Politique de confidentialité
Dernière mise à jour : 4 novembre 2026
La présente politique décrit comment Groupe Kapitale (« nous », « l’Éditeur ») traite les données personnelles dans le cadre du site public et de la plateforme EnergiOS, conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi Informatique et Libertés.
1. Nos deux rôles au sens du RGPD
1.1 Responsable de traitement
Le responsable de traitement est Groupe Kapitale, société par actions simplifiée au capital de 1 000 €, immatriculée au Registre du commerce et des sociétés de Bobigny sous le numéro 794 610 071, dont le siège social est situé 29 avenue du Maréchal Juin, 93260 Les Lilas.
Nous sommes responsables de traitement pour : les comptes des utilisateurs professionnels (installateurs et leurs équipes), la relation commerciale et la facturation, la sécurité de la Plateforme, et les échanges via le site public.
1.2 Sous-traitant (article 28 RGPD)
Les données personnelles des clients finaux des installateurs (particuliers engagés dans un projet de rénovation : identité, coordonnées, documents fiscaux, données de logement et de consommation) sont traitées pour le compte et sur instruction de l’installateur client, qui en est responsable de traitement. Nous agissons alors en qualité de sous-traitant : hébergement, extraction documentaire, calculs d’aides, génération de devis, portail de suivi, SAV.
2. Données traitées et finalités
| Traitement | Données | Base légale |
|---|---|---|
| Création et gestion des comptes professionnels | Identité, email, téléphone, entreprise (SIRET) | Exécution du contrat |
| Facturation des abonnements | Données de facturation, historique de paiement (via Stripe) | Exécution du contrat · obligation légale |
| Fourniture du service aux installateurs (dossiers clients finaux) | Identité, coordonnées, documents (avis d’imposition, DPE, factures), données logement | Sous-traitance — instruction du responsable de traitement (l’installateur) |
| Emails transactionnels et notifications | Email, contenu des notifications | Exécution du contrat |
| Sécurité, journalisation, audit | Logs techniques, identifiants de session, adresses IP | Intérêt légitime (sécurité) |
| Demandes de démonstration via le site public (vous recontacter pour organiser la démonstration) | Nom, entreprise, email, téléphone (facultatif), activité principale, message (facultatif) | Mesures précontractuelles prises à votre demande |
| Protection du formulaire de demande contre les abus (limitation du nombre d’envois) | Empreinte non réversible de l’adresse IP, calculée avec une clé secrète (jamais l’adresse elle-même) | Intérêt légitime (sécurité) |
3. Agents d’intelligence artificielle
Certaines fonctionnalités (lecture de documents, préparation de dossiers, assistance conversationnelle) font appel à des modèles de langage fournis par Anthropic et OpenAI. Dans ce cadre, des extraits de documents ou de messages peuvent transiter par ces prestataires, avec les garde-fous suivants : transmission limitée au strict nécessaire à la fonctionnalité, exécutions tracées et auditables, aucune utilisation de vos données pour entraîner nos propres modèles, et recours à des offres professionnelles dont les conditions excluent l’entraînement des modèles des prestataires sur les données soumises via API. Les traitements IA sont des outils d’assistance : les décisions engageantes restent humaines.
4. Destinataires et sous-traitants ultérieurs
| Prestataire | Rôle | Localisation |
|---|---|---|
| Vercel Inc. | Hébergement de l’application | UE/États-Unis (CCT) |
| Supabase | Base de données, authentification, stockage de fichiers | Région du projet : Union européenne (Paris) |
| Stripe | Paiements et facturation | UE/États-Unis (CCT) |
| Resend | Envoi d’emails transactionnels | États-Unis (CCT) |
| Yousign SAS | Signature électronique des devis | Union européenne |
| Anthropic / OpenAI | Modèles d’IA (assistance, extraction) | États-Unis (CCT) |
Les demandes de démonstration ne sont consultées que par l’équipe de l’Éditeur ; leur notification interne est acheminée par Resend. Elles ne sont ni cédées ni transmises à des installateurs ou à d’autres tiers.
Lorsque des transferts hors de l’Union européenne ont lieu, ils sont encadrés par des garanties appropriées (clauses contractuelles types de la Commission européenne — « CCT » — et, le cas échéant, mécanismes d’adéquation applicables).
5. Durées de conservation
- Comptes professionnels : durée du contrat + 60 jours (suppression des systèmes actifs), puis archivage limité aux obligations légales.
- Données des clients finaux (sous-traitance) : durée définie par l’installateur responsable de traitement ; suppression ou restitution en fin de contrat conformément à l’article 28 RGPD.
- Données de facturation : 10 ans (obligation comptable).
- Logs techniques et d’audit : 12 mois maximum.
- Comptes d’essai non convertis : suppression au plus tard 90 jours après la fin de l’essai.
- Demandes de démonstration : 3 ans à compter de la demande, puis suppression automatique.
- Empreinte de l’adresse IP liée à une demande : 24 heures.
- Demandes identifiées comme automatisées (robots) : 30 jours.
6. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité sur vos données, dans les conditions prévues par le RGPD. Pour les exercer, écrivez à l’Éditeur par courrier : Groupe Kapitale, 29 avenue du Maréchal Juin, 93260 Les Lilas (coordonnées également indiquées aux mentions légales ; aucun délégué à la protection des données n’est désigné à ce jour). Nous répondons dans un délai d’un mois à compter de la réception de la demande, prolongeable de deux mois dans les conditions de l’article 12 du RGPD.
Si vous êtes un client final d’un installateur, votre interlocuteur premier est cet installateur (responsable de traitement) ; nous relayons à ce dernier toute demande reçue directement et l’assistons dans le traitement de vos droits.
Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).
7. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : isolation des données par entreprise au niveau de la base, chiffrement en transit (HTTPS), authentification, journalisation d’audit, accès par liens à durée et périmètre limités pour le portail client, et principe de minimisation. Elles sont détaillées sur notre page Sécurité.
8. Cookies
Le site et la Plateforme n’utilisent que des cookies strictement nécessaires. Voir la Politique cookies.
9. Contact
Pour toute question relative à cette politique ou à vos données, contactez l’Éditeur aux coordonnées indiquées aux mentions légales.