Politique de confidentialité

Le responsable du traitement des données est :

• Raison sociale : Nixial SAS (éditrice de Livodit AI)
• SIREN : 911 206 738
• Siège social : 5 rue du Professeur Pierre Vellas, 31300 Toulouse, France
• Contact DPO : dpo@livodit.ai
• Contact général : contact@livodit.ai

Conformément au RGPD (articles 13 et 14), nous vous informons ci-dessous de la manière dont vos données personnelles sont collectées, traitées et protégées.

Nous collectons les catégories de données personnelles suivantes :

Outil d'analyse : Nous utilisons Matomo, une solution d'analyse d'audience auto-hébergée sur notre propre infrastructure en France (Scaleway). Aucune donnée n'est transmise à un tiers. Sur le site vitrine et le ranking, Matomo fonctionne en mode sans cookie (cookieless). Sur l'application, les cookies Matomo sont soumis à votre consentement via la bannière de cookies.

Données NON collectées : Nous ne collectons aucune donnée publicitaire, aucun cookie de tracking tiers, et aucune donnée biométrique.

Pour fournir notre service, vos données peuvent être transmises aux sous-traitants suivants :

Confidentialité des rapports d'audit : Vos rapports d'audit sont strictement privés. Seul vous, en tant que propriétaire du rapport, pouvez y accéder. Aucun administrateur de la plateforme, aucun employé de Nixial (éditeur de Livodit AI), ni aucun tiers n'a accès à vos rapports, à vos résultats d'audit ou à vos données de sécurité cloud. Cette isolation est garantie techniquement : les contrôles d'accès sont appliqués au niveau applicatif et aucun mécanisme de bypass n'existe, y compris pour les comptes administrateurs. Vous pouvez choisir de partager un rapport avec un autre utilisateur via la fonctionnalité de partage intégrée. Dans ce cas, l'accès est limité au niveau de permission que vous définissez (lecture seule ou collaborateur) et peut être révoqué à tout moment.

Transferts hors UE : Lorsque des données sont transférées vers les États-Unis (Anthropic), ce transfert est encadré par des Clauses Contractuelles Types (SCCs) approuvées par la Commission européenne, conformément à l'article 46.2.c du RGPD.

Information importante — Traitement IA : Lorsque vous lancez un audit avec l'option « Analyse IA » activée, les résultats techniques de votre audit (findings, sévérités, services concernés) sont transmis au modèle IA sélectionné (Claude ou Mistral) pour générer des recommandations personnalisées. Seules des données non identifiantes de contexte sont transmises : secteur d'activité, taille de l'entreprise et type de données sensibles. Le nom de votre entreprise n'est jamais transmis aux fournisseurs d'IA. Aucune autre donnée d'identification personnelle (nom d'utilisateur, email, adresse IP) n'est incluse dans cette transmission.

Transparence IA (Règlement UE sur l'IA — Art. 50) : Conformément aux obligations de transparence du Règlement européen sur l'intelligence artificielle (AI Act, Règlement UE 2024/1689), tous les contenus générés par intelligence artificielle dans le Service sont clairement identifiés dans l'interface par un indicateur visuel dédié. L'Utilisateur peut distinguer à tout moment les résultats d'audit factuels des analyses et recommandations produites par l'IA.

Les cookies fonctionnels et analytiques ne sont stockés qu'après votre consentement explicite via la bannière de cookies. Vous pouvez modifier votre choix à tout moment depuis le menu utilisateur de l'application.

Mode sans cookie (site vitrine et ranking) : Sur les sites publics livodit.ai et ranking.livodit.ai, Matomo fonctionne en mode cookieless : aucun cookie n'est déposé et aucun identifiant persistant n'est créé. Seules des données agrégées (pages vues, pays, appareil) sont collectées.

Hébergement de l'outil : Matomo est auto-hébergé sur notre infrastructure Scaleway en France. Aucune donnée d'audience n'est transmise à un service tiers.

Aucun cookie publicitaire ou de tracking tiers n'est utilisé.

Un mécanisme de purge automatique s'exécute quotidiennement pour supprimer ou anonymiser les données expirées conformément à l'article 5(1)(c) et 5(1)(e) du RGPD (minimisation et limitation de la conservation). Les durées ci-dessus sont configurables par l'administrateur de la plateforme via des variables d'environnement.

Anonymisation des logs : Les journaux d'activité de la plateforme sont anonymisés dès leur écriture. Les adresses email sont masquées (ex : j***n@example.com), les adresses IP sont tronquées (ex : 192.168.xxx.xxx), et aucun mot de passe, clé d'accès cloud ou token d'authentification n'est enregistré dans les logs. Ces mesures garantissent qu'en cas d'accès non autorisé aux journaux, aucune donnée personnelle exploitable ne peut être extraite.

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

Pour exercer vos droits, contactez-nous à dpo@livodit.ai. Nous répondrons dans un délai maximum de 30 jours.

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données (Art. 32 RGPD) :

Lorsque vous supprimez votre compte, les opérations suivantes sont effectuées :

• Supprimé : Compte Keycloak (identifiants, email, mot de passe)
• Supprimé : Association entreprise, crédits et transactions
• Supprimé : Credentials cloud chiffrés et audits planifiés
• Supprimé : Actions d'auto-fix, alertes et configuration d'alertes
• Anonymisé : Journaux d'activité (username remplacé, IP et détails effacés)
• Anonymisé : Historique d'audits (username remplacé par « deleted_user »)
• Anonymisé : Données de ranking (préservation des statistiques agrégées anonymes)

Cette opération est irréversible. Nous vous recommandons d'exporter vos données au préalable.

Conformément à l'article 28.3.h du RGPD, le Client dispose d'un droit d'audit sur les traitements réalisés :

• Le Client peut demander un rapport d'audit annuel attestant de la conformité des mesures techniques et organisationnelles.
• Le rapport couvre : mesures de sécurité, accès aux données, gestion des sous-traitants, incidents et actions correctives.
• Les audits sur site ou par un auditeur tiers mandaté par le Client sont possibles, sous réserve d'un préavis de 30 jours ouvrés et d'un accord de confidentialité.

Les données sont hébergées en France (Scaleway, datacenter Paris). Les transferts hors de l'Espace Économique Européen sont encadrés comme suit :

Les données transmises aux fournisseurs d'IA (Anthropic, Mistral AI) sont anonymisées : seuls les résultats techniques d'audit sont transmis, sans nom d'entreprise, sans données d'identification personnelle.

À la résiliation du contrat (suppression de compte), Nixial s'engage à :

• Restituer l'ensemble des données personnelles dans un format structuré et lisible (JSON) via la fonctionnalité d'export ;
• Supprimer toutes les copies des données personnelles dans un délai de 30 jours, sauf obligation légale de conservation (Art. L123-22 du Code de commerce) ;
• Certifier par écrit la suppression effective des données sur demande.

Cette politique de confidentialité peut être mise à jour pour refléter des changements dans nos pratiques ou dans la réglementation applicable. En cas de modification substantielle, nous vous en informerons par email ou via une notification dans l'application.

La date de dernière mise à jour est indiquée en haut de cette page.