Architecture souveraine & confidentialité

🔒 Garanties techniques de confidentialité

Traitement 100% client-side

L’analyse des fichiers CycloneDX et SPDX, l’extraction des composants et la corrélation des CVE s’exécutent exclusivement dans la mémoire de votre navigateur.

Zéro télémétrie serveur

Aucun serveur ne reçoit le contenu de vos fichiers. Aucune base de données ne stocke la structure de vos applications ni vos numéros de versions internes.

Index CTI statiques pré-compilés

Hermes télécharge des index de menaces statiques (/api/trajectories/index.json) vers votre navigateur pour effectuer les croisements localement.

Builds déterministes publics

L’ensemble du code de génération, des compilateurs et des schémas est versionné publiquement sur GitHub avec des contrôles continus de reproductibilité.

📊 Matrice de gestion des données

Dimension	Politique	Implémentation Technique
Fichiers SBOM (JSON/XML)	Jamais collectés	Chargement via l’API HTML5 FileReader en mémoire locale volatile.
Composants de votre stack	Stockage local exclusif	Enregistrés uniquement dans le `localStorage` de votre navigateur (`hermes_my_stack`).
URLs & secrets de webhooks	Stockage local exclusif	Utilisés pour l’envoi direct depuis le client ou via votre démon CLI interne.
Mesure d’audience	Respect de la vie privée	Zéro traceur tiers intrusif, zéro fingerprinting inter-sites.
Télémétrie cloud	Aucune	Aucun appel vers des serveurs d’analytique externes.

🏗️ Fonctionnement du croisement local

[Poste de Travail Utilisateur]
  ├── Sélection du SBOM (bom.json)
  ├── L'API FileReader charge le fichier en mémoire DOM locale
  ├── Téléchargement des index statiques de menaces (/api/trajectories/index.json)
  ├── Calcul local de l'intersection d'ensembles en O(N)
  └── Affichage instantané des trajectoires et directives dans l'interface
       ↓
  [Zéro octet transmis aux serveurs Hermes]

🎯 Télémétrie d’entonnoir & respect de la vie privée (sections 68 & 69)

En conformité stricte avec notre architecture souveraine, Hermes Codex intègre une télémétrie de conversion minimale, transparente et documentée :

Finalité unique : mesurer les grandes étapes du parcours de découverte sans identifier les utilisateurs (homepage_visit → explore_intel → analyze_stack → inspect_decision → view_pricing → contact_intent).
Zéro PII : aucune adresse IP stockée, aucun identifiant nominatif, aucun cookie persistant, aucun traceur publicitaire tiers.
Respect du do not track : lorsque votre navigateur émet l’en-tête DNT: 1 ou Global Privacy Control (GPC), toute mesure est immédiatement suspendue.
Désactivation locale : vous pouvez à tout moment désactiver cette mesure en saisissant window.hermesTelemetry.setOptOut(true) dans la console de votre navigateur.