Politique de Confidentialité de Energy Data Platform

1. Introduction

Chez Leebr Data Consulting, éditrice de la plateforme Energy Data Platform (ci-après « nous », « notre », « la Plateforme »), nous prenons la protection de vos données personnelles très au sérieux.

La présente Politique de Confidentialité a pour objectif de vous informer de manière claire et transparente sur la manière dont nous collectons, utilisons, partageons et protégeons vos données personnelles, conformément au Règlement Général sur la Protection des Données (RGPD) n°2016/679, à la loi française « Informatique et Libertés » modifiée, et dans le cadre des principes émergents de l'Artificial Intelligence Act (AI Act) de l'Union européenne.

En utilisant notre Plateforme, vous reconnaissez avoir lu et compris les pratiques décrites dans cette politique.

2. Responsable du traitement

Le responsable du traitement de vos données personnelles est :

3. Données que nous collectons

Nous sommes susceptibles de collecter les catégories de données suivantes :

4. Finalités et bases légales du traitement

Nous traitons vos données aux fins et sur les bases légales suivantes :

5. Sous-traitants (processeurs RGPD)

Nous nous engageons à ne pas vendre vos données personnelles. Conformément à l'article 28 du RGPD, nous faisons appel à des sous-traitants techniques pour fournir la Plateforme. Chaque sous-traitant est lié par un contrat de sous-traitance (DPA) garantissant un niveau de protection équivalent à celui de Leebr Data Consulting.

Cette liste est tenue à jour. Toute modification matérielle sera notifiée aux Utilisateurs avec un préavis raisonnable. Pour toute question sur un sous-traitant spécifique : dpo@energydataplatform.fr.

Outre nos sous-traitants, vos données peuvent être communiquées :

• Aux gestionnaires de réseau (GRDF, Enedis, RTE, NATRAN, TEREGA, ELD) uniquement dans le cadre des mandats que vous nous octroyez explicitement, pour récupérer vos données de consommation.
• Aux fournisseurs d'énergie dans le cadre d'une mise en concurrence demandée par vous (module courtage).
• Aux autorités légales uniquement si la loi française nous y oblige (réquisition judiciaire, contrôle CNIL, etc.).

6. Transferts de données hors de l'UE

L'infrastructure principale (VPS, base PostgreSQL, Redis, BigQuery, relais SMTP Brevo) est hébergée au sein de l'Espace Économique Européen (EEE), principalement en France et en Belgique.

Certains sous-traitants spécifiques peuvent traiter des données aux États-Unis : Anthropic (IA Claude), Stripe (groupe US), Sentry (monitoring) et GitLab (code source uniquement). Pour ces transferts, nous nous appuyons sur les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne (Décision 2021/914) et avons réalisé une analyse d'impact des transferts (Transfer Impact Assessment / TIA) conformément à l'arrêt Schrems II.

Pour les requêtes Anthropic : aucune donnée client n'est utilisée pour entraîner les modèles (zero data retention activé via le DPA Anthropic Enterprise).

7. Durée de conservation de vos données

Nous conservons vos données uniquement pendant la durée nécessaire aux finalités :

• Données de compte utilisateur : durée de la relation contractuelle + 3 ans à compter du dernier contact actif (prescription civile).
• Données de connexion (logs applicatifs) : 12 mois (article L.34-1 CPCE).
• Données de facturation : 10 ans à compter de l'émission de la facture (article L.123-22 Code de commerce).
• Données marketing : 3 ans à compter du dernier contact actif (recommandation CNIL).
• Données de consommation énergétique récupérées via mandat : durée du mandat + 5 ans après expiration (preuve d'optimisation tarifaire).
• Données chatbot (questions posées à l'assistant et ses réponses, conservées sur nos serveurs pour comprendre et améliorer les réponses) : 90 jours glissants (purge automatique), ou suppression immédiate sur demande.
• Logs d'audit administrateur : 90 jours (purge automatique via job Dagster).
• Comptes inactifs : anonymisés après 3 ans sans connexion (notification email à 30 jours).

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès et de rectification
• Droit à l'effacement (« droit à l'oubli »)
• Droit à la limitation du traitement
• Droit d'opposition
• Droit à la portabilité
• Droit de retirer votre consentement
• Droit de définir des directives relatives au sort de vos données après votre décès

Pour exercer ces droits, contactez notre DPO à dpo@energydataplatform.fr. Une réponse vous sera apportée dans un délai d'un mois (article 12 RGPD).

Vous avez également le droit d'introduire une réclamation auprès de la CNIL :www.cnil.fr/fr/plaintes.

9. Sécurité des données

Nous mettons en œuvre toutes les mesures techniques et organisationnelles appropriées (chiffrement, gestion des accès, sauvegarde sécurisée) pour protéger vos données.

10. Dispositions relatives à l'Intelligence Artificielle

Nous nous engageons à :

• Transparence : Vous informer lorsque vous interagissez avec un système d'IA
• Contrôle humain : Mettre en place des mécanismes de supervision humaine
• Robustesse et sécurité : Respect des principes de robustesse et de cybersécurité
• Non-discrimination : Détection et correction des biais dans nos algorithmes

11. Modifications de la politique

Nous nous réservons le droit de modifier cette politique pour nous conformer aux évolutions légales ou techniques. Nous vous informerons de tout changement substantiel.