Où passent vos leads, exactement

Deux modes d'intégration, et ils ne traitent pas vos leads pareil

C'est la première chose à savoir, et beaucoup d'éditeurs restent flous dessus. Chez nous, le simulateur s'installe de deux façons, et le chemin suivi par la demande de devis n'est pas le même :

Ce qui transite, ce qui est conservé, et combien de temps

En mode relié à votre espace, voici la totalité de ce qui existe chez nous :

La suppression des leads retenus au-delà de trente jours n'est pas une intention : c'est une tâche qui tourne tous les jours sur le serveur, et elle est couverte par un test automatisé. Nous le précisons parce qu'une clause de conservation qu'aucun code n'exécute est le défaut le plus courant des politiques de confidentialité.

Ce qui n'existe nulle part chez nous : aucun cookie publicitaire, aucun traceur comportemental, aucun identifiant persistant de visiteur, aucune donnée sensible au sens de l'article 9 du RGPD. Le simulateur ne demande ni date de naissance, ni revenus, ni composition du foyer.

Ce que nous nous interdisons, par contrat

• Vendre, céder, louer ou échanger un lead, ou toute donnée nominative de visiteur, à quelque titre que ce soit (art. 10.2 des CGV).
• Démarcher vos visiteurs, ou les clients que nous découvririons en exécutant le contrat (art. 10.3).
• Exercer une activité d'installation photovoltaïque, ou détenir une participation dans une entreprise qui en exerce une (art. 10.1).

En cas de manquement : résiliation de plein droit et remboursement des douze derniers mois (art. 10.5). Ce que nous nous autorisons, et il faut le dire aussi : des statistiques agrégées et anonymisées — volumes de simulations, taux de complétion, tendances de marché — dont aucune personne ni aucun client ne peut être extrait.

Qui est responsable de quoi

Vous êtes responsable de traitement des données de vos visiteurs : c'est vous qui décidez de poser le simulateur, de son contenu, de la destination des leads et de l'usage commercial que vous en faites. Nous sommes sous-traitant au sens de l'article 28 du RGPD, et nous n'agissons que sur votre instruction.

Concrètement, trois choses restent à votre charge et nous ne pouvons pas les faire à votre place :

1. Informer vos visiteurs avant la collecte. Nous vous fournissons une mention type ; son adaptation et son affichage vous reviennent.
2. Recueillir leur consentement quand il est requis — en particulier pour la prospection par courriel ou SMS, et pour les relances automatiques de la formule Performance.
3. Sécuriser la destination que vous configurez : votre boîte mail ou votre point de terminaison CRM. Nous n'avons aucun contrôle dessus.

Vérifiez-le vous-même, plutôt que de nous croire

1. Ouvrez la démonstration, puis l'onglet « Réseau » de votre navigateur (F12).
2. Faites le parcours jusqu'à la demande de devis.
3. Regardez l'adresse appelée au moment de l'envoi, et le contenu envoyé. Il n'y a rien d'autre.

C'est la raison pour laquelle la démonstration est publique et sans inscription : une promesse sur la donnée qui ne peut pas être ouverte et lue ne vaut pas grand-chose.

Contrat de sous-traitance — traitement de données à caractère personnel

Annexe aux conditions générales de vente et d'utilisation EVASIMU. Version 1.0 — en vigueur au 15 août 2026. Établi conformément à l'article 28 du règlement (UE) 2016/679.

Entre les parties

Le Responsable de traitement : le Client, tel qu'identifié lors de sa souscription au Service EVASIMU.

Le Sous-traitant : la société TEKOTEK, SAS au capital de [CAPITAL] euros, RCS Évreux 914 649 124, siège social 20 rue Maréchal Foch, 27400 Louviers, représentée par [REPRÉSENTANT LÉGAL], éditrice du service EVASIMU.

Article 1 — Objet

1.1. Le présent contrat définit les conditions dans lesquelles EVASIMU effectue, pour le compte du Client, les opérations de traitement de données à caractère personnel décrites en annexe 1.

1.2. Il constitue l'acte juridique exigé par l'article 28.3 du RGPD. Il fait partie intégrante des CGV et prévaut sur celles-ci pour tout ce qui concerne la protection des données à caractère personnel.

1.3. Il entre en vigueur à la souscription du Service et prend fin au terme de celui-ci, sous réserve des obligations qui lui survivent.

Article 2 — Qualification des parties

2.1. Le Client est responsable de traitement des données de ses Visiteurs. Il détermine seul les finalités et les moyens du traitement : il décide de l'intégration du Widget dans son site, du contenu de son Catalogue, de la destination des Leads, de l'activation des fonctionnalités optionnelles et de l'usage commercial fait des données collectées.

2.2. EVASIMU est sous-traitant au sens de l'article 4.8 du RGPD pour les traitements décrits en annexe 1. Il n'agit que sur instruction documentée du Client.

2.3. EVASIMU agit en revanche en qualité de responsable de traitement autonome pour les traitements qui lui sont propres : gestion de la relation contractuelle, facturation, support, statistiques agrégées et anonymisées, sécurité de son infrastructure. Ces traitements sont décrits dans sa politique de confidentialité.

2.4. Les parties reconnaissent que l'architecture du Service détermine l'étendue du rôle du Sous-traitant : en mode d'intégration autonome, le Widget transmet le Lead directement à la destination configurée par le Client, sans transiter par les serveurs d'EVASIMU ; en mode relié à l'espace client, le Lead transite par les serveurs d'EVASIMU, qui l'enregistrent puis le relaient. Les deux cas sont décrits en annexe 1.

Article 3 — Description du traitement

La nature, la finalité, la durée, les catégories de personnes concernées et les catégories de données traitées sont décrites en annexe 1, qui fait partie intégrante du présent contrat.

Article 4 — Obligations d'EVASIMU

4.1. Traiter les données sur instruction documentée du Client. Les instructions résultent du présent contrat, des CGV, du paramétrage effectué par le Client et de toute instruction écrite complémentaire. Si EVASIMU estime qu'une instruction constitue une violation du RGPD, il en informe immédiatement le Client et peut suspendre son exécution.

4.2. Ne pas transférer les données hors de l'Union européenne sans accord préalable du Client et sans garanties appropriées au sens du chapitre V du RGPD (article 9).

4.3. Garantir la confidentialité. Les personnes autorisées à traiter les données sont soumises à une obligation contractuelle ou légale de confidentialité.

4.4. Assurer la sécurité des traitements conformément à l'article 32 du RGPD, par les mesures décrites en annexe 2.

4.5. Ne recourir à un sous-traitant ultérieur que dans les conditions de l'article 5.

4.6. Assister le Client, compte tenu de la nature du traitement et des informations à sa disposition, pour garantir la sécurité des traitements (art. 32), notifier les violations de données (art. 33 et 34), et réaliser le cas échéant une analyse d'impact (art. 35 et 36).

4.7. Aider le Client à répondre aux demandes d'exercice des droits des personnes concernées. Si une personne concernée s'adresse directement à EVASIMU, celui-ci transmet la demande au Client dans un délai maximal de cinq (5) jours ouvrés et n'y répond pas lui-même, sauf instruction contraire.

4.8. Notifier toute violation de données au Client, par courriel à l'adresse de contact déclarée, dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, en précisant la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises et le point de contact.

4.9. Tenir un registre des catégories d'activités de traitement effectuées pour le compte du Client (art. 30.2).

4.10. Mettre à disposition du Client toutes les informations nécessaires pour démontrer le respect de l'article 28 et permettre la réalisation d'audits dans les conditions de l'article 10.

4.11. Respecter la protection des données dès la conception et par défaut (art. 25) : minimisation des données collectées, masquage des coordonnées des Leads retenus, chiffrement des communications, durées de conservation limitées et effectivement appliquées.

Article 5 — Sous-traitants ultérieurs

5.1. Le Client donne à EVASIMU une autorisation générale de recourir à des sous-traitants ultérieurs, dans les conditions du présent article.

5.2. La liste des sous-traitants ultérieurs autorisés figure en annexe 3.

5.3. EVASIMU informe le Client de tout projet d'ajout ou de remplacement au moins trente (30) jours avant sa mise en œuvre, par courriel et par mise à jour de l'annexe 3 publiée sur cette page.

5.4. Le Client peut s'y opposer dans un délai de quinze (15) jours, par écrit et pour un motif légitime tenant à la protection des données. À défaut d'accord, le Client peut résilier sans frais ni indemnité, avec remboursement au prorata des sommes versées d'avance.

5.5. EVASIMU impose à chaque sous-traitant ultérieur des obligations au moins équivalentes à celles du présent contrat. EVASIMU demeure pleinement responsable devant le Client de leur exécution.

Article 6 — Obligations du Client

6.1. Disposer d'une base légale pour chaque traitement mis en œuvre au moyen du Service, et ne collecter que des données adéquates, pertinentes et limitées.

6.2. Informer ses Visiteurs préalablement à toute collecte, conformément aux articles 12 à 14 du RGPD. EVASIMU met à disposition une mention type ; son adaptation et sa conformité relèvent du Client.

6.3. Recueillir le consentement des Visiteurs lorsqu'il est requis, notamment pour la prospection par voie électronique (art. L.34-5 du code des postes et des communications électroniques) et pour les relances automatisées de la Formule Performance.

6.4. Documenter ses instructions et informer EVASIMU de toute évolution affectant la licéité du traitement.

6.5. Répondre aux demandes d'exercice des droits des personnes concernées, dont il est le seul destinataire légitime.

6.6. Sécuriser la destination des Leads qu'il configure : EVASIMU n'exerce aucun contrôle sur cette destination.

6.7. Veiller au respect du présent contrat par ses propres préposés ayant accès au Service.

Article 7 — Durée de conservation et sort des données

7.1. Les durées de conservation applicables figurent en annexe 1.

7.2. Au terme du contrat, EVASIMU procède, au choix du Client exprimé par écrit dans les trente (30) jours, à la restitution des données encore détenues dans un format structuré et couramment utilisé, ou à leur suppression définitive.

7.3. À défaut de choix exprimé dans ce délai, EVASIMU procède à la suppression définitive, sous réserve du point 7.4.

7.4. EVASIMU peut conserver les données dont la conservation est imposée par une obligation légale ou nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice, pour la seule durée nécessaire, en les isolant de tout traitement actif.

7.5. EVASIMU atteste par écrit de la suppression sur demande du Client.

Article 8 — Sécurité

8.1. EVASIMU met en œuvre les mesures techniques et organisationnelles décrites en annexe 2, adaptées au risque.

8.2. Ces mesures peuvent évoluer, sans que le niveau de sécurité puisse en être diminué.

8.3. Le Client reconnaît que la sécurité de son propre site internet, ainsi que celle de la destination des Leads, relèvent de sa seule responsabilité.

Article 9 — Transferts hors Union européenne

9.1. Les données traitées par EVASIMU sont hébergées au sein de l'Union européenne.

9.2. Cas particulier de l'API Google Solar. Lorsque le Client active cette fonctionnalité optionnelle, des requêtes contenant des coordonnées géographiques sont adressées aux serveurs de Google. Ces requêtes ne contiennent aucune donnée d'identification du Visiteur (ni nom, ni adresse postale complète, ni coordonnées de contact). Le Client, en activant cette fonctionnalité, reconnaît en être informé ; le transfert éventuel s'opère sur le fondement des clauses contractuelles types de la Commission européenne.

9.3. Tout autre transfert hors Union européenne est subordonné à l'information préalable du Client et à la mise en place de garanties appropriées.

Article 10 — Audit

10.1. Le Client peut, une fois par année civile et moyennant un préavis écrit de trente (30) jours, faire réaliser un audit du respect par EVASIMU des obligations du présent contrat.

10.2. L'audit est réalisé par le Client ou par un tiers indépendant qu'il mandate, sous réserve que ce tiers ne soit pas un concurrent d'EVASIMU et qu'il soit soumis à une obligation de confidentialité.

10.3. L'audit se déroule pendant les heures ouvrées, sans perturbation disproportionnée, et ne peut porter atteinte à la confidentialité des données d'autres clients ni aux secrets d'affaires d'EVASIMU.

10.4. Les frais sont à la charge du Client, sauf si l'audit révèle un manquement substantiel d'EVASIMU.

10.5. EVASIMU peut satisfaire à cette obligation par la remise de documentation, de certifications ou de rapports d'audit indépendants récents.

Article 11 — Responsabilité

11.1. La responsabilité de chaque partie s'apprécie conformément à l'article 82 du RGPD.

11.2. Les limitations de responsabilité prévues aux CGV s'appliquent dans la mesure permise par la loi, à l'exclusion des amendes administratives prononcées à l'encontre d'une partie du fait de ses propres manquements, qui restent à sa charge.

Article 12 — Contact

Toute question, instruction ou notification est adressée à contact@eviatek.fr, référence « RGPD ». [Coordonnées du délégué à la protection des données, si désigné]

Article 13 — Droit applicable

Le présent contrat est soumis au droit français. Tout litige relève de la compétence du Tribunal de commerce d'Évreux.

Annexe 1 — Description des traitements

1. Nature et finalité

EVASIMU met à disposition du Client un composant logiciel permettant à ses Visiteurs de réaliser une simulation photovoltaïque et de transmettre une demande de devis. La finalité poursuivie par le Client est la prospection et la qualification commerciale de projets photovoltaïques.

2. Catégories de personnes concernées

• Visiteurs du site internet du Client utilisant le simulateur.
• Préposés du Client accédant au Service.

3. Traitements effectués par EVASIMU pour le compte du Client

4. Catégories de données traitées

Données d'identification, coordonnées de contact, données de localisation du bâtiment, données techniques relatives au projet, données de connexion, preuve de consentement.

Aucune donnée sensible au sens de l'article 9 du RGPD n'est collectée. Le Client s'interdit de configurer le Service de manière à en collecter.

5. Durée du traitement

Durée du contrat, augmentée des durées de conservation indiquées ci-dessus.

Annexe 2 — Mesures techniques et organisationnelles de sécurité

Ne figure ici que ce qui est effectivement en place. Les points restant à mettre en œuvre sont signalés comme tels plutôt que d'être annoncés au futur.

Minimisation par conception

• Collecte limitée aux données nécessaires à la simulation et à la demande de devis. Aucune donnée sensible, aucun cookie de suivi, aucun identifiant persistant de visiteur.
• Mode d'intégration autonome disponible, dans lequel aucune donnée de Visiteur ne parvient à EVASIMU.
• Masquage des coordonnées des Leads retenus à la lecture, et non au seul affichage.
• Refus des demandes dépourvues de preuve de consentement : elles ne sont pas enregistrées.

Chiffrement

• Chiffrement des communications en transit par TLS, certificat renouvelé automatiquement, redirection systématique depuis HTTP.
• Mots de passe stockés sous forme dérivée (scrypt, sel aléatoire par compte, comparaison à temps constant). Jetons d'API stockés sous forme d'empreinte, jamais en clair.
• Chiffrement au repos de la base et des sauvegardes : à mettre en œuvre au niveau du volume de l'hébergeur.

Contrôle d'accès

• Accès à la console limité aux opérateurs déclarés, par session authentifiée ; jetons d'agents portés par des portées explicites et révocables individuellement.
• Principe du moindre privilège : un jeton d'agent ne reçoit que les portées de son profil.
• Journalisation des actions d'administration dans le journal d'activité.

Cloisonnement

• Séparation logique des données par Client ; chaque widget n'expose que le catalogue et les leads de son propre client.
• Contrôle d'intégration par en-tête Content-Security-Policy: frame-ancestors, restreint aux domaines déclarés par le Client.
• Limitation de débit sur les points d'entrée publics et sur les tentatives de connexion.
• Séparation des environnements de développement, de test et de production ; aucune donnée réelle en environnement de test.

Sauvegarde et continuité

• Sauvegarde quotidienne automatique de la base, compressée, conservée 30 jours par rotation.
• Purge quotidienne automatique des Leads retenus au-delà de 30 jours, couverte par un test.
• Hébergement dans l'Union européenne : [HÉBERGEUR + PAYS].
• Restauration testée périodiquement : procédure à formaliser.

Sécurité applicative

• Aucune dépendance tierce dans le code applicatif : la surface d'attaque par la chaîne d'approvisionnement est réduite d'autant.
• Validation et bornage des entrées ; échappement systématique des données affichées.
• Isolation des styles et scripts du Widget dans le site hôte.
• Suite de tests automatisés exécutée à chaque modification, couvrant notamment le quota, le masquage et la purge des Leads.

Organisation

• Engagement de confidentialité des personnes habilitées.
• Notification au Client de toute violation de données sous 48 heures.
• Registre des activités de traitement tenu à jour.

Annexe 3 — Sous-traitants ultérieurs autorisés

Liste à jour au 15 août 2026. La version courante est celle publiée sur cette page.

Ne sont pas des sous-traitants ultérieurs au sens du présent contrat les services de données publiques interrogés sans transmission de données d'identification : IGN Géoplateforme, Base Adresse Nationale, PVGIS (Commission européenne). L'API Google Solar relève du régime particulier de l'article 9.2.

TEKOTEK — SAS au capital de [CAPITAL] € — RCS Évreux 914 649 124
20 rue Maréchal Foch, 27400 Louviers — contact@eviatek.fr