Accord de traitement des données

1. Parties et objet

Le présent accord de traitement des données (« l’Accord ») est conclu entre SPOP Énergies, SAS au capital de 1 000 €, RCS Albi 989 403 399, dont le siège est situé 5 rue des Coquelicots, 81150 Marssac-sur-Tarn, éditeur de la plateforme Ezper (« le Sous-traitant »), et le client professionnel ayant souscrit un abonnement à la plateforme (« le Client »), agissant en qualité de responsable de traitement.

Il fixe les conditions dans lesquelles le Sous-traitant traite des données à caractère personnel pour le compte du Client, conformément à l’article 28 du règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée.

L’Accord fait partie intégrante des conditions générales de vente. Il s’applique automatiquement dès la souscription, sans signature distincte. Le Client qui souhaite un exemplaire signé, notamment une collectivité ou un acheteur public, peut le demander à contact@spop-energies.fr.

Il ne couvre pas les traitements que le Sous-traitant réalise pour son propre compte (gestion des comptes, facturation, support, prospection, sécurité du service), pour lesquels il est responsable de traitement ; ceux-ci sont décrits dans la politique de confidentialité.

2. Description des traitements

Élément	Description
Nature des opérations	Collecte auprès des gestionnaires de réseaux, enregistrement, organisation, stockage, consultation, analyse, calcul, lecture automatisée de documents, mise à disposition, export et suppression.
Finalités	Fourniture de la plateforme Ezper : suivi des consommations et des courbes de charge, contrôle des factures, analyse des contrats, budget et achats d’énergie, optimisation des puissances, exonérations, reporting réglementaire et carbone, alertes et rapports demandés par le Client.
Catégories de personnes concernées	Représentants, salariés et utilisateurs du Client ; signataires des mandats ; le cas échéant, personnes physiques titulaires des points de livraison (entrepreneurs individuels, professions libérales) et personnes mentionnées dans les documents déposés par le Client.
Catégories de données	Identité et coordonnées professionnelles ; identité et qualité du signataire des mandats, date et preuve de signature ; adresses des sites ; identifiants des points de livraison (PRM, PCE) ; données de comptage (index, consommations, courbes de charge, puissances) ; caractéristiques techniques et contractuelles transmises par Enedis et GRDF ; contenus des contrats, factures et devis déposés par le Client.
Données sensibles	Aucune donnée relevant de l’article 9 du RGPD n’est demandée ni traitée. Le Client s’abstient d’en déposer sur la plateforme.
Durée	Durée de l’abonnement, puis la période de conservation prévue à l’article 10.

Les courbes de charge peuvent révéler des informations sur l’activité d’un site. Le Sous-traitant ne les exploite qu’aux finalités ci-dessus et ne les communique jamais à un fournisseur d’énergie ou à un tiers à des fins commerciales.

3. Instructions du responsable de traitement

Le Sous-traitant ne traite les données que sur instruction documentée du Client. Constituent ces instructions : les CGV et le présent Accord, les paramètres et actions du Client dans la plateforme (sites et compteurs déclarés, mandats signés, documents déposés, modules activés, exports et suppressions demandés) et ses demandes écrites.

Le Sous-traitant informe immédiatement le Client s’il estime qu’une instruction constitue une violation du RGPD ou d’une autre disposition applicable. Il peut être tenu de traiter des données en vertu du droit de l’Union ou du droit français ; il en informe alors le Client, sauf interdiction légale.

4. Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s’engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité. L’accès aux données est limité aux personnes qui en ont besoin pour fournir le service, le support ou la maintenance demandés.

5. Sécurité des données

Conformément à l’article 32 du RGPD, le Sous-traitant met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment :

• chiffrement des échanges (TLS) et authentification mutuelle par certificat pour les échanges avec le gestionnaire de réseau ;
• cloisonnement des données par organisation au niveau de la base de données et contrôle d’accès par rôle ;
• vérification d’un mandat signé et en cours de validité avant toute demande de données à Enedis ou à GRDF ;
• journalisation des actions d’administration ;
• mots de passe conservés sous forme de condensat ; connexion par code à usage unique ;
• hébergement de l’application en France et de la base de données dans l’Union européenne ;
• sauvegardes quotidiennes, dont une copie conservée hors du serveur principal, avec une rotation de 14 jours ;
• suppressions passant par une corbeille restaurable 30 jours, afin d’éviter toute perte accidentelle.

Ces mesures peuvent évoluer, sans que leur niveau de protection global puisse diminuer.

6. Sous-traitants ultérieurs

Le Client donne une autorisation générale au recours aux sous-traitants ultérieurs listés ci-dessous, pour les seules opérations décrites. Chacun est tenu, par contrat, à des obligations de protection des données au moins équivalentes à celles du présent Accord.

Prestataire	Opérations	Localisation
OVHcloud	Hébergement de l’application, des mesures et des traitements planifiés	France
Supabase	Base de données, authentification, stockage des documents	Irlande (Union européenne)
Mistral AI	Lecture automatisée des documents déposés	France
Groq	Lecture automatisée de secours, uniquement en cas d’indisponibilité du service principal	États-Unis
Resend	Acheminement des courriels transactionnels (alertes, mandats, rapports)	États-Unis
Twilio	Envoi des codes de vérification et des alertes par SMS activées par le Client	États-Unis
Institut national de l’information géographique	Localisation des adresses des sites	France

Le Sous-traitant informe le Client de tout ajout ou remplacement d’un sous-traitant ultérieur au moins trente (30) jours à l’avance, par courrier électronique et par la mise à jour de cette page. Le Client peut s’y opposer pour un motif légitime tenant à la protection des données ; à défaut de solution, il peut résilier sans frais l’abonnement concerné avant l’entrée en vigueur du changement.

Enedis et GRDF ne sont pas des sous-traitants : ils transmettent les données en leur qualité de gestionnaires de réseaux, responsables de leurs propres traitements.

7. Transferts hors de l’Union européenne

Les données de comptage et les documents sont traités en France et dans l’Union européenne. Les seuls transferts vers les États-Unis concernent les opérations de Groq, Resend et Twilio décrites à l’article 6. Ils sont encadrés par le cadre de protection des données UE–États-Unis lorsque le prestataire y adhère et, à défaut, par les clauses contractuelles types de la Commission européenne, complétées par une minimisation des contenus transmis.

8. Assistance au responsable de traitement

Le Sous-traitant aide le Client, dans la mesure du possible :

• à répondre aux demandes d’exercice de droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Il transmet au Client, dans les meilleurs délais, toute demande qu’il recevrait directement, sans y répondre lui-même sauf instruction du Client ;
• à respecter ses obligations de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable de l’autorité de contrôle (articles 32 à 36 du RGPD), compte tenu de la nature du traitement et des informations dont il dispose.

La plateforme permet au Client d’exporter, de corriger et de supprimer lui-même ses données. Une assistance qui excède ces fonctions et un usage raisonnable peut faire l’objet d’un devis préalable.

9. Violations de données

Le Sous-traitant notifie au Client toute violation de données à caractère personnel le concernant dans un délai maximal de quarante-huit (48) heures après en avoir pris connaissance, par courrier électronique à l’adresse du titulaire du compte. La notification précise, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Les informations qui ne sont pas disponibles immédiatement sont transmises au fur et à mesure.

Il appartient au Client, en sa qualité de responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées. Le Sous-traitant l’y assiste.

10. Sort des données en fin de contrat

Pendant toute la durée de l’abonnement, le Client peut exporter ses données dans un format structuré et réutilisable. À la fin du contrat, les données sont conservées trente (30) jours pour permettre un export ou une réactivation, puis supprimées ou anonymisées. Les copies de sauvegarde sont effacées par rotation dans un délai maximal de trente (30) jours supplémentaires.

Le Sous-traitant peut conserver les données dont la loi impose la conservation, notamment les preuves de signature des mandats pendant cinq (5) ans, et des statistiques agrégées et anonymisées ne permettant d’identifier ni le Client, ni ses sites. Sur demande, il confirme par écrit la suppression.

11. Documentation et audits

Le Sous-traitant tient à disposition du Client les informations nécessaires pour démontrer le respect du présent Accord, notamment la description des mesures de sécurité et la liste des sous-traitants ultérieurs. Il tient un registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD).

Le Client peut faire réaliser un audit, au plus une fois par an sauf violation avérée, par lui-même ou par un auditeur indépendant tenu au secret, moyennant un préavis écrit de trente (30) jours. L’audit porte sur les seuls traitements réalisés pour le Client, se déroule sans perturber le service ni compromettre la sécurité ou la confidentialité des données des autres clients, et ses frais sont à la charge du Client.

12. Obligations du Client

Le Client, en sa qualité de responsable de traitement :

• s’assure de disposer d’une base légale pour les traitements confiés et informe les personnes concernées, notamment les signataires des mandats et ses utilisateurs ;
• garantit être titulaire des points de livraison déclarés, ou disposer de l’autorisation de leur titulaire, et ne fait collecter des données qu’au moyen d’un mandat valablement signé ;
• ne dépose sur la plateforme que les données nécessaires aux finalités décrites à l’article 2 ;
• documente par écrit toute instruction particulière qu’il donne au Sous-traitant.

13. Clients gestionnaires

Lorsque le Client est un gestionnaire (courtier, bureau d’études, conseil en énergie) qui utilise la plateforme pour le compte de ses propres clients, il envoie les mandats à ses clients, qui les signent et autorisent Ezper à collecter les données de leurs compteurs ; le gestionnaire y figure en sa qualité d’intermédiaire.

Dans ce cas, le gestionnaire agit vis-à-vis de ses clients dans le cadre de la relation qu’il entretient avec eux, et le Sous-traitant intervient en qualité de sous-traitant ultérieur pour les données de ces clients. Le gestionnaire s’engage à conclure avec ses propres clients les engagements de protection des données requis et à leur répercuter les informations du présent Accord, qu’il peut leur transmettre tel quel.

14. Durée, hiérarchie et droit applicable

L’Accord s’applique pendant toute la durée de l’abonnement et, au-delà, tant que le Sous-traitant détient des données du Client. En cas de contradiction entre l’Accord et les CGV, l’Accord prévaut pour ce qui concerne la protection des données à caractère personnel.

Il est soumis au droit français. Les règles de compétence prévues par les CGV s’appliquent. Le Client peut également introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).