Conditions générales d’utilisation

#Inventaire des changements

22/10/2026 – Création et publication de la première version des conditions générales d’utilisation de la plateforme bcp.luxgap.com.

#Introduction

Les présentes Conditions générales d’utilisation (ci-après les « CGU ») régissent l’accès à la plateforme de continuité d’activité bcp.luxgap.com (la « Plateforme ») et son utilisation par le Client et ses Utilisateurs.

La Plateforme est éditée et opérée par Luxgap Sàrl, société à responsabilité limitée de droit luxembourgeois, dont le siège social est situé 2, rue de l’École, L-8376 Kahler, Luxembourg, inscrite au RCS Luxembourg sous le numéro B231193, TVA LU30886939 (« Luxgap »).

La Plateforme est réservée aux professionnels. Elle héberge le plan de continuité d’activité du Client hors de son système d’information, chez OVHcloud, en France. Chaque espace client est cloisonné. Le Client reste seul maître de son plan, des décisions prises en situation de crise et des notifications aux autorités.

Luxgap peut être amenée à mettre à jour les présentes CGU ; la version applicable et sa date d’entrée en vigueur figurent en tête du document et dans l’inventaire des changements.

#Article 1. Définitions

Aux fins des présentes CGU, les termes suivants sont définis comme suit :

« Client » : L’organisation ayant souscrit un abonnement à la Plateforme, dans la formule Géré Luxgap ou Self-service ;

« Utilisateur » : Toute personne physique à laquelle le Client a ouvert un compte nominatif sur la Plateforme, sous sa responsabilité ;

« Espace Client » : L’environnement cloisonné de la Plateforme réservé au Client et à ses Utilisateurs ;

« Rôles » : Les niveaux d’habilitation attribués aux Utilisateurs, à savoir responsable, contributeur et lecteur ;

« Consultant Luxgap » : Tout membre de l’équipe Luxgap chargé d’accompagner le Client ;

« Bénéficiaire d’un lien de partage » : Toute personne, notamment un auditeur ou un délégué à la protection des données, à laquelle le Client donne un accès en lecture seule par un lien de partage ;

« Contenus Client » : L’ensemble des informations, documents, fichiers, messages et données introduits dans la Plateforme par le Client, ses Utilisateurs ou, pour son compte, par les Consultants Luxgap, y compris le plan de continuité, les fiches d’analyse d’impact, les playbooks adaptés, l’annuaire de crise, le journal de crise, le registre des incidents et les messages ;

« BIA » : L’analyse d’impact sur l’activité (Business Impact Analysis), qui qualifie pour chaque activité sa criticité, la durée maximale d’interruption tolérable (MTPD), l’objectif de délai de reprise (RTO) et l’objectif de point de reprise (RPO) ;

« Mode crise » : La fonctionnalité qui déroule un playbook en situation réelle, tient un journal horodaté et ouvre un incident au registre ;

« Mode exercice » : La même fonctionnalité utilisée pour un entraînement, marquée comme telle et sans envoi de notification ;

« Messagerie de crise » : La messagerie intégrée à la Plateforme, composée d’un canal général et de groupes ;

« Pack de crise hors ligne » : L’export au format PDF du plan, des playbooks et de l’annuaire de crise ;

« Assistant de rédaction » : Les fonctionnalités de la Plateforme qui produisent des contenus au moyen de l’intelligence artificielle, notamment des propositions de rédaction et des traductions ;

« Sorties » : Les contenus produits par l’Assistant de rédaction ;

« DPA » : L’Annexe relative à la protection des données des services de la plateforme bcp.luxgap.com.

#Article 2. Objet et champ d’application

La Plateforme est exclusivement destinée à des clients professionnels : personnes morales, entreprises, administrations, associations, institutions ou personnes physiques agissant dans le cadre de leur activité professionnelle. Tout usage privé ou domestique est exclu.

Les conditions commerciales de l’abonnement (prix, facturation, durée, résiliation) ne relèvent pas des présentes CGU. Elles sont fixées par le contrat, le devis ou le bon de commande signé avec le Client, complété par les Conditions générales de services de Luxgap publiées sur luxgap.com.

#Article 3. Documents contractuels

Les documents suivants s’appliquent à la relation entre Luxgap et le Client, dans l’ordre de priorité suivant en cas de contradiction :

le contrat, le devis ou le bon de commande signé avec le Client ;
le DPA, pour les questions relatives à la protection des données personnelles ;
les présentes CGU, pour l’accès à la Plateforme et son utilisation ;
les Conditions générales de services de Luxgap, pour les autres questions ;
la Politique d’Usage Acceptable de l’IA publiée sur ai.luxgap.com, pour l’Assistant de rédaction.

L’ouverture d’un compte, la première connexion ou l’utilisation de la Plateforme vaut acceptation des présentes CGU dans leur version en vigueur.

#Article 4. Nature du service

#4.1. Les deux formules

Dans la formule Géré Luxgap, les Consultants Luxgap rédigent le plan avec le Client, qui le valide rubrique par rubrique. Dans la formule Self-service, les équipes du Client rédigent elles-mêmes le plan, guidées par les questions de chaque rubrique et par l’Assistant de rédaction.

#4.2. Responsabilité du plan

Quelle que soit la formule, le Client est seul responsable du contenu de son plan de continuité, de sa validation, de sa mise à jour, de son adéquation à son activité et de sa mise en œuvre. Les modèles, questionnaires, playbooks et propositions fournis par la Plateforme ou par Luxgap constituent une aide à la rédaction : ils ne remplacent ni l’analyse propre du Client ni ses décisions.

#4.3. Indicateurs de conformité

La Plateforme met en correspondance les éléments du plan avec des exigences issues de référentiels tels que la norme ISO 22301:2019, la directive (UE) 2022/2555 (« NIS2 »), le règlement (UE) 2022/2554 (« DORA »), le règlement (UE) 2016/679 (« RGPD ») et le NIST Cybersecurity Framework 2.0. Une exigence n’est comptée couverte que si un élément de preuve est présent dans l’Espace Client.

Ces indicateurs sont un outil de pilotage. Ils ne valent ni certification, ni attestation de conformité, ni avis juridique, et ne préjugent pas de l’appréciation d’un organisme de certification, d’un auditeur ou d’une autorité. Les référentiels applicables dépendent de l’activité du Client, qui en reste juge.

#Article 5. Accès et comptes

#5.1. Ouverture des comptes

Les comptes sont ouverts à l’initiative du Client, par un Utilisateur titulaire du rôle responsable ou par Luxgap sur demande du Client. Chaque compte est nominatif et attaché à une seule personne physique. Le partage d’un compte entre plusieurs personnes est interdit.

#5.2. Rôles

Le Client attribue à chaque Utilisateur le rôle le plus restreint compatible avec ses fonctions :

responsable : administration de l’Espace Client, gestion des comptes et des liens de partage, ouverture du Mode crise ;
contributeur : rédaction et mise à jour des rubriques du plan ;
lecteur : consultation du plan.

#5.3. Identifiants

Les identifiants de connexion sont personnels et confidentiels. L’Utilisateur les conserve en sécurité, ne les communique à personne et signale sans délai à Luxgap toute perte, divulgation ou suspicion d’usage non autorisé.

#5.4. Gestion des départs

Le Client tient à jour la liste de ses Utilisateurs. Il désactive sans délai le compte d’un Utilisateur qui quitte l’organisation ou dont les fonctions ne justifient plus l’accès, et révoque les liens de partage devenus inutiles.

#5.5. Accès depuis un terminal personnel

La Plateforme, et en particulier la Messagerie de crise, est conçue pour rester accessible lorsque le système d’information du Client est indisponible, y compris depuis un ordinateur ou un téléphone personnel. Lorsque le Client autorise cet usage, il en définit les règles internes et en informe ses Utilisateurs. L’Utilisateur protège son terminal par un code de verrouillage, le maintient à jour et se déconnecte de la Plateforme à la fin de son usage sur un terminal partagé.

#Article 6. Contenus Client

#6.1. Responsabilité des contenus

Le Client est seul responsable des Contenus Client, de leur exactitude, de leur licéité et de leur mise à jour. Il veille en particulier à l’exactitude de l’annuaire de crise, des suppléances et des coordonnées des intervenants, dont dépend l’efficacité du plan en situation de crise.

#6.2. Import de documents existants

Le Client peut importer ses fiches BIA existantes aux formats Excel ou Markdown. Il garantit disposer des droits nécessaires sur les fichiers importés. Les données extraites automatiquement (processus critiques, MTPD, RTO, RPO, dépendances) ainsi que les risques et stratégies qui en sont dérivés doivent être vérifiés par le Client avant validation.

#6.3. Données à ne pas introduire

Le Client et ses Utilisateurs s’abstiennent d’introduire dans la Plateforme, y compris dans la Messagerie de crise :

des mots de passe, clés d’accès, certificats privés ou secrets techniques ;
des catégories particulières de données au sens de l’article 9 du RGPD, ou des données relatives aux condamnations pénales et aux infractions au sens de l’article 10 du RGPD ;
des données personnelles excédant ce qui est nécessaire à la continuité d’activité et à la gestion de crise.

Un contenu introduit par erreur dans la Messagerie de crise peut être effacé par son auteur ; l’effacement est définitif.

#Article 7. Assistant de rédaction

#7.1. Fonctionnement

L’Assistant de rédaction produit des contenus à partir des éléments saisis par l’Utilisateur et des éléments de l’Espace Client. Ces fonctionnalités sont opérées exclusivement par la passerelle de Luxgap au moyen de modèles open source exploités dans son cloud privé, sans transmission des Contenus Client à des fournisseurs de modèles tiers.

Les Contenus Client ne sont jamais utilisés pour entraîner, améliorer ou enrichir des modèles d’intelligence artificielle.

#7.2. Contrôle humain

Les Sorties sont des propositions automatisées. Elles peuvent être inexactes, incomplètes ou inadaptées à la situation du Client. Il appartient à l’Utilisateur de les relire, de les adapter au contexte du Client et de les valider avant tout usage.

#7.3. Transparence relative à l’intelligence artificielle

En application du règlement (UE) 2024/1689 (« AI Act »), Luxgap agit en qualité de fournisseur du système d’intelligence artificielle intégré à la Plateforme et le Client en qualité de déployeur pour l’usage qu’il en fait sous sa propre autorité. Les Utilisateurs sont informés, dans l’interface, qu’ils interagissent avec un système d’intelligence artificielle et que les Sorties sont générées par ce système.

#7.4. Usage acceptable

L’usage de l’Assistant de rédaction est soumis à la Politique d’Usage Acceptable de l’IA publiée sur ai.luxgap.com, qui fait partie intégrante des présentes CGU.

#Article 8. Mode crise et mode exercice

#8.1. Ouverture d’une cellule de crise

L’ouverture d’une cellule de crise relève de la décision du Client. En Mode crise, le playbook se déroule action par action, chaque action et décision est inscrite dans un journal horodaté indiquant son auteur, et un incident est ouvert au registre des incidents.

#8.2. Distinction entre crise et exercice

Une cellule ouverte en Mode exercice est identifiée comme telle et n’envoie aucune notification. Le Client choisit le mode approprié lors de l’ouverture et s’assure qu’un exercice n’est pas conduit en Mode crise.

#8.3. Alertes aux intervenants

Les alertes de crise sont adressées par courriel aux intervenants. Leur acheminement dépend de l’exactitude des coordonnées enregistrées par le Client et de la disponibilité des réseaux et services de communication tiers. Luxgap ne garantit pas la réception effective d’une alerte par son destinataire. La Plateforme ne se substitue pas aux services d’urgence.

#8.4. Registre des incidents et obligations de notification

Le registre des incidents rappelle des qualifications et des délais utiles, par exemple le délai de 72 heures prévu à l’article 33 du RGPD. Ces rappels sont une aide. La qualification d’un incident et la décision de le notifier à une autorité de contrôle, à une autorité compétente au titre de NIS2 ou de DORA, ou aux personnes concernées appartiennent au Client. Luxgap n’effectue aucune notification pour le compte du Client, sauf mission distincte convenue par écrit.

#8.5. Valeur probante

Le journal de crise et le registre des incidents constituent une trace datée des actions enregistrées. Leur contenu reflète les saisies des Utilisateurs, dont le Client est responsable.

#Article 9. Messagerie de crise

#9.1. Canal général et groupes

Tous les Utilisateurs de l’Espace Client ont accès au canal général. Les membres d’un groupe accèdent à son historique.

#9.2. Présence de Luxgap

Les Consultants Luxgap qui accompagnent le Client peuvent participer à la Messagerie de crise ; leurs messages y sont signalés comme tels.

#9.3. Règles d’usage

La Messagerie de crise est réservée aux échanges professionnels liés à la continuité d’activité, aux exercices et à la gestion de crise. Les messages sont chiffrés dans la base de données. Les règles de l’article 6.3 s’appliquent aux messages.

#Article 10. Pack de crise hors ligne

Le Pack de crise hors ligne permet de consulter le plan lorsque l’accès au réseau est impossible. Une fois exporté, il échappe aux mesures de sécurité de la Plateforme et relève de la seule responsabilité du Client. Le Pack contient des données personnelles, notamment celles de l’annuaire de crise. Le Client :

limite sa diffusion aux personnes qui en ont besoin ;
le conserve sur un support protégé ou dans un lieu sécurisé lorsqu’il est imprimé ;
le remplace à chaque mise à jour significative du plan et détruit les versions périmées.

#Article 11. Liens de partage

Un Utilisateur titulaire du rôle responsable peut créer un lien de partage en lecture seule à destination d’un auditeur, d’un délégué à la protection des données ou de tout autre tiers de son choix. Le lien est protégé par un code d’accès, expire à la date choisie et peut être révoqué à tout moment.

Le lien de partage n’expose ni la bibliothèque documentaire, ni le journal de crise, ni le registre des incidents, ni le journal d’audit.

Le Client choisit le destinataire, lui transmet le code d’accès par un canal distinct du lien et l’informe de son obligation de confidentialité. Il demeure responsable de l’usage du lien et des informations consultées par le Bénéficiaire du lien de partage.

#Article 12. Accès de Luxgap aux Contenus Client

Luxgap accède aux Contenus Client dans la mesure nécessaire à la fourniture de la Plateforme et des services convenus avec le Client, notamment l’accompagnement par les Consultants Luxgap, le support, la sécurité et le bon fonctionnement de la Plateforme, ou pour répondre à une obligation légale.

Cet accès est réservé aux membres du personnel de Luxgap habilités, soumis à une obligation de confidentialité.

#Article 13. Usages interdits

Le Client et ses Utilisateurs s’interdisent notamment :

d’utiliser la Plateforme à des fins illicites ou contraires aux droits de tiers ;
de tenter d’accéder à l’espace d’un autre client ou à des données auxquelles leur rôle ne donne pas accès ;
de contourner les mesures de sécurité, les limites techniques ou les journaux de la Plateforme ;
de procéder à des tests d’intrusion, analyses de vulnérabilités ou tests de charge sur la Plateforme sans accord écrit préalable de Luxgap ;
d’extraire, de reproduire ou de réutiliser la Plateforme, ses modèles ou ses playbooks hors du cadre prévu à l’article 18 ;
de mettre l’accès à la Plateforme à disposition de tiers en dehors des liens de partage prévus à l’article 11.

#Article 14. Hébergement et disponibilité

#14.1. Hébergement

La Plateforme est hébergée chez OVHcloud, dans l’un de ses centres de données en France. La liste des sous-traitants ultérieurs figure à l’Appendice 3 du DPA.

#14.2. Disponibilité

La Plateforme est hébergée hors du système d’information du Client afin de rester accessible en cas d’indisponibilité de celui-ci. Luxgap s’efforce d’en assurer l’accès en continu, sans garantir une disponibilité ininterrompue ou exempte d’erreur. L’accès peut être temporairement suspendu pour maintenance, mise à jour, incident ou contrainte de sécurité. Des engagements de niveau de service peuvent être convenus dans le contrat signé avec le Client.

Le Client conserve un Pack de crise hors ligne à jour afin de disposer de son plan en cas d’indisponibilité simultanée de son système d’information et de la Plateforme.

#Article 15. Sécurité

Luxgap met en œuvre les mesures techniques et organisationnelles décrites à l’Appendice 2 du DPA, notamment :

le cloisonnement strict des données entre clients, vérifié par des tests automatisés à chaque livraison ;
des droits attribués par rôle et une double authentification ;
la traçabilité des actions sensibles ;
le chiffrement des échanges et le chiffrement applicatif des messages de la Messagerie de crise.

Le Client demeure responsable de la sécurité de ses terminaux, de ses réseaux, de la gestion de ses comptes et des exports qu’il réalise.

#Article 16. Données personnelles

#16.1. Rôles des parties

Le Client agit en qualité de responsable du traitement pour les données personnelles contenues dans les Contenus Client, notamment celles de l’annuaire de crise, du journal de crise, du registre des incidents et de la Messagerie de crise. Luxgap agit en qualité de sous-traitant pour ces traitements, dans les conditions du DPA.

Luxgap agit en qualité de responsable du traitement pour ses traitements propres : gestion de la relation contractuelle, facturation et sécurité de ses systèmes. Ces traitements sont décrits dans la politique de confidentialité publiée sur luxgap.com.

#16.2. Engagements du Client

Le Client garantit disposer d’une base juridique pour les données personnelles introduites dans la Plateforme, en particulier les coordonnées personnelles d’intervenants. Il informe les personnes concernées, notamment ses Utilisateurs et les personnes inscrites à l’annuaire de crise, conformément aux articles 13 et 14 du RGPD.

#16.3. Contact

Toute question relative à la protection des données peut être adressée à dpo@luxgap.com. L’autorité de contrôle compétente pour Luxgap est la Commission nationale pour la protection des données (CNPD), Luxembourg.

#Article 17. Confidentialité

Luxgap traite les Contenus Client comme des informations confidentielles. Les Utilisateurs préservent la confidentialité des informations consultées dans la Plateforme, en particulier le plan, l’annuaire de crise, le journal de crise et le registre des incidents. Les obligations de confidentialité des parties sont, pour le surplus, régies par les Conditions générales de services de Luxgap.

#Article 18. Propriété intellectuelle

Luxgap conserve l’ensemble des droits sur la Plateforme, son architecture, ses interfaces, ses questionnaires, ses modèles, ses quatorze playbooks de référence et son savoir-faire. Toute extraction, reproduction, rétro-ingénierie ou exploitation non autorisée est interdite.

Le Client conserve ses droits sur les Contenus Client. Il bénéficie, pour ses besoins internes et pendant la durée de l’abonnement, d’un droit d’utilisation non exclusif des modèles et playbooks de Luxgap intégrés à son plan.

#Article 19. Suspension

Luxgap peut suspendre ou restreindre l’accès d’un Utilisateur ou du Client en cas de violation des présentes CGU, de risque pour la sécurité de la Plateforme ou des autres clients, de suspicion de compromission d’un compte, de demande d’une autorité compétente ou de non-paiement dans les conditions du contrat. Lorsque cela est raisonnablement possible, Luxgap informe le Client au préalable et lui indique les motifs de la suspension.

#Article 20. Responsabilité

Luxgap est tenue d’une obligation de moyens. Sa responsabilité ne peut être engagée au titre :

du contenu du plan de continuité, de son efficacité ou de son adéquation à l’activité du Client ;
des décisions prises par le Client en situation de crise ou d’exercice ;
de la qualification d’un incident ou de l’absence de notification à une autorité ou aux personnes concernées ;
de l’exactitude des données importées ou saisies, notamment de l’annuaire de crise ;
de Sorties de l’Assistant de rédaction intégrées au plan sans relecture ;
de l’usage du Pack de crise hors ligne ou d’un lien de partage ;
d’une indisponibilité imputable à un tiers, aux réseaux de communication ou à un cas de force majeure.

Les limitations et plafonds de responsabilité sont fixés par le contrat signé avec le Client et, à défaut, par les Conditions générales de services de Luxgap.

#Article 21. Fin de l’accès

À la fin de l’abonnement, les comptes des Utilisateurs et les liens de partage sont désactivés. Avant cette date, le Client exporte les Contenus Client qu’il souhaite conserver, notamment le Pack de crise hors ligne.

Les Contenus Client sont supprimés ou restitués conformément à l’Article 7 du DPA ; les copies de sauvegarde sont effacées au terme de leur cycle de conservation.

#Article 22. Langues

La Plateforme est disponible en français et en anglais. Les présentes CGU sont établies en français ; en cas de traduction, la version française prévaut.

#Article 23. Modification des CGU

Luxgap peut modifier les présentes CGU, notamment pour tenir compte de l’évolution de la Plateforme ou de la réglementation. Les modifications substantielles défavorables au Client lui sont notifiées au moins trente (30) jours avant leur entrée en vigueur, sauf urgence liée à la sécurité ou à une obligation légale. La version applicable est celle en vigueur au jour de l’utilisation.

#Article 24. Droit applicable et juridiction

Les présentes CGU sont régies par le droit luxembourgeois. Tout différend relatif à leur interprétation ou à leur exécution relève de la compétence exclusive des tribunaux de Luxembourg, s’il n’a pas pu être réglé préalablement à l’amiable, sous réserve des dispositions impératives contraires.

#Article 25. Contact

Toute question ou réclamation relative à la Plateforme peut être adressée à Luxgap Sàrl, 2, rue de l’École, L-8376 Kahler, contact@luxgap.com, +352 621 583 116.

Document liéAnnexe relative à la protection des données