Politique de confidentialité

1. Qui traite vos données

SPOP Énergies, SAS au capital de 1 000 €, RCS Albi 989 403 399, dont le siège est situé 5 rue des Coquelicots, 81150 Marssac-sur-Tarn (France), éditeur de la plateforme Ezper.

Contact pour toute question ou demande d’exercice de droits : contact@spop-energies.fr.

2. Rôles : responsable et sous-traitant

Nous intervenons à deux titres distincts :

• Responsable de traitement pour les données que nous collectons pour notre propre compte : création et gestion des comptes, facturation, support, prospection et communication, sécurité du service.
• Sous-traitant pour les données que nous traitons pour le compte de nos clients professionnels : données de comptage collectées sur mandat auprès d’Enedis et de GRDF, documents contractuels déposés dans l’espace documentaire, données relatives aux sites. Le client demeure responsable de ces traitements ; nous n’agissons que sur ses instructions, conformément à l’article 28 du RGPD et à notre accord de traitement des données.

3. Données traitées

Catégorie	Exemples
Identification et compte	nom, prénom, adresse électronique professionnelle, numéro de téléphone, société et fonction, mot de passe (conservé sous forme de condensat), journal des connexions
Facturation	raison sociale, adresse, identifiant client du prestataire de paiement, historique des factures et des abonnements. Aucune donnée bancaire complète n’est conservée par nos soins.
Données d’énergie	points de livraison (PRM, PCE), puissances souscrites, index et courbes de charge, consommations, caractéristiques techniques et contractuelles transmises par les gestionnaires de réseaux
Documents	contrats, factures et devis déposés par le client, ainsi que les informations extraites automatiquement de ces documents (dates, prix, conditions)
Mandats	identité et qualité du signataire, date et empreinte de signature, périmètre autorisé
Usage et support	préférences d’affichage et de notification, échanges avec le support, journaux techniques nécessaires à la sécurité et au diagnostic
Formulaires publics	coordonnées transmises via le formulaire de contact, adresse électronique d’inscription à la lettre d’information

Nous ne collectons aucune donnée sensible au sens de l’article 9 du RGPD et n’en demandons pas.

4. Finalités et bases légales

Finalité	Base légale
Créer et gérer votre compte, fournir la plateforme	Exécution du contrat
Vérifier le numéro de téléphone à l’inscription (code à usage unique)	Exécution du contrat et intérêt légitime (lutte contre les inscriptions frauduleuses)
Facturer l’abonnement, tenir la comptabilité	Exécution du contrat et obligation légale
Collecter les données de comptage auprès d’Enedis et de GRDF	Exécution du contrat, sur la base du mandat que vous nous confiez
Analyser vos contrats et documents, contrôler vos factures, produire rapports et prévisions	Exécution du contrat
Identifier les exonérations et dispositifs fiscaux potentiellement applicables à votre activité (code NAF, déclarations que vous saisissez)	Exécution du contrat
Envoyer les alertes et notifications que vous activez	Exécution du contrat ; consentement pour la lettre d’information
Répondre à vos demandes via le formulaire de contact	Intérêt légitime (répondre à une sollicitation)
Prospection auprès de professionnels sur des services analogues	Intérêt légitime, avec droit d’opposition à tout moment
Assurer la sécurité, prévenir les abus, conserver des preuves	Intérêt légitime et obligation légale
Mesurer la fréquentation du site public (pages vues comptées par jour, sans cookie, sans adresse IP ni identifiant, conservées 25 mois)	Intérêt légitime (mesure d’audience anonyme dispensée de consentement)
Mesurer l’audience du site public avec Google Analytics et, le cas échéant, l’efficacité de nos campagnes (cookies déposés uniquement après votre accord, jamais dans l’espace client)	Consentement, retirable à tout moment via « Gérer les cookies »
Améliorer le service à partir de statistiques agrégées	Intérêt légitime (données anonymisées)

5. Prestataires et destinataires

Vos données ne sont ni vendues, ni louées, ni communiquées à un fournisseur d’énergie à des fins commerciales. Elles sont accessibles à nos équipes habilitées et aux prestataires suivants, agissant comme sous-traitants :

Prestataire	Rôle	Localisation
OVHcloud	Hébergement de l’application, de l’assistant conversationnel et des traitements planifiés	France
Supabase	Base de données, authentification, stockage des documents	Irlande (Union européenne)
Stripe Payments Europe	Encaissement des abonnements, émission des factures	Irlande (Union européenne)
Mistral AI	Lecture automatisée des documents importés (contrats, factures, devis) et extraction de leurs informations	France (Union européenne)
Groq	Solution de secours de lecture automatisée, utilisée uniquement en cas d’indisponibilité du service principal ; rédaction de synthèses de marché à partir de données publiques	États-Unis
Resend	Acheminement des courriels transactionnels	États-Unis
Twilio	Envoi du code de vérification à l’inscription et des alertes par SMS que vous activez	États-Unis
Institut national de l’information géographique (Géoplateforme)	Localisation des adresses de vos sites	France
Google Ireland Limited (Google Analytics, Google Tag Manager)	Mesure d’audience du site public et, si vous l’acceptez, des campagnes, uniquement après votre accord	Irlande (Union européenne), avec possibles transferts aux États-Unis
Annuaire des entreprises (administration française)	Vérification de la raison sociale et du code d’activité à partir du SIREN	France

Enedis et GRDF sont destinataires des informations nécessaires au traitement des demandes de mise à disposition de données, en leur qualité de gestionnaires de réseaux et responsables de leurs propres traitements.

Des données peuvent également être communiquées aux autorités administratives ou judiciaires lorsqu’une obligation légale l’impose, ainsi qu’à nos conseils (comptable, avocat) tenus au secret professionnel.

6. Transferts hors Union européenne

Nous privilégions des prestataires établis en France et dans l’Union européenne : la lecture des documents est confiée en priorité à Mistral AI (France) et l’assistant conversationnel fonctionne sur nos propres serveurs, sans transmission de vos questions à un tiers.

Certains prestataires sont toutefois établis aux États-Unis : Groq (secours de lecture automatisée et synthèses de marché), Resend (acheminement des courriels), Twilio (SMS) et, pour la mesure d’audience acceptée sur le site public, Google. Ces transferts sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le prestataire y adhère, et à défaut par les clauses contractuelles types de la Commission européenne, complétées par des mesures techniques : minimisation des contenus transmis, absence de conservation durable par le prestataire.

Nous limitons les contenus transmis à ce qui est strictement nécessaire au service demandé.

7. Durées de conservation

Données	Durée
Compte et données de la plateforme	Durée de la relation contractuelle, puis 30 jours pour permettre un export, puis suppression ou anonymisation
Pièces comptables et factures	10 ans (obligation légale)
Mandats de collecte et preuves de signature	Durée du mandat, puis 5 ans à titre de preuve
Données de comptage	Selon les instructions du client et les conditions des gestionnaires de réseaux, sans excéder la durée nécessaire au suivi historique
Demandes de contact sans suite	1 an
Inscriptions à la lettre d’information	Jusqu’au retrait du consentement, puis 3 ans à compter du dernier contact
Cookies de mesure d’audience et marketing (après accord)	13 mois au plus ; votre choix est conservé 6 mois
Journaux techniques et de sécurité	12 mois maximum
Sauvegardes	14 jours de rotation

8. Sécurité

Nous mettons en œuvre des mesures adaptées à la sensibilité des données : chiffrement des échanges (TLS), authentification mutuelle par certificat pour les échanges avec le gestionnaire de réseau, cloisonnement des données par organisation au niveau de la base de données, contrôle d’accès par rôle, journalisation des actions d’administration, sauvegardes régulières et mots de passe conservés sous forme de condensat.

En cas de violation de données susceptible d’engendrer un risque, nous notifions la CNIL dans les 72 heures et informons les personnes concernées ou nos clients responsables de traitement, conformément aux articles 33 et 34 du RGPD.

9. Intelligence artificielle et décisions automatisées

La plateforme utilise des systèmes d’intelligence artificielle pour lire des documents, contrôler des factures, produire des synthèses de marché, calculer des projections de prix et répondre à vos questions au sein de l’assistant. Les échanges avec l’assistant et les contenus produits par une IA sont signalés comme tels dans l’interface, conformément à l’article 50 du règlement (UE) 2024/1689 sur l’intelligence artificielle.

Ces traitements portent sur des données d’entreprise et de consommation ; ils ne prennent aucune décision automatisée produisant des effets juridiques à l’égard d’une personne au sens de l’article 22 du RGPD, et ne réalisent aucun profilage de personnes physiques.

Les résultats sont des aides à la décision, susceptibles d’erreurs, qu’il convient de vérifier avant exploitation.

10. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition, de portabilité, du droit de retirer votre consentement lorsque le traitement repose sur celui-ci, et du droit de définir des directives relatives au sort de vos données après votre décès.

Pour les exercer, écrivez à contact@spop-energies.fr en précisant votre demande ; une preuve d’identité peut être requise en cas de doute. Nous répondons dans un délai d’un mois, prorogeable de deux mois pour les demandes complexes.

Si les données concernées sont traitées pour le compte d’un de nos clients (données de comptage, documents), nous transmettons la demande au client responsable et l’assistons dans son traitement.

Vous pouvez introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — ou sur www.cnil.fr.

11. Cookies

L’usage des traceurs est détaillé dans la politique de cookies.

12. Modifications

La présente politique peut évoluer. Toute modification substantielle est portée à votre connaissance par courrier électronique ou par une information visible sur la plateforme, au moins trente jours avant sa prise d’effet lorsque cela est requis.