Protection des données

Politique de confidentialité

Version 2 — 24 juin 2026

La présente politique explique comment les données sont traitées dans le cadre de l'utilisation de la plateforme ai.luxgap.com, conformément au règlement (UE) 2016/679 (RGPD) et à la loi luxembourgeoise du 1er août 2018.

Principe de traitement transitoire. La plateforme applique une logique « entrée, traitement, sortie » : les prompts et réponses ne sont pas conservés dans l'application pour consultation ultérieure, sauf fonctionnalité spécifique activée contractuellement. Luxgap ne réutilise pas les contenus clients pour entraîner ou améliorer des modèles d'IA. L'inférence est opérée exclusivement au Luxembourg, dans le cloud privé de Luxgap : aucun fournisseur de modèle tiers ne reçoit de données.

1. Responsable du traitement et sous-traitant

Le responsable du traitement pour le site et ses traitements propres est Luxgap S.à r.l., 2, rue de l'École, L-8376 Kahler, Luxembourg (RCS Luxembourg B231193). Luxgap a désigné un délégué à la protection des données (DPO), joignable à : dpo@luxgap.com.

Le Client agit en principe comme responsable du traitement lorsqu'il décide quelles données personnelles sont introduites dans la plateforme, pour quelles finalités et par quels utilisateurs ;
Sous-traitant : Luxgap agit en principe comme sous-traitant lorsqu'elle traite ces données pour le compte du Client dans le cadre de la fourniture de la plateforme ;
Responsable de traitement : Luxgap agit comme responsable du traitement pour ses traitements propres : gestion commerciale, facturation, sécurité du service, gestion des accès, support, preuve contractuelle et conformité légale.

Les engagements de sous-traitance sont détaillés dans l'Annexe relative au traitement des données (DPA) et ses annexes.

Données collectées indirectement : lorsque le Client introduit dans la plateforme des données personnelles relatives à des tiers, Luxgap les traite en qualité de sous-traitant, pour le compte et sur instructions du Client. L'information de ces personnes concernées, au sens de l'article 14 du RGPD, incombe au Client, responsable du traitement, à qui il appartient d'assurer la licéité de la collecte. Pour ses traitements propres, Luxgap collecte les données directement auprès des personnes concernées.

2. Données traitées, finalités, bases légales et durées

Le tableau ci-dessous présente, par traitement, les données concernées, la finalité, la base légale et la durée de conservation.

Traitement	Données	Base légale	Durée
Compte et accès	Nom, prénom, e-mail professionnel, organisation, fonction, identifiants, droits d'accès	Contrat (art. 6.1.b)	Durée de la relation, puis archivage limité à 1 an après la dernière utilisation du service.
Facturation	Raison sociale, adresse, numéro de TVA, historique de commandes	Obligation légale (art. 6.1.c)	10 ans (droit comptable luxembourgeois)
Fourniture du Service IA	Contenus transmis (prompts, fichiers) et réponses générées	Contrat (6.1.b) ; instructions du Client lorsque Luxgap est sous-traitant	Pas de conservation applicative (traitement transitoire)
Journaux de requêtes et de sécurité	Horodatage, identifiants techniques, statut, volumétrie, adresse IP si nécessaire	Intérêt légitime : sécurité et prévention des abus (6.1.f)	12 mois
Journaux d'erreur	Traces techniques sans contenu utilisateur	Intérêt légitime (6.1.f)	90 jours
Journaux d'administration	Actions des administrateurs	Intérêt légitime : imputabilité (6.1.f)	24 mois
Formulaire de contact	Nom, e-mail, société (facultative), message	Mesures précontractuelles (6.1.b) ou intérêt légitime (6.1.f)	Durée du traitement, puis 24 mois maximum sans suite
Mesure d'audience	Données de navigation anonymisées (Matomo auto-hébergé)	Intérêt légitime (6.1.f), exemption de consentement	25 mois maximum (statistiques agrégées)
Incidents	Données nécessaires à l'analyse et à la preuve	Intérêt légitime (6.1.f) et obligations légales (6.1.c)	Durée de l'analyse et obligations légales

Lorsqu'un traitement repose sur le consentement (fonctionnalité optionnelle spécifique), celui-ci peut être retiré à tout moment, sans affecter la licéité du traitement antérieur, en écrivant à dpo@luxgap.com. Les contenus clients ne sont jamais utilisés pour entraîner, améliorer ou enrichir des modèles d'intelligence artificielle, de Luxgap ou de tiers.

Caractère obligatoire de la fourniture des données : la fourniture des données nécessaires à la création du compte et à l'utilisation de la plateforme revêt un caractère obligatoire : à défaut, l'accès à la plateforme et la fourniture du service ne peuvent être assurés. Les champs facultatifs sont signalés comme tels.

Analyse d'intérêt légitime : pour les traitements fondés sur l'intérêt légitime (art. 6.1.f), Luxgap a réalisé une analyse de mise en balance (LIA) entre cet intérêt et les droits et libertés des personnes concernées. Ces analyses sont documentées et peuvent être communiquées sur demande à dpo@luxgap.com.

Mineurs : la plateforme est destinée à un usage professionnel et ne s'adresse pas aux mineurs. Luxgap ne collecte pas sciemment de données relatives à des personnes de moins de dix-huit ans.

3. Absence de consultation humaine

Luxgap ne consulte pas les contenus clients en fonctionnement normal. Une consultation exceptionnelle ne peut intervenir que dans les cas limitativement énumérés suivants :

demande explicite du Client dans le cadre d'un support ;
incident de sécurité ;
suspicion d'usage interdit ;
obligation légale ;
demande d'une autorité compétente ;
nécessité technique strictement indispensable et encadrée.

L'accès est alors limité aux personnes habilitées, selon le principe du besoin d'en connaître.

Absence de décision automatisée : la plateforme ne prend aucune décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques à l'égard des personnes concernées ou les affectant de manière significative au sens de l'article 22 du RGPD.

4. Destinataires et sous-traitants

Les données peuvent être accessibles, dans la limite nécessaire : aux personnes habilitées de Luxgap ; aux prestataires techniques nécessaires au fonctionnement du site et du portail ; aux autorités compétentes lorsque la loi l'exige. Luxgap ne vend pas les données et ne les communique pas à des tiers à des fins commerciales.

Sous-traitants de ai.luxgap.com :

Inférence IA : opérée exclusivement dans le cloud privé de Luxgap au Luxembourg, au moyen de modèles open source exploités localement. Aucun fournisseur de modèle tiers ne reçoit de données.
Hébergement web : le site et le portail sont hébergés au sein de l'Union européenne chez OVHcloud (OVH SAS, France).
Courriels : les notifications sont acheminées via Microsoft 365 (Microsoft Ireland Operations Ltd), sous-traitant, dans le cadre de la frontière de données UE de Microsoft.
Paiements : les paiements sont traités par Stripe (Stripe Payments Europe, Ltd., Irlande), sous-traitant, pour la gestion des transactions et la prévention de la fraude.

La liste nominative des sous-traitants ultérieurs, leurs rôles et localisations figure dans le document « Liste des sous-traitants ultérieurs », accessible depuis la documentation de la plateforme et tenue à jour. Toute modification substantielle est notifiée aux clients avec un préavis de 30 jours.

5. Transferts internationaux

L'inférence et le traitement des contenus clients n'impliquent aucun transfert de données en dehors de l'Espace économique européen. Pour les sous-traitants susceptibles d'un accès résiduel depuis un pays tiers (notamment Microsoft pour l'acheminement des courriels), les transferts éventuels sont encadrés par les garanties appropriées : décision d'adéquation, clauses contractuelles types et mesures supplémentaires documentées.

6. Cookies et mesure d'audience

Le site public ne dépose aucun cookie publicitaire et n'utilise aucun traceur tiers. Seul un cookie strictement nécessaire (ailx.sid) est utilisé pour l'authentification de l'espace équipe ; il est HttpOnly, Secure et expire à la fin de la session. Les cookies strictement nécessaires ne requièrent pas de consentement.

7. Sécurité

Luxgap met en œuvre des mesures techniques et organisationnelles appropriées, décrites dans l'annexe « Mesures techniques et organisationnelles » : authentification, contrôle d'accès, gestion des habilitations, cloisonnement logique, chiffrement des communications (HTTPS/TLS, HSTS, CSP), limitation des accès administrateurs, surveillance technique, gestion des vulnérabilités, journalisation de sécurité, procédures de gestion des incidents et engagements de confidentialité.

8. Vos droits

Conformément au RGPD, vous disposez, selon les cas :

Droit d'accès (art. 15) : obtenir la confirmation que vos données personnelles sont traitées et, le cas échéant, en recevoir une copie ainsi que des informations sur les finalités, les destinataires et la durée de conservation ;
Droit de rectification (art. 16) : faire corriger des données inexactes et compléter des données incomplètes ;
Droit à l'effacement (art. 17) : obtenir la suppression de vos données dans les cas prévus par le RGPD (« droit à l'oubli »), sous réserve des obligations légales de conservation ;
Droit à la limitation du traitement (art. 18) : obtenir, dans certaines situations, que le traitement soit temporairement gelé ;
Droit d'opposition (art. 21) : vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l'intérêt légitime ;
Droit à la portabilité (art. 20) : recevoir les données que vous avez fournies dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable du traitement ;
Droit de retirer votre consentement (art. 7 §3) : lorsqu'un traitement repose sur le consentement, le retirer à tout moment, sans que cela n'affecte la licéité du traitement effectué avant le retrait.

Pour exercer ces droits : dpo@luxgap.com. Luxgap répond dans un délai d'un mois. Lorsque Luxgap agit comme sous-traitant, les demandes relatives aux données introduites par le Client sont adressées au Client, responsable du traitement ; Luxgap transmet sans délai au Client les demandes qu'elle recevrait directement. Vous pouvez introduire une réclamation auprès de la Commission nationale pour la protection des données (CNPD), cnpd.public.lu.

9. Contact et modifications

Pour toute question : dpo@luxgap.com · page « Nous contacter » ou mail : ia@luxgap.com. La présente politique peut évoluer ; la date de version figure en haut de page et tout changement substantiel est clairement signalé. Les versions antérieures sont archivées.

Une question ? Nous contacter · dpo@luxgap.com

Data protection

Privacy Policy

Version 2 — 24 June 2026 — English translation provided for convenience; the French version prevails.

This policy explains how data is processed in connection with the use of the ai.luxgap.com platform, in accordance with Regulation (EU) 2016/679 (GDPR) and the Luxembourg law of 1 August 2018.

Transient processing principle. The platform applies an “input, processing, output” logic: prompts and responses are not kept in the application for later consultation, except for a specific feature enabled contractually. Luxgap does not reuse client content to train or improve AI models. Inference is operated exclusively in Luxembourg, in Luxgap's private cloud: no third-party model provider receives data.

1. Controller and processor

The controller for the website and its own processing is Luxgap S.à r.l., 2, rue de l'École, L-8376 Kahler, Luxembourg (RCS Luxembourg B231193). Luxgap has appointed a Data Protection Officer (DPO), reachable at: dpo@luxgap.com.

The Client acts in principle as controller when it decides which personal data is submitted to the platform, for which purposes and by which users;
Processor: Luxgap acts in principle as processor when it processes that data on behalf of the Client as part of providing the platform;
Controller: Luxgap acts as controller for its own processing: commercial management, invoicing, service security, access management, support, contractual evidence and legal compliance.

Processing commitments are detailed in the Data Processing Annex (DPA) and its appendices.

Data collected indirectly: when the Client submits to the platform personal data relating to third parties, Luxgap processes it as a processor, on behalf of and on the instructions of the Client. Informing those data subjects, within the meaning of article 14 GDPR, is the responsibility of the Client, as controller, who must ensure the lawfulness of the collection. For its own processing, Luxgap collects data directly from the data subjects.

2. Data processed, purposes, legal bases and retention

The table below sets out, per processing activity, the data concerned, the purpose, the legal basis and the retention period.

Processing	Data	Legal basis	Retention
Account and access	Surname, first name, professional email, organisation, role, identifiers, access rights	Contract (art. 6.1.b)	Duration of the relationship, then archiving limited to 1 year after the last use of the service.
Invoicing	Company name, address, VAT number, order history	Legal obligation (art. 6.1.c)	10 years (Luxembourg accounting law)
Provision of the AI Service	Submitted content (prompts, files) and generated responses	Contract (6.1.b); Client's instructions where Luxgap is processor	No application retention (transient processing)
Request and security logs	Timestamp, technical identifiers, status, volumetrics, IP address if necessary	Legitimate interest: security and abuse prevention (6.1.f)	12 months
Error logs	Technical traces without user content	Legitimate interest (6.1.f)	90 days
Administration logs	Administrators' actions	Legitimate interest: accountability (6.1.f)	24 months
Contact form	Name, email, company (optional), message	Pre-contractual measures (6.1.b) or legitimate interest (6.1.f)	Duration of processing, then 24 months maximum without follow-up
Audience measurement	Anonymised navigation data (self-hosted Matomo)	Legitimate interest (6.1.f), consent exemption	25 months maximum (aggregated statistics)
Incidents	Data necessary for analysis and evidence	Legitimate interest (6.1.f) and legal obligations (6.1.c)	Duration of the analysis and legal obligations

Where processing is based on consent (specific optional feature), it may be withdrawn at any time, without affecting the lawfulness of prior processing, by writing to dpo@luxgap.com. Client content is never used to train, improve or enrich artificial-intelligence models, whether Luxgap's or third parties'.

Mandatory nature of providing data: providing the data necessary for account creation and use of the platform is mandatory: failing this, access to the platform and provision of the service cannot be ensured. Optional fields are indicated as such.

Legitimate interest assessment: for processing based on legitimate interest (art. 6.1.f), Luxgap has carried out a balancing assessment (LIA) between that interest and the rights and freedoms of the data subjects. These assessments are documented and may be communicated on request to dpo@luxgap.com.

Minors: the platform is intended for professional use and is not aimed at minors. Luxgap does not knowingly collect data relating to persons under eighteen.

3. No human consultation

Luxgap does not consult client content in normal operation. Exceptional consultation may occur only in the following exhaustively listed cases:

explicit request from the Client as part of support;
security incident;
suspicion of prohibited use;
legal obligation;
request from a competent authority;
strictly indispensable and supervised technical necessity.

Access is then limited to authorised persons, on a need-to-know basis.

No automated decision-making: the platform makes no decision based solely on automated processing, including profiling, producing legal effects on data subjects or significantly affecting them within the meaning of article 22 GDPR.

4. Recipients and processors

Data may be accessible, to the extent necessary: to Luxgap's authorised persons; to the technical providers necessary for the operation of the website and portal; to competent authorities where the law requires. Luxgap does not sell data and does not communicate it to third parties for commercial purposes.

Processors of ai.luxgap.com:

AI inference: operated exclusively in Luxgap's private cloud in Luxembourg, using locally-run open-source models. No third-party model provider receives data.
Web hosting: the website and portal are hosted within the European Union by OVHcloud (OVH SAS, France).
Emails: notifications are routed via Microsoft 365 (Microsoft Ireland Operations Ltd), processor, within Microsoft's EU Data Boundary.
Payments: payments are processed by Stripe (Stripe Payments Europe, Ltd., Ireland), processor, for transaction management and fraud prevention.

The named list of sub-processors, their roles and locations appears in the “List of sub-processors” document, accessible from the platform documentation and kept up to date. Any substantial change is notified to clients with 30 days' notice.

5. International transfers

Inference and the processing of client content involve no data transfer outside the European Economic Area. For processors that may have residual access from a third country (in particular Microsoft for email routing), any transfers are framed by appropriate safeguards: adequacy decision, standard contractual clauses and documented supplementary measures.

6. Cookies and audience measurement

The public website sets no advertising cookie and uses no third-party tracker. Only a strictly necessary cookie (ailx.sid) is used for authentication of the team workspace; it is HttpOnly, Secure and expires at the end of the session. Strictly necessary cookies do not require consent.

7. Security

Luxgap implements appropriate technical and organisational measures, described in the “Technical and organisational measures” appendix: authentication, access control, rights management, logical segregation, encryption of communications (HTTPS/TLS, HSTS, CSP), limitation of administrator access, technical monitoring, vulnerability management, security logging, incident-management procedures and confidentiality commitments.

8. Your rights

In accordance with the GDPR, you have, as applicable:

Right of access (art. 15): obtain confirmation that your personal data is processed and, where applicable, receive a copy and information on the purposes, recipients and retention period;
Right to rectification (art. 16): have inaccurate data corrected and incomplete data completed;
Right to erasure (art. 17): obtain the deletion of your data in the cases provided for by the GDPR (“right to be forgotten”), subject to legal retention obligations;
Right to restriction of processing (art. 18): obtain, in certain situations, that the processing be temporarily frozen;
Right to object (art. 21): object, on grounds relating to your particular situation, to processing based on legitimate interest;
Right to portability (art. 20): receive the data you have provided in a structured, commonly used and machine-readable format, and transmit it to another controller;
Right to withdraw consent (art. 7(3)): where processing is based on consent, withdraw it at any time, without affecting the lawfulness of processing carried out before withdrawal.

To exercise these rights: dpo@luxgap.com. Luxgap replies within one month. Where Luxgap acts as processor, requests relating to data submitted by the Client are addressed to the Client, as controller; Luxgap forwards without delay to the Client any requests it receives directly. You may lodge a complaint with the National Commission for Data Protection (CNPD), cnpd.public.lu.

9. Contact and changes

For any question: dpo@luxgap.com · “Contact us” page or email: ia@luxgap.com. This policy may change; the version date appears at the top of the page and any substantial change is clearly indicated. Previous versions are archived.

A question? Contact us · dpo@luxgap.com