Politique de Confidentialité

La présente politique décrit la manière dont Hykko IRVE collecte, utilise, conserve et protège les données personnelles de ses Utilisateurs, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.

1. Responsable du traitement

Le responsable du traitement est [Raison sociale], dont le siège est situé au [Adresse]. Vous pouvez le contacter par email à dpo@irve-connect.fr.

2. Données collectées

2.1 Données d'identification

• Nom, prénom
• Adresse email
• Numéro de téléphone (facultatif)
• Mot de passe (haché, jamais stocké en clair)

Ces données sont gérées par notre sous-traitant d'authentification AuthForge. Elles sont chiffrées au repos en AES-256. Hykko IRVE ne stocke localement que l'identifiant technique (authforgeId) permettant de relier un Utilisateur à ses Rapports.

2.2 Données techniques relatives aux Points De Livraison

• Numéro PDL Enedis (14 chiffres)
• Adresse, commune, code postal du PDL
• Caractéristiques techniques (puissance souscrite, type de compteur, option tarifaire, état du réseau)
• Historique de consommation mensuel (énergie kWh, puissance maximale atteinte)

Ces données sont obtenues via les API officielles Enedis (DataConnect, SGE Tiers) sur autorisation de l'Utilisateur. Elles sont conservées dans un cache d'une durée maximale de vingt-quatre (24) heures afin d'éviter des appels redondants.

2.3 Données de paiement

Les paiements sont traités par Stripe Payments Europe Ltd., certifié PCI-DSS niveau 1. IRVE Connect ne stocke aucun numéro de carte bancaire. Seuls un identifiant client Stripe et le statut de l'abonnement sont conservés en base.

2.4 Données techniques de navigation

• Adresse IP (anonymisée)
• Type de navigateur, système d'exploitation
• Cookies strictement nécessaires (session, authentification)

3. Finalités

• Fourniture du Service : génération de Rapports, authentification, gestion d'abonnement.
• Facturation : émission des factures, recouvrement.
• Sécurité : prévention des fraudes, journalisation des accès.
• Communication : notifications transactionnelles (création de Rapport, paiement, résiliation).

Aucun usage marketing ni revente à des tiers n'est effectué sans consentement explicite.

4. Bases légales

• Exécution du contrat (art. 6.1.b RGPD) — création de Compte, génération des Rapports, paiements.
• Obligation légale (art. 6.1.c RGPD) — conservation des factures pendant 10 ans.
• Intérêt légitime (art. 6.1.f RGPD) — sécurité, prévention de la fraude.

5. Durées de conservation

• Données de Compte : durée de la relation contractuelle + 3 ans après inactivité.
• Rapports : durée de l'abonnement (Plan Pro) ou indéfiniment dans la limite du Compte (Plan Gratuit).
• Cache Enedis (PDL + conso) : 24 heures glissantes.
• Factures : 10 ans (obligation comptable, art. L.123-22 Code de commerce).
• Logs techniques : 12 mois.

6. Sous-traitants

Les principaux sous-traitants utilisés sont :

• AuthForge — authentification et stockage chiffré des données personnelles (UE).
• Enedis — fournisseur des données techniques PDL et de consommation (France).
• Stripe Payments Europe Ltd. — traitement des paiements (Irlande, UE).
• Vercel Inc. — hébergement de l'application web (Allemagne, région UE).
• Railway Corp. — hébergement de l'API et de la base de données (UE).
• MinIO — stockage objet des Rapports PDF (UE).

Tous opèrent dans l'Union Européenne ou disposent de garanties équivalentes (clauses contractuelles types).

7. Sécurité

• Chiffrement TLS 1.3 pour tout transport.
• Chiffrement AES-256 au repos pour les données personnelles via AuthForge.
• Tokens d'accès courts (24h) et tokens de rafraîchissement révocables.
• Journalisation des accès, audits réguliers.
• Bucket de stockage Rapports privé, accès via URL signées 1 heure.

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Accès — obtenir copie des données vous concernant.
• Rectification — corriger des informations inexactes.
• Effacement — supprimer vos données (sauf obligations légales).
• Limitation — restreindre certains traitements.
• Portabilité — récupérer vos données dans un format structuré.
• Opposition — vous opposer à un traitement fondé sur l'intérêt légitime.

Pour exercer ces droits, contactez-nous à dpo@irve-connect.fr. Une réponse vous sera apportée sous trente (30) jours.

En cas de litige, vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr · 3 Place de Fontenoy, 75007 Paris.

9. Cookies

Hykko IRVE utilise uniquement des cookies strictement nécessaires au fonctionnement du Service (session, authentification). Aucun cookie de mesure d'audience, publicitaire ou tiers n'est déposé sans votre consentement explicite.

Liste des cookies essentiels :

• irve-af-access — token d'accès AuthForge (durée 24h).
• irve-af-refresh — token de rafraîchissement (durée 30 jours).

10. Transferts hors UE

Aucun transfert de données personnelles hors de l'Union Européenne n'est effectué dans le cadre nominal du Service.

11. Modifications

La présente politique peut être mise à jour. Toute modification substantielle vous sera notifiée par email au moins trente (30) jours avant son entrée en vigueur.