Politique de confidentialité

1. Qui traite vos données

SPOP Énergies, SIREN 989 403 399, Toulouse (France), éditeur de la plateforme Enerlytic.

Contact pour toute question ou demande d’exercice de droits : contact@spop-energies.fr.

2. Rôles : responsable et sous-traitant

Nous intervenons à deux titres distincts :

• Responsable de traitement pour les données que nous collectons pour notre propre compte : création et gestion des comptes, facturation, support, prospection et communication, sécurité du service.
• Sous-traitant pour les données que nous traitons pour le compte de nos clients professionnels : données de comptage collectées sur mandat auprès d’Enedis et de GRDF, documents contractuels déposés dans l’espace documentaire, données relatives aux sites. Le client demeure responsable de ces traitements ; nous n’agissons que sur ses instructions, conformément à l’article 28 du RGPD.

3. Données traitées

Catégorie	Exemples
Identification et compte	nom, prénom, adresse électronique professionnelle, numéro de téléphone, société et fonction, mot de passe (conservé sous forme de condensat), journal des connexions
Facturation	raison sociale, adresse, identifiant client du prestataire de paiement, historique des factures et des abonnements. Aucune donnée bancaire complète n’est conservée par nos soins.
Données d’énergie	points de livraison (PRM, PCE), puissances souscrites, index et courbes de charge, consommations, caractéristiques techniques et contractuelles transmises par les gestionnaires de réseaux
Documents	contrats, factures et devis déposés par le client, ainsi que les informations extraites automatiquement de ces documents (dates, prix, conditions)
Mandats	identité et qualité du signataire, date et empreinte de signature, périmètre autorisé
Usage et support	préférences d’affichage et de notification, échanges avec le support, journaux techniques nécessaires à la sécurité et au diagnostic
Formulaires publics	coordonnées transmises via le formulaire de contact, adresse électronique d’inscription à la lettre d’information

Nous ne collectons aucune donnée sensible au sens de l’article 9 du RGPD et n’en demandons pas.

4. Finalités et bases légales

Finalité	Base légale
Créer et gérer votre compte, fournir la plateforme	Exécution du contrat
Vérifier le numéro de téléphone à l’inscription (code à usage unique)	Exécution du contrat et intérêt légitime (lutte contre les inscriptions frauduleuses)
Facturer l’abonnement, tenir la comptabilité	Exécution du contrat et obligation légale
Collecter les données de comptage auprès d’Enedis et de GRDF	Exécution du contrat, sur la base du mandat que vous nous confiez
Analyser vos contrats et documents, produire rapports et prévisions	Exécution du contrat
Envoyer les alertes et notifications que vous activez	Exécution du contrat ; consentement pour la lettre d’information
Répondre à vos demandes via le formulaire de contact	Intérêt légitime (répondre à une sollicitation)
Prospection auprès de professionnels sur des services analogues	Intérêt légitime, avec droit d’opposition à tout moment
Assurer la sécurité, prévenir les abus, conserver des preuves	Intérêt légitime et obligation légale
Améliorer le service à partir de statistiques agrégées	Intérêt légitime (données anonymisées)

5. Prestataires et destinataires

Vos données ne sont ni vendues, ni louées, ni communiquées à un fournisseur d’énergie à des fins commerciales. Elles sont accessibles à nos équipes habilitées et aux prestataires suivants, agissant comme sous-traitants :

Prestataire	Rôle	Localisation
OVHcloud	Hébergement de l’application et des traitements planifiés	France
Supabase	Base de données, authentification, stockage des documents	Irlande (Union européenne)
Stripe Payments Europe	Encaissement des abonnements, émission des factures	Irlande (Union européenne)
Resend	Acheminement des courriels transactionnels	États-Unis
Groq	Analyse automatisée de documents et rédaction de synthèses de marché	États-Unis
Prestataire d’envoi de SMS	Transmission du code de vérification à l’inscription	Union européenne ou États-Unis selon l’opérateur

Enedis et GRDF sont destinataires des informations nécessaires au traitement des demandes de mise à disposition de données, en leur qualité de gestionnaires de réseaux et responsables de leurs propres traitements.

Des données peuvent également être communiquées aux autorités administratives ou judiciaires lorsqu’une obligation légale l’impose, ainsi qu’à nos conseils (comptable, avocat) tenus au secret professionnel.

6. Transferts hors Union européenne

Certains prestataires sont établis aux États-Unis, notamment Groq (analyse automatisée des documents importés et production de synthèses de marché) et Resend (acheminement des courriels). Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, complétées par des mesures techniques : minimisation des contenus transmis, absence de conservation durable par le prestataire.

Nous limitons les contenus transmis à ce qui est strictement nécessaire à l’analyse demandée.

7. Durées de conservation

Données	Durée
Compte et données de la plateforme	Durée de la relation contractuelle, puis 30 jours pour permettre un export, puis suppression ou anonymisation
Pièces comptables et factures	10 ans (obligation légale)
Mandats de collecte et preuves de signature	Durée du mandat, puis 5 ans à titre de preuve
Données de comptage	Selon les instructions du client et les conditions des gestionnaires de réseaux, sans excéder la durée nécessaire au suivi historique
Demandes de contact sans suite	1 an
Inscriptions à la lettre d’information	Jusqu’au retrait du consentement, puis 3 ans à compter du dernier contact
Journaux techniques et de sécurité	12 mois maximum
Sauvegardes	30 jours de rotation

8. Sécurité

Nous mettons en œuvre des mesures adaptées à la sensibilité des données : chiffrement des échanges (TLS), authentification mutuelle par certificat pour les échanges avec le gestionnaire de réseau, cloisonnement des données par organisation au niveau de la base de données, contrôle d’accès par rôle, journalisation des actions d’administration, sauvegardes régulières, mots de passe conservés sous forme de condensat et contrôle des mots de passe compromis.

En cas de violation de données susceptible d’engendrer un risque, nous notifions la CNIL dans les 72 heures et informons les personnes concernées ou nos clients responsables de traitement, conformément aux articles 33 et 34 du RGPD.

9. Intelligence artificielle et décisions automatisées

La plateforme utilise des traitements automatisés pour lire des documents, produire des synthèses de marché et calculer des projections de prix. Ces traitements portent sur des données d’entreprise et de consommation ; ils ne prennent aucune décision automatisée produisant des effets juridiques à l’égard d’une personne au sens de l’article 22 du RGPD, et ne réalisent aucun profilage de personnes physiques.

Les résultats sont des aides à la décision, susceptibles d’erreurs, qu’il convient de vérifier avant exploitation.

10. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition, de portabilité, du droit de retirer votre consentement lorsque le traitement repose sur celui-ci, et du droit de définir des directives relatives au sort de vos données après votre décès.

Pour les exercer, écrivez à contact@spop-energies.fr en précisant votre demande ; une preuve d’identité peut être requise en cas de doute. Nous répondons dans un délai d’un mois, prorogeable de deux mois pour les demandes complexes.

Si les données concernées sont traitées pour le compte d’un de nos clients (données de comptage, documents), nous transmettons la demande au client responsable et l’assistons dans son traitement.

Vous pouvez introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — ou sur www.cnil.fr.

11. Cookies

L’usage des traceurs est détaillé dans la politique de cookies.

12. Modifications

La présente politique peut évoluer. Toute modification substantielle est portée à votre connaissance par courrier électronique ou par une information visible sur la plateforme, au moins trente jours avant sa prise d’effet lorsque cela est requis.