Notice d'information sur la protection des données

La présente notice d’information (ci-après la « Notice ») explique comment Luxgap Sàrl (« Luxgap », « nous », « notre ») collecte et traite les données à caractère personnel dans le cadre de ses sites internet, portails, outils en ligne, processus de devis, formulaires de contact, assistants IA, services d’analyse et de surveillance du Dark Web, espace partenaire, rapports et services numériques associés.

La présente Notice a vocation à s’appliquer en tant que notice d’information de référence, disponible à l’adresse : https://luxgap.com/privacy-notice

Elle est rédigée conformément au Règlement (UE) 2016/679 (« RGPD ») et aux lois luxembourgeoises applicables en matière de protection des données.

1. Responsable du traitement

Le responsable du traitement est :

Luxgap Sàrl

RCS Luxembourg B231193

2 rue de l’École

L-8376 Kahler

Luxembourg

Luxgap a désigné un Délégué à la protection des données (DPD) conformément à l’article 37 du RGPD. Pour toute question relative à la présente Notice ou à l’exercice de vos droits, vous pouvez contacter le DPD à l’adresse : dpo@luxgap.com.

2. Champ d’application de la présente Notice

La présente Notice s’applique aux traitements de données à caractère personnel effectués par Luxgap dans le cadre :

• du site internet luxgap.com ;
• du portail devis.luxgap.com ;
• de l’espace partenaire accessible via dpo.luxgap.com ;
• des formulaires de contact et des demandes commerciales ;
• des processus de création, d’examen et d’approbation de devis ;
• des assistants IA utilisés sur les sites internet de Luxgap ou en lien avec les devis ;
• des outils publics d’analyse du Dark Web ;
• des services de surveillance souscrits, y compris Luxgap Vigil ;
• des rapports de surveillance détaillés, y compris les rapports générés avec Gamma ;
• du contenu éditorial publié par Luxgap ; et
• des journaux techniques, mesures de sécurité et cookies strictement nécessaires.

La présente Notice ne s’applique pas aux services LuxApps, lesquels sont régis par des informations de confidentialité et une documentation contractuelle distinctes.

3. Activités de traitement

3.1. Formulaire de contact et demandes commerciales

Lorsque vous contactez Luxgap par l’intermédiaire d’un formulaire de site internet, d’un courrier électronique ou d’un canal similaire, nous traitons les données à caractère personnel nécessaires pour répondre à votre demande et, le cas échéant, préparer une proposition commerciale.

Les données à caractère personnel traitées peuvent inclure :

• prénom et nom ;
• nom de l’entreprise ;
• adresse électronique professionnelle ;
• numéro de téléphone ;
• titre ou fonction ;
• objet de la demande ;
• message en texte libre ;
• page source : la page du site depuis laquelle le formulaire a été ouvert ou, si vous arrivez directement sur le formulaire, le domaine du site d’origine, et langue préférée ;
• la façon dont vous avez connu Luxgap, si vous choisissez de l’indiquer ;
• pour une demande liée au programme Fit 4 Cybersecurity (formulaire de la page /fit4/) : raison sociale, numéros RCS et d’autorisation d’établissement, adresse du siège, effectif, chiffre d’affaires et total du bilan, sociétés liées, aides de minimis déclarées, statut NIS 2, état du Cybercheck, axes prioritaires et contexte décrit ; ce formulaire n’accepte aucun fichier, les pièces du dossier étant déposées par l’entreprise auprès de Luxinnovation ;
• adresse IP et agent utilisateur (user-agent).

La page source est lue sur l’adresse que votre navigateur transmet à l’affichage du formulaire. Elle n’est pas rattachée à la mesure d’audience décrite à la section 3.13.

Finalité : répondre à votre demande, gérer les échanges précontractuels et, sur demande, transmettre une proposition ou un devis ; savoir quelles pages et quels canaux amènent les demandes.

Base juridique : intérêt légitime au sens de l’article 6, paragraphe 1, point f), du RGPD, à savoir la gestion des demandes commerciales et le développement de l’activité commerciale, et mesures précontractuelles au sens de l’article 6, paragraphe 1, point b), du RGPD lorsque la demande porte sur un devis, une proposition ou un service.

Durée de conservation : 3 ans après la dernière interaction, sauf conclusion d’un contrat, auquel cas les données pertinentes peuvent être conservées pendant la durée de la relation contractuelle et les délais légaux de conservation applicables. Une demande reçue par un formulaire du site est effacée 3 ans après la dernière demande envoyée avec la même adresse électronique ; les copies des courriels de notification et d’accusé de réception qui s’y rapportent sont effacées 12 mois après leur envoi, et au plus tard avec la demande.

Destinataires : personnel autorisé de Luxgap et prestataires techniques d’hébergement ou de messagerie utilisés par Luxgap.

3.2. Examen et approbation des devis

Lorsque Luxgap envoie un devis via un lien unique ou une page de devis en ligne, nous traitons les données nécessaires pour présenter, discuter, examiner et approuver le devis.

Les données à caractère personnel traitées peuvent inclure :

• prénom et nom ;
• adresse électronique professionnelle ;
• nom de l’entreprise ;
• titre ou fonction ;
• langue préférée ;
• contenu et métadonnées du devis ;
• adresse IP ;
• agent utilisateur (user-agent) ;
• horodatage d’ouverture ;
• réponse d’approbation ou de refus ;
• commentaires ou messages soumis en lien avec le devis.

Finalité : gestion des devis, échanges précontractuels, suivi commercial, preuve d’approbation ou de refus et préparation de la relation contractuelle.

Base juridique : mesures précontractuelles au sens de l’article 6, paragraphe 1, point b), du RGPD et intérêt légitime au sens de l’article 6, paragraphe 1, point f), du RGPD, à savoir le suivi commercial et la preuve des échanges précontractuels.

Durée de conservation : 3 ans après la dernière interaction, puis archivage légal en cas de conclusion d’un contrat ou lorsque la conservation est requise à des fins probatoires, comptables, fiscales ou juridiques.

Destinataires : personnel autorisé de Luxgap, prestataires d’hébergement, prestataires de messagerie et, le cas échéant, fournisseurs d’assistants IA utilisés pour les interactions liées aux devis.

3.3. Création de devis en libre-service

Lorsque vous générez vous-même un devis via un générateur de devis en ligne de Luxgap, nous traitons les données nécessaires à la création du devis et à la gestion du suivi.

Les données à caractère personnel traitées peuvent inclure :

• nom de l’entreprise ;
• adresse électronique professionnelle ;
• domaines d’intérêt ou services sélectionnés ;
• langue préférée ;
• adresse IP ;
• agent utilisateur (user-agent) ;
• métadonnées de session et données de prévention des abus.

Luxgap peut refuser les adresses électroniques personnelles, telles que les adresses de messagerie grand public, lorsque le service concerné est destiné à un usage professionnel.

Finalité : création de devis en libre-service, suivi commercial, prévention des abus, sécurité et gestion précontractuelle.

Base juridique : mesures précontractuelles au sens de l’article 6, paragraphe 1, point b), du RGPD, intérêt légitime au sens de l’article 6, paragraphe 1, point f), du RGPD, à savoir la prévention des abus et le suivi commercial, et, le cas échéant, consentement au sens de l’article 6, paragraphe 1, point a), du RGPD pour des communications de suivi spécifiques. Lorsque le consentement constitue la base juridique, vous pouvez le retirer à tout moment sans que cela n’affecte la licéité du traitement fondé sur le consentement donné avant son retrait.

Durée de conservation : 3 ans après la dernière interaction, sauf conclusion d’un contrat, auquel cas les données pertinentes peuvent être conservées pendant la durée de la relation contractuelle et les délais légaux de conservation applicables.

Destinataires : personnel autorisé de Luxgap, prestataires d’hébergement, prestataires de messagerie et prestataires techniques utilisés pour la génération de devis.

3.4. Espace partenaire

Luxgap met à disposition un espace partenaire accessible via dpo.luxgap.com.

Lorsque vous accédez à l’espace partenaire, nous traitons les données nécessaires pour authentifier l’accès, sécuriser la plateforme et maintenir la continuité de la session.

Les données à caractère personnel traitées peuvent inclure :

• identifiants de connexion ou de session ;
• cookie de session ;
• adresse IP ;
• agent utilisateur (user-agent) ;
• horodatage d’accès ;
• journaux de sécurité.

Finalité : authentification, contrôle d’accès, sécurité de la plateforme et prévention des accès non autorisés.

Base juridique : intérêt légitime au sens de l’article 6, paragraphe 1, point f), du RGPD, à savoir la sécurité de la plateforme et la prévention des accès non autorisés, et, lorsque l’accès est lié à une relation contractuelle, exécution du contrat au sens de l’article 6, paragraphe 1, point b), du RGPD.

Durée de conservation : les sessions authentifiées sont conservées pendant une durée maximale de 8 heures. Les journaux de sécurité sont conservés pendant une durée maximale de 12 mois.

Destinataires : personnel autorisé de Luxgap et prestataires d’hébergement ou de sécurité utilisés par Luxgap.

3.5. Scan publique du Dark Web

Lorsque vous utilisez un outil public de scan du Dark Web, de vérification de fuite ou de vérification d’exposition mis à disposition par Luxgap, nous traitons les données nécessaires pour réaliser l’analyse et fournir le résultat.

Les données à caractère personnel traitées peuvent inclure :

• l’adresse électronique professionnelle ou le domaine que vous avez soumis ;
• adresse IP ;
• user-agent ;
• horodatage de la requête ;
• résultat de l’analyse ;
• statut de la requête ;
• métadonnées de domaine ;
• indicateurs d’exposition ;
• résultats de domaines similaires (lookalike), le cas échéant.

L’analyse est réalisée par l’infrastructure de Luxgap. Les données saisies ne sont pas transmises directement par le visiteur aux sources de renseignement sur les menaces. L’infrastructure de Luxgap peut interroger les sources et API pertinentes pour générer le résultat.

Lorsque des identifiants compromis sont détectés, Luxgap ne vous demande pas de fournir un mot de passe et n’affiche pas les mots de passe en clair. Les mots de passe ou indicateurs d’identifiants peuvent être masqués, tronqués, hachés ou autrement limités afin d’éviter toute réutilisation.

Finalité : fournir l’analyse demandée par l’utilisateur, détecter les expositions publiques, évaluer les risques en matière de cybersécurité, prévenir les abus et, lorsque l’utilisateur y a consenti, permettre à Luxgap de le contacter concernant le résultat ou les services de protection pertinents.

Base juridique : intérêt légitime en matière de cybersécurité au sens de l’article 6, paragraphe 1, point f), du RGPD pour l’analyse elle-même, et consentement au sens de l’article 6, paragraphe 1, point a), du RGPD pour la prise de contact commerciale faisant suite à l’analyse, lorsque cette prise de contact n’est pas strictement nécessaire à la fourniture du résultat. Lorsque le consentement constitue la base juridique, vous pouvez le retirer à tout moment sans que cela n’affecte la licéité du traitement fondé sur le consentement donné avant son retrait.

Durée de conservation : 24 mois à compter de la dernière requête, sauf demande de suppression antérieure et en l’absence de raison légale, sécuritaire ou probatoire prévalente justifiant la conservation.

Destinataires : personnel autorisé de Luxgap, prestataires d’hébergement, prestataires de messagerie et sources techniques pertinentes interrogées par l’infrastructure de Luxgap.

3.6. Services de surveillance contractés

Lorsqu’un client souscrit à un service de surveillance contracté, y compris Luxgap Vigil ou des services similaires, Luxgap traite les données nécessaires à la configuration, à l’exécution et à la maintenance de la surveillance. Dans ce contexte, Luxgap agit en qualité de sous-traitant au sens de l’article 28 du RGPD, pour le compte du client en tant que responsable du traitement. Un accord de sous-traitance régit la relation entre Luxgap et le client.

Les données à caractère personnel traitées peuvent inclure :

• domaines à surveiller ;
• mots-clés professionnels ;
• noms de dirigeants ou identifiants professionnels fournis par le client ;
• noms de projets sensibles ou mots-clés internes fournis par le client ;
• adresses électroniques de notification ;
• identifiants compromis détectés ;
• mots de passe partiellement masqués ou empreintes (hashes) ;
• métadonnées d’analyse ;
• alertes et historique des alertes ;
• journaux techniques relatifs aux opérations de surveillance.

Finalité : surveillance continue en matière de cybersécurité, détection de fuites, génération d’alertes, identification des risques et fourniture des services contractés.

Base juridique : exécution du contrat au sens de l’article 6, paragraphe 1, point b), du RGPD et intérêt légitime au sens de l’article 6, paragraphe 1, point f), du RGPD, à savoir la sécurité des réseaux, la détection de fuites et la protection des systèmes d’information du client.

Durée de conservation : pendant la durée du contrat et 12 mois après la fin du service de surveillance concerné, sauf obligation légale, contractuelle, gestion d’incident de sécurité ou nécessité probatoire imposant une conservation plus longue.

Destinataires : personnel autorisé de Luxgap, prestataires d’hébergement, prestataires de messagerie, sources pertinentes de renseignement sur les menaces et prestataires techniques utilisés par Luxgap pour la surveillance.

3.7. Rapports de surveillance détaillés et rapports générés avec Gamma

Dans le cadre d’une mission signée, Luxgap peut produire des rapports de surveillance détaillés, y compris des rapports sous forme de tableurs, de présentations ou de rapports générés avec Gamma.

Les rapports peuvent inclure :

• statistiques d’analyse ;
• indicateurs d’exposition détectés ;
• domaines affectés ;
• constatations techniques ;
• échantillons partiellement masqués ;
• adresses électroniques professionnelles ou identifiants, le cas échéant ;
• indicateurs d’identifiants, à l’exclusion des mots de passe complets ;
• recommandations et informations de remédiation.

Gamma peut être utilisé pour générer des rapports sous forme de présentations. Lorsque Gamma est utilisé, Luxgap s’efforce de limiter les données transmises à ce qui est nécessaire à la génération du rapport. Les mots de passe complets ne sont pas transmis à Gamma.

Finalité : production de rapports, présentation des résultats de surveillance, analyse en matière de cybersécurité, livrables contractuels et suivi client.

Base juridique : exécution du contrat au sens de l’article 6, paragraphe 1, point b), du RGPD et intérêt légitime au sens de l’article 6, paragraphe 1, point f), du RGPD, à savoir l’analyse en matière de cybersécurité et la fourniture d’informations de sécurité exploitables au client.

Durée de conservation : 12 mois après la livraison, sauf demande de suppression antérieure et en l’absence de raison légale, sécuritaire ou probatoire prévalente justifiant la conservation.

Destinataires : personnel autorisé de Luxgap, Gamma le cas échéant, prestataires d’hébergement et prestataires de communication utilisés pour la transmission des rapports.

Sécurité : les rapports sont transmis par des canaux restreints ou appropriés et ne sont pas publiés ni partagés avec des tiers non autorisés.

3.8. Assistant IA sur luxgap.com

Luxgap peut mettre à disposition un assistant IA sur son site internet public afin de répondre aux questions relatives à ses services et de contribuer à la qualification des demandes.

Les données à caractère personnel traitées peuvent inclure :

• messages soumis par l’utilisateur ;
• nom et adresse électronique (facultatifs) ;
• identifiant de session ;
• langue ;
• contexte de page ou de source ;
• adresse IP ;
• agent utilisateur (user-agent).

Finalité : répondre aux questions, améliorer l’assistance précontractuelle, qualifier les demandes et faciliter la prise de contact avec Luxgap.

Base juridique : intérêt légitime au sens de l’article 6, paragraphe 1, point f), du RGPD, à savoir l’amélioration de l’assistance précontractuelle et la qualification efficace des demandes, et, lorsque l’échange porte sur une demande spécifique de services, mesures précontractuelles au sens de l’article 6, paragraphe 1, point b), du RGPD.

Durée de conservation : 13 mois à compter de la dernière interaction.

Destinataires : personnel autorisé de Luxgap et Anthropic PBC en tant que fournisseur du modèle d’IA Claude, agissant en qualité de sous-traitant au sens de l’article 28 du RGPD.

Important : l’assistant IA n’est pas un canal sécurisé pour les données à caractère personnel sensibles ou confidentielles. Les utilisateurs ne doivent pas soumettre d’informations sensibles, confidentielles, privilégiées, critiques en matière de sécurité ou hautement personnelles via l’assistant IA public.

3.9. Assistant IA sur les devis

Luxgap peut mettre à disposition un assistant IA distinct en lien avec les devis en ligne.

Lorsque vous posez une question relative à un devis, votre message et le contexte pertinent du devis peuvent être transmis à Anthropic PBC via le modèle Claude afin de générer une réponse. Une copie de la conversation peut également être mise à la disposition du représentant Luxgap concerné à des fins de suivi qualitatif, de responsabilité commerciale et de continuité.

Les données à caractère personnel traitées peuvent inclure :

• messages soumis par l’utilisateur ;
• contexte du devis ;
• nom de l’entreprise ;
• coordonnées professionnelles ;
• services sélectionnés ;
• langue ;
• adresse IP ;
• agent utilisateur (user-agent) ;
• métadonnées de conversation.

Finalité : répondre aux questions relatives aux devis, soutenir les échanges précontractuels, améliorer la compréhension des devis et assurer le suivi par Luxgap.

Base juridique : mesures précontractuelles au sens de l’article 6, paragraphe 1, point b), du RGPD et intérêt légitime au sens de l’article 6, paragraphe 1, point f), du RGPD, à savoir le soutien à la compréhension des devis et la qualité du suivi.

Durée de conservation : 13 mois.

Destinataires : personnel autorisé de Luxgap, Anthropic PBC et prestataires techniques impliqués dans le processus de devis.

Important : l’assistant IA ne doit pas être utilisé pour soumettre des informations sensibles, confidentielles, privilégiées, critiques en matière de sécurité ou hautement personnelles, sauf instruction expresse de Luxgap via un processus sécurisé.

3.10. Articles éditoriaux et auteurs

Lorsque Luxgap publie des articles éditoriaux, des analyses ou des contenus similaires rédigés par des collaborateurs ou contributeurs de Luxgap, Luxgap peut traiter des informations limitées sur l’auteur.

Les données à caractère personnel traitées peuvent inclure :

• nom de l’auteur ;
• rôle ou titre professionnel ;
• date de publication ;
• contenu de l’article ;
• biographie professionnelle ou photographie, le cas échéant.

Finalité : publication de contenu éditorial, attribution de la qualité d’auteur et communication sur l’expertise de Luxgap.

Base juridique : exécution du contrat, nécessité liée à la relation de travail ou intérêt légitime au sens de l’article 6, paragraphe 1, point f), du RGPD, selon la relation de l’auteur avec Luxgap.

Durée de conservation : aussi longtemps que l’article reste publié, sauf demande de suppression et en l’absence de raison légitime prévalente justifiant le maintien de la publication.

Destinataires : visiteurs du site internet, personnel autorisé de Luxgap, prestataires d’hébergement et prestataires de services web.

3.11. Journaux serveur et journaux de sécurité

Lorsque vous utilisez les sites internet, portails ou services en ligne de Luxgap, Luxgap traite les journaux techniques nécessaires à la sécurité, au dépannage et au fonctionnement des services.

Les données à caractère personnel traitées peuvent inclure :

• adresse IP ;
• URL demandée ;
• horodatage ;
• agent utilisateur (user-agent) ;
• code de statut HTTP ;
• identifiants de session ou de sécurité ;
• événements d’authentification ;
• journaux d’accès administrateur ou partenaire, le cas échéant.

Finalité : sécurité, prévention de la fraude et des abus, dépannage, pistes d’audit, investigation d’incidents et protection de l’infrastructure de Luxgap.

Base juridique : intérêt légitime au sens de l’article 6, paragraphe 1, point f), du RGPD, à savoir la sécurité des systèmes d’information, la prévention de la fraude et l’investigation d’incidents, et, le cas échéant, obligation légale au sens de l’article 6, paragraphe 1, point c), du RGPD, notamment les obligations découlant de la législation applicable en matière de cybersécurité et de communications électroniques.

Durée de conservation : 12 mois.

Destinataires : personnel autorisé de Luxgap, prestataires d’hébergement et prestataires de sécurité.

3.12. Cookies et technologies similaires

Les sites internet de Luxgap utilisent un nombre limité de cookies et de technologies similaires. À la date de la présente Notice, Luxgap utilise uniquement des cookies first-party strictement nécessaires au fonctionnement des services, à la sécurité, à la gestion des sessions ou aux préférences linguistiques. Aucun cookie tiers, cookie analytique ou cookie publicitaire n’est utilisé.

Les cookies et technologies similaires suivants sont utilisés sur luxgap.com :

• lxg_csrf, cookie propriétaire, durée : 1 semaine, finalité : protection contre la falsification de requêtes intersites (CSRF), catégorie : strictement nécessaire ;
• lxg_lang, cookie propriétaire, durée : 1 an, finalité : enregistrement de la préférence linguistique de l’utilisateur, catégorie : fonctionnalité.

Les technologies similaires suivantes (stockage du navigateur, sans cookie) sont utilisées sur luxgap.com :

• lxg_sid, stockage de session (effacé à la fermeture de l’onglet), finalité : identifiant aléatoire qui relie entre elles les pages d’une même visite pour la mesure d’audience décrite à la section 3.13, catégorie : mesure d’audience ;
• lxg_utm, stockage de session (effacé à la fermeture de l’onglet), finalité : conserver pendant la visite les paramètres de campagne de la page d’arrivée (utm_source, utm_medium, utm_campaign, présence d’un identifiant de clic publicitaire), catégorie : mesure d’audience ;
• lxg_chat_session, lxg_chat_name et lxg_chat_email, stockage de session (effacé à la fermeture de l’onglet), finalité : faire fonctionner l’assistant IA à la demande de l’utilisateur (identifiant de conversation, nom et adresse saisis par l’utilisateur), catégorie : strictement nécessaire ;
• lxg_chat_expanded, stockage local (conservé jusqu’à son effacement par l’utilisateur), finalité : mémoriser l’affichage agrandi de l’assistant IA, catégorie : fonctionnalité ;
• lxg_related_hidden, stockage de session (effacé à la fermeture de l’onglet), finalité : mémoriser la fermeture de l’encadré d’articles liés pendant la visite, catégorie : fonctionnalité.

La mesure d’audience décrite à la section 3.13 n’utilise aucun cookie : elle recourt aux seuls stockages de session lxg_sid et lxg_utm, limités à la visite en cours, pour des statistiques propres au site, sans croisement avec d’autres traitements ni transmission à des tiers.

Les cookies et technologies similaires suivants sont utilisés sur devis.luxgap.com :

• PHPSESSID, cookie propriétaire, durée : session (supprimé à la fermeture du navigateur), finalité : maintien de la session utilisateur entre les pages, catégorie : strictement nécessaire ;
• lang, cookie propriétaire, durée : 1 an, finalité : enregistrement de la préférence linguistique de l’utilisateur, catégorie : fonctionnalité ;
• wpEmojiSettingsSupports, stockage de session (pas un cookie), finalité : support technique de rendu, catégorie : strictement nécessaire.

Base juridique : intérêt légitime au sens de l’article 6, paragraphe 1, point f), du RGPD pour les cookies et technologies similaires strictement nécessaires, à savoir assurer la sécurité et le bon fonctionnement des sites internet. Pour les cookies de fonctionnalité (lxg_lang, lang), la base juridique est l’intérêt légitime au sens de l’article 6, paragraphe 1, point f), du RGPD, à savoir fournir le site internet dans la langue préférée de l’utilisateur. Ces cookies ne nécessitent pas de consentement préalable au titre de la législation ePrivacy applicable telle que transposée au Luxembourg, dans la mesure où ils sont soit strictement nécessaires à la fourniture du service demandé par l’utilisateur, soit permettent de fournir une fonctionnalité attendue par l’utilisateur, telle que la conservation de sa préférence linguistique.

Durée de conservation : telle qu’indiquée par cookie ci-dessus (session, 1 semaine ou 1 an selon le cas).

Destinataires : les cookies listés ci-dessus sont exclusivement first-party et ne sont pas partagés avec des tiers.

Si Luxgap venait à introduire à l’avenir des cookies ou technologies similaires non essentiels, tels que des cookies analytiques ou marketing, un consentement préalable sera obtenu conformément au droit applicable, y compris les exigences de la CNPD et de la loi luxembourgeoise modifiée du 30 mai 2005 relative à la protection des données dans le secteur des communications électroniques.

3.13. Mesure d’audience

Luxgap mesure la fréquentation de luxgap.com pour savoir quelles pages sont consultées et d’où viennent les visites, et pour écarter le trafic automatisé des statistiques. Deux outils sont utilisés, tous deux exécutés sur l’infrastructure de Luxgap ; aucun ne dépose de cookie.

Matomo, installé sur les serveurs de Luxgap, configuré sans cookie et respectant le signal « Do Not Track » du navigateur. Il compte aussi les demandes envoyées depuis le site (formulaire de contact, commande, inscription à la newsletter, demande d’aide sur une page de loi), les clics sur les liens de contact (e-mail, téléphone) et l’ouverture de l’assistant IA, toujours sans cookie ni stockage dans le navigateur : il n’enregistre que le type d’action et, le cas échéant, le sujet choisi dans une liste, jamais le contenu saisi, l’adresse e-mail, le nom ou le numéro de téléphone.

La mesure propre au site, qui enregistre pour chaque page consultée :

• l’adresse de la page et l’adresse de provenance transmise par le navigateur (le plus souvent le seul domaine du site d’origine) ;
• la langue du navigateur et la catégorie d’appareil (ordinateur, mobile, tablette), sans conserver l’agent utilisateur ;
• le pays, déduit de l’adresse IP au moyen d’une base de géolocalisation installée sur le serveur de Luxgap : l’adresse IP n’est transmise à aucun tiers pour cette opération ;
• une empreinte pseudonyme de l’adresse IP, calculée avec une valeur secrète et la date du jour : elle change chaque jour et sert à compter les visiteurs distincts d’une journée ; l’adresse IP elle-même n’est pas conservée par la mesure d’audience ;
• l’identifiant de visite lxg_sid et les paramètres de campagne lxg_utm décrits à la section 3.12 ;
• la durée de consultation de la page.

Finalité : statistiques de fréquentation du site et des demandes qu’il reçoit, amélioration de ses contenus et détection du trafic automatisé.

Base juridique : intérêt légitime au sens de l’article 6, paragraphe 1, point f), du RGPD, à savoir connaître l’audience de son site internet et en améliorer les contenus.

Durée de conservation : 180 jours pour les enregistrements de la mesure propre au site.

Destinataires : personnel autorisé de Luxgap. Aucune donnée de mesure d’audience n’est transmise à des tiers.

La géolocalisation utilise la base « IP to Country Lite » de DB-IP, sous licence Creative Commons Attribution 4.0 : IP Geolocation by DB-IP.

4. Destinataires et sous-traitants

Les données à caractère personnel traitées dans le cadre de la présente Notice ne peuvent être consultées que par le personnel autorisé de Luxgap, dans la mesure nécessaire à l’exercice de leurs fonctions.

Luxgap peut faire appel aux catégories de destinataires et de sous-traitants suivantes :

• prestataires d’hébergement et d’infrastructure ;
• prestataires de messagerie et de communication ;
• fournisseurs de services d’IA ;
• fournisseurs de génération de présentations ;
• fournisseurs de renseignement sur les menaces et de données de cybersécurité ;
• prestataires techniques soutenant les sites internet, portails, la surveillance et la sécurité ;
• conseillers professionnels, autorités ou juridictions, lorsque la loi l’exige ou lorsque cela est nécessaire à la protection des droits de Luxgap.

Les prestataires ou sources suivants peuvent être utilisés, selon le service concerné :

• OVH SAS / OVHcloud, hébergement, infrastructure, base de données, messagerie ou exécution technique ;
• Microsoft, messagerie, communications et services professionnels associés ;
• Anthropic PBC, modèle d’IA Claude utilisé pour les assistants IA, agissant en qualité de sous-traitant au sens de l’article 28 du RGPD ;
• Gamma App, Inc., génération de présentations pour les rapports ;
• Snusbase ;
• IntelX ;
• LeakCheck ;
• DeHashed ;
• Hudson Rock ;
• LeakRadar ;
• AlienVault OTX ;
• Have I Been Pwned ;
• abuse.ch, y compris URLhaus, ThreatFox et MalwareBazaar ;
• crt.sh ;
• VirusTotal ;
• GitHub Code Search ;
• WhoisDS.

Les sources de renseignement sur les menaces sont interrogées par l’infrastructure de Luxgap lorsque cela est pertinent pour le service. Les données saisies par les visiteurs via les formulaires publics ne sont pas directement soumises par le visiteur à ces sources.

Luxgap ne vend pas de données à caractère personnel à des tiers.

5. Transferts internationaux

Certains destinataires ou prestataires techniques peuvent être situés en dehors de l’Espace économique européen, notamment aux États-Unis ou dans d’autres juridictions.

Lorsque des données à caractère personnel sont transférées en dehors de l’Espace économique européen, Luxgap s’appuie sur des garanties appropriées au titre du RGPD, y compris les clauses contractuelles types approuvées par la Commission européenne au sens de l’article 46 du RGPD, les décisions d’adéquation le cas échéant, ou d’autres mécanismes de transfert licites.

Les transferts en dehors de l’EEE peuvent concerner, selon le service concerné, des prestataires tels qu’Anthropic, Gamma, DeHashed, IntelX, Hudson Rock, GitHub, VirusTotal et d’autres sources techniques ou de cybersécurité mentionnées dans la présente Notice.

6. Durées de conservation

Luxgap applique les durées maximales de conservation suivantes, sauf obligation légale, contractuelle, action en justice, incident de sécurité, obligation comptable, fiscale ou nécessité probatoire imposant une durée plus longue :

• formulaire de contact et demandes commerciales : 3 ans après la dernière interaction ;
• devis, approbations de devis et échanges liés aux devis : 3 ans après la dernière interaction, puis archivage légal le cas échéant ;
• données de devis en libre-service : 3 ans après la dernière interaction ;
• sessions de l’espace partenaire : 8 heures pour les sessions ;
• journaux de sécurité de l’espace partenaire : 12 mois ;
• requêtes d’analyse publique du Dark Web : 24 mois à compter de la dernière requête ;
• alertes et métadonnées de surveillance contractée : durée du contrat plus 12 mois ;
• rapports de surveillance détaillés, y compris les rapports générés avec Gamma : 12 mois après la livraison ;
• conversations avec l’assistant IA sur luxgap.com : 13 mois à compter de la dernière interaction ;
• conversations avec l’assistant IA sur les devis : 13 mois à compter de la dernière interaction ;
• journaux serveur et journaux de sécurité : 12 mois ;
• copies des courriels envoyés par le site (notifications, accusés de réception, lettre d’information, alertes) : 12 mois après l’envoi ;
• mesure d’audience propre au site : 180 jours ;
• données relatives aux auteurs éditoriaux : aussi longtemps que l’article concerné reste publié.

7. Vos droits

En vertu du RGPD, vous pouvez disposer des droits suivants, sous réserve des conditions et limites prévues par le droit applicable :

• droit d’accès au titre de l’article 15 du RGPD ;
• droit de rectification au titre de l’article 16 du RGPD ;
• droit à l’effacement au titre de l’article 17 du RGPD ;
• droit à la limitation du traitement au titre de l’article 18 du RGPD ;
• droit à la portabilité des données au titre de l’article 20 du RGPD ;
• droit d’opposition au titre de l’article 21 du RGPD ;
• droit de retirer votre consentement à tout moment au titre de l’article 7, paragraphe 3, du RGPD, lorsque le traitement est fondé sur le consentement.

Luxgap n’utilise pas les données à caractère personnel couvertes par la présente Notice à des fins de prise de décision automatisée produisant des effets juridiques ou des effets significatifs similaires au sens de l’article 22 du RGPD.

Lorsque le traitement est fondé sur l’intérêt légitime au sens de l’article 6, paragraphe 1, point f), du RGPD, Luxgap a procédé à une mise en balance des intérêts (analyse de l’intérêt légitime) pour chaque activité de traitement concernée. Vous pouvez demander des informations sur la mise en balance applicable en contactant Luxgap.

Pour exercer vos droits, contactez Luxgap à l’adresse : dpo@luxgap.com

Luxgap répondra dans un délai d’un mois à compter de la réception de la demande, sauf prorogation autorisée par le RGPD.

Vous pouvez également introduire une réclamation auprès de l’autorité de contrôle luxembourgeoise :

Commission nationale pour la protection des données (CNPD) : https://cnpd.public.lu

8. Sécurité

Luxgap met en œuvre des mesures techniques et organisationnelles appropriées destinées à protéger les données à caractère personnel contre tout accès non autorisé, toute perte, toute utilisation abusive, toute altération ou toute divulgation.

Ces mesures peuvent inclure, selon le système ou le service concerné :

• chiffrement en transit ;
• chiffrement ou protection des sauvegardes, le cas échéant ;
• contrôle d’accès et permissions basées sur les rôles ;
• authentification multifacteur pour l’accès administratif ;
• journalisation et surveillance des accès et des événements de sécurité ;
• segmentation des systèmes et des environnements ;
• minimisation des données traitées et affichées ;
• masquage ou troncature des indicateurs d’identifiants exposés ;
• évaluation de sécurité des prestataires techniques;
• accès restreint aux rapports et aux résultats de surveillance.

Aucun système n’est entièrement sécurisé. Luxgap s’efforce en permanence d’appliquer des mesures de sécurité appropriées eu égard à la nature du traitement, aux risques encourus et à l’état de l’art.

Lorsque cela est requis au titre de l’article 35 du RGPD, Luxgap a réalisé des analyses d’impact relatives à la protection des données pour les activités de traitement présentant un risque élevé pour les droits et libertés des personnes concernées.

9. Mises à jour de la présente Notice

Luxgap peut mettre à jour la présente Notice pour refléter les modifications apportées à ses sites internet, portails, services, activités de traitement, destinataires, durées de conservation, mesures de sécurité, exigences légales ou orientations réglementaires.

Version : 1.6, 23/10/2026 (version 1.1 : mesure d’audience, section 3.13, et stockages du navigateur, section 3.12 ; version 1.2 : page source et « comment nous avez-vous connus ? » du formulaire de contact, section 3.1 ; version 1.3 : décompte des demandes et des clics de contact par Matomo, section 3.13 ; version 1.4 : numéro RCS du responsable du traitement corrigé, section 1 ; version 1.5 : données du pré-dossier Fit 4 Cybersecurity, section 3.1 ; version 1.6 : effacement des demandes reçues par le site et des copies de courriels, sections 3.1 et 6).

Les modifications substantielles de la présente Notice, telles qu’un changement de finalité de traitement, un changement d’identité du responsable du traitement ou une modification des modalités d’exercice des droits des personnes concernées, seront communiquées aux personnes concernées par des moyens appropriés, tels qu’un avis sur le site internet concerné ou par courrier électronique dans la mesure du possible.

La version en vigueur est disponible à l’adresse : https://luxgap.com/privacy-notice

La date de dernière mise à jour figurant en tête de la présente Notice indique la dernière version.

Pour toute question relative à la présente Notice, contactez : dpo@luxgap.com

2 rue de l'École, L-8376 Kahler, Luxembourg · Page contact · dpo@luxgap.com