Informations légales

Politique de confidentialité

Dernière mise à jour : novembre 2026

Cette politique explique quelles données personnelles sont traitées lorsque vous consultez le site rgd2.fr ou utilisez l'application RGD2, pourquoi, combien de temps elles sont conservées et comment exercer vos droits.

Qui est responsable ?

RGD2 est édité par la société Lexxa (SASU, 130 080 864 R.C.S. Nantes, 21 rue des Grillons, 44700 Orvault). Lexxa intervient à deux titres :

Responsable de traitement pour les données nécessaires au service lui-même : comptes, facturation, demandes adressées au support, réservation de démo, mesure d'audience, sécurité.
Sous-traitant de l'organisation cliente pour le contenu des audits : Lexxa traite ces données pour le compte de l'organisation, selon ses instructions, et uniquement pour lui fournir le service. L'organisation en est responsable, notamment des personnes qu'elle invite et des sites qu'elle fait auditer.

Contact pour toute question sur vos données : contact@lexxa.fr.

Quelles données, pour quoi faire ?

Données traitées, finalité, base légale et durée de conservation
Données	Finalité	Base légale	Conservation
Compte : adresse e-mail, nom (facultatif), mot de passe (haché, jamais lisible), organisation, rôle, date d'acceptation des conditions générales, date de la dernière connexion	Créer le compte, vous connecter, gérer les accès de votre organisation	Exécution du contrat	Pendant l'abonnement, puis suppression 3 mois après la fin de l'abonnement ou de l'essai ou, si elle est plus récente, la dernière connexion (le temps de récupérer vos données). Espace qui n'a jamais eu d'abonnement : suppression 12 mois après la dernière connexion. Compte qui n'appartient plus à aucune organisation : supprimé 3 mois après sa dernière connexion. Un compte encore auteur d'un contenu d'une autre organisation (une campagne, un rapport) est anonymisé et désactivé au lieu d'être supprimé. Son adresse reste, comme trace, dans une déclaration « robots.txt » et dans le journal d'activation de l'assistant IA.
Contenu des audits : adresses des pages auditées, résultats des scans, copie du code HTML et capture d'écran des pages, extraits relevés dans les pages, décisions, commentaires, rapports et déclarations, adresses de contact des clients et des déclarations, adresse e-mail de la personne qui a déclaré un site comme le sien (exception au robots.txt), conservée comme trace même après la suppression de son compte	Fournir le service d'audit à l'organisation cliente (Lexxa sous-traitant)	Déterminée par l'organisation cliente, responsable de ces données	Comme les données de l'organisation qui les a créées
Mode connecté (option) : adresse de la page de connexion, identifiant et mot de passe (chiffré, jamais réaffiché) d'un compte de test confié par l'organisation cliente	Scanner des pages réservées aux personnes connectées	Déterminée par l'organisation cliente (Lexxa sous-traitant)	90 jours sans usage, une fois la dernière campagne du site publiée depuis 90 jours (jamais pendant une campagne en cours), ou à sa demande ; au plus tard avec les données de l'organisation
Invitations : adresse e-mail de la personne invitée	Permettre à une organisation d'inviter un membre ou un client	Intérêt légitime de l'organisation qui invite (Lexxa sous-traitant)	30 jours après son acceptation ou son expiration
Facturation : nom de l'organisation, adresse e-mail de facturation, historique des paiements	Gérer l'abonnement et les factures	Exécution du contrat, obligation légale (comptabilité)	Factures : 10 ans (obligation comptable de Lexxa). Les coordonnées bancaires sont saisies et conservées par Stripe ; RGD2 ne les voit jamais.
Assistant IA (option) : journal d'activation de l'organisation (qui, quand, quelle version du texte accepté)	Prouver que l'organisation a activé l'assistant en connaissance de cause	Exécution du contrat	Tant que l'organisation existe. RGD2 ne conserve pas les conversations avec l'assistant.
Demandes « Nous contacter » : message, adresse e-mail et, si vous acceptez de les joindre, l'écran, la campagne, la page et le navigateur d'où la demande est envoyée	Répondre à votre question ou à votre signalement	Intérêt légitime (assistance)	12 mois, puis suppression. La copie reçue dans la messagerie du support (support@rgd2.fr) est supprimée au plus tard 12 mois après notre réponse ; le prestataire d'envoi des courriels (Brevo), sous-traitant de Lexxa, conserve ses journaux d'envoi selon le contrat qui nous lie.
Devis en ligne : organisme, SIRET, adresse de facturation, référence interne, nom, fonction et adresse e-mail du demandeur, empreinte (hachée) de la demande et de l'adresse IP. Si vous déclarez un acheteur public, le SIREN est envoyé à l'API publique de recherche d'entreprises de l'État (répertoire Sirene) pour vérifier la catégorie juridique de l'organisme.	Vérifier votre adresse e-mail avant tout envoi, établir et vous envoyer le devis, limiter les demandes en rafale	Mesures précontractuelles	Demande en attente de confirmation : 24 heures, dans le cache du service (le lien envoyé ne contient aucune donnée saisie). Empreinte de la demande : 24 heures. PDF du devis : établi une fois à l'émission et conservé tel quel, avec le devis, puis supprimé avec lui ou à l'effacement du demandeur. Compteurs de limite (empreintes hachées de l'adresse IP, de l'adresse e-mail et de son domaine) : 48 heures au plus. Devis sans commande : 24 mois, puis suppression. Devis suivi d'une commande : conservé 10 ans comme pièce du contrat, le nom et l'adresse du demandeur étant effacés au-delà. Le courriel part par le prestataire d'envoi (Brevo), sous-traitant de Lexxa ; sa copie reçue par notre service commercial (sales@rgd2.fr) est supprimée dans les mêmes délais.
Réservation d'une démo : nom, adresse e-mail, créneau, message éventuel	Organiser la démo, puis vous recontacter	Mesures précontractuelles (organisation de la démo) ; intérêt légitime (relance)	Chez Lexxa : 3 ans après le dernier contact. Chez Cal.com : selon sa propre politique.
Journaux techniques : messages de fonctionnement et d'erreur du service, avec leur date, dont l'adresse des pages auditées. Aucun journal d'accès n'est tenu ; mais quand une requête échoue (par exemple pendant une mise à jour), le serveur d'entrée note l'adresse IP, l'adresse demandée et le navigateur.	Sécurité du service, diagnostic des pannes	Intérêt légitime (sécurité)	Dans une limite de taille (30 Mo par service) : les plus anciens s'effacent au fur et à mesure.

Avant de supprimer l'espace d'une organisation, nous prévenons ses administrateurs (à défaut, ses autres membres) par e-mail 30 jours à l'avance ; un réabonnement ou une connexion d'un membre repousse la suppression. Tant qu'un paiement est en retard (relances en cours, jusqu'à la résiliation de l'abonnement), l'espace n'est pas supprimé ; les espaces dont un administrateur fait partie de l'équipe Lexxa non plus.

Les sauvegardes de la base de données sont conservées 15 jours au plus : une donnée supprimée disparaît aussi des sauvegardes dans ce délai.

L'assistant IA

L'assistant (Mistral AI) est désactivé par défaut. Il ne fonctionne qu'après son activation par un administrateur de l'organisation, qui accepte un texte daté, et cette activation est réversible. Il n'envoie des données que lorsque vous le sollicitez : l'élément concerné et son contexte proche (pour une image, l'image elle-même : son adresse complète, paramètres compris, à laquelle Mistral AI la télécharge là où elle est publiée (site audité ou son prestataire, qui voit alors la requête de Mistral AI), ou l'image transmise directement quand elle est intégrée à la page ; pour un tableau, son contenu), votre question et les échanges précédents de la conversation, l'adresse de la page sans ses paramètres. Jamais la page entière. Dans les tableaux, les cadres, les formulaires et la conversation, les adresses e-mail et numéros de téléphone détectés sont masqués avant l'envoi ; les autres contenus (par exemple le texte autour d'une image ou des noms dans un tableau) sont transmis tels quels. Selon ses conditions applicables à son API, Mistral AI n'utilise pas ces données pour entraîner ses modèles et les conserve au plus 30 jours pour détecter les abus. Le détail figure dans le texte présenté avant l'activation.

Qui reçoit les données ?

Les données ne sont jamais vendues ni cédées. Elles sont accessibles aux seules personnes habilitées de votre organisation, selon leur rôle, et à Lexxa pour l'exploitation du service. Lexxa fait appel aux prestataires suivants :

OVH SAS (France) : hébergement du site, de l'application, de la base de données, des fichiers et des sauvegardes, et de la messagerie du support et du service commercial (adresses @rgd2.fr : réception des messages et envoi des réponses), en France.
Stripe : paiement et facturation. Stripe agit aussi comme responsable de traitement pour ses propres obligations (prévention de la fraude, conformité). Des données peuvent être transférées aux États-Unis, encadrées par le cadre de protection des données UE–États-Unis et par les clauses contractuelles types de la Commission européenne.
Mistral AI (France) : assistant IA, seulement s'il est activé. Hébergé dans l'Union européenne ; certains de ses sous-traitants peuvent traiter des données hors de l'Union, dans le cadre des clauses contractuelles types de la Commission européenne.
Cal.com : calendrier de réservation des démos, sur son propre site (lien depuis la page « Réserver une démo »). Cal.com est établi aux États-Unis : les données de réservation y sont transférées, dans le cadre des clauses contractuelles types de la Commission européenne.
Brevo (France) : envoi des courriels du service (confirmation d'adresse, réinitialisation du mot de passe, y compris la réponse adressée à une adresse sans compte, invitations, avertissements avant suppression d'un espace, messages « Nous contacter » transmis à l'équipe et leur accusé de réception). Selon Brevo, ses serveurs sont situés dans l'Union européenne ; ses filiales ou sous-traitants peuvent traiter certaines données hors de l'Union, dans le cadre des clauses contractuelles types de la Commission européenne ou du cadre de protection des données UE–États-Unis. Brevo mesure l'ouverture des messages et les clics sur leurs liens (adresse IP, date et heure) : Lexxa règle cette mesure en mode anonyme, de sorte que ses statistiques ne sont reliées ni à votre adresse ni à votre adresse IP. Brevo utilise aussi ces données techniques pour la délivrabilité et la sécurité de ses envois.
Visioconférence : kMeet, d'Infomaniak (Suisse) : la séance de démarrage accompagné se tient sur kMeet, qui se rejoint depuis un navigateur ou son application, sans créer de compte. Y transitent le nom ou le pseudonyme saisi pour rejoindre la séance, l'image, la voix, l'écran partagé et les messages écrits ; Lexxa n'enregistre pas la séance, sauf accord écrit préalable. Selon Infomaniak, ces échanges ne passent que par ses serveurs en Suisse ; la Suisse bénéficie d'une décision d'adéquation de la Commission européenne, qui encadre ce transfert.

Vous pouvez obtenir une copie des garanties encadrant ces transferts en écrivant à contact@lexxa.fr.

Cookies et stockage local

RGD2 ne dépose aucun cookie publicitaire. L'application et le site n'utilisent que des cookies strictement nécessaires, qui ne requièrent pas votre consentement :

sessionid : vous garder connecté, jusqu'à la fermeture du navigateur, ou 2 semaines si vous cochez « Se souvenir de moi » ;
csrftoken : protéger les formulaires contre les envois frauduleux ;
messages : afficher une confirmation après une action, puis effacé.

La page Réserver une démo renvoie vers le site de Cal.com : nos pages n'établissent aucune connexion à Cal.com. Sur son site, Cal.com dépose ses propres cookies, régis par sa politique de confidentialité.

L'application garde aussi quelques préférences d'affichage dans votre navigateur (stockage local) : largeur du menu, sections repliées ou dépliées, position et état du panneau de questions, aide « Comment vérifier » ouverte ou fermée, et, sur le site comme dans l'application, le thème clair ou sombre choisi. Elles restent sur votre appareil et ne sont transmises à personne.

Mesure d'audience

Le site rgd2.fr mesure sa fréquentation avec Umami, une solution auto-hébergée par Lexxa, sans cookie. Elle est configurée pour respecter les conditions d'exemption de consentement de la CNIL : finalité limitée à la mesure d'audience, données non recoupées avec d'autres traitements ni transmises à des tiers, adresse IP non conservée (elle sert seulement, avec le navigateur, à calculer un identifiant de visite pseudonyme), données conservées 25 mois au plus. Elle produit des statistiques sur les pages consultées, la provenance, le pays, la région et la ville, le type d'appareil, le système, le navigateur, la taille d'écran et la langue.

Vous pouvez vous y opposer à tout moment : ce choix est enregistré dans votre navigateur (stockage local) et n'est transmis à personne.

Les sites que vous faites auditer

Pour auditer une page, RGD2 la charge comme le ferait un navigateur, en enregistre une copie et y relève des éléments (textes, images, liens, formulaires). Le scan ne soumet jamais de formulaire, sauf, en mode connecté, le formulaire de connexion du compte de test que vous avez déclaré. Si la page contient des données personnelles, elles font partie du contenu de l'audit et suivent ses règles de conservation : auditez de préférence des pages publiques ou des comptes de test.

Pour vous montrer la page auditée, l'aperçu la réaffiche dans votre navigateur : les scripts en sont retirés, mais ses images, feuilles de style, vidéos et cadres intégrés (cartes, lecteurs…) sont chargés depuis le site audité et ses prestataires, comme lors d'une visite. Ces serveurs voient alors votre adresse IP et peuvent appliquer leurs propres règles (cookies compris).

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition sur vos données, ainsi que du droit de définir des directives sur leur sort après votre décès. Pour les exercer, écrivez à contact@lexxa.fr. Nous répondons dans un délai d'un mois ; nous pouvons vous demander de justifier de votre identité en cas de doute raisonnable. Pour les données d'un audit, Lexxa transmet votre demande à l'organisation cliente concernée, qui en est responsable. Vous pouvez aussi introduire une réclamation auprès de la CNIL (cnil.fr).

La suppression de votre compte se demande aujourd'hui par e-mail ou depuis la page « Nous contacter » de l'application.