« Un autre fournisseur qui détient nos données de transaction. »

C'est juste. Voici ce que vous approuveriez, formulé de la façon dont vous devrez le reformuler en interne. Chaque point est appuyé par des preuves sur la page de confiance, plutôt que simplement affirmé ici.

Séparation: Sécurité au niveau des rangées sur chaque table, appliquée dans la base de données plutôt que dans le code applicatif. Un locataire ne peut pas lire les rangées d'un autre, même si l'application comporte une erreur.
Chiffrement: AES-256 au repos et TLS 1.2+ en transit, avec chiffrement d'enveloppe AWS KMS pour les jetons de connexion à vos autres systèmes.
Identité: Authentification unique OIDC et SAML, authentification multifacteur obligatoire, et clés d'accès FIDO2. Votre annuaire demeure la source de vérité sur qui existe et qui est parti.
Audit: Un journal d'audit couvrant chaque route API, avec des rôles de lecture seule et d'audit afin qu'un réviseur interne n'ait jamais besoin d'un accès en écriture pour vérifier quelque chose.
L'IA et vos données: L'inférence s'exécute via AWS Bedrock dans l'environnement AWS. Aucune formation de modèle n'est effectuée sur les données clients, et une suggestion de l'IA ne modifie jamais un enregistrement sans qu'une personne l'accepte.
Sortie: Les données sont conservées uniquement pendant que le compte est actif et sont disponibles pour exportation après résiliation. La suppression couvre les enregistrements dérivés, pas seulement la rangée principale.
Assurance: SOC 2 Type II est en période d'observation jusqu'au 18 novembre 2026 — pas encore certifié. ISO 27001 affiche 118 contrôles sur 118 avec l'audit en cours, et un test de pénétration indépendant n'a relevé aucun problème critique, élevé ou moyen.

Soumettez ceci à votre processus d'examen

La liste de vérification pour l'évaluation des fournisseurs résume tout sous forme de grille que vous pouvez copier dans votre propre modèle, et s'imprime sur une seule page.

Liste de vérification pour l'évaluation des fournisseurs