Politique de Confidentialité

1. Responsable du traitement

Le responsable du traitement des données est :
REFLECT, SAS au capital de 1 000 €
Siège social : 2 Avenue Tony Garnier, 69007 Lyon
RCS Lyon 995 205 150
Contact : contact@reflectenergy.com

Délégué à la Protection des Données (DPO) :
Grisha Ghukasyan – grisha@reflectenergy.com

2. Introduction

Reflect attache une grande importance à la protection de vos données personnelles. La présente Politique de Confidentialité explique quelles données nous collectons, comment nous les utilisons et quels sont vos droits.

3. Données collectées

Nous collectons uniquement les données nécessaires à la gestion de notre service et à l'amélioration de l'expérience utilisateur. Ces données peuvent inclure :

• Nom, prénom
• Adresse e-mail
• Informations de contact
• Données de navigation (cookies, adresse IP)

4. Utilisation des données

Les données collectées sont utilisées pour :

• Répondre aux demandes de contact
• Améliorer notre Site et nos services
• Assurer la sécurité du Site
• Effectuer des analyses statistiques anonymes

5. Partage des données

Reflect ne vend ni ne loue vos données personnelles. Elles peuvent être partagées uniquement avec des prestataires de services techniques dans le cadre du fonctionnement du Site.

Nos sous-traitants :

• Supabase (hébergement de la base de données et authentification, UE)
• Scaleway (hébergement applicatif et stockage, France)
• PostHog (analytics produit, UE)
• Google Tag Manager (mesure d'audience)

Aucun transfert de données n'est effectué en dehors de l'Union Européenne.

6. Conservation des données

Nous conservons vos données personnelles pour une durée strictement nécessaire à la réalisation des finalités énoncées ci-dessus, en conformité avec la réglementation en vigueur :

• Données de compte (identité, email, authentification) : pendant toute la durée de la relation contractuelle, puis 3 ans à compter de la dernière activité.
• Données contractuelles et de facturation : 10 ans à compter de la fin de l'exercice comptable concerné (obligation comptable et fiscale).
• Données de consommation énergétique : pendant toute la durée de la relation contractuelle ; les données historiques peuvent être conservées sous forme agrégée et anonymisée pour analyses statistiques.
• Journaux d'audit de sécurité : 12 mois pour les besoins de détection et d'analyse d'incidents (ISO 27001 A.8.15).
• Cookies et données de navigation : 13 mois maximum (recommandation CNIL).

7. Sécurité des données

Reflect met en place des mesures de sécurité adaptées pour protéger vos données contre tout accès non autorisé, modification ou divulgation. Notre système est conçu selon les principes de l'ISO 27001 :

• Chiffrement des données en transit (TLS 1.2+) et au repos.
• Authentification forte avec exigences de complexité de mot de passe et support du second facteur (2FA).
• Déconnexion automatique en cas d'inactivité prolongée et durée maximale de session limitée.
• Contrôles d'accès stricts : chaque utilisateur n'accède qu'aux données de son organisation.
• Journalisation des actions sensibles (connexions, modifications, exports) à des fins d'audit.
• Limitation du débit et protection contre les abus sur les points d'entrée sensibles.

8. Cookies

Le Site utilise des cookies pour améliorer l'expérience utilisateur. Vous pouvez gérer vos préférences en matière de cookies via les paramètres de votre navigateur.

9. Vos droits

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles.
• Droit de rectification : demander la correction de données inexactes.
• Droit à l'effacement : demander la suppression de vos données dans certaines conditions.
• Droit d'opposition : vous opposer au traitement de vos données dans certains cas.
• Droit à la portabilité : récupérer vos données sous un format exploitable.
• Droit de réclamation : introduire une réclamation auprès de la CNIL (www.cnil.fr).

Mise en œuvre technique : les droits d'accès, de portabilité et d'effacement sont accessibles directement depuis votre espace authentifié via les points d'entrée suivants :

• Export de vos données (format JSON, RGPD art. 20) : appel à GET /api/me/export depuis votre session.
• Suppression de votre compte (RGPD art. 17) : appel à DELETE /api/me depuis votre session.

Pour toute autre demande ou en cas de difficulté, contactez- nous à contact@reflectenergy.com. Nous répondons dans un délai d'un mois maximum (prolongeable de deux mois pour les demandes complexes).

10. Modifications de la Politique de Confidentialité

Reflect se réserve le droit de modifier cette Politique à tout moment. Toute modification sera publiée sur cette page.

11. Contact

Pour toute question relative à la protection de vos données, vous pouvez nous contacter à contact@reflectenergy.com