Sécurité et confidentialité

Notre code part-il vers le cloud ?

Non - votre code source ne nous parvient jamais. L’analyse s’exécute sur le runner, où votre code se trouve déjà - c’est-à-dire à l’intérieur de votre propre pipeline CI et de votre infrastructure. AppArch ne clone, ne stocke ni ne récupère votre code source sur ses propres serveurs. Seuls les résultats de l’analyse (constats, métriques, scores) nous sont envoyés.

Que collectons-nous ?

• Données de compte - nom, e-mail, identité du fournisseur OAuth.
• Métadonnées du dépôt - nom du dépôt, branche, titres de PR, SHA de commit, chemins de fichiers (pas le contenu du code).
• Résultats de l’analyse - rapport de violations, graphe de dépendances, scores.

Le contenu du code n’existe que dans la mémoire du runner au moment de l’analyse ; il n’est jamais persisté où que ce soit.

Chiffrement et localisation des données

• TLS 1.3 en transit, AES-256 au repos.
• Le centre de données SaaS se situe dans la région UE (Francfort).
• E-mail : un fournisseur en SaaS ; SMTP en OnPrem (aucun service externe dans un environnement air-gapped).

On-prem (air-gapped)

Une installation entièrement sur site est proposée sur le forfait Enterprise ; aucune donnée ne sort jamais.

Divulgation responsable

Nous respectons les chercheurs en sécurité. Si vous pensez avoir découvert une vulnérabilité, écrivez à [email protected] ; nous n’engageons aucune action en justice contre les chercheurs de bonne foi.