Securite et confiance chez Bank AI
Bank AI manipule des donnees financieres - la securite et l'hygiene reglementaire ne sont pas des options, ce sont les fondations. Voici ce qui les soutient de bout en bout.
Architecture de securite
Chiffrement bancaire
Le trafic est en TLS 1.2+. Les donnees sensibles au repos sont chiffrees AES-256, avec gestion des cles dans un KMS en UE. Les sauvegardes utilisent des cles distinctes.
Donnees hebergees en UE par defaut
Les donnees personnelles et financieres sont hebergees en regions UE. Pas de transfert hors EEE sauf decision d'adequation; les transferts utilisent des CCT avec garanties techniques.
Lecture seule par defaut
Bank AI ne deplace jamais d'argent en votre nom. L'acces aux comptes est en lecture seule, via des AISP agreesn. L'initiation de paiement est sur la roadmap et passera par un flux explicite et separe.
Authentification forte
Les connexions se renouvellent selon la SCA prevue par la DSP2 - nous demandons une re-confirmation tous les 90 jours, exactement comme l'exige la reglementation.
IA opt-in
Les fonctionnalites IA ne tournent que sur les donnees que vous avez explicitement activees. Vos entrees ne servent jamais a entrainer un modele partage sans votre consentement.
En-tetes durcis + chaine d'appro
HSTS preload, Referrer-Policy stricte, isolation COOP/CORP et Permissions-Policy ciblee a chaque reponse. La pipeline de build epingle toutes les dependances et execute un SCA a chaque release.
Modele reglementaire
Bank AI n'est pas une banque. L'acces aux donnees de comptes est fourni par des PSIC agrees sous DSP2 (UE et Royaume-Uni), supervises par les autorites competentes (BaFin en Allemagne, ACPR en France, Banca d'Italia en Italie, Banco de Espana en Espagne, FCA au Royaume-Uni, etc.). Les partenaires de licence sont nommes lorsque les accords commerciaux le permettent - TODO_PARTNER_NAMES une fois confirme par l'equipe.
Droits sur les donnees
Vous pouvez acceder, rectifier, porter et supprimer vos donnees a tout moment. Bank AI respecte le RGPD, le UK GDPR et l'IA Act. Les donnees personnelles ne sont jamais vendues. Les finalites de traitement et bases legales sont detaillees dans la politique de confidentialite.
Reponse aux incidents
Bank AI suit un plan documente de reponse aux incidents avec une cible de tri interne de 24h et une fenetre de notification de 72h conformement a l'article 33 du RGPD. Les incidents touchant les utilisateurs sont communiques par email et via une banniere in-app. La politique de divulgation publique est a /.well-known/security.txt.
Signaler une vulnerabilite
Si vous avez identifie un probleme de securite, ecrivez a security@stolenorbit.com. La divulgation coordonnee avec les chercheurs est bienvenue - voir /.well-known/security.txt pour le processus complet.