Tamis

Confiance & sécurité

Sécurité et
traitement des données.

Où vont vos données, ce qui est prouvé, ce qui reste à confirmer, et comment nous signaler une faille.

Préparer une revue sécurité Signaler une vulnérabilité

Où vont vos données

Vous choisissez la frontière.

SaaS hébergé

Disponible

De votre côté

  • Dépôt Git

Traverse la frontière : le code, récupéré depuis votre dépôt

Tamis, dans l'UE

  • Analyse
  • Résultats

Le code est récupéré depuis votre gestionnaire de sources et analysé dans votre instance hébergée par Tamis, dans l'Union européenne chez OVHcloud ou Scaleway.

Auto-hébergé et air-gap

Disponible

De votre côté

  • Dépôt Git
  • Analyse
  • Résultats
  • Secrets

Traverse la frontière : les mises à jour, en bundle signé

Tamis, dans l'UE

  • Aucune donnée client

En auto-hébergé, vos données restent chez vous si vous n'utilisez que les services locaux.
Les mises à jour arrivent en bundle signé, vérifié avant import.

SaaS avec agent dans votre VPC

En développement

De votre côté

  • Dépôt Git
  • Agent et scanners
  • Code source

Traverse la frontière : des métadonnées bornées : règle, chemin, ligne

Tamis, dans l'UE

  • Triage
  • Résultats

Le transport supprime descriptions, remédiations et extraits de code ; sa validation interne est en cours.
Le titre et le chemin transmis peuvent encore révéler des fragments de la source.

Contrôles

Chaque affirmation a un statut.

  • Déclaré par Tamis décrit sur cette page, démontré sur demande
  • À confirmer à cadrer au contrat
  • Non revendiqué aucune attestation
  • Déclaré par Tamis

    Chiffrement

    TLS 1.3 pris en charge en transit (minimum configurable dès TLS 1.2), secrets chiffrés au repos, coffre de secrets connectable (Vault, AWS, Azure) et protection de la clé maître configurable.

  • Déclaré par Tamis

    Journal d'audit

    Journal numéroté, protégé contre les modifications courantes, avec une pseudonymisation encadrée.

  • Déclaré par Tamis

    Chaîne d'approvisionnement

    Bundles signés et vérifiés avant import, SBOM CycloneDX et vérification cosign documentés.

  • À confirmer

    Disponibilité et reprise

    SLA, RTO et RPO se cadrent au contrat ; ils ne sont pas publiés ici.

  • À confirmer

    Documents fournisseur

    DPA, liste des sous-traitants et rapport de pentest, communiqués sur demande.

  • Non revendiqué

    Certifications

    Tamis n'est pas certifié ISO 27001 ni SOC 2.
    Le produit organise les preuves de vos audits ; il ne certifie ni Tamis ni votre organisation.

Pour la conformité de vos propres projets (ISO 27001, NIS2, DORA, EBIOS RM), voir la page RSSI et GRC.

Un questionnaire fournisseur ?

Envoyez-le-nous avec votre mode de déploiement.
Nous répondons en distinguant ce qui est déclaré ici, ce qui est disponible sous accord et ce qui ne l'est pas encore.

Préparer une revue sécurité 

Ou par e-mail : contact@tamis.app

Divulgation responsable

Signaler une vulnérabilité

Comment
Écrivez à security@tamis.app avec l'impact et les étapes de reproduction.
Clé PGP sur demande.
Délais
Accusé de réception sous 2 jours ouvrés, triage sous 5.
Correctif sous 7 jours pour une faille critique, 30 pour une élevée, 90 pour une moyenne.
  • Critique7 jours
  • Élevée30 jours
  • Moyenne90 jours
Périmètre
tamis.app, le produit Tamis et l'infrastructure que nous opérons.
Hors périmètre : services tiers, ingénierie sociale, déni de service.
Bonne foi
Pas de poursuites si vous respectez cette politique, sans accéder à des données qui ne sont pas les vôtres.
Divulgation publique après correctif, d'un commun accord.
Reconnaissance
Nous remercions publiquement les personnes à l'origine de signalements validés, avec leur accord. Aucun programme de récompense financière ou de licence offerte n'est prévu.

Contact lisible par machine : /.well-known/security.txt.
Politique mise à jour le 11 octobre 2026.