Politique de Confidentialité

1. Responsable de traitement

Le responsable de traitement est LexaSafe France (SAS en cours de constitution), joignable à contact@lexasafe.fr.

L'identifiant visé et les précisions de la réquisition sont chiffrés dans le navigateur de l'officier, pour la clé de l'organisation destinataire et pour la sienne ; les pièces de réponse sont chiffrées dans le navigateur de l'entreprise pour la clé de l'officier requérant. LexaSafe ne reçoit que le chiffré. Le serveur voit encore l'organisation destinataire, la base légale, l'urgence et les dates, et distribue lui-même les clés publiques ; les réquisitions déposées avant la mise en place de ce chiffrement restent stockées en clair. E2EE complet non déployé. Mentions RGPD publiées — AIPD non réalisée.

2. Données collectées

Selon le parcours utilisé, LexaSafe peut collecter :

• Site vitrine : données de connexion techniques strictement nécessaires au fonctionnement et à la sécurité (voir la politique cookies) ;
• Demande d'accès entreprise : raison sociale, SIREN/SIRET, secteur (privé / public), coordonnées professionnelles (email, téléphone), identité du référent et, le cas échéant, numéro RCS ;
• Demande de compte OPJ : nom, prénom, adresse de messagerie institutionnelle, matricule, unité, grade, téléphone professionnel, références de procédure le cas échéant ;
• Comptes validés : identifiants de session, journaux de sécurité (horodatage, adresse IP, actions d'authentification).

LexaSafe ne collecte pas de données de navigation à des fins publicitaires et n'utilise pas de traceurs de ciblage tiers.

3. Finalités et bases légales

Les traitements ont pour finalités :

• l'instruction des demandes d'accès et la lutte contre l'usurpation (intérêt légitime et, le cas échéant, mesures précontractuelles) ;
• la fourniture du service souscrit (exécution du contrat) ;
• la sécurité de la Plateforme, la prévention de la fraude et le respect des obligations légales (intérêt légitime et obligation légale) ;
• la réponse aux demandes adressées à contact@lexasafe.fr (intérêt légitime).

4. Destinataires

Les données sont destinées aux personnels habilités de LexaSafe chargés de la revue des demandes, du support et de la sécurité. Elles sont hébergées en France, sur un serveur exploité par LexaSafe. Les e-mails de notification (adresse, référence, échéance) passent par la messagerie d'OVHcloud (France), sous-traitant. Lors de la migration prévue vers OVHcloud SAS (France), celui-ci interviendra comme sous-traitant technique ; cette politique sera mise à jour avant la migration.

LexaSafe ne vend pas les données et ne les transfère pas hors de l'Union européenne, sauf obligation légale.

5. Durées de conservation

État actuel : les durées de conservation ne sont pas encore fixées. Rien n'est supprimé automatiquement pour l'instant. Elles seront arrêtées avec un conseil, puis publiées ici avant d'être appliquées. Les principes visés sont les suivants.

Les demandes d'accès refusées ou abandonnées sont conservées le temps nécessaire à la lutte contre la fraude et aux éventuelles réclamations, puis supprimées ou archivées sous une forme minimisée. Les comptes actifs sont conservés pendant la durée de la relation contractuelle, puis pendant les délais de prescription applicables. Les journaux de sécurité sont conservés pour une durée proportionnée aux finalités de sécurité.

Les métadonnées d'acheminement (horodatage, empreintes, accusés) peuvent être conservées plus longtemps lorsqu'une obligation légale de traçabilité l'impose.

6. Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition, et du droit à la portabilité lorsque celui-ci s'applique. Vous pouvez également définir des directives relatives au sort de vos données après votre décès.

Pour exercer ces droits : contact@lexasafe.fr. Une pièce d'identité pourra être demandée en cas de doute raisonnable sur l'identité du demandeur.

Lorsque l'effacement est possible, LexaSafe applique des mesures techniques visant à rendre les données inexploitables (y compris, le cas échéant, la destruction des clés associées).

7. Réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.