Les parties ennuyeuses, bien faites.
Données au repos hébergées dans l'UE, isolation Firecracker pour chaque aperçu, TLS 1.3 + AES-256, contrôles proposés par les fournisseurs lorsqu'ils sont disponibles, possibilité d'exclure tes données de l'entraînement avec Max et Business, propriété intégrale du code. Tout est détaillé ci-dessous pour que tu puisses remplir un questionnaire de sécurité sans passer d'appel.
Comment VULK est construit, en six piliers.
Résidence des données
La base de données de production est PostgreSQL 16 hébergée sur AWS RDS en eu-central-1 (Francfort). Serveurs applicatifs en UE. Ressources statiques distribuées par CDN. Aucun enregistrement client ne quitte l'UE sans un addendum DPA explicite.
- ▸Base de données principale : AWS RDS eu-central-1 (Francfort)
- ▸Serveurs applicatifs et bases des applications générées : Hetzner, Falkenstein (Allemagne)
- ▸CDN : réseau périphérique mondial de Cloudflare (HTTPS uniquement)
Isolation de génération
Chaque aperçu en direct tourne dans une microVM Firecracker dédiée avec son propre noyau, son rootfs et son espace de noms réseau. Un projet ne peut pas lire ni affecter l'arbre de processus, le système de fichiers ou le réseau d'un autre. Les VMs sont détruites après la session — pas d'état persistant partagé.
- ▸MicroVM Firecracker par aperçu
- ▸Espace de noms réseau + filtre iptables de trafic sortant
- ▸Rootfs éphémère, détruit en fin de session
Chiffrement
TLS 1.3 en transit partout. AES-256 au repos sur RDS et R2 / S3. Secrets clients dans le trousseau de clés (variables d'env côté application, jamais loggées, jamais retournées dans les réponses API). Charges utiles des webhooks signées HMAC.
- ▸TLS 1.3 (HTTPS uniquement)
- ▸AES-256 au repos (RDS, R2, S3)
- ▸Secrets jamais loggés ni renvoyés
Politique des fournisseurs IA
Nous routons via OpenRouter vers Anthropic, Google, OpenAI et d'autres. Nous privilégions les routes avec contrôles empêchant l'entraînement ou la conservation des données quand elles sont disponibles. La possibilité de refuser l'utilisation des données pour l'entraînement VULK est incluse sur Max et Business.
- ▸Contrôles de rétention du fournisseur quand ils sont disponibles
- ▸Possibilité de refuser l'utilisation des données pour l'entraînement sur Max et Business
Authentification
La connexion OAuth utilise PKCE et des transactions d’autorisation à usage unique stockées sur le serveur. L'association des clients Stripe se fait uniquement côté serveur. MFA optionnelle, SSO via SAML / OIDC sur Business, avec livraison du journal d'audit à ton SIEM.
- ▸OAuth avec PKCE et cookies sécurisés HttpOnly
- ▸MFA optionnelle via TOTP
- ▸SSO SAML / OIDC sur Business
Propriété du code
Le code de chaque projet t’appartient. Exporte-le vers GitHub ou au format zip ; fais-le fonctionner sur ton infrastructure ; résilie ton abonnement demain et les applications que tu as créées continueront de fonctionner. Nous ne détenons aucun droit de licence sur ce que tu produis, et nous ne conditionnons pas l’exécution de tes applications à un abonnement SaaS.
- ▸Export complet du dépôt (GitHub ou zip)
- ▸Pas d'environnement d'exécution propriétaire
- ▸Peut être distribué sous licence MIT selon tes conditions
Comment nous gérons la conformité.
Ce que nous faisons aujourd'hui, en termes clairs.
- RGPDAlignéVULK est le responsable de traitement. DPA sur demande. Sous-traitants divulgués et notifiés en cas de changement.
- Accord de traitement des donnéesDisponibleEnvoyé gratuitement pour les plans Pro et Business. Conditions Enterprise examinées sous 5 jours ouvrés.
- PCI-DSSN/A — Stripe gère les cartesLes données de carte ne touchent jamais aux serveurs VULK. Stripe Checkout / Elements gère tout le périmètre PCI.
Qui d'autre touche à tes données.
Nous sommes tenus de divulguer chaque service externe susceptible de traiter tes données. La notification en cas de changement fait partie du DPA.
| Service | Finalité | Région |
|---|---|---|
| AWS (RDS, SSM) | Base de données + gestion des secrets | eu-central-1 (Francfort) |
| Hetzner | Hébergement application + aperçu | Falkenstein, Allemagne |
| Cloudflare | CDN, DNS, stockage R2, déploiement | Traitement mondial ; juridiction R2 : par défaut (sans restriction à l’UE) |
| Stripe | Facturation + traitement des paiements | UE + États-Unis (conforme aux normes PCI) |
| Resend | E-mail transactionnel | États-Unis (envoi des e-mails) |
| OpenRouter | Routage de modèles IA | Mondial (conservation selon la route) |
| Replicate | Génération d'images et de vidéos | États-Unis |
| Tencent Cloud | Génération de modèles 3D | Singapour |
| Sentry | Monitoring d'erreurs | UE |
Tu as trouvé une vulnérabilité ? Dis-le-nous d'abord.
Nous encourageons le signalement responsable des vulnérabilités. Écris à security@vulk.dev avec les étapes de reproduction, le comportement attendu vs observé, et une évaluation de gravité de type CVSS. Nous accusons réception sous 24 heures et trions sous 72. Aucun NDA n'est requis pour parler à un chercheur.
Les découvertes valides sont créditées publiquement (ou anonymement, à ton choix) dans le changelog.
Dernière révision : April 30, 2026