Dernière mise à jour : 7 juin 2026.

Cette politique développe le droit fondamental d'Habeas Data (article 15 de la Constitution politique de la Colombie) et la liberté d'information (article 20), la Ley Estatutaria 1581 de 2012 (déclarée conforme à la Constitution par la Sentencia C-748 de 2011) et le Decreto 1377 de 2013.

Cadre légal : Ley 1581 de 2012, Decreto 1377 de 2013 et normes complémentaires (Colombie) ; RGPD (Union européenne), CCPA/CPRA (Californie, États-Unis) et la LGPD — Lei nº 13.709/2018 (Brésil), pour les utilisateurs soumis à ces normes.

Vous pouvez révoquer votre autorisation et demander la suppression de vos données lorsque le traitement ne respecte pas les principes, droits et garanties constitutionnels et légaux (art. 8, lit. e, Ley 1581 de 2012), sauf obligation légale ou contractuelle de conservation.

Avis : ce document constitue une information générale et ne constitue pas un conseil juridique.

Le responsable du traitement est LUXISOFT, exploitant de LUXIPANEL, identifié par le NIT [____] et domicilié à [adresse], Colombie. Contact confidentialité : [courriel de confidentialité / canal de support]. NOTE : l'identification du responsable (NIT/immatriculation, domicile et contact) est un espace réservé qui doit être complété avant la publication en production ; son absence enfreint l'art. 13, lit. a du Decreto 1377 de 2013 et l'art. 17 de la Ley 1581 de 2012.

LUXISOFT agit avec un double rôle selon le type de donnée :

• En qualité de Responsable du traitement (controller ; art. 3, lit. e, Ley 1581 de 2012) : à l'égard des données de compte, d'identité, d'authentification, de paiement, d'utilisation, de support, de blog et de marketplace, que nous traitons à des fins propres définies par nous.
• En qualité de Sous-traitant (processor ; art. 3, lit. d, Ley 1581 de 2012) : à l'égard des identifiants de serveur (SSH) et des données auxquelles nous accédons dans l'infrastructure du client sur ses instructions. Dans cette relation, le client est le Responsable et LUXISOFT traite ces données uniquement conformément à ses instructions documentées, sans déterminer de finalités propres.

Pour les utilisateurs soumis au RGPD, cette relation de sous-traitance est régie par un Accord de traitement des données (DPA) conforme à l'article 28 du RGPD, qui fait partie intégrante des présentes conditions et inclut : l'objet, la durée, la nature et la finalité du traitement ; les types de données et les catégories de personnes concernées ; l'engagement de traiter les données uniquement sur instructions documentées du client ; la confidentialité du personnel ; les mesures de sécurité de l'article 32 (détaillées dans la section Sécurité) ; le régime des sous-sous-traitants ; l'assistance dans l'exercice des droits des personnes concernées et dans la notification des violations ; et la suppression ou la restitution des données au terme du service. Vous pouvez demander la version complète du DPA via les canaux de support.

Point de contact et DPO : vous pouvez adresser toute question relative à vos données via les canaux indiqués. Si la nature ou le volume du traitement l'exige, nous désignerons un Délégué à la protection des données (DPO) (RGPD art. 37) et, le cas échéant, un représentant dans l'Union européenne (RGPD art. 27), en publiant leurs coordonnées dans cette politique. Vous pouvez exercer vos droits via les canaux de la section 9.

Selon votre interaction avec la plateforme, nous pouvons traiter :

• Données de compte et d'identité : courriel, nom, photo, langue/locale, identifiant Google, entreprise, pays et téléphone/WhatsApp (facultatifs).
• Authentification : jetons d'identité Google/Firebase et métadonnées des clés d'accès (WebAuthn) et codes de récupération.
• Métadonnées de paiement : références, statuts, montants et dates des transactions traitées par Wompi. Nous ne conservons pas les données de carte.
• Identifiants de serveur : utilisateur SSH, port, IP, clés privées et passphrases, stockés chiffrés avec AES-256-GCM et jamais en clair.
• Données d'utilisation technique : journaux de connexion, consommation de solde, événements d'audit, adresses IP et données d'appareil.
• Interactions avec l'assistant IA : le texte des requêtes et réponses traitées pour fournir le support.
• Contenu de l'utilisateur : articles de blog, modules du marketplace, tickets de support et pièces jointes.

Nous traitons chaque catégorie de données sur une base de licéité spécifique (RGPD art. 6.1) :

• Exécution du contrat [art. 6.1.b] : créer et maintenir le compte, authentification, gestion du solde et des achats, connexion SSH à vos serveurs, support, payouts du marketplace.
• Consentement [art. 6.1.a] : connexion avec Google, communications commerciales et cookies non essentiels. Révocable à tout moment sans effet rétroactif.
• Obligation légale [art. 6.1.c] : conservation fiscale/comptable, traitement des injonctions d'autorité, vérifications KYC.
• Intérêt légitime [art. 6.1.f] : sécurité de la plateforme, prévention de la fraude et amélioration du service, après une mise en balance documentée au regard de vos droits. Vous pouvez vous opposer à ces traitements conformément à l'art. 21 du RGPD.

LUXISOFT traite vos données conformément aux principes de l'article 4 de la Ley 1581 de 2012 (légalité, finalité, liberté, véracité ou qualité, transparence, accès et circulation restreinte, sécurité et confidentialité) et respecte les devoirs de l'article 17 (en qualité de Responsable) et de l'article 18 (en qualité de Sous-traitant des identifiants du client).

Nous traitons les données pour : exploiter le portail, les panneaux et les applications ; authentifier les utilisateurs ; gérer le solde de données, les achats et les justificatifs ; nous connecter de manière sécurisée aux serveurs du client via SSH ; fournir le support et exploiter l'assistant IA ; gérer le blog et le marketplace (y compris les payouts) ; renforcer la sécurité et prévenir la fraude ; respecter les obligations légales ; et envoyer des communications transactionnelles et, avec votre consentement, commerciales.

Certains traitements peuvent impliquer des données sensibles au sens de l'article 5 de la Ley 1581 de 2012 et des catégories particulières de l'article 9 du RGPD :

• Données biométriques (passkeys/WebAuthn) : la vérification biométrique (empreinte ou visage) est réalisée localement sur votre appareil ; LUXIPANEL ne reçoit ni ne conserve votre biométrie, seulement une clé publique cryptographique qui ne permet pas de la reconstituer. Vous pouvez utiliser des méthodes d'authentification non biométriques.
• Contenu de l'assistant IA : si vous incluez volontairement des informations sensibles (p. ex. de santé) dans le chat, elles seront traitées uniquement pour répondre à votre requête. Nous vous recommandons de ne pas partager de données sensibles inutiles.

Conformément à l'article 6 de la Ley 1581 de 2012, au Decreto 1377 de 2013 et à l'article 9 du RGPD, le traitement de données sensibles requiert votre autorisation explicite et vous n'êtes pas obligé de l'accorder ; aucun service n'est conditionné à la fourniture de données sensibles.

Nous ne vendons pas vos données personnelles. Nous ne les partageons qu'avec des sous-traitants/sous-sous-traitants strictement nécessaires à l'exploitation du service, ou en cas d'obligation légale ou d'injonction d'une autorité compétente. Principaux sous-sous-traitants :

• Google / Firebase — authentification et infrastructure d'identité.
• Wompi — traitement des paiements (données de carte traitées dans son propre environnement).
• Cloudflare — CDN, stockage d'objets (R2) et protection réseau.
• Fournisseur d'IA (modèle compatible avec OpenAI) — traitement des requêtes de l'assistant.
• Meta (Facebook/Instagram) — syndication facultative des publications du blog.

Chaque sous-sous-traitant traite les données selon ses propres conditions de traitement et mesures de sécurité.

Certains sous-sous-traitants opèrent en dehors de la Colombie et de l'Espace économique européen (principalement aux États-Unis et dans d'autres régions où opèrent Google/Firebase, Cloudflare, le fournisseur d'IA et Meta). La réglementation colombienne distingue :

• Transmission internationale (art. 25, Decreto 1377 de 2013) : envoi de données à un sous-traitant qui les traite pour le compte et selon les instructions de LUXISOFT (Google/Firebase, Wompi, Cloudflare, fournisseur d'IA). Avec chacun nous concluons un contrat de transmission assorti de clauses de protection et de confidentialité.
• Transfert international (art. 26, Ley 1581 de 2012) : réalisé uniquement vers des pays présentant un niveau adéquat de protection selon la Circular Externa 005 de 2017 de la SIC (parmi lesquels les États-Unis et les États de l'Union européenne), ou au titre de ses exceptions, en particulier lorsque le transfert est nécessaire à l'exécution du contrat entre la personne concernée et LUXISOFT (art. 26, lit. e) ou que votre autorisation expresse et univoque intervient (lit. a).

Pour les utilisateurs soumis au RGPD, les garanties du Chapitre V du Règlement s'appliquent en outre :

• Décision d'adéquation — EU-US Data Privacy Framework (DPF) : lorsque le sous-sous-traitant aux États-Unis est certifié au titre du DPF, le transfert s'appuie sur la décision d'adéquation de la Commission européenne (RGPD art. 45). Nous maintenons les Clauses contractuelles types comme mécanisme de secours, compte tenu du recours pendant relatif au DPF.
• Clauses contractuelles types (SCC) : pour les destinations sans décision d'adéquation, nous concluons les SCC approuvées par la Commission européenne (RGPD art. 46.2.c), complétées par des mesures techniques et organisationnelles supplémentaires après une analyse d'impact du transfert (TIA) lorsque cela s'avère pertinent.

Vous pouvez demander des informations sur le mécanisme applicable à un sous-sous-traitant spécifique et une copie des garanties via les canaux de support.

Nous conservons les données aussi longtemps que nécessaire aux finalités indiquées et pour respecter les obligations légales, fiscales, comptables, contractuelles ou de sécurité. Les jetons d'identité sont traités en transit et ne sont pas conservés au-delà de ce qui est nécessaire au maintien de la session. Les demandes de suppression vérifiées sont traitées dans un délai de trente (30) jours, sauf pour les informations que nous sommes tenus de conserver.

Les jetons sont conservés comme crédit de consommation et n'expirent jamais. Les registres de transaction et de consommation associés sont conservés selon les délais légaux applicables.

Vos droits dépendent de la réglementation qui vous est applicable :

• Titulaires en Colombie (Ley 1581 de 2012, art. 8) : connaître, accéder, mettre à jour et rectifier vos données ; demander la suppression et révoquer l'autorisation lorsqu'il y a lieu ; présenter des consultations et réclamations auprès du responsable et, une fois la procédure épuisée, auprès de la SIC.
• Personnes concernées au titre du RGPD (art. 15-22) : accès, rectification, effacement (« droit à l'oubli »), limitation du traitement, portabilité, opposition (y compris l'opposition à l'intérêt légitime, art. 21) et droit de ne pas faire l'objet de décisions automatisées produisant des effets juridiques significatifs.
• Résidents de Californie (CCPA/CPRA) : vous avez le droit de connaître, accéder, supprimer et corriger vos informations ; de refuser la « vente » ou le « partage » de vos informations personnelles ; et de limiter l'utilisation de vos informations personnelles sensibles (SPI) aux finalités autorisées. Nous ne vendons pas d'informations personnelles. La syndication facultative de contenu vers Meta (Facebook/Instagram) n'a lieu qu'avec votre activation ; si cela impliquait un « partage » à des fins de publicité ciblée intercontextuelle, nous proposons le contrôle « Ne pas vendre ni partager mes informations personnelles » sur la plateforme.
• Titulaires au Brésil (LGPD — Lei nº 13.709/2018, art. 17-22) : confirmation, accès, correction, anonymisation, portabilité, suppression et révocation du consentement, avec la possibilité de réclamer auprès de l'Autoridade Nacional de Proteção de Dados (ANPD).

Vous pouvez exercer vos droits en envoyant une demande via les canaux de support officiels de LUXIPANEL, en vous identifiant et en utilisant le même courriel enregistré.

Consultations (art. 14, Ley 1581 de 2012) : nous traiterons votre consultation sur les données que nous détenons à votre sujet dans un délai maximal de dix (10) jours ouvrables. Si cela n'est pas possible, nous vous informerons des motifs et de la nouvelle date, qui ne dépassera pas cinq (5) jours ouvrables suivant l'expiration du premier délai.

Réclamations (art. 15, Ley 1581 de 2012) : les réclamations (correction, mise à jour, suppression ou révocation de l'autorisation) seront traitées dans un délai maximal de quinze (15) jours ouvrables à compter du jour suivant leur réception, prorogeable de huit (8) jours ouvrables. Si la réclamation est incomplète, nous vous demanderons d'y remédier dans les cinq (5) jours suivants ; tant qu'elle est en cours de résolution, la base de données portera la mention « réclamation en cours ».

Délais internationaux : pour les utilisateurs du RGPD, nous répondrons sans retard injustifié et au plus tard dans un délai d'un (1) mois, prorogeable de deux mois supplémentaires dans les cas complexes, en vous informant de la prorogation (art. 12.3). Pour les résidents de Californie (CCPA/CPRA), nous répondrons dans un délai de 45 jours, prorogeable de 45 jours supplémentaires. Si la demande est manifestement infondée ou excessive, nous pourrons facturer des frais raisonnables ou refuser, en le motivant.

Vous pouvez révoquer l'accès de LUXIPANEL à votre compte Google sur myaccount.google.com/permissions.

Conformément à l'article 16 de la Ley 1581 de 2012, vous ne pourrez présenter une plainte auprès de la Superintendencia de Industria y Comercio (SIC) (www.sic.gov.co) qu'après avoir épuisé la procédure de consultation ou de réclamation auprès de LUXISOFT. Les utilisateurs de l'EEE peuvent saisir leur autorité de protection des données.

Lorsque vous utilisez l'assistant IA, le texte de votre requête (et le contexte nécessaire, tel que l'historique de la conversation et les métadonnées de votre compte requises par l'outil) est envoyé à un fournisseur de modèles compatible avec OpenAI à la seule finalité de générer la réponse et de fournir le support. Ces données ne sont pas utilisées à des fins publicitaires. LUXISOFT a convenu avec le fournisseur de modèles que les interactions sont traitées uniquement pour fournir le service et ne sont pas utilisées pour entraîner ses modèles ni à des fins publicitaires. Évitez de partager des données sensibles inutiles dans le chat.

Données de catégories particulières : l'assistant IA et les formulaires de support/KYC ne sont pas conçus pour traiter des données sensibles (RGPD art. 9 ; Ley 1581 de 2012, art. 5-6). Nous vous demandons de ne pas saisir d'informations de santé, biométriques, idéologiques, religieuses, d'orientation sexuelle ou d'autres catégories particulières. Si vous décidez de le faire, nous les traitons uniquement sur la base de votre consentement explicite et seulement dans la mesure nécessaire pour traiter votre demande, et nous pouvons les supprimer à votre demande.

LUXISOFT applique des mesures techniques, administratives et organisationnelles pour protéger la confidentialité, l'intégrité et la disponibilité de l'information. Principaux mécanismes :

• Chiffrement en transit : HTTPS/TLS 1.2 ou supérieur sur toutes les communications.
• Chiffrement au repos : les identifiants SSH (clés et passphrases) sont chiffrés avec AES-256-GCM avant d'être persistés ; l'infrastructure de Google/Firebase chiffre au repos avec AES-256.
• mTLS strict et liste d'autorisation d'IP dans la communication de service à service entre le panneau et l'autorité de licences.
• TOFU explicite des empreintes d'hôte SSH et blocage du SSRF lors de la résolution des destinations.
• Authentification robuste : OAuth 2.0/OpenID Connect avec validation cryptographique des jetons, clés d'accès (WebAuthn/FIDO2), 2FA et codes de récupération.
• Contrôle d'accès et moindre privilège pour le personnel autorisé, avec confidentialité.
• Minimisation, journal d'audit immuable et aucun secret n'est jamais consigné dans les journaux.
• Prévention de la fraude et validation des webhooks de paiement (Wompi).

Aucun système n'est sûr à 100 % ; si vous pensez que votre compte ou vos données ont été compromis, contactez-nous immédiatement via les canaux officiels.

Nous maintenons une procédure de gestion des incidents de sécurité. En cas de violation de la sécurité des données personnelles, nous agissons ainsi :

• Lorsque nous agissons en qualité de Responsable : nous notifierons l'autorité de contrôle compétente sans retard injustifié et, lorsque cela est faisable, dans un délai maximal de 72 heures à compter du moment où nous avons connaissance de la violation, sauf s'il est improbable qu'elle entraîne un risque pour les droits des personnes concernées (RGPD art. 33). Si la violation est susceptible d'entraîner un risque élevé pour vos droits et libertés, nous vous le communiquerons directement et sans retard injustifié (RGPD art. 34).
• Lorsque nous agissons en qualité de Sous-traitant (p. ex. à l'égard de vos identifiants ou de votre infrastructure SSH) : nous vous notifierons en tant que client-Responsable sans retard injustifié après avoir eu connaissance de la violation, en fournissant les informations nécessaires pour que vous remplissiez vos propres obligations de notification (RGPD art. 33.2).

La notification décrira, dans la mesure des informations disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et de registres affectés, les conséquences probables et les mesures prises ou proposées. Pour les utilisateurs en Colombie s'appliquera en outre le signalement des incidents auprès de la Superintendencia de Industria y Comercio conformément à la Ley 1581 de 2012.

Nous utilisons des cookies techniques (essentiels au fonctionnement et à la session) et, le cas échéant, d'analyse pour améliorer l'expérience. Vous pouvez gérer les cookies non essentiels depuis votre navigateur ou depuis les contrôles disponibles sur la plateforme.

LUXIPANEL s'adresse exclusivement aux personnes majeures dotées de la capacité juridique. Conformément à l'article 7 de la Ley 1581 de 2012, à l'article 12 du Decreto 1377 de 2013 et à la Sentencia C-748 de 2011, le traitement des données des enfants et adolescents est restreint et ne procède qu'en considération de leur intérêt supérieur et avec l'autorisation du représentant légal. Nous ne collectons pas sciemment de données de mineurs ; si nous détectons de telles données sans autorisation valable, nous procéderons à leur suppression conformément à la réglementation.

Nous pouvons mettre à jour cette politique afin de refléter des évolutions réglementaires, opérationnelles ou techniques. Nous publierons la version en vigueur avec sa date de mise à jour et informerons des modifications substantielles via les canaux disponibles.

Pour toute consultation relative aux données personnelles, utilisez les canaux de support de LUXIPANEL. Si vous n'êtes pas satisfait de la réponse, l'autorité de surveillance en Colombie est la Superintendencia de Industria y Comercio (SIC) (www.sic.gov.co). Les utilisateurs de l'EEE peuvent saisir leur autorité de protection des données, et ceux de Californie les voies prévues par la CCPA/CPRA.

LUXIPANEL propose l'option « Se connecter avec Google » comme méthode d'authentification pour accéder au portail et gérer les licences, abonnements et paiements, mise en œuvre au moyen de Google OAuth 2.0 via Firebase Authentication.

Le projet Google Cloud / Firebase associé est : luxisoft (project ID), numéro de projet 456853307907, exploité par LUXISOFT. Les scopes demandés se limitent strictement aux scopes d'identité de base et non sensibles : openid, email et profile. Nous NE demandons PAS de scopes restreints ou sensibles (Gmail, Drive, Calendar, Contacts, YouTube).

Lorsque vous vous connectez avec votre compte Google, LUXIPANEL et Firebase Authentication accèdent aux données utilisateur de Google spécifiques suivantes :

• Adresse électronique — identifiant unique de votre compte.
• Statut de vérification du courriel.
• Informations de profil de base : nom complet et nom public (display name).
• URL de l'image de profil.
• Langue et paramètres régionaux (locale), lorsque Google les fournit.
• Identifiant unique du compte Google (Google sub / user ID).
• Jetons d'identité OAuth/OpenID — de courte durée, traités en transit et non conservés au-delà de ce qui est nécessaire.

LUXIPANEL NE demande, n'accède ni ne conserve de scopes restreints ou sensibles de Google via la connexion de l'utilisateur final.

Les données de la section 19 sont utilisées exclusivement pour : créer et authentifier votre compte ; gérer les licences, abonnements, serveurs enregistrés et historique de paiements ; vous identifier visuellement dans le portail ; personnaliser la langue ; renforcer la sécurité et prévenir la fraude ; conserver le compte dans Firebase et dans la base de données de LUXIPANEL ; et envoyer des communications transactionnelles et de support.

LUXIPANEL se conforme à la Google API Services User Data Policy, y compris à l'Utilisation limitée : nous NE vendons PAS les données, NE les utilisons PAS à des fins publicitaires, NE les utilisons PAS pour entraîner des modèles d'IA, et NE les transférons PAS à des tiers à des fins étrangères à l'exploitation du service. Elles ne sont partagées qu'avec les sous-traitants strictement nécessaires (Google Firebase / Google Cloud).

Nous conservons les données utilisateur de Google tant que votre compte reste actif ou que vous disposez de licences/abonnements en vigueur, et pendant la durée supplémentaire nécessaire pour respecter les obligations légales, comptables ou fiscales. Vous pouvez révoquer l'accès sur https://myaccount.google.com/permissions. Pour demander la suppression de votre compte et des données associées, écrivez via les canaux de support en utilisant le même courriel enregistré ; nous supprimerons les données personnelles de Firebase et de la base de données dans un délai de trente (30) jours, sauf pour les informations que nous devons conserver en vertu de la loi.

De manière facultative et à l'initiative du client, LUXIPANEL propose une intégration avec Google Cloud qui permet de lister les projets GCP et de découvrir des instances Compute Engine (VPS). Cette intégration N'utilise PAS la connexion de l'utilisateur final, mais un compte de service que le client fournit volontairement. Le scope est strictement en lecture seule (https://www.googleapis.com/auth/cloud-platform.read-only) et se limite à la Cloud Resource Manager API et à la Compute Engine API. LUXIPANEL ne modifie pas les ressources du client avec cet identifiant ; les clés sont stockées chiffrées et le client peut les révoquer à tout moment depuis la console Google Cloud.