Nous vérifions des personnes. Vérifiez-nous — avant de signer.

La première question n’est pas de savoir qui est vérifié — mais qui, chez nous, voit qui vous vérifiez.

Une requête de recherche est elle-même une donnée digne de protection. Le simple fait de la requête révèle qui vérifie qui — et pourquoi maintenant. Pour les professions tenues au secret, les directions juridiques et les family offices, c’est le point d’achat décisif. Nous le traitons comme tel — garanti contractuellement, pas seulement revendiqué techniquement :

Obligation de suppression et obligation de conservation — résolues, pas laissées en conflit.

La réponse réflexe en matière de protection des données est : « Nous supprimons tout. » Pour un client régulé, c’est précisément un problème — le régulateur exige que le dossier de rapport vérifiable reste démontrable pendant cinq à dix ans. Nous résolvons ce conflit par écrit. Le contrat de sous-traitance selon l’art. 28 RGPD régit :

Chaque exigence face à la clause qui y répond — un mapping, pas un label.

Trois logos de conformité côte à côte ne prouvent rien. Votre gouvernance d’externalisation veut voir quelle clause contractuelle porte quelle exigence réglementaire — ligne par ligne, de manière vérifiable.

Y compris ce que la seconde ligne demande vraiment : des droits d’audit, d’information et d’instruction pour vous et votre régulateur (BaFin, FINMA). Un appui pour votre registre d’information DORA selon l’art. 28, par. 3 DORA, avec un exemple d’entrée de registre. Une évaluation honnête du risque de concentration et de substituabilité. Et là où votre propre audit sur site serait disproportionné, nous nommons les audits groupés et un rapport ISAE 3402 comme substitut reconnu.

Nous vérifions à partir de sources ouvertes et sous licence — et nous vous disons sur quelle base juridique.

Nous ne revendiquons aucune attestation que nous n’avons pas. Nous appliquons les contrôles qui comptent derrière.

Nous le disons donc clairement : nous ne détenons aujourd’hui ni ISO 27001 ni SOC 2. Nous ne le revendiquons pas, et nous n’écrivons pas non plus « en préparation », car une ligne de statut sans substance ne dit rien.

Ce que nous présentons à la place, c’est la substance qu’une attestation ne ferait de toute façon que certifier — les mesures techniques et organisationnelles (TOM) en vigueur aujourd’hui selon l’art. 32 RGPD et les contrôles compensatoires :

Nous-mêmes n’achetons qu’auprès de prestataires qui passent une due diligence de sécurité rigoureuse. Tenez-nous à ce même standard.

« Made in Europe for Europe » — et le point honnête où cela reste aujourd’hui un objectif.

La souveraineté est souvent vendue sur ce marché comme une revendication absolue. Nous ne le disons pas, car aujourd’hui ce ne serait pas toute la vérité — et parce qu’une revendication dans laquelle votre propre examen trouve immédiatement une faille coûte plus de confiance qu’elle n’en rapporte. Voici comment cela se présente réellement chez nous :

À part, la seconde moitié de la vérité : une partie de nos données de référence sanctions et PEP provient de fournisseurs internationaux. Cela concerne l’origine des données de correspondance — pas la résidence de vos données de requête et données personnelles. Nous séparons ouvertement les deux au lieu de les fusionner sous une étiquette de souveraineté.

Nous nommons nos principaux sous-traitants ultérieurs — et divulguons la liste complète à vous et à votre régulateur.

Sous-traitants ultérieurs actuels, état juillet 2026. Modifications notifiées conformément au § 7 de l’AVV.

La liste complète des sous-traitants ultérieurs — avec le lieu et la fonction de chacun — est disponible sous NDA, avant la signature. À vous comme partie contractante et à votre régulateur, nous la divulguons intégralement ; DORA et les orientations de l’EBA sur l’externalisation exigent de toute façon exactement cette divulgation.

Et parce que la gouvernance d’externalisation ne s’arrête pas à la signature : selon l’art. 28, par. 2 RGPD, nous garantissons une notification préalable de tout changement de sous-traitant ultérieur, avec droit d’objection.

Nous interceptons la fausse correspondance. La limite structurelle, nous vous la disons — au lieu de revendiquer « sans lacune ».

Deux types d’erreurs, honnêtement séparés. Le faux positif — la correspondance signalée à tort — est évalué par la revue humaine finale avant de produire un effet. Le plus critique en matière de responsabilité est le faux négatif, le risque réel manqué. Nous y répondons non par le mot « sans lacune », mais par une méthodologie documentée, une couverture de sources nommée et des limites structurelles clairement signalées.

Ce qu’une recherche à partir de sources ouvertes et sous licence ne peut structurellement pas voir, nous vous le disons dans chaque rapport : liquidités, trusts offshore non enregistrés sans registre, participations cachées non publiques. Là où votre cas se situe au-delà de cette ligne commence la profondeur dirigée par analystes — et nous le disons avant que vous ne commandiez, pas après.

Responsabilité et répartition des risques, d’emblée. La structure de base de notre répartition des risques est sur la table avant la démo ; la formulation négociée relève du contrat. La documentation contractuelle complète, les TOM et les détails des sous-traitants ultérieurs sont disponibles via trust.indicium.ag avant la signature. Nous ne vendons pas une garantie de résultat — nous livrons le rapport que vous pouvez présenter.

En chiffres, d’emblée — pas des paroles rassurantes pendant l’onboarding.

L’externalisation échoue souvent sur la question tue : que se passe-t-il si le prestataire tombe — ou si nous voulons en sortir ? Nous y répondons avec des repères avant que vous ne signiez.

La table des matières — ouverte, sans NDA.

Confrontez-la à votre propre checklist. Les documents eux-mêmes, nous les ouvrons sous NDA via notre hub documentaire trust.indicium.ag ↗ — avant la signature.

La numérotation correspond au registre du Trust Package ; les références « 8.x » de notre FAQ renvoient ici.