Ce document est rédigé en français, langue de référence du Contrat.
Naia
Version 1.2 du 14/10/2026 — publié sur www.naiahydro.com/dpa · Annexe au contrat d’abonnement Naia
Le présent Accord de traitement des données à caractère personnel (le « DPA ») fait partie intégrante du Contrat d’abonnement Naia et des Conditions Générales conclus entre le Client et le Prestataire. Pour les Clients situés en France, le Prestataire est HydroE-Micro SAS, société par actions simplifiée immatriculée au RCS de Vesoul sous le numéro 2013 B 71, SIRET 791 440 639 00015, TVA FR64 791 440 639. Hydro Software Services SRL, société de droit belge, est l’éditeur du Service Naia et intervient comme sous-traitant ultérieur / fournisseur technique du Prestataire pour la fourniture de l’infrastructure logicielle sous-jacente. Il encadre le traitement des données à caractère personnel effectué par le Prestataire pour la fourniture du Service Naia, conformément au Règlement (UE) 2016/679 (« RGPD »).
Rôle des Parties. Pour les données personnelles traitées dans le cadre de la fourniture du Service Naia au Client, le Client agit en qualité de responsable du traitement et le Prestataire agit en qualité de sous-traitant, au sens de l’article 28 du RGPD. Lorsque le Prestataire est HydroE-Micro SAS, le Client autorise expressément HydroE-Micro SAS à recourir à Hydro Software Services SRL comme sous-traitant ultérieur pour l’édition, l’exploitation technique, la maintenance, le support technique avancé, l’hébergement applicatif et le traitement technique des données nécessaires au Service Naia. HydroE-Micro SAS demeure responsable à l’égard du Client du respect des obligations du présent DPA par ses sous-traitants ultérieurs, conformément à l’article 28 du RGPD.
Pour ses propres opérations de gestion commerciale, facturation, comptabilité, prospection, sécurité de ses systèmes et gestion de la relation client, HydroE-Micro SAS peut agir en qualité de responsable de traitement indépendant. Hydro Software Services SRL peut également agir comme responsable de traitement indépendant pour ses propres obligations légales, sécurité interne, statistiques strictement anonymisées et amélioration générale du Service, dans les limites prévues par sa politique de confidentialité.
Les termes en majuscule non définis ici ont le sens donné par le RGPD ou par le Contrat et les Conditions Générales.
« Données personnelles » : toute information se rapportant à une personne physique identifiée ou identifiable, traitée par le Prestataire pour le compte du Client.
« Personne concernée » : la personne physique à laquelle se rapportent les Données personnelles.
« Traitement » : toute opération portant sur des Données personnelles (collecte, enregistrement, conservation, consultation, communication, effacement, etc.).
« Violation de données » : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des Données personnelles.
« Sous-traitant ultérieur » : tout sous-traitant auquel le Prestataire fait appel pour traiter des Données personnelles pour le compte du Client.
« Autorité de contrôle » : une autorité publique indépendante de protection des données compétente (en Belgique, l’Autorité de protection des données ; en France, la CNIL).
« Mesures techniques et organisationnelles » : les mesures destinées à protéger les Données personnelles, décrites à l’Annexe 3.
2.1 Le Prestataire traite les Données personnelles uniquement pour fournir le Service Naia et sur instruction documentée du Client. Le Contrat, les Conditions Générales et le présent DPA (y compris ses annexes) constituent les instructions initiales et complètes du Client.
2.2 Le Prestataire informe le Client s’il estime qu’une instruction constitue une violation du RGPD ou d’une autre disposition applicable en matière de protection des données.
2.3 Si le Prestataire est tenu de traiter les Données personnelles au-delà des instructions du Client en vertu du droit de l’Union ou d’un État membre, il en informe le Client avant le traitement, sauf interdiction légale.
La nature, la finalité, les catégories de Données personnelles et de Personnes concernées, ainsi que la durée du Traitement sont décrites à l’Annexe 1.
Le Prestataire s’engage à :
4.bis Les audits sont réalisés sur préavis raisonnable, pendant les heures ouvrables, sans perturber excessivement l’activité du Prestataire, dans le respect de la confidentialité, et aux frais du Client lorsqu’ils excèdent la simple mise à disposition de documentation.
5.1 Le Client garantit que la collecte et la communication des Données personnelles au Prestataire reposent sur une base légale valable et respectent le RGPD, et qu’il a, le cas échéant, informé les Personnes concernées et recueilli les consentements requis.
5.2 Le Client est responsable de l’exactitude des Données personnelles qu’il fournit et de la licéité de ses instructions.
6.1 Le Client autorise le recours aux Sous-traitants ultérieurs listés à l’Annexe 2 pour la fourniture du Service.
6.2 Le Prestataire informe le Client de tout projet d’ajout ou de remplacement de Sous-traitant ultérieur par notification e-mail. Le Client peut s’y opposer pour un motif raisonnable et légitime, par écrit, dans un délai de quatorze (14) jours. À défaut de solution, le Client peut résilier la partie du Service concernée.
6.3 Le Prestataire impose à chaque Sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent DPA et demeure responsable de leurs prestations.
Le Service est hébergé au sein de l’Union européenne ou en Suisse. Le Client reconnaît et accepte que la Suisse est reconnue par la Commission européenne comme offrant un niveau de protection des données adéquat (Décision 2000/518/CE). Tout transfert de Données personnelles vers un pays tiers n’a lieu que s’il est encadré par un mécanisme de transfert valable au titre du RGPD (décision d’adéquation ou clauses contractuelles types de la Commission européenne), assorti des garanties appropriées.
Le Prestataire notifie au Client toute Violation de données la concernant dans les meilleurs délais après en avoir pris connaissance, avec les informations raisonnablement disponibles, et l’assiste dans ses obligations de notification à l’Autorité de contrôle et, le cas échéant, aux Personnes concernées.
9.1 Le présent DPA s’applique pendant toute la durée du Traitement réalisé dans le cadre du Contrat.
9.2 Au terme de la prestation, le Prestataire supprime ou restitue, au choix du Client, les Données personnelles, et en supprime les copies existantes, sauf obligation légale de conservation.
9.3 Durées de conservation indicatives : les données techniques (production, météo, débits) sont conservées pendant la durée du Contrat majorée de douze (12) mois ; les données contractuelles et de facturation, sept (7) ans ; les journaux d’audit de la communauté, sept (7) ans ; les sauvegardes de la base de données, trente (30) jours pour les copies quotidiennes et douze (12) mois pour les copies mensuelles, après quoi elles sont supprimées. Une Donnée personnelle supprimée de la base de données disparaît ainsi des sauvegardes au plus tard douze (12) mois après sa suppression. Les données de compte communautaire sont supprimées sur demande, sous réserve de la conservation des statistiques anonymisées.
La responsabilité des Parties au titre du présent DPA est régie par les stipulations de responsabilité prévues aux Conditions Générales, sous réserve des dispositions impératives du RGPD et de toute responsabilité qui ne pourrait légalement être exclue ou limitée. Aucune stipulation du présent DPA ne limite les droits des personnes concernées ni les pouvoirs des autorités de contrôle compétentes.
11.1 En cas de contradiction relative à la protection des données entre le présent DPA et les autres documents contractuels, le DPA prévaut sur ces seules questions.
11.2 Si une stipulation du DPA est jugée invalide, les autres demeurent en vigueur et la stipulation concernée est remplacée par une stipulation valide d’effet équivalent.
11.3 Sans préjudice de l’application du RGPD, le présent DPA est régi par le même droit que le Contrat (droit belge si le Prestataire est Hydro Software Services SRL ; droit français si le Prestataire est HydroE-Micro SAS).
Catégories de Personnes concernées : les Utilisateurs et contacts du Client (gérants, employés, mandataires) ; les membres et utilisateurs de Naia Community rattachés au Client ; le cas échéant, les contacts mentionnés dans les mandats DSO.
Catégories de Données personnelles : données d’identification et de contact (nom, prénom, fonction, e-mail, téléphone) ; identifiants et données de connexion ; données relatives à l’abonnement et à la facturation ; contributions communautaires (commentaires, réponses aux enquêtes) ; journaux d’usage et d’audit. Les Données de production des centrales sont des données techniques ; elles ne constituent des Données personnelles que dans la mesure où elles se rattachent à une personne physique identifiable.
Catégories particulières de données : aucune n’est requise ni sollicitée par le Service.
Nature et finalité du Traitement : hébergement, supervision et analyse de la production des centrales; gestion des comptes et des accès ; fourniture du module communautaire et du programme de fidélité ; support, facturation et amélioration du Service.
Durée : la durée du Contrat, sous réserve des durées de conservation de l’article 9.3.
Liste des Sous-traitants ultérieurs autorisés (à actualiser par le Prestataire ; la version à jour est publiée sur www.naiahydro.com/dpa) :
| Sous-traitant | Localisation | Finalité |
|---|---|---|
| Infomaniak | Suisse / UE | Hébergement de l’infrastructure (Jelastic Cloud et VPS), stockage de fichiers et envoi d’e-mails (SMTP) |
| Odoo | UE | CRM, facturation et envoi d’e-mails transactionnels et newsletters |
| Functional Software, Inc. (Sentry) | États-Unis ; données hébergées dans la région UE (Allemagne) | Signalement des erreurs techniques du Service (rapports d’erreur pouvant contenir l’adresse IP de l’appareil ; noms, adresses e-mail et champs similaires retirés avant l’envoi). Transfert encadré par le Data Privacy Framework UE-États-Unis et les clauses contractuelles types (article 7). |
| Hydro Software Services SRL | Belgique / UE | Édition du Service Naia, infrastructure technique, maintenance, support technique niveau 2+, traitement technique des données de production et des données de compte nécessaires au Service |
Note : la localisation et la finalité doivent être vérifiées et tenues à jour par le Prestataire. Les sous-traitants situés hors UE relèvent de l’article 7.
Le Prestataire met en œuvre et maintient des mesures de sécurité conformes à l’état de l’art et adaptées au risque, notamment :
This English version is provided for information. The French version is the reference text of the contract and prevails in case of difference.
Naia
Version 1.2 of 14/10/2026 · published at www.naiahydro.com/dpa · Annex to the Naia subscription contract
This Personal Data Processing Agreement (the “DPA”) forms an integral part of the Naia Subscription Contract and of the General Terms and Conditions concluded between the Customer and the Provider. For Customers located in France, the Provider is HydroE-Micro SAS, a French simplified joint-stock company (société par actions simplifiée) registered with the Vesoul Trade and Companies Register (RCS) under number 2013 B 71, SIRET 791 440 639 00015, VAT FR64 791 440 639. Hydro Software Services SRL, a company incorporated under Belgian law, is the publisher of the Naia Service and acts as a sub-processor and technical supplier of the Provider for the underlying software infrastructure. This DPA governs the processing of personal data carried out by the Provider to deliver the Naia Service, in accordance with Regulation (EU) 2016/679 (the “GDPR”).
Roles of the Parties. For personal data processed in the course of providing the Naia Service to the Customer, the Customer acts as controller and the Provider acts as processor, within the meaning of Article 28 GDPR. Where the Provider is HydroE-Micro SAS, the Customer expressly authorises HydroE-Micro SAS to engage Hydro Software Services SRL as a sub-processor for the publishing, technical operation, maintenance, advanced technical support, application hosting and technical processing of the data required for the Naia Service. HydroE-Micro SAS remains liable to the Customer for its sub-processors’ compliance with the obligations of this DPA, in accordance with Article 28 GDPR.
For its own commercial management, invoicing, accounting, prospecting, system security and customer relationship management, HydroE-Micro SAS may act as an independent controller. Hydro Software Services SRL may also act as an independent controller for its own legal obligations, internal security, strictly anonymised statistics and the general improvement of the Service, within the limits set by its privacy policy.
Capitalised terms not defined here have the meaning given to them by the GDPR or by the Contract and the General Terms and Conditions.
“Personal data”: any information relating to an identified or identifiable natural person, processed by the Provider on behalf of the Customer.
“Data subject”: the natural person to whom the Personal data relate.
“Processing”: any operation performed on Personal data (collection, recording, storage, consultation, disclosure, erasure, etc.).
“Data breach”: a breach of security leading to the accidental or unlawful destruction, loss, alteration or unauthorised disclosure of, or access to, Personal data.
“Sub-processor”: any processor engaged by the Provider to process Personal data on behalf of the Customer.
“Supervisory authority”: an independent public data protection authority with jurisdiction (in Belgium, the Data Protection Authority; in France, the CNIL).
“Technical and organisational measures”: the measures intended to protect Personal data, described in Annex 3.
2.1 The Provider processes Personal data only to provide the Naia Service and on the documented instructions of the Customer. The Contract, the General Terms and Conditions and this DPA (including its annexes) constitute the Customer’s initial and complete instructions.
2.2 The Provider informs the Customer if, in its opinion, an instruction infringes the GDPR or other applicable data protection provisions.
2.3 Where the Provider is required by Union or Member State law to process Personal data beyond the Customer’s instructions, it informs the Customer before the processing, unless the law prohibits it.
The nature, purpose, categories of Personal data and of Data subjects, and the duration of the Processing are described in Annex 1.
The Provider undertakes to:
4.bis Audits are carried out with reasonable notice, during business hours, without unduly disrupting the Provider’s activity, subject to confidentiality, and at the Customer’s expense where they go beyond simply making documentation available.
5.1 The Customer warrants that the collection of Personal data and their communication to the Provider rest on a valid legal basis and comply with the GDPR, and that it has, where applicable, informed the Data subjects and obtained the required consents.
5.2 The Customer is responsible for the accuracy of the Personal data it provides and for the lawfulness of its instructions.
6.1 The Customer authorises the use of the Sub-processors listed in Annex 2 for the provision of the Service.
6.2 The Provider informs the Customer by email of any intended addition or replacement of a Sub-processor. The Customer may object on reasonable and legitimate grounds, in writing, within fourteen (14) days. Failing a solution, the Customer may terminate the part of the Service concerned.
6.3 The Provider imposes on each Sub-processor, by contract, data protection obligations equivalent to those of this DPA and remains liable for their performance.
The Service is hosted within the European Union or in Switzerland. The Customer acknowledges and accepts that Switzerland is recognised by the European Commission as providing an adequate level of data protection (Decision 2000/518/EC). Any transfer of Personal data to a third country takes place only if it is covered by a valid transfer mechanism under the GDPR (an adequacy decision or the European Commission’s standard contractual clauses), together with appropriate safeguards.
The Provider notifies the Customer of any Data breach affecting it as soon as possible after becoming aware of it, with the information reasonably available, and assists the Customer with its obligations to notify the Supervisory authority and, where applicable, the Data subjects.
9.1 This DPA applies for the entire duration of the Processing carried out under the Contract.
9.2 At the end of the service, the Provider deletes or returns the Personal data, at the Customer’s choice, and deletes the existing copies, unless a legal retention obligation applies.
9.3 Indicative retention periods: technical data (production, weather, flows) are kept for the duration of the Contract plus twelve (12) months; contractual and invoicing data, seven (7) years; community audit logs, seven (7) years; database backups, thirty (30) days for the daily copies and twelve (12) months for the monthly copies, after which they are deleted. Personal data deleted from the database therefore disappear from the backups at the latest twelve (12) months after their deletion. Community account data are deleted on request, subject to the retention of anonymised statistics.
The liability of the Parties under this DPA is governed by the liability provisions of the General Terms and Conditions, subject to the mandatory provisions of the GDPR and to any liability that cannot legally be excluded or limited. No provision of this DPA limits the rights of data subjects or the powers of the competent supervisory authorities.
11.1 In the event of a conflict regarding data protection between this DPA and the other contractual documents, the DPA prevails on those matters only.
11.2 If a provision of the DPA is held invalid, the other provisions remain in force and the provision concerned is replaced by a valid provision of equivalent effect.
11.3 Without prejudice to the application of the GDPR, this DPA is governed by the same law as the Contract (Belgian law if the Provider is Hydro Software Services SRL; French law if the Provider is HydroE-Micro SAS).
Categories of Data subjects: the Customer’s Users and contacts (managers, employees, representatives); the members and users of Naia Community attached to the Customer; where applicable, the contacts named in the DSO mandates.
Categories of Personal data: identification and contact data (surname, first name, position, email, telephone); login identifiers and connection data; subscription and invoicing data; community contributions (comments, survey answers); usage and audit logs. Plant production Data are technical data; they constitute Personal data only insofar as they relate to an identifiable natural person.
Special categories of data: none are required or requested by the Service.
Nature and purpose of the Processing: hosting, monitoring and analysis of plant production; management of accounts and access; provision of the community module and of the loyalty programme; support, invoicing and improvement of the Service.
Duration: the duration of the Contract, subject to the retention periods of article 9.3.
List of authorised Sub-processors (to be updated by the Provider; the current version is published at www.naiahydro.com/dpa):
| Sub-processor | Location | Purpose |
|---|---|---|
| Infomaniak | Switzerland / EU | Infrastructure hosting (Jelastic Cloud and VPS), file storage and email sending (SMTP) |
| Odoo | EU | CRM, invoicing, and sending of transactional emails and newsletters |
| Functional Software, Inc. (Sentry) | United States; data hosted in the EU region (Germany) | Reporting of the Service’s technical errors (error reports may contain the device’s IP address; names, email addresses and similar fields are removed before sending). Transfer covered by the EU-U.S. Data Privacy Framework and the standard contractual clauses (article 7). |
| Hydro Software Services SRL | Belgium / EU | Publishing of the Naia Service, technical infrastructure, maintenance, level 2+ technical support, technical processing of the production data and account data needed for the Service |
Note: the location and purpose must be checked and kept up to date by the Provider. Sub-processors located outside the EU fall under article 7.
The Provider implements and maintains state-of-the-art security measures appropriate to the risk, in particular: