Annexe relative à la protection des données

#Inventaire des changements

22/10/2026 – Création et publication de la première version de l’annexe relative à la protection des données des services de la plateforme bcp.luxgap.com.

#Introduction

La présente Annexe relative à la protection des données (ci-après l’« Accord » ou « DPA ») encadre le traitement des données à caractère personnel effectué par Luxgap Sàrl (« Luxgap ») dans le cadre de la fourniture des services de la plateforme bcp.luxgap.com. Elle complète le Contrat et/ou CGU conclu entre Luxgap et le Client et en fait partie intégrante.

Lorsque Luxgap traite des données personnelles pour le compte du Client dans le cadre de la fourniture de la plateforme, Luxgap agit en qualité de Sous-traitant et le Client en qualité de Responsable de Traitement. Le présent Accord définit les engagements de Luxgap conformément à l’article 28 du RGPD.

En cas de contradiction entre le présent Accord et les CGU sur des questions relatives à la protection des données personnelles, le présent Accord prévaut. Luxgap peut être amenée à mettre à jour le présent Accord afin de refléter des évolutions légales, réglementaires ou techniques ; la version applicable et sa date d’entrée en vigueur figurent en tête du document et dans l’inventaire des changements.

#Article 1. Définitions

Aux fins du présent Accord, les termes suivants sont définis comme suit :

« Législation sur la protection des données » : Le Règlement Général sur la Protection des Données ((UE) 2016/679, « RGPD »), (ii) la loi luxembourgeoise du 1er août 2018 mettant en œuvre le RGPD dans le droit national, et (iii) toute législation nationale applicable, y compris les règlements et législations secondaires ;

« Données à caractère personnel » ou « Données personnelles » : Toute information se rapportant à une personne physique identifiée ou identifiable ; est réputée être une « personne physique identifiable » une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale ;

« Contrat » : Le contrat principal dans le cadre duquel des données personnelles seront échangées et traitées auquel est éventuellement annexé le présent Accord ;

« Personne concernée » : La personne physique dont les données sont traitées ;

« Responsable du traitement » : L’entité qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ;

« Sous-traitant » : L’entité qui traite des données à caractère personnel pour le compte du Responsable du traitement et selon ses instructions ;

« Sous-traitant ultérieur » : Tout sous-traitant engagé par le Sous-traitant pour effectuer des activités de traitement spécifiques pour le compte du Responsable du traitement, conformément aux conditions de l’article 4.6 du présent Accord ;

« Traitement » : Toute opération ou ensemble d’opérations effectuées sur des données à caractère personnel ou sur des ensembles de données à caractère personnel, que ce soit ou non par des moyens automatisés, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ;

« Analyse d’impact relative à la protection des données » : Une analyse effectuée préalablement au traitement de données à caractère personnel lorsqu’il est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées ;

« Violation de données à caractère personnel » : Une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de, ou l’accès à, des données à caractère personnel transmises, conservées ou traitées d’une autre manière ;

« Pays tiers » : Tout pays situé en dehors du champ d’application de la législation sur la protection des données de l’Espace économique européen (« EEE »).

#Article 2. Objet et Portée

Le présent Accord a pour objet de définir les droits et obligations respectifs des Parties concernant le traitement de données personnelles effectué par le Sous-traitant pour le compte du Responsable du traitement, dans le cadre du Contrat.

Le présent Accord s’applique à l’ensemble des traitements de données personnelles réalisés par le Sous-traitant pour le compte du Responsable du traitement dans le cadre de l’exécution du Contrat, tels que décrits à l’Appendice 1. Il s’impose au Sous-traitant ainsi qu’à toute personne agissant sous son autorité et ayant accès aux données personnelles.

#Article 3. Durée

Le présent Accord entre en vigueur à la date d’entrée en vigueur du Contrat et/ou CGU et demeure valable pendant toute la durée dudit Contrat. Il restera applicable tant que le Sous-traitant traitera des données personnelles pour le compte du Responsable du traitement, tel que précisé à l’Appendice 1.

#Article 4. Obligations des Parties

#4.1. Description du traitement

• (a)Les détails des opérations de traitement, notamment les catégories de données personnelles et les finalités du traitement pour lesquelles les données sont traitées pour le compte du Responsable du traitement, sont précisés à l’Appendice 1.
• (b)Si le traitement porte sur des données personnelles révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l’appartenance syndicale, des données génétiques ou biométriques aux fins d’identifier de manière unique une personne physique, des données concernant la santé, la vie sexuelle ou l’orientation sexuelle d’une personne, ou encore des données relatives à des condamnations pénales et infractions (« données sensibles »), le Sous-traitant appliquera des restrictions spécifiques et/ou des garanties supplémentaires.

#4.2. Instructions

• (a)Le Sous-traitant ne traitera les données personnelles que sur instruction documentée du Responsable du traitement, sauf si une obligation légale prévue par le droit de l’Union ou par le droit d’un État membre auquel le Sous-traitant est soumis l’y contraint. Dans ce cas, le Sous-traitant informera le Responsable du traitement de cette obligation légale avant de procéder au traitement, sauf si la loi l’interdit pour des motifs importants d’intérêt public. Des instructions complémentaires peuvent également être données par le Responsable du traitement pendant toute la durée du traitement des données personnelles. Ces instructions doivent toujours être documentées.
• (b)Le Sous-traitant informe immédiatement le Responsable du traitement si, de son point de vue, les instructions fournies par ce dernier enfreignent la législation sur la protection des données.

#4.3. Limitation des finalités

Le Sous-traitant ne traitera les données personnelles que pour les finalités spécifiques définies à l’Appendice 1, sauf s’il reçoit d’autres instructions du Responsable du traitement.

#4.4. Sécurité du traitement et confidentialité

• (a)Le Sous-traitant mettra en œuvre, au minimum, les mesures techniques et organisationnelles spécifiées à l’Appendice 2 afin de garantir la sécurité des données personnelles. Cela inclut la protection des données contre toute violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé aux données (violation de données personnelles). Pour évaluer le niveau de sécurité approprié, les Parties tiendront compte de l’état des connaissances, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement, et des risques pour les personnes concernées.
• (b)Le Sous-traitant ne donnera accès aux données personnelles traitées qu’aux membres de son personnel habilités pour la mise en œuvre, la gestion ou le suivi du contrat. Le Sous-traitant s’assurera que les personnes autorisées à traiter les données personnelles se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité.

#4.5. Documentation et conformité

• (a)Le Sous-traitant met à la disposition du Responsable du traitement, sur demande, toutes les informations nécessaires pour démontrer le respect des obligations prévues dans le présent Accord.
• (b)Si le Responsable du traitement a des raisons de penser que le traitement de données personnelles par le Sous-traitant ou par un sous-traitant ultérieur n’est pas conforme aux dispositions du présent Accord, il se réserve le droit de vérifier, directement ou par l’intermédiaire d’un auditeur externe indépendant de son choix, la conformité du Sous-traitant à ses obligations.
• (c)Les audits peuvent également inclure des inspections dans les locaux ou installations du Sous-traitant, et sont, le cas échéant, réalisés avec un préavis raisonnable.
• (d)Les Parties mettront à disposition de l’autorité de contrôle compétente, sur demande, les informations visées dans la présente clause, y compris les résultats des audits.

#4.6. Recours à des sous-traitants ultérieurs

• (a)Le Sous-traitant dispose d’une autorisation générale du Responsable du traitement pour faire appel à des sous-traitants ultérieurs. La liste des sous-traitants engagés est indiquée à l’Appendice 3.
• (b)Le Sous-traitant doit informer par écrit le Responsable du traitement de tout changement prévu de cette liste, par ajout ou remplacement d’un sous-traitant, au moins trente (30) jours avant la mise en œuvre. Cela permet au Responsable du traitement de s’opposer à ces changements avant l’engagement du ou des sous-traitants concernés. Toute objection doit être justifiée et proportionnée aux intérêts des parties.
• (c)Lorsque le Sous-traitant fait appel à un sous-traitant pour exécuter des activités de traitement spécifiques (pour le compte du Responsable du traitement), il le fait par le biais d’un contrat écrit imposant, en substance, les mêmes obligations en matière de protection des données que celles qui incombent au Sous-traitant en vertu du présent Accord.
• (d)Sur demande, le Sous-traitant fournit au Responsable du traitement une copie du contrat conclu avec les sous-traitants ultérieurs, ainsi que de toute modification ultérieure. Dans la mesure nécessaire pour protéger les secrets commerciaux ou autres informations confidentielles, y compris les données personnelles, le Sous-traitant peut flouter certaines parties du contrat avant transmission.
• (e)Le Sous-traitant reste pleinement responsable vis-à-vis du Responsable du traitement de l’exécution des obligations du sous-traitant ultérieur au titre du contrat conclu avec ce dernier.

#4.7. Transferts internationaux

• (a)Tout transfert de données vers un pays tiers ou une organisation internationale par le Sous-traitant ne peut être effectué que sur la base d’accord, d’instructions documentées du Responsable du traitement ou pour répondre à une exigence spécifique imposée par la législation sur la protection des données à laquelle le Sous-traitant est soumis. Ce transfert doit être effectué en conformité avec le Chapitre V du RGPD.
• (b)Le Responsable du traitement accepte que, lorsque le Sous-traitant engage un sous-traitant ultérieur pour exécuter des activités de traitement spécifiques impliquant un transfert de données personnelles au sens du Chapitre V du RGPD, le Sous-traitant et le sous-traitant ultérieur peuvent garantir la conformité à ce chapitre en recourant aux clauses contractuelles types adoptées par la Commission conformément à l’article 46(2) du RGPD, à condition que les conditions d’utilisation de ces clauses soient remplies. La liste des sous-traitants ultérieurs, incluant le cas échéant des transferts hors de l’Union européenne vers des pays tiers, est présentée en Appendice 3 du présent Accord. Ces transferts sont réputés acceptés par le Responsable du traitement.

#Article 5. Assistance au Responsable du traitement

• (a)Le Sous-traitant notifie sans délai au Responsable du traitement, et en tout état de cause dans un délai maximum de cinq (5) jours ouvrables, toute demande qu’il aurait reçue d’une personne concernée. Il ne répondra pas lui-même à la demande, sauf autorisation expresse du Responsable du traitement.
• (b)Le Sous-traitant assiste le Responsable du traitement dans l’exécution de ses obligations relatives aux demandes d’exercice des droits des personnes concernées, en tenant compte de la nature du traitement.
• (c)Le Sous-traitant assiste également le Responsable du traitement pour garantir le respect des obligations suivantes, en tenant compte de la nature du traitement et des informations dont il dispose :
• 1)L’obligation de réaliser une analyse d’impact relative à la protection des données lorsque le type de traitement envisagé est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ;
• 2)L’obligation de consulter l’autorité de contrôle compétente avant le traitement, lorsque l’analyse d’impact indique que le traitement pourrait entraîner un risque élevé en l’absence de mesures prises par le Responsable du traitement pour atténuer ce risque ;
• 3)L’obligation de veiller à ce que les données personnelles soient exactes et mises à jour, en informant le Responsable du traitement sans délai si le Sous-traitant prend connaissance du fait que les données qu’il traite sont inexactes ou obsolètes.

#Article 6. Notification de violations de données à caractère personnel

(a) Le Sous-traitant coopère avec le Responsable du traitement et lui prête assistance aux fins de la mise en conformité avec les obligations qui lui incombent en vertu des articles 33 et 34 du RGPD, selon celui qui est applicable, en tenant compte de la nature du traitement et des informations dont dispose le Sous-traitant.

(b) En cas de violation de données à caractère personnel en rapport avec des données traitées par le Responsable du traitement, le Sous-traitant prête assistance au responsable du traitement :

• 1)aux fins de la notification de la violation de données à caractère personnel à l’autorité de contrôle compétente/aux autorités de contrôle compétentes, dans les meilleurs délais après que le Responsable du traitement en a eu connaissance, le cas échéant (sauf si la violation de données à caractère personnel est peu susceptible d'engendrer un risque pour les droits et libertés des personnes physiques);
• 2)aux fins de l’obtention des informations suivantes qui, conformément à la législation sur la protection des données, doivent figurer dans la notification du Responsable du traitement, et inclure, au moins:
• la nature des données à caractère personnel, y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés;
• les conséquences probables de la violation de données à caractère personnel;
• les mesures prises ou les mesures que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

(c) En cas de violation de données personnelles en rapport avec des données traitées par le Sous-traitant, celui-ci en informe le Responsable du traitement dans les meilleurs délais, et au plus tard quarante-huit (48) heures après en avoir pris connaissance. Cette notification contient au moins :

• 1)une description de la nature de la violation constatée (y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et d'enregistrements de données à caractère personnel concernés);
• 2)les coordonnées d’un point de contact auprès duquel des informations supplémentaires peuvent être obtenues au sujet de la violation de données à caractère personnel;
• 3)ses conséquences probables et les mesures prises ou les mesures qu’il est proposé de prendre pour remédier à la violation, y compris pour en atténuer les éventuelles conséquences négatives.
• (d)Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles à ce moment-là et, à mesure qu’elles deviennent disponibles, des informations supplémentaires sont communiquées par la suite dans les meilleurs délais.

#Article 7. Sort des données personnelles

• (a)Le traitement par le Sous-traitant n’a lieu que pendant la durée spécifiée à l’Appendice 1. À la fin de la prestation des services de traitement des données, le Sous-traitant, au choix du Responsable du traitement, supprimera toutes les données personnelles traitées pour le compte de ce dernier et en fournira la preuve, ou restituera toutes les données personnelles traitées pour son compte et supprimera les copies existantes.
• (b)Lorsque la législation applicable au Sous-traitant interdit la restitution ou la suppression des données personnelles, le Sous-traitant veille à ce que les données personnelles ne soient traitées que dans la mesure et pendant la durée requise par ladite législation.

#Article 8. Délégué à la protection des données

Le Sous-traitant communiquera au Responsable du traitement le nom et les coordonnées de son Délégué à la protection des données dans l’Appendice 1, s’il en a désigné un conformément à l’article 37 du RGPD.

#Article 9. Non-respect des clauses et résiliation

• (a)Sans préjudice des dispositions du RGPD, si le Sous-traitant ne respecte pas ses obligations découlant des présentes clauses, le Responsable du traitement peut lui ordonner de suspendre le traitement des données personnelles jusqu’à ce qu’il se conforme à ces clauses, ou bien résilier le contrat. Le Sous-traitant informera sans délai le Responsable du traitement s’il se trouve dans l’impossibilité de se conformer aux présentes clauses, pour quelque raison que ce soit.
• (b)Le Responsable du traitement est en droit de résilier le contrat, dans la mesure où celui-ci concerne le traitement de données personnelles conformément aux présentes clauses, si :
• 1)le traitement des données personnelles a été suspendu par le Responsable du traitement conformément au point (a) et que la conformité aux présentes clauses n’a pas été rétablie dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois à compter de la suspension ;
• 2)le Sous-traitant enfreint de manière substantielle ou répétée les présentes clauses ou ses obligations prévues par la législation en matière de protection des données ;
• 3)le Sous-traitant ne respecte pas une décision contraignante rendue par un tribunal compétent ou une autorité de contrôle compétente concernant ses obligations en vertu des présentes clauses ou de la législation applicable en matière de protection des données.
• (c)Le Sous-traitant est en droit de résilier le contrat, dans la mesure où celui-ci concerne le traitement de données personnelles en vertu des présentes clauses, lorsqu’après avoir informé le Responsable du traitement que ses instructions enfreignent les exigences légales applicables, conformément à la Clause 4.2, le Responsable du traitement insiste pour maintenir ses instructions.

#Article 10. Divers

• (a)Si une disposition du présent Accord est considéré comme illégale, invalide ou inapplicable, en tout ou en partie, cette disposition sera réputée ne pas faire partie de l’Accord, sans que cela n’affecte la légalité, la validité ou l’applicabilité des autres dispositions du présent Accord.
• (b)Dans ce cas ou en cas de disposition manquante, le Responsable du traitement s’engage à l’indiquer immédiatement et de bonne foi au Sous-traitant afin qu’il puisse mettre en place une nouvelle disposition valide remplaçant disposition non applicable ou manquante du DPA.
• (c)L’Accord est soumis à et interprété conformément à la législation luxembourgeoise applicable. Tout litige découlant de ou en relation avec l’Accord sera soumis à la juridiction exclusive des tribunaux de Luxembourg s’il n’a pas pu être réglé préalablement à l’amiable.

#Appendice 1 Description du traitement

#Appendice 2 Mesures techniques et organisationnelles pour assurer la sécurité des données

Le Sous-traitant met en œuvre et maintient les mesures techniques et organisationnelles suivantes afin d’assurer un niveau de sécurité adapté au risque. Ces mesures sont régulièrement réévaluées en fonction de l’état des connaissances, de la nature des traitements et des risques pour les personnes concernées.

#Gouvernance de la sécurité

Politique de cybersécurité documentée et revue au moins annuellement, analyse de risques annuelle et lors de tout changement significatif.

#Hébergement et sécurité physique

Hébergement chez OVHcloud, dans l’un de ses centres de données en France. La sécurité physique du site relève d’OVHcloud et s’appuie sur les certifications qu’il publie pour ses centres de données.

#Isolation du réseau

Base de données sans exposition vers l’extérieur, point d’entrée public unique et administration exclusivement au travers d’un VPN.

#Chiffrement

Échanges chiffrés en HTTPS (TLS 1.2 ou 1.3). Chiffrement applicatif des données les plus sensibles (messagerie interne, secrets d’authentification) et hachage des mots de passe.

#Gestion des accès

Cloisonnement strict des données entre clients, droits attribués par rôle, double authentification, protection contre les tentatives de connexion répétées et sessions à durée limitée.

#Sécurité applicative

Protections contre les attaques web courantes, contrôle des fichiers déposés et environnement d’exécution durci. Les fonctionnalités d’intelligence artificielle passent exclusivement par la passerelle de Luxgap.

#Journalisation et détection

Traçabilité des actions sensibles, centralisée et supervisée par le SOC de Luxgap. Les journaux, conservés 6 mois, ne contiennent ni mot de passe ni contenu métier.

#Sauvegarde et continuité

Sauvegarde quotidienne de la base, conservée 14 jours avec accès restreint, et retour automatique à la version précédente en cas d’échec d’un déploiement.

#Développement sécurisé

Revue et contrôles automatisés de sécurité avant toute mise en production, mise à jour continue des dépendances et conservation des secrets dans un coffre dédié, hors du code.

#Sensibilisation et formation

Formation annuelle obligatoire du personnel à la sécurité de l’information.

#Gestion des incidents

Procédures documentées de détection, de réponse et de notification des incidents de sécurité, avec analyse post-incident.

#Appendice 3 Liste des sous-traitants ultérieurs