Guide · Sécurité
RGPD et site Lovable : données, mentions légales et cookies
Par Marie Van Haecke ·
Un site ou un outil construit avec Lovable est soumis au RGPD comme n'importe quel autre. Quatre points sont propres à Lovable : choisir la région Europe pour la base de données au moment de l'activer, car elle ne se change plus ensuite ; s'appuyer sur le contrat de sous-traitance (DPA) de Lovable ; lister les services tiers branchés à l'application ; et ne déposer aucun traceur soumis à consentement sans bandeau conforme.
Qui est responsable de quoi
Vous êtes responsable de traitement : c'est vous qui décidez quelles données collecter et pourquoi. Lovable, et les services que vous branchez (emails, paiement, automatisations), sont vos sous-traitants : ils traitent les données pour votre compte. Lovable publie un contrat de sous-traitance et la liste de ses propres sous-traitants.
Sources : Lovable, « Data Processing Agreement » et « Subprocessors », consultés le 30 septembre 2026.
Où sont hébergées les données
Lovable Cloud propose trois régions : Amériques, Europe et Asie-Pacifique. La région est présélectionnée selon votre localisation, mais elle ne peut plus être changée une fois Cloud activé, et un projet ne peut pas être déplacé d'une région à l'autre. Vérifiez qu'elle est bien sur Europe avant d'activer la base.
Source : documentation Lovable, « Lovable Cloud », consultée le 30 septembre 2026.
Sur l'offre Business, vos données sont par défaut exclues de l'entraînement des modèles d'IA. Sur les autres offres, vérifiez le réglage dans votre espace.
La checklist RGPD d'un site Lovable
Publiez des mentions légales complètes
Identité de l'éditeur (raison sociale, adresse, SIREN), directeur de la publication, contact, et coordonnées de l'hébergeur. C'est une obligation de la loi pour la confiance dans l'économie numérique.
Rédigez une politique de confidentialité
Quelles données vous collectez, pourquoi, sur quelle base légale, combien de temps, qui y a accès (vos sous-traitants) et comment exercer ses droits.
Ne collectez que le nécessaire
Un formulaire de contact n'a pas besoin de la date de naissance. Chaque champ doit servir la finalité annoncée.
Fixez une durée de conservation
Pour les prospects, la CNIL recommande trois ans à compter du dernier contact de leur part. Prévoyez comment supprimer les données au-delà.
Gérez les cookies et traceurs
Les traceurs non indispensables (publicité, réseaux sociaux, certains outils de mesure d'audience) exigent un consentement préalable, avec un bouton « Refuser » aussi visible que « Accepter ».
Tenez à jour votre registre
Ajoutez l'application à votre registre des traitements, avec la liste des services tiers branchés.
Sources : CNIL, cookies et traceurs et CNIL, durées de conservation, consultés le 30 septembre 2026.
Mesurer l'audience sans bandeau
La CNIL admet que certains outils de mesure d'audience soient dispensés de consentement, s'ils se limitent strictement à la mesure, produisent des statistiques anonymes et ne croisent pas les données avec d'autres traitements. Les statistiques de visite intégrées aux projets Lovable publiés permettent aussi de suivre la fréquentation sans ajouter d'outil tiers. Dans tous les cas, vérifiez la configuration réelle de l'outil choisi.
Les données qui demandent plus de précautions
- Les données de santé : en France, leur hébergement exige un hébergeur certifié HDS. Vérifiez ce point avant de construire.
- Les données bancaires : laissez-les au prestataire de paiement (Stripe), ne les stockez jamais vous-même.
- Les pièces d'identité et documents RH : espace de stockage privé, accès limité, durée de conservation courte.
Ce guide donne des repères pratiques ; il ne remplace pas l'avis d'un juriste ou de votre délégué à la protection des données.
Questions fréquentes
Un site Lovable est-il conforme au RGPD ?
Lovable fournit un contrat de sous-traitance et permet d'héberger la base en Europe. La conformité du site dépend ensuite de vos choix : données collectées, durées, cookies, mentions et politique de confidentialité.
Peut-on héberger les données d'un projet Lovable en Europe ?
Oui. Lovable Cloud propose une région Europe. Elle se choisit à l'activation de Cloud et ne peut plus être modifiée ensuite.
Faut-il un bandeau cookies sur un site Lovable ?
Seulement si le site dépose des traceurs soumis à consentement : publicité, boutons de réseaux sociaux, outils de mesure non exemptés. Un site sans ces traceurs n'en a pas besoin.
Vous voulez savoir ce que votre site dépose comme traceurs et où partent vos données ? L'audit technique le vérifie page par page.
Marie Van Haecke · 20 ans à concevoir des produits tech et à coacher des équipes produit. Fondatrice de Grabloop, Lovable Certified Expert 2026 (App builder et Website builder).