Politique de confidentialité

1. Responsable du traitement

EAS International

Urs Zimmermann

Klybeckstr. 141

4057 Basel

Schweiz

E-mail : info@batteriepass-online.eu

Nous ne sommes pas tenus de désigner un délégué à la protection des données en vertu de l'art. 37 du RGPD. Veuillez adresser vos demandes relatives à la protection des données à l'adresse e-mail ci-dessus.

1a. Représentant dans l'Union (art. 27 RGPD)

Urs Zimmermann

Eichacker 2

79418 Schliengen

Germany

E-mail : info@batteriepass-online.eu

Les personnes concernées et les autorités de contrôle de l'UE peuvent s'adresser au représentant pour toutes les questions relatives au traitement ; le représentant agit pour le compte du responsable du traitement.

2. Notre rôle : responsable du traitement ou sous-traitant

Pour les comptes clients, la facturation, la sécurité et l'exploitation du site web, nous sommes responsable du traitement. La présente politique décrit ces traitements.

Le contenu des passeports de batterie, les documents téléversés, les contacts fournisseurs et les demandes d'accès sont saisis dans le logiciel par nos clients (les opérateurs économiques). Pour ces données, le client concerné est le responsable du traitement et nous sommes son sous-traitant au sens de l'art. 28 du RGPD, sur la base de notre accord de traitement des données (/avv). Pour ces données, les personnes concernées sont invitées à s'adresser à l'opérateur économique indiqué dans le passeport ; nous transmettons les demandes.

3. Consultation du site web

Lorsque vous ouvrez nos pages, notre serveur traite votre adresse IP, l'adresse demandée et l'identifiant du navigateur (user agent) afin de livrer la page et de repousser les attaques (art. 6, paragraphe 1, point f), du RGPD). Notre serveur web frontal enregistre l'adresse IP, l'heure, l'adresse demandée, le code de statut et le user agent afin de détecter les attaques et les abus ; ce journal du serveur est supprimé automatiquement au bout de sept jours. Au-delà, l'adresse IP n'est traitée que dans les compteurs de limitation de débit (section 5) et, tronquée et hachée, dans le journal des accès aux contenus protégés des passeports (section 7).

Nous n'utilisons aucun outil de suivi analytique, aucun plugin de réseaux sociaux ni aucune police externe. Nous n'utilisons Google Ads pour mesurer l'efficacité de nos annonces qu'avec votre consentement (section 4).

4. Cookies

Cookies et entrées de stockage techniquement nécessaires, pour lesquels aucun consentement n'est requis (§ 25, al. 2, n° 2 TDDDG) :

• bpo_session : connexion à l'espace client ; durée de vie 30 jours, supprimé à la déconnexion.
• bpo_access : mémorise une autorisation d'accès aux contenus non publics d'un passeport (intérêt légitime ou autorité) ; durée de vie selon l'autorisation.
• bpo_consent (stockage local du navigateur) : enregistre votre choix en matière de cookies ; durée de vie 12 mois.
• Google Ads (uniquement avec consentement) : si vous donnez votre accord dans le bandeau cookies, nous intégrons le suivi des conversions Google Ads (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande). Google dépose à cet effet des cookies (tels que _gcl_au, durée de vie jusqu'à 90 jours) et reçoit votre adresse IP, les pages consultées, l'heure et des données du navigateur afin de mesurer si un clic sur notre annonce a conduit à une inscription ou à un achat. La base juridique est votre consentement (art. 6, paragraphe 1, point a), du RGPD, § 25, al. 1 TDDDG). Les transferts vers Google LLC aux États-Unis sont couverts par le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework). Sans consentement, aucun code Google n'est chargé. Vous pouvez retirer votre consentement à tout moment avec effet pour l'avenir via « Paramètres des cookies » en bas de page. Politique de confidentialité de Google : https://policies.google.com/privacy

5. Compte client et organisation

Lors de l'inscription, nous traitons le nom, l'adresse e-mail, l'entreprise et un mot de passe, que nous ne stockons que sous forme de hachage (scrypt). Pour l'organisation, nous enregistrons la dénomination légale, l'adresse, le pays, le numéro d'identification TVA, le numéro EORI et d'autres identifiants de l'entreprise (tels que le numéro au registre du commerce ou le code LEI) que le client fournit pour les passeports et l'enregistrement auprès de l'UE, ainsi que la formule et les quotas. Nous enregistrons également l'heure de la dernière connexion et le paramètre de langue.

La finalité est de fournir l'espace client, d'attribuer les passeports à l'opérateur économique et de facturer. La base juridique est l'exécution du contrat (art. 6, paragraphe 1, point b), du RGPD).

Les confirmations par e-mail ainsi que les liens de connexion et de réinitialisation du mot de passe sont envoyés via le service de messagerie de STRATO GmbH (Allemagne). Nous enregistrons les e-mails envoyés avec le destinataire, l'objet, le contenu et le statut de remise afin de pouvoir retracer les problèmes de remise ; ce journal est supprimé au bout de douze mois.

Afin de prévenir les abus, nous limitons les tentatives de connexion, les inscriptions et les réinitialisations de mot de passe par adresse IP et par compte. À cet effet, nous enregistrons des compteurs avec l'adresse IP pendant 24 heures au maximum (art. 6, paragraphe 1, point f), du RGPD). Nous enregistrons les tentatives de connexion (réussies et échouées) avec l'heure, l'adresse e-mail, le résultat, l'adresse IP complète et le user agent pendant 90 jours afin de détecter les attaques contre des comptes et de les distinguer d'un client qui se trompe dans son propre mot de passe. Ce journal n'est consulté que par l'exploitant dans le tableau de bord interne de l'exploitant, où il est masqué par défaut derrière une commande d'affichage.

6. Paiement et facturation

Les formules payantes sont traitées par l'intermédiaire de Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irlande. Stripe reçoit le nom, l'adresse e-mail, l'adresse de l'entreprise, le numéro de TVA et les données de paiement ; les données de carte et de compte sont collectées exclusivement par Stripe et ne parviennent jamais à nos serveurs. Nous enregistrons l'identifiant client Stripe, le statut de l'abonnement et les données de facturation.

Stripe est un responsable du traitement distinct pour le traitement des paiements ; la politique de confidentialité de Stripe s'applique (https://stripe.com/privacy). Les transferts vers Stripe Inc. aux États-Unis sont couverts par le cadre de protection des données UE-États-Unis et par des clauses contractuelles types.

Les bases juridiques sont l'exécution du contrat (art. 6, paragraphe 1, point b), du RGPD) et nos obligations légales de conservation (art. 6, paragraphe 1, point c), du RGPD). Nous conservons les données de facturation pendant dix ans.

7. Passeports de batterie publics

Les passeports de batterie publiés sont accessibles dans le monde entier via leur adresse (QR code). Les données qui sont publiques, visibles uniquement par les personnes ayant un intérêt légitime ou uniquement par les autorités sont définies par l'annexe XIII du règlement (UE) 2023/1542 ; le logiciel met en œuvre techniquement ces niveaux. Les données publiques comprennent le nom et les coordonnées de l'opérateur économique ; lorsqu'il s'agit d'une personne physique, l'opérateur économique en est responsable.

Nous enregistrons, pour le client, les accès aux contenus non publics des passeports avec l'heure, le niveau d'accès, l'adresse IP tronquée et hachée et le user agent. Ce journal des accès est supprimé au bout de 90 jours.

Toute personne qui demande l'accès à des contenus protégés en tant qu'autorité ou en tant que personne ayant un intérêt légitime fournit son adresse e-mail, son organisation, son rôle, la finalité et, le cas échéant, des justificatifs. Le client, qui décide de l'autorisation, voit ces informations ; nous les traitons pour le compte du client.

8. Formulaires fournisseurs, API et webhooks

Les clients peuvent demander des données produit à leurs fournisseurs via un lien envoyé par e-mail. À cet effet, nous enregistrons, pour le compte du client, l'adresse e-mail du fournisseur saisie par le client, l'état d'avancement et les valeurs transmises.

Pour l'API, nous ne stockons les clés d'API que sous forme de hachage, avec l'heure de la dernière utilisation. Les adresses et secrets des webhooks sont fournis par le client ; les secrets sont stockés de manière chiffrée. Nous enregistrons les tentatives de remise avec l'heure, le code de statut et un extrait de la réponse pendant 30 jours.

9. Hébergement et destinataires

Nous faisons appel aux prestataires suivants, qui traitent des données pour notre compte (art. 28 RGPD) :

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne : serveurs pour l'application, la base de données et le stockage de documents dans les centres de données de Falkenstein et de Nuremberg.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Allemagne : envoi des e-mails système.
• Stripe Payments Europe Ltd., Dublin, Irlande : traitement des paiements (en tant que responsable du traitement distinct, voir section 6).

10. Transferts vers des pays tiers

Nous sommes établis en Suisse. La Commission européenne a reconnu que la Suisse assure un niveau de protection adéquat des données (décision d'adéquation 2000/518/CE, confirmée en 2024) ; l'accès depuis la Suisse aux données stockées en Allemagne est donc autorisé. En dehors du traitement des paiements par Stripe (section 6), aucun transfert vers d'autres pays tiers n'a lieu.

11. Durées de conservation

• Données du compte client et de l'organisation : jusqu'à la suppression du compte, puis période de blocage de 30 jours ; données de facturation dix ans.
• Sessions de connexion : 30 jours ; liens de connexion et de réinitialisation : jusqu'à 24 heures.
• Journal du serveur web : sept jours. Compteurs de limitation de débit : 24 heures. Journal des connexions : 90 jours. Journaux des accès aux contenus protégés des passeports : 90 jours. Journal des e-mails : douze mois. Journal de remise des webhooks : 30 jours.
• Passeports de batterie et documents : pendant la durée de conservation légale prévue à l'art. 77, paragraphe 8, du règlement (UE) 2023/1542. Après la fin du contrat, les passeports restent en lecture seule pendant au moins 15 ans et, au-delà, jusqu'à la déclaration du recyclage ; suppression conformément à nos conditions générales de vente (section 8).
• Journal des modifications (journal d'audit) de l'espace client : pendant la durée du contrat, afin de prouver la chaîne de vérification des passeports.

12. Sécurité

Toutes les connexions sont chiffrées par TLS. Les mots de passe sont stockés sous forme de hachages scrypt, les secrets de manière chiffrée. L'accès est fondé sur des rôles, les tentatives de connexion sont limitées et les modifications des passeports sont consignées dans une chaîne de hachage. La base de données n'est accessible que depuis le réseau privé. Des sauvegardes sont créées quotidiennement et conservées pendant 30 jours.

13. Vos droits

Vous disposez d'un droit d'accès (art. 15 RGPD), de rectification (art. 16), d'effacement (art. 17), de limitation du traitement (art. 18), à la portabilité des données (art. 20) et d'opposition au traitement fondé sur des intérêts légitimes (art. 21). Veuillez vous adresser à info@batteriepass-online.eu. Nous répondons dans un délai d'un mois.

Vous pouvez introduire une réclamation auprès d'une autorité de contrôle de la protection des données : en Suisse, auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT), dans l'UE, auprès de l'autorité de votre lieu de résidence ou de travail.

Nous ne prenons aucune décision individuelle automatisée et n'utilisons pas vos données à des fins publicitaires sans votre consentement préalable.

14. Modifications

Nous mettons à jour la présente politique lorsque nos traitements ou la situation juridique changent. La version en vigueur est toujours disponible à l'adresse /datenschutz ; nous informons les clients des modifications importantes par e-mail.