COMPLIANCE Scanner : auditeur à la demande pour SaaS tiers contre les cadres réglementaires européens.

§1 · Définition système

Qu'est-ce que COMPLIANCE Scanner ?

COMPLIANCE Scanner est un service web d'audit de conformité SaaS à entrée unique. L'utilisateur saisit le nom d'un outil tiers (Notion, Slack, ChatGPT Enterprise…) ; le service retourne un JSON structuré qualifiant sa posture vis-à-vis des obligations européennes.

Architecture : frontend Angular 21 statique (Firebase Hosting, SSG prérendu), backend Express.js sur Cloud Run europe-west1, moteur d'analyse Google gemini-2.5-flash appelé via proxy authentifié (Firebase ID Token + rate limit 10 req/min/UID). La clé API Gemini reste strictement en Secret Manager côté serveur.

§2 · Fonction

Input, traitement, output

§3 · Couverture réglementaire

Cinq cadres européens, un appel

§4 · Modèle d'audit — Protocole C

De la saisie au verdict

1. 1. Collecte. Gemini interroge son corpus paramétrique et les URLs publiques citables (CGU, DPA, pages sécurité éditeur).
2. 2. Corrélation. Les signaux sont croisés avec les obligations des cinq cadres via SYSTEM_INSTRUCTION.
3. 3. Classification. Verdicts émis : RED prohibé, ORANGE conditionnel, GREEN conforme. Chaque verdict est motivé par une chaîne reasoning.
4. 4. Capitalisation. Mise en cache Firestore (TTL 30 j, clé (toolName, lang)), export PDF A4 côté client.

§5 · Structure de sortie

Champs JSON exposés

{
  "tools": [{
    "name": string,
    "licenseType": "FREE" | "PAID_INDIVIDUAL" | "ENTERPRISE",
    "riskLevel": "RED" | "ORANGE" | "GREEN",
    "hostingLocation": string,
    "aiTrainingPolicy": string,
    "sovereigntyCheck": {
      "isEuHosted": boolean,
      "bceStatus": "APPROVED" | "RESTRICTED" | "PROHIBITED",
      "legalFramework": string
    }
  }],
  "gapAnalysis": {
    "maturityScore": 0-100,
    "maturityLevel": "Low" | "Medium" | "High",
    "remainingPath": string[],
    "remediationPlan": string
  },
  "riskAwareness": {
    "whatYouAreDoing": string,
    "whatYouRisk": string[],
    "whatYouAbandon": string[]
  },
  "platformGrid": [{
    "platform": "Desktop" | "Mobile",
    "functionalScore": 1-10,
    "securityScore": 1-10
  }]
}

§6 · Différenciateurs techniques

Ce que le produit fait différemment

§7 · Limites

Ce que le produit ne fait pas

• Pas de collecte automatisée de preuves (contrairement à Vanta, Drata, Secureframe).
• Pas de registre DORA Art. 28(3) (nécessite 3rdRisk, ProcessUnity, Diligent).
• Pas d'intégration IAM / SIEM / ITSM / CMDB.
• Pas de mécanisme anti-hallucination : les sources[] sont générées par le LLM, non re-fetchées.
• Scoring non-déterministe : deux exécutions peuvent diverger (atténué par le cache 30 j).
• Rate limit 10 req/min/UID — inadapté aux portefeuilles > 100 SaaS.
• Annuaire souverain EU mis à jour manuellement.
• Rapports non signés cryptographiquement — pas de valeur probatoire formelle.
• Aucune évaluation du SI interne du client ; uniquement des tiers.

§8 · Positionnement marché

Complémentaire, non concurrent

COMPLIANCE Scanner se positionne en amont : screening first-pass avant enregistrement dans ces plateformes.

§9 · FAQ

Questions fréquentes

§10 · Glossaire

Termes clés

Cloud Act

Loi US 2018 autorisant les autorités américaines à accéder aux données détenues par entreprises US, même hébergées hors US.

Schrems II

Arrêt CJUE C-311/18 (2020) invalidant le Privacy Shield, exigeant mesures supplémentaires pour transferts UE → US.

DORA

Digital Operational Resilience Act (UE 2022/2554), applicable depuis janvier 2025.

EU AI Act

Règlement (UE) 2024/1689, obligations high-risk applicables à compter d'août 2026.

SecNumCloud

Qualification ANSSI pour offres cloud souveraines françaises.

TPRM

Third-Party Risk Management — gestion du risque lié aux fournisseurs tiers.

BCE status

Classification interne du produit : APPROVED, RESTRICTED, PROHIBITED — inspirée des politiques de banque centrale.

Protocole C

Taxonomie de verdict : RED (prohibé), ORANGE (conditionnel), GREEN (conforme).