Lovable Cloud et RGPD : qui est responsable de quoi en Belgique ?

La frontière de responsabilité à ne pas rater

Logo officiel utilisé pour identifier la plateforme. Hebora n’est ni partenaire, ni certifié, ni approuvé par Lovable.

Les pages officielles de Lovable décrivent Lovable Cloud, des options régionales et des contrôles de sécurité. Le DPA encadre les traitements confiés au fournisseur. Ces documents sont utiles, mais ils ne décrivent ni le texte de votre formulaire, ni les champs que vous avez ajoutés, ni les pixels publicitaires, ni les comptes qui voient votre base.

• Lovable : infrastructure et mesures annoncées dans ses documents.
• Le propriétaire de l’application : finalités, données, utilisateurs, contenus, accès et prestataires ajoutés.
• Les deux : obligations contractuelles et opérationnelles selon leurs rôles respectifs.

Les contrôles techniques qui donnent de la substance

Un audit ouvre l’application publiée, la configuration et les flux. Il vérifie les routes publiques, les rôles, les règles d’accès aux tables et aux fichiers, les secrets, les fonctions serveur, les journaux, les environnements de test et les intégrations tierces.

La question n’est pas « avez-vous activé la sécurité ? ». La question est : un utilisateur A peut-il lire ou modifier les données de B, un visiteur non connecté peut-il appeler une fonction sensible, et une clé privée est-elle envoyée au navigateur ? Ces scénarios se testent et se documentent.

Hebora livre une matrice rôle × ressource × action, les requêtes de preuve, les corrections appliquées et une liste courte des risques résiduels.

DPA, région et sous-traitants : les pièces à rassembler

Il faut conserver la version du DPA applicable, vérifier la formule requise, documenter la région choisie, les catégories de données, les personnes concernées, les durées et les sous-traitants ou API ajoutés. La politique de confidentialité de Lovable concerne aussi ses propres traitements; elle ne remplace pas la vôtre.

Si une fonctionnalité envoie des données vers un outil d’email, d’analytics, de paiement ou d’IA, ce flux doit entrer dans l’inventaire. Hebora prépare le registre technique et les liens de preuve; un juriste ou DPO peut ensuite valider les bases et clauses qui nécessitent une interprétation.