Politique de confidentialité
1. Responsable de traitement
Le responsable de traitement des données collectées via le site lexoo.fr est :
| Société | KG CONSEILS & SERVICES |
| Forme | Société par Actions Simplifiée (SAS) |
| Siège | 6 Courtiaux La Chaise, 87130 Neuvic-Entier |
| SIREN | 911 242 287 |
| Représentant légal | Kevin Godeby, Président |
| Délégué à la protection des données (DPO) | rgpd@lexoo.fr |
2. Engagement de privacy by design
Lexoo a été conçu selon le principe de minimisation des données (article 5.1.c du RGPD). Le service :
- ne demande aucune création de compte pour la démo gratuite ;
- ne collecte que les données strictement nécessaires à la livraison du dossier payé ;
- héberge l'intégralité des données en Union Européenne (région AWS eu-west-3, Paris) ;
- chiffre les configurations sensibles en AES-256-GCM en base de données ;
- permet la suppression complète des données utilisateur en un clic.
3. Données collectées et finalités
| Données | Finalité | Base légale | Durée |
|---|---|---|---|
| Question posée dans le chat (texte libre) | Génération de l'analyse par l'IA | Intérêt légitime (art. 6.1.f) — exécution du service demandé | 30 jours puis anonymisation |
| Adresse IP, user-agent | Anti-abuse, sécurité, rate limiting (5 questions/h) | Intérêt légitime (sécurité du service) | 30 jours |
| Civilité, prénom, nom, adresse postale, code postal, ville, téléphone | Personnalisation du dossier (en-tête du courrier au nom de l'Utilisateur) | Exécution du contrat (art. 6.1.b) | 12 mois |
| Adresse email | Livraison du dossier, relances J+8/J+15/J+30, support client | Exécution du contrat (art. 6.1.b) | 12 mois |
| Identifiant de transaction Stripe (sans données bancaires) | Comptabilité, lutte contre la fraude, droit de rétractation | Obligation légale (art. 6.1.c) — Code de commerce art. L.123-22 | 10 ans |
| Cookies strictement nécessaires | Session, sécurité (CSRF), paiement | Exécution du service (CNIL — exemption) | 13 mois max |
4. Données NON collectées
Lexoo ne collecte jamais :
- vos données bancaires (numéro de carte, CVV) — elles transitent directement vers Stripe via une iframe sécurisée ;
- vos identifiants administratifs (mot de passe FranceConnect, AmeliPro, etc.) ;
- vos données de santé, vos opinions politiques ou religieuses, vos données biométriques (sauf si vous les saisissez volontairement dans le chat) ;
- les coordonnées de tiers (sauf celles que vous saisissez vous-même pour personnaliser un courrier).
5. Sous-traitants et destinataires
Vos données sont traitées par les sous-traitants suivants, sélectionnés pour leurs garanties techniques et organisationnelles, et liés par un Accord de Traitement des Données (DPA — Article 28 RGPD) :
| Sous-traitant | Finalité | Région |
|---|---|---|
| Hostinger International Ltd | Hébergement frontend & backend | UE (Frankfurt) |
| Supabase Inc. | Base de données Postgres + stockage fichiers | AWS eu-west-3 (Paris, France) |
| Stripe Payments Europe, Limited | Paiement par carte bancaire | Irlande, UE |
| Resend Inc. | Envoi des emails transactionnels | AWS eu-west-1, Irlande |
| Anthropic, PBC | Modèle d'intelligence artificielle (Claude Sonnet 4) — analyse + génération du dossier | USA, données traitées en zone UE selon Anthropic Data Processing Addendum, sans entraînement du modèle (zero-retention) |
6. Transferts hors UE
Le seul transfert hors UE concerne Anthropic, PBC (modèle Claude). Ce transfert est encadré par :
- les Clauses Contractuelles Types (CCT) de la Commission européenne (Décision 2021/914) ;
- l'accord Anthropic Zero Data Retention garantissant que vos données ne sont pas conservées par Anthropic au-delà du temps de traitement de la requête (~30 secondes) ;
- l'engagement contractuel d'Anthropic de ne pas utiliser vos données pour entraîner ses modèles.
7. Sécurité
Lexoo met en œuvre les mesures techniques et organisationnelles suivantes :
- chiffrement TLS 1.3 (HTTPS) sur l'ensemble des communications client-serveur ;
- chiffrement AES-256-GCM des configurations sensibles en base ;
- séparation des environnements (dev/staging/prod) ;
- accès aux serveurs limité par clé SSH avec authentification à deux facteurs ;
- journalisation des accès administrateurs ;
- politique de mots de passe forts (entropie minimum 80 bits) ;
- row-level security activé sur la base de données ;
- watchdog malware avec scan automatique toutes les 6h.
8. Vos droits (chapitre III du RGPD)
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Droit d'accès (art. 15) : obtenir une copie des données vous concernant ;
- Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes ;
- Droit à l'effacement (art. 17) : « droit à l'oubli » — supprimer toutes vos données en un clic ;
- Droit à la limitation du traitement (art. 18) ;
- Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré (JSON) ;
- Droit d'opposition (art. 21) : vous opposer au traitement fondé sur l'intérêt légitime ;
- Droit de retirer votre consentement à tout moment (art. 7.3) lorsque le traitement est fondé sur le consentement ;
- Droit de réclamation auprès de la CNIL (art. 77).
Pour exercer vos droits : envoyez un email à rgpd@lexoo.fr en précisant votre demande et votre adresse email de commande. Nous vous répondrons sous 30 jours maximum, conformément à l'article 12 du RGPD.
9. Suppression en un clic
10. Cookies
Lexoo utilise un nombre minimal de cookies. Le détail figure dans la Politique cookies.
11. Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés :
CNIL — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
Téléphone : 01 53 73 22 22
Site web : cnil.fr/fr/plaintes
12. Mises à jour de la présente politique
Cette politique peut être amenée à évoluer. La date de dernière mise à jour figure en tête de page. Pour les modifications substantielles, les Utilisateurs ayant une commande active seront informés par email.
13. Contact DPO
Toute question relative à la protection de vos données personnelles : rgpd@lexoo.fr