Infrastructure, juridiction et accès gouvernemental

Version française. Conformément à la Section 12.3 des Conditions générales de service, pour un Client professionnel la version anglaise fait foi en cas de divergence ; pour un Client consommateur, les deux versions sont lues ensemble et, en cas de doute réel, dans le sens le plus favorable au Client consommateur. L'Accord de traitement des données (DPA) existe en anglais uniquement. Version anglaise.

Dernière mise à jour : 19 octobre 2026. Cette page est visée à la Section 5.4.12 des Conditions générales de service et fait partie intégrante du Contrat. Elle est publiée au titre de l'article 28, paragraphe 1, du règlement (UE) 2023/2854 et est tenue à jour. La description contractuelle des lieux de traitement figure à l'Annexe I, Partie D, de l'Accord de traitement des données ; en cas de divergence entre cette page et le DPA, le DPA prévaut.

1. Juridiction de l'infrastructure TIC

Toute l'infrastructure TIC utilisée pour fournir les Services est située dans l'Union européenne et est soumise au droit de l'Union européenne et de l'État membre dans lequel elle se trouve. Aucune partie des Services n'est fournie depuis un pays situé en dehors de l'UE ou de l'EEE, et aucune donnée client ni aucun contenu hébergé n'y est stocké ou sauvegardé.

Site de production principal

LuxConnect DC1.1, Luxembourg (Grand-Duché de Luxembourg). Matériel et équipements réseau appartenant à NovaNode, en colocation. Juridiction : Luxembourg.

Site secondaire

Locaux contrôlés par NovaNode dans un autre État membre de l'Union européenne, matériel appartenant à NovaNode. Utilisé pour le stockage chiffré des sauvegardes et pour les systèmes opérationnels internes servant à l'administration et au support des Services. Juridiction : cet État membre et l'Union européenne. Les détails du site précis sont communiqués aux Clients sur demande au titre de la Section 13.5 du DPA.

Exploitant de l'infrastructure

MikeNetworks S.à r.l.-S., exerçant sous le nom NovaNode, 2 Rue Jean Engling, L-1466 Luxembourg, RCS Luxembourg B294237. NovaNode possède et exploite elle-même l'ensemble des serveurs, du stockage, des hyperviseurs, des systèmes de messagerie, des systèmes de sauvegarde ainsi que le portail client et les systèmes de tickets.

Sous-traitants ultérieurs

Aucun. NovaNode ne fait appel à aucun sous-traitant ultérieur pour les données client (DPA, Annexe III, novanode.eu/legal/subprocessors.pdf).

Fournisseurs de colocation et de connectivité

LuxConnect S.A. fournit les locaux, l'alimentation, le refroidissement et la sécurité physique sur le site principal et n'a aucun accès logique aux données client. Les fournisseurs de transit IP et de connectivité acheminent le trafic et n'ont aucun accès aux données stockées. Ils ne sont pas des sous-traitants ultérieurs (DPA, Section 8.6 et Annexe III).

Droit applicable

Droit luxembourgeois (Conditions générales de service, Section 12 ; DPA, Section 16.4). Autorité de contrôle compétente : Commission nationale pour la protection des données (CNPD), 15 Boulevard du Jazz, L-4370 Belvaux.

2. Localisation par Service

La description technique du centre de données principal (certification, alimentation, connectivité) figure sur la page Infrastructure. Cette page est informative ; la présente page et le DPA constituent les déclarations contractuelles.

3. Données qui quittent l'EEE, et pourquoi elles ne relèvent pas de cette page

Cette page décrit l'infrastructure sur laquelle les données client et le contenu hébergé sont traités. Trois catégories limitées de données de compte et de commande, pour lesquelles NovaNode est responsable du traitement et non sous-traitant, sont traitées par des tiers qui opèrent en dehors de l'EEE : les données de paiement et les données de vérification d'identité (Stripe Payments Europe, Limited, avec transfert ultérieur à Stripe, Inc.), et les données de commande soumises au contrôle antifraude (MaxMind, Inc.). Aucune de ces catégories ne comprend du contenu hébergé sur les Services, et les transferts ont lieu dans le cadre du cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) et des clauses contractuelles types, comme indiqué à la Section 6 de la Politique de confidentialité. Les données des visiteurs du site web sont traitées à la Section 6.2 de la Politique de confidentialité.

4. Mesures contre l'accès ou le transfert gouvernemental international illicite

L'article 32 du règlement (UE) 2023/2854 impose à NovaNode de prendre toutes les mesures techniques, organisationnelles et juridiques adéquates pour empêcher l'accès gouvernemental international et de pays tiers aux données à caractère non personnel détenues dans l'Union, ainsi que leur transfert, lorsque cet accès ou ce transfert serait contraire au droit de l'Union ou au droit d'un État membre. Les mesures suivantes s'appliquent. Les données à caractère personnel sont protégées par les obligations correspondantes de la Section 14.5 du DPA et de la Section 10 de la Politique de confidentialité.

Mesures juridiques

• Aucune infrastructure, aucun exploitant, aucun sous-traitant ultérieur ni aucun site de sauvegarde n'est soumis à la juridiction d'un pays tiers. Toutes les données au repos se trouvent dans l'UE et sous le contrôle d'une société luxembourgeoise.
• NovaNode ne donne suite à une demande de communication que lorsqu'elle y est tenue, ou légalement autorisée, en vertu du droit applicable, d'une ordonnance contraignante, d'une demande légale d'une autorité compétente, d'une décision de justice ou d'une demande valable au titre du droit de l'Union européenne ou du droit luxembourgeois (Conditions générales de service, Section 9.9.1). Cela inclut les injonctions européennes de production et de conservation au titre du règlement (UE) 2023/1543 (Section 9.9.2).
• Une décision ou un jugement d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant l'accès à des données ou leur transfert n'est reconnu ou exécuté que s'il est fondé sur un accord international en vigueur entre ce pays tiers et l'Union européenne ou un État membre, tel qu'un traité d'entraide judiciaire, conformément à l'article 32, paragraphe 2, du règlement (UE) 2023/2854. En l'absence d'un tel accord, NovaNode ne communique que le minimum autorisé par l'article 32, paragraphe 3, et seulement une fois les conditions de cette disposition remplies.
• Chaque demande est examinée quant à sa validité, à sa portée et à la compétence du demandeur. NovaNode ne communique que le minimum d'informations légalement exigé par la demande et conteste toute demande qu'elle estime illicite, trop large ou disproportionnée (DPA, Section 14.5 ; Politique de confidentialité, Section 10).
• Dans la mesure où la loi le permet, NovaNode informe le Client de toute demande juridiquement contraignante de communication de ses données avant d'y donner suite. Lorsqu'il est interdit à NovaNode d'informer le Client, elle déploie des efforts raisonnables pour obtenir la levée de cette interdiction et informe le Client dès que cela est permis (DPA, Section 14.5). La notification peut être différée lorsqu'elle est interdite par la loi, restreinte par une ordonnance, lorsqu'elle porterait préjudice à une enquête ou créerait un risque de destruction ou d'altération de preuves (Conditions générales de service, Section 9.9.3).
• Les données client ne sont pas traitées pour les propres finalités de NovaNode et ne sont communiquées à aucun tiers, sauf dans les cas décrits ci-dessus (DPA, Section 5.5).

Mesures techniques (DPA, Annexe II)

• Les archives de sauvegarde sont chiffrées au repos sur les deux sites. Le chiffrement au repos est appliqué au stockage de production lorsque la plateforme et la configuration du stockage le permettent ; la situation pour un Service précis est communiquée sur demande.
• Toutes les connexions destinées aux clients et à l'administration sont chiffrées en transit (TLS 1.2 ou supérieur, HSTS activé). L'accès administratif utilise une authentification par clé sur des canaux chiffrés ; l'accès administratif aux serveurs par mot de passe est désactivé.
• Segmentation du réseau entre les réseaux de gestion, de production et destinés aux clients, avec un pare-feu à état et un refus par défaut du trafic entrant. Isolation au niveau de l'hyperviseur entre les instances des clients.
• Aucun transport habituel de données client sur des supports amovibles. Effacement sécurisé des supports de stockage avant réutilisation et destruction sécurisée avant mise au rebut.
• Les sauvegardes de la plateforme sont conservées sur un stockage distinct des données de production, avec une fenêtre de conservation de sept à trente jours.

Mesures organisationnelles

• L'accès aux données client est accordé selon le principe du besoin d'en connaître, dans le cadre d'un contrôle d'accès fondé sur les rôles, et est journalisé (DPA, Section 6.2).
• L'accès physique au site principal est contrôlé, journalisé et surveillé par l'exploitant du site. Sur le site secondaire, les équipements se trouvent dans une baie verrouillée dans des locaux contrôlés par NovaNode ; l'accès physique est limité à une seule personne nommément désignée et aucun tiers n'y a accès (DPA, Annexe II, paragraphe 2).
• Le personnel est tenu par des engagements de confidentialité sans limitation de durée (DPA, Sections 6.1 et 6.3).
• Les demandes d'accès légal et les demandes des autorités sont traitées par un canal unique, contact​[at]​novanode​.​eu, et sont consignées (Politique de confidentialité, section contact et Section 10).

5. Transparence sur les demandes reçues

NovaNode publie un rapport de transparence annuel à l'adresse novanode.eu/transparency : le nombre de demandes de données clients reçues des autorités, par origine, le nombre ayant donné lieu à une communication, et les signalements d'abus traités. Un Client peut demander si NovaNode a reçu une demande juridiquement contraignante concernant ses données, et NovaNode répond dans la mesure où la loi le lui permet (DPA, Section 14.5).

6. Modifications de cette page

NovaNode tient cette page à jour. Un changement de lieu de traitement, le recours à un sous-traitant ultérieur ou un changement d'exploitant est notifié au titre de la Section 8.2 du DPA et de la Section 8.1.7 des Conditions générales de service avant de prendre effet, avec les droits d'opposition et de résiliation qui y sont prévus. La date figurant en haut de cette page est celle de la dernière modification.

7. Contact

contact​[at]​novanode​.​eu. Adresse postale : MikeNetworks S.à r.l.-S., 2 Rue Jean Engling, L-1466 Luxembourg.