Andre Kanmegne

Alternant ayant livré 3 automatisations en production et apporté à l’équipe France l’autonomie de déploiement applicatif du groupe — couvrant automatisation, architecture de solution, ITSM/IAM et migration cloud.

• Autonomie de déploiement des développeurs (France) : J’ai pris en charge la plateforme de déploiement du siège allemand et mis en place cette capacité pour l’équipe France — permettant aux développeurs français de livrer et déployer leurs solutions avec une dépendance minimale vis-à-vis de l’ingénierie centrale.
• Automatisation de la facturation sinistres (−70 %) : Pipeline Python qui ingère, valide et traite les lots de factures sinistres, avec des règles de qualité détectant les incohérences avant les systèmes financiers en aval — cycle réduit d’environ 70 % et vérifications manuelles récurrentes supprimées pour l’équipe Finance (approche étendue à d’autres workflows métier).
• Réconciliation de données legacy : Pipeline mono-fichier reproductible remplaçant la ressaisie manuelle d’extraits mainframe à format fixe (coassurance : plusieurs types d’enregistrements, encodage legacy, locale française) — applique la logique coassurance/commission/taxes et produit un classeur Excel comptable/sinistres audit-ready conforme au modèle Finance.
• Archivage automatique des emails sinistres (production, 24/7) : Automatisation Python remplaçant le glisser-déposer manuel des emails Outlook dans le bon dossier sinistre de la GED : détection du numéro de sinistre, résolution via une table de ≈ 36 000 références (rechargée à chaud), dédoublonnage, import documentaire, puis confirmation ou quarantaine avec piste d’audit — tourne sans surveillance sur VM Windows (Task Scheduler, hors-ligne/air-gapped, auto-réparante) avec tableau de bord de suivi.
• Architecture de solution & transformation IA : En tant qu’architecte d’une solution sur mesure, conduite d’un processus d’évaluation (SEP : build-vs-buy, comparaison technologies/éditeurs sur critères définis) et cadrage d’un prototype d’intégration IA dans l’ITSM pour améliorer le support et la gestion des connaissances ; coordination IT France–Allemagne et documentation.
• Applications métier & ITSM : Administration et support de 8+ applications critiques (Sinistres, Underwriting, Finance, RH) ; exploitation de l’ITSM à deux niveaux — GLPI (support France) et ServiceNow (escalade groupe) — et contribution à leurs évolutions.
• Support IT & IAM : Support N1/N2 de plusieurs centaines d’utilisateurs (GLPI) avec escalade N3/N4 (ServiceNow) ; gestion des rôles et accès (IAM) et onboarding/offboarding complet, en coordination avec les RH et les équipes centrales allemandes.
• Cloud & Modern Workplace : Contribution au programme poste de travail moderne / cloud (Windows 365, Intune) — test, validation, adoption — et support de la migration lift-and-shift de VM on-premise vers Azure IaaS (Azure Migrate) et d’applications vers Azure.

• Pipelines d'Extraction de Données : Ingénierie et déploiement de pipelines ETL et de scraping de données robustes (Python, BeautifulSoup) pour automatiser la collecte d'informations métier, éliminant avec succès de nombreuses heures de traitement manuel chaque semaine.
• Performances Front-End & SEO : Développement d'une refonte complète de l'interface utilisateur sur une stack hybride (React, TypeScript, Laravel). Implémentation de stratégies de rendu avancées et de compression des actifs pour améliorer de manière drastique les Core Web Vitals et le référencement.

Bac+5 reconnu par l'État (RNCP Niveau 7) couvrant le développement fullstack, le DevOps, l'infrastructure cloud, l'architecture logicielle et les systèmes d'entreprise. Modules principaux : React, Node.js, Next.js, Docker, Kubernetes, GitHub Actions, Azure, Architecture Logicielle, Agile/Scrum, IA et Data Science, Sécurité Applicative.

Mon produit de certification RNCP39583 (un produit distinct qui tourne sur la plateforme, séparé du SI assurance) : Retrieva automatise la conformité DORA (UE 2022/2554) au risque ICT tiers pour les entités financières — analyse d'écart de la documentation fournisseur, questionnaires notés par LLM, copilote de conformité, alertes de surveillance 24h et export du Registre d'information (article 28(3) EBA).

• Analyse d'écart DORA : upload de documents fournisseur (PDF/DOCX/XLSX) → chunking sémantique → Qdrant → un LLM classe la couverture par article DORA (couvert / partiel / manquant).
• Copilote de conformité IA : RAG à classification d'intention sur votre documentation + les articles DORA, avec reranking, compression de contexte et validation des réponses.
• Questionnaires fournisseurs auto-générés et notés par LLM ; alertes de surveillance BullMQ 24h (expiration de certification, renouvellement de contrat, revues annuelles en retard).
• Export en un clic du Registre d'information EBA — un classeur XLSX de 4 feuilles (article 28(3) DORA, RT.01.01 → RT.04.01).
• SaaS multi-tenant : isolation des workspaces, JWT + refresh tokens, RBAC (owner/admin/member/viewer) et garde-fous sur les sorties LLM.

Technologies: Next.js 16 / React 19, Express 5 / Node 20, LangChain, Passerelle LiteLLM, Qdrant, PostgreSQL, Redis / BullMQ, Socket.io, Kargo (2 images), Docker / Kubernetes

Le système de référence des contrats d'assurance du SI ktayl-solution. Il détient le cycle de vie du contrat et l'expose via une API REST gouvernée que les autres domaines (souscription, facturation) appellent pour émettre et activer de vrais contrats.

• Cycle de vie complet du contrat (création → activation → suspension → résiliation) avec garanties et suivi de prime, sur PostgreSQL avec migrations SQL.
• API REST versionnée (OpenAPI) consommée en machine-to-machine : le domaine souscription obtient un jeton client-credentials Authentik `policy:write` et crée/soumet/active les contrats dans le service live.
• Publication d'événements sur NATS (contrat lié/activé) pour que les domaines aval réagissent sans couplage.

Technologies: Go 1.25, PostgreSQL (CNPG), NATS, Authentik (OIDC client-credentials), OpenAPI, Docker, ArgoCD/Kargo (GitOps)

Plateforme de routage multi-fournisseurs LLM et de gouvernance d'entreprise construite sur LiteLLM sous Kubernetes. Unification de 8 fournisseurs cloud et locaux (Groq, OpenAI, Gemini, DeepSeek, Mistral, Anthropic Claude, HuggingFace featherless-ai via router.huggingface.co, et Ollama local) derrière un seul endpoint API avec un routage intelligent (Ollama→Groq→DeepSeek), filtrage PII/DLP Presidio, détection de credentials detect_secrets, gouvernance des clés par département à 3 niveaux avec plafonds budgétaires, disjoncteur, cache sémantique Valkey, et traçage LLMOps complet via Langfuse. Visibilité des coûts via un tableau de bord Grafana lisant les tables d'usage PostgreSQL de LiteLLM. Inclut Langfuse v3.201.1 avec ClickHouse, Authentik OIDC, et un palier NVIDIA NIM (nemotron-70b, llama-8b, deepseek-r1).

• Routage 8 fournisseurs : Groq, OpenAI, Gemini, DeepSeek, Mistral, Anthropic Claude, HuggingFace featherless-ai, Ollama — endpoint LiteLLM unique
• Chaîne de fallback intelligente : Ollama → Groq → DeepSeek — basculement automatique en cas d'indisponibilité
• Guardrails Presidio PII/DLP + detect_secrets — protection de la vie privée et des credentials sur chaque requête
• Gouvernance des clés à 3 niveaux : plafonds budgétaires, listes de modèles autorisés et quotas d'usage par département
• Disjoncteur (cooldown=60s, allowed_fails=3) + cache sémantique Valkey — résilience et optimisation des coûts
• LLMOps Langfuse (v3.201.1 + ClickHouse + Valkey + Authentik OIDC) + tableau de bord Grafana via SQL PostgreSQL

Technologies: LiteLLM (Passerelle IA), Presidio (PII/DLP), detect_secrets, Valkey (cache sémantique), Langfuse v3.201.1 (LLMOps), ClickHouse (analytique Langfuse), Grafana (tableau de bord des coûts), PostgreSQL (données d'usage), Ollama (inférence locale), Python, Kubernetes (k3s), Authentik (OIDC/SSO), GitHub Actions

Construction d'un pipeline RAG multilingue complet pour la recherche dans des documents d'assurance français, réparti sur trois dépôts personnalisés. minicloud-markitdown-proxy (FastAPI) : route les documents selon leur type — PDF/images vers Docling OCR, Office/HTML vers MarkItDown en pod — exposant une surface d'API compatible Docling. minicloud-rag-ingest (FastAPI) : pipeline d'ingestion complet en un seul endpoint HTTP — conversion → découpage structuré par titres (regex assurance française) → embedding bge-m3 1024 dimensions → INSERT HNSW pgvector. minicloud-postgresql-noavx512 : image PostgreSQL personnalisée avec vector.so de pgvector reconstruit sans -mavx512f/bw/vl/dq pour corriger un crash SIGILL sur CPU i7-8565U/i7-10510U causé par des instructions AVX-512 EVEX dans pgvector 0.8.4. Couche de recherche hybride : BM25 avec stemmer Snowball français + stop-words NLTK injectés via un init container patchant rank_bm25/utils.py au démarrage du pod. Re-ranking cross-encoder (ms-marco-MiniLM-L-6-v2) filtrant vers le top-3.

• minicloud-markitdown-proxy : PDF/images → Docling OCR, Office/HTML → MarkItDown en pod (API compatible Docling)
• minicloud-rag-ingest : endpoint HTTP unique — convertir → découper → embedding bge-m3 → INSERT HNSW pgvector
• minicloud-postgresql-noavx512 : vector.so reconstruit sans AVX-512 — corrige SIGILL sur i7-8565U/i7-10510U (bug SIMD pgvector 0.8.4)
• BM25 français : stemmer Snowball NLTK + stop-words assurance patchés dans rank_bm25 via init container Kubernetes
• Récupération hybride : vecteur bge-m3 1024 dimensions + BM25 + re-ranking cross-encoder (ms-marco-MiniLM-L-6-v2, top-3)
• Chaîne d'approvisionnement : Dockerfile + CI GitHub Actions + signature cosign keyless sur les deux microservices
• Étape de génération routée via la Passerelle IA d'entreprise (LiteLLM) — récupération RAG + sélection de modèle cloud/local dans un seul pipeline

Technologies: Python, FastAPI, PostgreSQL + pgvector (build noavx512 personnalisé, C / Makefile), bge-m3 (Ollama), Docling (OCR/PDF), MarkItDown, rank_bm25 + NLTK (BM25 français), ms-marco-MiniLM-L-6-v2 (cross-encoder), Docker, GitHub Actions, cosign, Init containers Kubernetes

Transformer les systèmes opérationnels du SI ktayl-solution en analytics décisionnelles : ingérer les bases sources live, les modéliser avec dbt, et exposer un produit de données curé dans Metabase — une vraie tranche verticale, pas un framework de connecteurs générique.

• Ingestion des bases sources live vers `raw` (COPY full-refresh), puis une medallion dbt (staging → marts) avec des modèles testés.
• Produit de données `policy_portfolio` : joint contrats + souscription par policy_number, calcule le GWP (prime tarifée faisant autorité, à défaut un proxy annualisé) et le TIV.
• Provisionneur Metabase (Python) idempotent et sans secret qui crée la source de données analytics + les cartes + le dashboard.

Technologies: dbt, PostgreSQL (CNPG), Python, SQL, Metabase, CloudNativePG, ArgoCD (CronJobs/ESO/netpols)

La couche de livraison : chaque ressource du cluster est déclarée dans Git et réconciliée par ArgoCD (app-of-apps). Kargo promeut un artefact immuable dev→prod derrière un contrôle CODEOWNERS, et ArgoCD le déploie — aucun kubectl manuel en production.

• ArgoCD app-of-apps : minicloud-gitops est la source unique de vérité (apps/ Applications, helm-values/ overrides, services/ manifests) ; AppProject avec sourceRepos verrouillés.
• Standard à deux environnements (dev + prod) avec auto-sync contrôlé par Git ; la prod n'avance que via une PR revue par CODEOWNERS et signée GPG.
• Promotion multi-étapes Kargo : la CI build et prouve une image immuable, Kargo ouvre la PR de promotion dev→prod, ArgoCD la déploie — la CI ne touche jamais le cluster.
• Helm golden path : chaque service est un wrapper chart dépendant d'une library chart partagée — un seul rendu Helm, une seule source ArgoCD.
• Chaîne d'approvisionnement sur chaque image custom : Trivy CRITICAL exit-1, signature keyless Cosign (GitHub OIDC → Sigstore Fulcio), SBOM CycloneDX syft en OCI referrers, commits de bump signés GPG.

Technologies: ArgoCD (app-of-apps), Kargo, Helm, Kustomize, GitHub Actions, Cosign, syft (SBOM), Trivy, OPA Gatekeeper, AppProject RBAC

La fondation de calcul de la plateforme : un cluster k3s auto-hébergé de 6 nœuds sur des ThinkPad recyclés et un MacBook Pro, provisionné en infrastructure-as-code et durci selon les benchmarks CIS. C'est la couche d'infrastructure sur laquelle tout le reste s'exécute.

• Cycle de vie entièrement en code : MAAS commissionne le matériel ThinkPad → OpenTofu gère l'état des machines → Ansible bootstrappe k3s — un nœud est reproductible depuis le bare-metal, pas une bête de concours configurée à la main.
• Cilium eBPF choisi plutôt que flannel pour des network policies default-deny basées sur l'identité + l'observabilité des flux Hubble sur tout le parc ; MetalLB fournit des IP LoadBalancer sur bare-metal.
• Stockage bloc répliqué Longhorn + sauvegardes Velero/CNPG vers un MinIO hors cluster — bascule au niveau base de données + restauration à un instant T sur des disques grand public, là où le stockage est précisément ce qui lâche.
• Kubelet durci CIS, chiffrement des secrets au repos (AES-CBC-256), journaux d'audit k3s, UFW default-deny + durcissement SSH sur chaque nœud.
• Cycle de vie sans interruption : system-upgrade-controller déploie les mises à jour k3s sur tous les nœuds via des Plans — cordon uniquement (compatible Longhorn), sans SSH manuel.

Technologies: k3s (Kubernetes), MAAS, OpenTofu, Ansible, Cilium eBPF, Hubble, MetalLB, Longhorn, Velero + MinIO, Tailscale, kube-bench (CIS)

La couche de collaboration du SI ktayl-solution : un digital workplace auto-hébergé complet (mail, chat, visio, fichiers, signature) remplaçant Microsoft 365 / Google Workspace, assemblé à partir d'applications open-source sur la plateforme Kubernetes + GitOps et unifié derrière Authentik SSO + MFA.

• Messagerie : Stalwart (JMAP/IMAP/SMTP) relayant le sortant via Amazon SES avec SPF/DKIM/DMARC alignés ; entrant via un pipeline SES→S3→SQS→pont.
• Suite collaborative : chat Matrix/Element, visio Jitsi, Nextcloud + OnlyOffice pour les fichiers et la bureautique dans le navigateur, signature électronique Docuseal — chacune livrée en GitOps, terminée en TLS et sauvegardée.
• L'identité comme périmètre : Authentik OIDC SSO + TOTP devant chaque application ; accès BYOD / zero-trust en priorité navigateur via Tailscale + Cloudflare Tunnel, aucun terminal géré.
• Automatisation inter-applications : n8n et Temporal orchestrent les processus du workplace.

Technologies: Authentik (OIDC/SSO), Stalwart Mail + SES, Matrix / Element, Jitsi Meet, Nextcloud / OnlyOffice, Docuseal, n8n, Temporal, cert-manager / TLS, Kubernetes / GitOps

L'ERP + le système RH de référence du SI ktayl-solution : ERPNext/Frappe sur MariaDB, configuré pour la comptabilité d'assurance française et étendu par du code sur mesure là où le produit standard s'arrête.

• Comptabilité d'assurance française : le plan comptable PCG 2025 à 845 comptes + les modèles de taxe TSCA (9/13/33%) configurés dans ERPNext/Frappe sur MariaDB.
• PoC de facturation électronique Factur-X (profil Minimum) — génération de XML CII validée par 5 assertions.
• Extension de paie sur mesure : déclaration DSN française + génération de virements SEPA, testée unitairement (108 tests, ~76% de couverture).
• Les RH sont la source de vérité du SI ; livré en GitOps, protégé par SSO (Authentik), secrets via ESO/Vault, sauvegardé.

Technologies: ERPNext / Frappe, MariaDB, Python, Authentik (OIDC/SSO), Factur-X, ESO / Vault, Kubernetes / GitOps