Politique de confidentialité — RGPD

1. Responsable du traitement

2. Données collectées

Données de navigation :
Cookies techniques nécessaires au fonctionnement du site. Google Analytics (avec consentement préalable) pour la mesure d'audience : pages visitées, durée de visite, type de navigateur, adresse IP anonymisée.

Compte utilisateur :
Adresse email, nom (optionnel), profession (optionnel), mot de passe hashé. Vous pouvez créer un compte par email/mot de passe ou via un service tiers (Google, LinkedIn).

Connexion OAuth (Google, LinkedIn) :
Seuls votre adresse email et votre nom sont transmis par ces services. Nous ne recevons ni votre mot de passe, ni vos contacts, ni aucune autre donnée de votre compte tiers. L'authentification est gérée par Supabase Auth via le protocole OAuth 2.0 / OpenID Connect.

Données de simulation :
Les données saisies dans les calculateurs et simulateurs (montants, surfaces, paramètres énergétiques, etc.) sont stockées dans Supabase si vous êtes connecté, ou dans le localStorage de votre navigateur dans le cas contraire.

Profil évaluateur :
Nom, société, coordonnées professionnelles — stockés dans le localStorage de votre navigateur ou dans Supabase si vous êtes connecté. Ces données servent à personnaliser les rapports d'évaluation.

3. Finalités du traitement

Fonctionnement du service (calculs, simulations, affichage des résultats)
Sauvegarde des simulations et évaluations sur votre compte
Personnalisation des rapports d'évaluation (profil évaluateur)
Amélioration du service (statistiques d'audience anonymisées)

4. Base légale du traitement

Consentement (art. 6.1.a RGPD) : cookies analytiques Google Analytics.
Exécution du contrat (art. 6.1.b RGPD) : création et gestion de votre compte, sauvegarde de vos simulations.
Intérêt légitime (art. 6.1.f RGPD) : amélioration du service, sécurité de la plateforme.

Vous pouvez retirer votre consentement à tout moment pour les traitements fondés sur cette base.

5. Sous-traitants

Prestataire	Rôle	Localisation
Supabase Inc.	Hébergement base de données et authentification	Serveurs UE (AWS eu-central-1, Francfort)
Vercel Inc.	Hébergement frontend	États-Unis (clauses contractuelles types)
Render.com	Hébergement API energy-api	États-Unis
Google LLC	Analytics, authentification OAuth	États-Unis (EU-US Data Privacy Framework)
LinkedIn (Microsoft)	Authentification OAuth	États-Unis (clauses contractuelles types)

6. Durée de conservation

Données de compte : conservées jusqu'à la suppression du compte par l'utilisateur.
Données de simulation : conservées pendant 2 ans à compter de la dernière activité.
Cookies : durée maximale de 13 mois.

7. Vos droits

Conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi luxembourgeoise du 1er août 2018, vous disposez des droits suivants :

Droit d'accès à vos données personnelles
Droit de rectification
Droit à l'effacement (« droit à l'oubli »)
Droit à la portabilité des données
Droit d'opposition au traitement

Pour exercer ces droits, contactez-nous à contact@tevaxia.lu.

8. Cookies

Cookies techniques (nécessaires) : indispensables au fonctionnement du site (préférences de langue, session). Aucun consentement requis.
Cookies analytiques (consentement) : Google Analytics, déposés uniquement après consentement explicite. Permettent la mesure d'audience anonymisée.
Cookies d'authentification : gestion de la session Supabase (token de connexion). Nécessaires au fonctionnement du compte utilisateur.

9. Transferts de données hors Union européenne

Certains de nos sous-traitants sont situés aux États-Unis. Ces transferts sont encadrés par des clauses contractuelles types approuvées par la Commission européenne et/ou la décision d'adéquation EU-US Data Privacy Framework.

Les données de compte et de simulation sont hébergées par Supabase sur des serveurs situés dans l'Union européenne (AWS eu-central-1, Francfort, Allemagne).

10. Mesures de sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données :

Chiffrement des communications via HTTPS (TLS)
Politique de sécurité du contenu (Content Security Policy — CSP)
Row Level Security (RLS) sur Supabase : chaque utilisateur n'accède qu'à ses propres données
Mots de passe hashés (jamais stockés en clair)

11. Délégué à la protection des données / Contact

Pour toute question relative à la protection de vos données personnelles, vous pouvez nous contacter à contact@tevaxia.lu.

12. Droit de réclamation

Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle luxembourgeoise :

Commission Nationale pour la Protection des Données (CNPD)
15 Boulevard du Jazz, L-4370 Belvaux, Luxembourg
cnpd.public.lu