🔐 Confidentialité & RGPD

Dernière mise à jour : 15 mai 2026 · Version 1.0

1. Identité du ou des responsables du traitement

Luxgap Sàrl — 2, rue de l'École, L-8376 Kahler, Luxembourg — TVA LU30886939 — RCS B231193 — opère cette plateforme en qualité de co-responsable du traitement conjointement avec chaque organisation listée sur la page d'accueil. Chaque organisation détermine les finalités du traitement des signalements la concernant (respect d'une obligation légale — Directive UE 2019/1937 et loi luxembourgeoise du 16 mai 2023).

📧 Délégué à la Protection des Données (DPO) : Julien Winkin · dpo@luxgap.com

2. Données collectées

Auprès du lanceur d'alerte (vous)

• Identité optionnelle : nom, email, téléphone (uniquement si vous les fournissez)
• Préférence de communication : code plateforme, email ou aucune
• Contenu du signalement : catégorie, description, période, lieu, personnes impliquées, pièces jointes
• Données techniques : hash SHA-256 de l'IP (jamais stockée en clair), user-agent navigateur, préférence linguistique (cookie lxg_wb_lang)

Auprès de tiers cités dans le signalement

• Noms, fonctions et toutes informations que vous fournissez sur les personnes concernées par les faits dénoncés

3. Finalités et bases légales

Respect d'une obligation légale · Art. 6 §1 c) RGPD

Opérer un canal de signalement confidentiel imposé par la Directive UE 2019/1937 et la loi luxembourgeoise du 16 mai 2023.

Mission d'intérêt public · Art. 6 §1 e) RGPD

Recevoir, examiner et traiter les signalements de violations du droit de l'Union.

Intérêt légitime · Art. 6 §1 f) RGPD

Journal d'audit des accès et modifications de la plateforme pour la sécurité et la traçabilité (art. 18 de la Directive).

4. Confidentialité et accès

Votre identité est strictement confidentielle (art. 16 de la Directive 2019/1937). Elle n'est accessible qu'à :

• Le ou les consultants de Luxgap assignés au mandat whistleblowing de l'organisation concernée
• La direction (CEO/admin) de Luxgap pour la supervision et l'audit
• Aux autorités externes uniquement avec votre consentement écrit ou si la loi l'impose

L'identité des personnes citées dans le signalement bénéficie de la même protection (art. 22 RGPD + art. 16 Directive).

5. Durée de conservation

• Signalements en cours : jusqu'à la clôture de l'enquête
• Signalements clos : 5 ans à compter de la clôture (preuve juridique + audit), puis anonymisation ou suppression
• Journal d'audit : 5 ans à compter de la clôture
• Pièces jointes : stockées sur des serveurs UE, supprimées avec le signalement
• Hash IP : supprimé à la clôture

6. Vos droits

Au titre du RGPD, vous disposez des droits d'accès (art. 15), de rectification (art. 16), d'effacement (art. 17, avec limites — besoins de l'enquête), de limitation (art. 18), de portabilité (art. 20), d'opposition (art. 21).

Pour exercer ces droits : écrivez à dpo@luxgap.com en indiquant votre code de référence. Les lanceurs d'alerte anonymes peuvent utiliser ce code pour accéder à leur dossier à tout moment via la plateforme.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité de contrôle luxembourgeoise : Commission nationale pour la protection des données (CNPD) — 15, boulevard du Jazz, L-4370 Belvaux — cnpd.public.lu.

7. Mesures de sécurité

• Hébergement UE : serveurs localisés en France (OVHcloud)
• Chiffrement TLS 1.3 pour toutes les communications
• Hash SHA-256 des IPs — jamais stockées en clair
• Code de référence ~95 bits d'entropie (URL-safe), jamais réémis
• Contrôle d'accès strict par assignation consultant / organisation
• Journal d'audit complet de toutes les consultations et modifications (art. 18 Directive)
• Traitement IA : la fonctionnalité optionnelle de traduction (côté admin) utilise l'API Anthropic Claude. Les données d'identité du lanceur ne sont pas envoyées ; seul le contenu textuel du signalement l'est. Politique Anthropic.
• Assistant chat public : utilise également l'API Anthropic Claude pour des questions générales sur la plateforme. La conversation est stateless (jamais stockée). Aucune donnée personnelle ne doit y être saisie.

8. Transferts internationaux

Les données personnelles sont traitées au sein de l'Union européenne. L'API Anthropic Claude (utilisée pour la traduction admin et l'assistant chat) peut transférer des données vers les États-Unis. Ce transfert est couvert par les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne et le EU-US Data Privacy Framework (lorsqu'applicable). Aucune donnée d'identité du lanceur n'est envoyée à Anthropic pour la traduction — seul le contenu textuel du signalement.

9. Cookies

Cette plateforme utilise uniquement des cookies strictement nécessaires :

• lxg_wb_lang — votre préférence de langue, durée 1 an, HttpOnly + SameSite=Lax

Aucun cookie de tracking, aucun outil analytique tiers, aucune publicité.

10. Décisions automatisées

Aucune. Tous les signalements sont examinés par un consultant humain. Certains outils optionnels assistent le consultant (traduction automatique, suggestions de rédaction) mais aucune décision vous concernant n'est automatisée (art. 22 RGPD).

11. Mises à jour

Cette notice peut être mise à jour pour refléter des évolutions légales ou des changements de traitement. La version courante est datée ci-dessus. Les modifications substantielles seront communiquées aux lanceurs d'alerte actifs via la plateforme.

12. Contact

Pour toute question relative au traitement de vos données : dpo@luxgap.com

Pour toute question sur la plateforme ou pour signaler un bug : whistleblowing@luxgap.com