les certifications des prestataires ne deviennent pas des certifications de DIRI AI.
2. Contrôles d'identité, d'accès et de locataires
Les contrôles comprennent :
- des identités d'utilisateur uniques et des cookies de session de production protégés ;
- une autorisation côté serveur, fondée sur les rôles et limitée à chaque locataire ;
- des invitations, rôles et retraits de membres gérés par l'administrateur ;
- un accès à privilèges minimaux aux systèmes de production et aux comptes des prestataires ;
- des environnements et configurations de production et de non-production séparés ;
- des limites de débit et des contrôles anti-abus ; et
- des journaux d'audit des événements d'administration et d'abonnement pertinents pour la sécurité.
DIRI AI teste l'accès entre locataires, examine les privilèges et vérifie les contrôles de récupération de compte. L'authentification multifacteur devrait être activée sur les comptes des prestataires et les comptes privilégiés et mise à la disposition des clients lorsqu'elle est prise en charge.
3. Protection des données
Le trafic pris en charge utilise TLS en transit. Les prestataires gérés chiffrent les données stockées au repos avec leurs contrôles standard, et les informations sur les prestataires et les transferts figurent dans la Liste des sous-traitants ultérieurs. Les secrets doivent être conservés hors du code source et des journaux ordinaires. La saisie de la carte de paiement est déléguée au prestataire de paiement, de sorte que DIRI AI n'a pas besoin du numéro complet de la carte.
Le stockage des enregistrements vocaux est désactivé par défaut. La télémétrie doit être assainie et le Contenu du Client exclu des journaux courants lorsque cela est possible. Le débogage en production doit être limité dans le temps, autorisé et consigné.
4. Sécurité des applications
DIRI AI utilise la revue des modifications, des tests automatisés, des contrôles des dépendances et des secrets, des contrôles d'entrée de confiance et des rappels signés des prestataires pour protéger les modifications de l'application et les intégrations externes.
L'accès des prestataires, l'inscription et la facturation sont protégés par les contrôles applicables d'accès, juridiques, de facturation et de sécurité. Ces contrôles ne sont pas affaiblis du seul fait de rendre une fonctionnalité disponible.
5. Surveillance et réponse aux incidents
Le service utilise une télémétrie d'erreurs applicatives assainie, des indicateurs opérationnels, des journaux d'audit et des événements de prestataires. DIRI AI examine la couverture de la surveillance, les quotas, la remise des alertes et la responsabilité opérationnelle après des modifications importantes. Les indicateurs internes ne sont pas de l'analyse marketing.
Les incidents présumés sont triés, confinés, instruits, corrigés et documentés conformément à la Politique de sécurité et de notification des incidents. Les obligations relatives aux violations de données à caractère personnel sont évaluées séparément des événements ordinaires de disponibilité.
6. Disponibilité, sauvegardes et reprise
L'architecture repose sur des prestataires gérés d'hébergement, de base de données, de cache et de files d'attente et de stockage d'objets. DIRI AI teste la configuration des sauvegardes, de la restauration, de la nouvelle tentative des files d'attente et du cycle de vie des données. Aucun objectif de durée de rétablissement ni de point de rétablissement n'est promis dans les offres standard tant qu'il n'a pas été formellement mesuré et contractualisé.
Les offres standard n'ont pas de SLA de disponibilité en pourcentage. Cela ne limite pas les droits impératifs du consommateur en matière de conformité et de recours.
7. Risque lié aux prestataires
Les prestataires sont examinés quant à leur finalité, leur accès, leurs conditions contractuelles, leurs informations de sécurité, leurs lieux de traitement, leur mécanisme de transfert, leur conservation et leur suppression. Seules les données minimales nécessaires sont envoyées. La Liste des sous-traitants ultérieurs identifie les prestataires utilisés pour les fonctions couvertes.
8. Responsabilités du client
Les clients doivent :
- utiliser des identifiants robustes et uniques et l'authentification multifacteur lorsqu'elle est disponible ;
- maintenir à jour les appareils, navigateurs et intégrations ;
- accorder les rôles minimaux, vérifier l'appartenance et retirer rapidement les personnes qui partent ;
- éviter de téléverser des données sensibles inutiles ou des données de clients réels ;
- vérifier les exports avant la clôture du compte et protéger les fichiers téléchargés ;
- configurer une conservation licite et les informations destinées aux employés ; et
- signaler rapidement toute compromission présumée sans divulguer publiquement de détails exploitables.
9. Signalement des vulnérabilités
Envoyez un signalement concis à security@diriai.com en indiquant le parcours concerné, les étapes de reproduction, l'impact et une preuve sûre. N'accédez pas aux données d'un autre client, ne perturbez pas le service, n'utilisez pas l'ingénierie sociale, n'exfiltrez pas de données et n'exigez pas de paiement. Cessez les tests après avoir confirmé le problème et laissez un délai raisonnable pour l'enquête.
Il n'existe pas de programme public de primes aux bogues ni de large programme de protection (« safe harbour »), sauf publication distincte. Les signalements de bonne foi seront traités de manière responsable, mais le présent aperçu n'autorise pas un comportement par ailleurs illicite.
10. Contact et version
Signalements de sécurité : security@diriai.com. Incidents relatifs à la vie privée : privacy@diriai.com. Version : 1.2.0. Date : 30 août 2026.