Trust and security

Confiance et sécurité

Where the data lives, what crosses the boundary, and what never does. Two layers, kept deliberately separate.

Où vivent les données, ce qui franchit la frontière, et ce qui ne la franchit jamais. Deux couches, tenues délibérément séparées.

Aranthos · Infrastructure layer and application layer are distinct Aranthos · La couche infrastructure et la couche applicative sont distinctes

This page separates two layers that are easy to conflate. A is the infrastructure we run on, operated and certified by our hosting provider. B is the Aranthos application, and its security properties are ours to state. The certifications in A are the provider's, not Aranthos's.

Cette page sépare deux couches faciles à confondre. A est l'infrastructure sur laquelle nous tournons, exploitée et certifiée par notre hébergeur. B est l'application Aranthos, dont les propriétés de sécurité nous incombent. Les certifications de A sont celles de l'hébergeur, pas celles d'Aranthos.

Infrastructure

Provider · Scaleway. The items below are Scaleway's certifications for the infrastructure Aranthos runs on. They are not certifications of the Aranthos application.

Hébergeur · Scaleway. Les éléments ci-dessous sont les certifications de Scaleway pour l'infrastructure sur laquelle tourne Aranthos. Ce ne sont pas des certifications de l'application Aranthos.

CertifiedCertifié
ISO/IEC 27001 — information security management.ISO/IEC 27001 — management de la sécurité de l'information.
Certified · Jul 2024Certifié · juil. 2024
HDS (health-data hosting) — certified since July 2024.HDS (Hébergeur de Données de Santé) — certifié depuis juillet 2024.
In progressEn cours
Engaged in the ANSSI SecNumCloud qualification process. Qualification in progress, not yet granted.Engagé dans le processus de qualification SecNumCloud de l'ANSSI. Qualification en cours, non encore obtenue.
EUUE
Datacenters 100% in the European Union. Data residency in the EU.Datacenters 100% dans l'Union européenne. Résidence des données en UE.

Source of record: Scaleway Trust Center.

Source de référence : Trust Center Scaleway.

Application

Layer · Aranthos. Security properties of the instrument itself. These map to the engine specification.

Couche · Aranthos. Propriétés de sécurité de l'instrument lui-même. Elles correspondent à la spécification du moteur.

ArchitecturalArchitectural
Read-only. No write path to the system being measured.Lecture seule. Aucun chemin d'écriture vers le système mesuré.
SignedSigné
Evidence Packets are signed: SHA-256 hash, signature, and timestamp.Les Evidence Packets sont signés : empreinte SHA-256, signature et horodatage.
ScopedRestreint
Read credentials are scoped to the minimum required.Les credentials de lecture sont restreints au minimum nécessaire.
HMAC · TLSHMAC · TLS
Egress is HMAC-signed and carried over TLS.L'egress est signé HMAC et transporté en TLS.
MinimizedMinimisé
Payload minimization: fingerprints and metadata only, never content.Minimisation du payload : empreintes et métadonnées uniquement, jamais de contenu.

Aranthos own certifications: SOC 2 and ISO/IEC 27001 are on the roadmap. Aranthos is not yet SOC 2 or ISO certified, and makes no claim to be.

Certifications propres à Aranthos : SOC 2 et ISO/IEC 27001 sont sur la roadmap. Aranthos n'est pas encore certifié SOC 2 ni ISO, et ne le prétend pas.

What crosses, what never crosses

Ce qui franchit, ce qui ne franchit jamais

Crosses the boundaryFranchit la frontière

Behavioral fingerprintsEmpreintes comportementales
Metadata: timing, structure, scopeMétadonnées : timing, structure, périmètre
Signed Evidence PacketsEvidence Packets signés

Never crossesNe franchit jamais

PromptsLes prompts
Model weights and internal statePoids du modèle et état interne
End-user contentLe contenu utilisateur final

Data governance

Gouvernance des données

Data residency is in the European Union. A Data Processing Agreement (DPA) and the current subprocessor list, all EU-based, are available on request.

La résidence des données est en Union européenne. Un accord de traitement (DPA) et la liste à jour des sous-traitants, tous établis en UE, sont disponibles sur demande.

SubprocessorSous-traitant	PurposeFinalité	LocationLocalisation
Scaleway	Hosting and infrastructureHébergement et infrastructure	France · EUFrance · UE

Full DPA and the complete subprocessor list are available on request: security@aranthos.com.

Le DPA complet et la liste exhaustive des sous-traitants sont disponibles sur demande : security@aranthos.com.

Regulatory posture

Posture réglementaire

Aranthos is aligned with the GDPR and built to support the logging obligations of the EU AI Act. The evidence model is designed to map to Articles 12, 19, 26 and 72.

Aranthos est aligné avec le RGPD et conçu pour soutenir les obligations de journalisation de l'AI Act européen. Le modèle de preuve est conçu pour correspondre aux articles 12, 19, 26 et 72.

How the evidence record is structured is described in the instrument's Evidence section: Evidence Packet Anatomy.

La structure de l'enregistrement de preuve est décrite dans la section Preuve de l'instrument : Anatomie du paquet de preuve.