Politique de confidentialité
Dernière mise à jour : 07/09/2026
La présente politique décrit la manière dont vos données personnelles sont collectées, utilisées et protégées lorsque vous utilisez le service Lunvex, accessible à l'adresse app.lunvex.fr (ci-après « le Service »). Nous traitons vos données dans le respect du Règlement général sur la protection des données (RGPD) et de la loi Informatique et Libertés.
1.Responsable du traitement
Le responsable du traitement des données personnelles est :
Noxio Solutions
Société par actions simplifiée au capital de 5 000 euros
Siège social : 173 rue de Courcelles, 75017 Paris
SIREN : 107 552 721
Contact pour toute question relative à vos données personnelles : rgpd@noxiosolutions.com
2.Quelles données nous collectons
Nous collectons uniquement les données nécessaires au fonctionnement du Service.
- Données de compte utilisateur.
- Adresse email, mot de passe (stocké chiffré, jamais en clair), et le cas échéant nom, prénom et fonction si vous les renseignez.
- Données relatives à votre entreprise.
- Numéro SIREN, raison sociale, forme juridique, code NAF, adresse du siège, tranche d'effectif. Certaines sont pré-remplies automatiquement depuis la base publique INSEE Sirene à partir du SIREN que vous saisissez.
- Données de reporting extra-financier (ESG).
- Les données saisies pour produire votre rapport VSME (consommations d'énergie, effectifs agrégés, indicateurs de santé-sécurité, gouvernance, etc.). Ces données sont agrégées au niveau de l'entreprise et ne comportent pas d'informations nominatives sur vos salariés.
- Données d'usage du Service.
- Afin de fiabiliser le Service et d'orienter notre assistance, nous enregistrons des indicateurs d'usage sous forme d'événements techniques : la rubrique concernée et la durée d'une action, jamais les valeurs que vous saisissez. Ces événements sont rattachés à votre compte entreprise.
- Données de connexion et d'usage technique.
- Adresse IP, journaux de connexion et d'activité (date, heure, action réalisée), type de navigateur, à des fins de sécurité et de bon fonctionnement du Service.
- Données de prospection.
- Coordonnées professionnelles et historique des échanges, si vous nous avez contactés sans être encore client.
- Données de facturation.
- Informations nécessaires à l'émission des factures et au suivi des paiements.
Pour deux événements seulement — le blocage et l'achèvement d'une rubrique — un identifiant pseudonyme (par exemple user_7a3f) permet de rattacher l'événement à un contributeur. Cet identifiant ne contient ni votre nom, ni votre email : seul Lunvex détient la correspondance vers votre identité. Cette finalité est détaillée à l'article 3, et vos droits sur ce traitement à l'article 8.
Nous ne collectons aucune donnée sensible (santé, opinions, appartenance syndicale, etc.).
3.Pourquoi nous utilisons vos données et sur quelle base légale
Chaque traitement repose sur une base légale prévue par le RGPD.
| Finalité | Base légale |
|---|---|
| Création et gestion de votre compte, fourniture du Service (saisie des données, génération des rapports VSME, réponse aux questionnaires) | Exécution du contrat |
| Assistance : correction d'une donnée de votre espace par notre support, à votre demande | Exécution du contrat |
| Mesure de l'usage du Service au niveau de votre compte, afin d'en améliorer la fiabilité | Intérêt légitime |
| Identification, au moyen d'un identifiant pseudonyme, d'un blocage rencontré par un contributeur, afin de distinguer un défaut du Service d'une difficulté ponctuelle et d'orienter notre assistance | Intérêt légitime |
| Sécurité du Service, prévention des accès frauduleux, journalisation | Intérêt légitime |
| Facturation et respect des obligations comptables | Obligation légale |
| Prospection commerciale auprès de professionnels | Intérêt légitime |
| Envoi éventuel d'actualités ou de newsletters | Consentement (recueilli séparément, révocable à tout moment) |
L'utilisation du Service repose principalement sur l'exécution du contrat qui nous lie à vous : sans ces données, nous ne pouvons pas vous fournir le Service.
Lorsqu'un traitement repose sur notre intérêt légitime, celui-ci consiste à assurer la fiabilité, la sécurité et la qualité du Service. Nous avons vérifié que ces traitements ne portent pas une atteinte disproportionnée à vos droits. Vous pouvez vous y opposer à tout moment (voir article 8).
4.Combien de temps nous conservons vos données
| Type de données | Durée de conservation |
|---|---|
| Données de compte et de reporting | Durée de votre utilisation du Service, puis suppression après clôture du compte (voir article 8) |
| Identifiant pseudonyme associé aux événements d'usage | 90 jours, puis suppression de l'identifiant : l'événement est conservé au seul niveau du compte |
| Événements d'usage au niveau du compte | 25 mois |
| Journal des interventions de notre support | 12 mois pour les informations d'accès ; 5 ans pour le détail des valeurs modifiées, à des fins de preuve |
| Journaux de connexion et d'activité | 12 mois |
| Données de prospection | 3 ans à compter du dernier contact |
| Documents de facturation | 10 ans (obligation légale comptable) |
| Cookies et traceurs | 13 mois maximum |
À l'issue de ces durées, les données sont supprimées ou anonymisées.
5.Qui a accès à vos données
En interne, seules les personnes habilitées de Noxio Solutions y accèdent, dans la limite de leurs fonctions. Les habilitations font l'objet d'un suivi et d'une revue.
Notre équipe support. Lorsque vous sollicitez notre assistance, un opérateur de notre support peut être amené à corriger une donnée directement dans votre espace. Cet accès est strictement encadré :
- il n'a jamais lieu sans votre autorisation explicite, donnée par un administrateur de votre entreprise et enregistrée ;
- il est limité à la rubrique concernée par votre demande : toute intervention sur une autre rubrique nécessite une nouvelle autorisation ;
- il est limité dans le temps : la session d'accès est de courte durée, et l'autorisation expire automatiquement à la clôture du ticket, après 7 jours sans intervention, ou 30 jours au plus tard ;
- vous pouvez le révoquer à tout moment, avec effet immédiat ;
- il est intégralement tracé : nous conservons l'identité de l'opérateur et le détail de chaque valeur modifiée.
Le nom de l'opérateur intervenant vous est indiqué. La responsabilité du contenu de votre rapport vous reste acquise, y compris lorsque notre support vous a assisté dans la saisie.
Nos sous-traitants techniques. Nous faisons appel à des prestataires qui traitent des données pour notre compte, dans le cadre de contrats garantissant un niveau de protection conforme au RGPD :
- Supabase — hébergement de la base de données et gestion de l'authentification ;
- Vercel — hébergement et diffusion de l'application ;
- Resend — envoi des emails transactionnels (vérification de compte, réinitialisation de mot de passe, invitations) ;
- Sentry — supervision technique et détection des erreurs.
Nous ne vendons ni ne louons vos données personnelles à des tiers.
6.Hébergement et transferts hors de l'Union européenne
Vos données de compte et de reporting sont hébergées dans l'Union européenne. Notre base de données et notre service d'authentification sont hébergés par Supabase en région européenne, et vos données de reporting extra-financier ne quittent pas cette base.
Certains traitements accessoires impliquent un transfert hors de l'Union européenne. C'est le cas de l'envoi de nos emails transactionnels, confié à Resend, société établie aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, intégrées au contrat de sous-traitance qui nous lie à ce prestataire. Ils portent uniquement sur les données nécessaires à l'acheminement du message (adresse email du destinataire et contenu de l'email), à l'exclusion de vos données de reporting.
Notre outil de supervision technique, Sentry, est configuré en région européenne (Allemagne) : les traces d'erreur y sont stockées dans l'Union européenne. Certaines données d'administration de notre propre compte (comptes de nos développeurs, paramètres techniques) restent hébergées aux États-Unis par ce prestataire ; elles ne vous concernent pas.
Dans tous les cas, nous nous assurons que ces transferts bénéficient de garanties conformes au chapitre V du RGPD, et vous pouvez nous demander des précisions à l'adresse rgpd@noxiosolutions.com.
7.Sécurité de vos données
Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données : chiffrement des communications (HTTPS), chiffrement des mots de passe, gestion des accès selon le principe du moindre privilège, cloisonnement des données entre entreprises clientes, journalisation des accès, sauvegardes régulières et supervision des incidents.
Nos outils d'observation de l'usage ne sont pas connectés aux bases contenant vos données de reporting : ils ne reçoivent que des indicateurs techniques, sans aucune valeur que vous auriez saisie. Vos données de reporting ne quittent jamais leur base d'origine.
En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à notifier la CNIL dans les 72 heures et, le cas échéant, à vous en informer.
8.Vos droits
Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :
- Droit d'accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie ;
- Droit de rectification : corriger des données inexactes ou incomplètes ;
- Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données ;
- Droit à la limitation du traitement ;
- Droit d'opposition : vous opposer à un traitement fondé sur notre intérêt légitime, notamment à la mesure d'usage individuelle décrite à l'article 3, ainsi qu'à la prospection commerciale ;
- Droit à la portabilité : récupérer vos données dans un format structuré et réutilisable.
Ces droits s'appliquent également aux données associées à un identifiant pseudonyme : bien que cet identifiant ne vous nomme pas, nous détenons la correspondance vers votre identité et pouvons donc donner suite à votre demande.
Suppression de votre compte. Lorsque vous supprimez votre compte, vos données sont immédiatement rendues inaccessibles et vos accès révoqués (sous 24 heures), puis définitivement effacées de nos systèmes sous 30 jours. Deux exceptions, prévues par la réglementation : les documents que la loi nous impose de conserver (facturation) et les éléments nécessaires à la constatation ou à la défense d'un droit en justice (journal des interventions de notre support), maintenus pour la durée requise et pour ce seul usage.
Comment exercer vos droits. Adressez votre demande à rgpd@noxiosolutions.com. Nous y répondrons dans un délai d'un mois. Nous pouvons être amenés à vérifier votre identité avant de donner suite.
Réclamation. Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés), autorité de contrôle française : www.cnil.fr.
10.Modification de la présente politique
Nous pouvons être amenés à modifier cette politique pour l'adapter à l'évolution du Service ou de la réglementation. Toute modification substantielle vous sera signalée. La date de dernière mise à jour figure en haut du document.