Cette politique présente les traitements du service ONEXA pour son lancement. Avant l’ouverture, seules les opérations effectivement réalisées sont concernées. La vérification par WhatsApp s’applique lorsqu’elle est proposée et disponible dans le parcours.

Politique de confidentialité ONEXA

Version du 17 septembre 2026 — Référence CONF 2026-09-17

Cette politique explique comment Onexa Technologies utilise les données des emprunteurs et des personnes utilisant son portail professionnel. Elle couvre le compte, les prêts de batteries, les garanties bancaires, l’assistance et la sécurité du service. Les coordonnées des emprunteurs ne sont ni vendues ni mises à la disposition des établissements pour leur démarchage commercial.

1 Qui est responsable de vos données

Onexa Technologies, SARL au capital de 4 000 €, RCS Paris 102 721 719, 54 rue du Général Delestraint, 75016 Paris, France, est responsable des traitements qu’elle détermine pour le service ONEXA.

Pour toute question ou demande relative à vos données, écrivez à contact@onexa-station.com ou à l’adresse postale ci-dessus. Les coordonnées complètes de la société figurent dans les mentions légales. Vous n’avez pas à utiliser WhatsApp pour exercer vos droits.

2 Quelles données sont utilisées

Pour le compte et les emprunts, ONEXA utilise les informations communiquées lors de la connexion Google : identifiant du compte Google, nom et adresse électronique, ainsi que l’adresse de la photo de profil lorsqu’elle est fournie. La photo peut être chargée depuis Google pour afficher l’avatar du compte et de la fiche d’assistance interne. ONEXA ne télécharge pas pour cette finalité une copie permanente de la photo sur son serveur.

ONEXA traite également le numéro de téléphone renseigné, le résultat de sa vérification lorsqu’elle est effectuée, la date et la version des CGU acceptées, l’identifiant du compte, les données d’emprunt et de restitution : établissement, borne, emplacement, batterie, dates, statuts et incidents. La vérification du numéro contrôle l’accès à ce numéro au moment de l’opération ; elle ne certifie pas une identité civile.

Lorsqu’une garantie est demandée, ONEXA traite les références techniques Stripe, montants, échéances d’autorisation disponibles, statuts, décisions d’encaissement, motifs, remboursements et éléments nécessaires à une contestation. Les données complètes de carte et le cryptogramme sont saisis auprès de Stripe ; ONEXA ne les stocke pas dans ses fichiers de comptes et d’emprunts. Un identifiant technique de carte fourni par Stripe peut être utilisé pour prévenir le contournement d’une exclusion, dans les conditions de l’article 4.

Les demandes d’assistance et réclamations comprennent leur contenu, les coordonnées utiles et les justificatifs que vous choisissez de transmettre. Évitez d’envoyer des informations sans rapport avec votre demande, des données de santé ou une copie complète de votre carte bancaire. Une pièce d’identité n’est pas demandée systématiquement.

Pour les utilisateurs du portail professionnel, ONEXA traite les coordonnées professionnelles, la raison sociale, les identifiants de connexion, le mot de passe sous forme hachée lorsqu’il en existe un, les autorisations d’accès, les échanges et les éléments de suivi du contrat. Une adresse d’établissement ne constitue pas l’adresse personnelle d’un emprunteur.

Le fonctionnement et la sécurité peuvent produire des données techniques, notamment des journaux d’événements et des informations de navigateur. Les vérifications de sécurité de la console d’administration sont distinctes du parcours des emprunteurs ; elles ne servent pas à géolocaliser les déplacements de ces derniers.

3 Pourquoi et sur quelle base juridique

Compte, prêt, restitution, garantie et assistance contractuelle. Les données nécessaires permettent de fournir le service demandé, de suivre la batterie, de vous contacter au sujet de cet emprunt et de traiter la garantie. Le fondement est l’exécution du contrat ou les mesures prises à votre demande avant sa conclusion, conformément à l’article 6, paragraphe 1, b du RGPD. L’absence des informations indispensables peut empêcher l’inscription ou l’emprunt.

Sécurité, prévention des abus et défense des droits. ONEXA traite les éléments nécessaires pour protéger ses équipements et comptes, détecter des usages abusifs, instruire une exclusion, reconstituer un incident et défendre ses droits. Le fondement est son intérêt légitime, apprécié en tenant compte de vos droits, notamment lorsque vous êtes mineur. Il n’autorise ni une surveillance sans limite ni une conservation indéfinie.

Avatar et suivi de l’utilisation. La reconnaissance visuelle du compte et le suivi des usages répondent à l’intérêt légitime d’ONEXA de faciliter l’assistance et d’évaluer son service. La photo n’est pas utilisée pour la reconnaissance faciale. Les statistiques présentées dans votre compte restent des données personnelles tant qu’elles vous sont rattachables. Les résultats durablement conservés pour la gestion du parc et les statistiques des établissements sont rendus anonymes ; un identifiant de remplacement ne suffit pas, à lui seul, à produire cette anonymisation.

Obligations légales. Les pièces nécessaires à la comptabilité, au traitement des droits sur les données et à la réponse aux autorités compétentes sont traitées sur le fondement des obligations légales applicables.

Fonctions facultatives et traceurs. Lorsqu’un consentement est nécessaire pour une fonction ou un traceur non indispensable, il est recueilli séparément et peut être retiré aussi facilement qu’il a été donné. Accepter les CGU ou se connecter avec Google ne constitue pas un consentement général à tous les usages des données.

ONEXA ne déduit pas votre sexe, votre genre ou votre nationalité de votre nom ou de votre numéro. Un indicatif téléphonique renseigne sur la numérotation du téléphone, pas sur l’origine d’une personne. Les données du service ne sont pas utilisées pour le démarchage des emprunteurs.

4 Exclusions et décisions humaines

Pour empêcher le contournement d’une exclusion justifiée, ONEXA peut conserver des empreintes sécurisées de l’adresse électronique, du téléphone et de l’identifiant technique de carte, ainsi qu’un masque d’identification, le motif factuel et les dates de décision et de réexamen. Ces empreintes restent des données personnelles, même si elles ne permettent pas de lire directement les coordonnées.

L’accès à ces informations est réservé aux personnes habilitées chez ONEXA. Elles ne constituent pas une liste de personnes communiquée aux établissements. Un rapprochement technique peut signaler une correspondance ; une contestation ou un risque d’erreur d’identification doit pouvoir être examiné humainement. Les décisions d’encaissement et d’exclusion ne reposent pas exclusivement sur une décision automatisée produisant un effet juridique ou un effet significatif comparable.

Les mesures sont proportionnées aux faits établis, réexaminées au moins chaque année et levées dès qu’elles ne sont plus nécessaires. Leur durée ne peut dépasser cinq ans à compter de la décision initiale. Une tentative de connexion ou une demande de réexamen ne prolonge pas automatiquement cette durée. Les antécédents ne sont pas conservés sans terme pour maintenir une exclusion.

5 Qui peut recevoir les données

ONEXA. Les personnes habilitées accèdent aux seules données utiles à leur mission d’exploitation, d’assistance, de sécurité ou de gestion des réclamations.

L’établissement d’emprunt. Les personnes autorisées de cet établissement peuvent consulter les prêts effectués chez elles et les coordonnées nécessaires à leur suivi ou à l’assistance. Elles ne peuvent pas consulter les emprunts réalisés dans les autres établissements. Après un retour sans incident, les coordonnées sont masquées sur leur tableau de bord au plus tard après 90 jours ; les statistiques demeurent accessibles sans ces coordonnées. Un incident ouvert peut justifier le maintien d’un accès limité aux informations utiles à son traitement. L’établissement peut ensuite solliciter ONEXA pour une demande justifiée.

L’accès est destiné au suivi du service, pas au démarchage commercial, à la constitution d’un fichier de prospects ou à l’enrichissement libre d’un fichier d’adhérents. L’établissement n’acquiert aucun droit général de réutilisation des données. Le masquage sur son tableau de bord est distinct de la suppression des données chez ONEXA.

Hostinger. Hostinger International Limited assure l’hébergement et les sauvegardes du service. Les garanties et lieux de traitement sont précisés à l’article 7.

Google. Google intervient pour la connexion au compte et, lorsqu’il est affiché, le chargement de l’avatar. Google Workspace sert à envoyer et recevoir les courriers électroniques d’ONEXA. La connexion et le chargement d’un contenu Google peuvent communiquer à Google des informations techniques, notamment l’adresse IP et le navigateur, en plus des informations échangées pour l’authentification. La politique de Google est accessible à https://policies.google.com/privacy.

Stripe. Lorsque vous utilisez la garantie bancaire, Stripe reçoit le montant, la devise, l’établissement et une référence technique d’emprunt transmise par ONEXA. Vous saisissez directement les informations de paiement dans son interface. La référence technique et les données de paiement peuvent être rattachées à une personne : elles ne sont pas présentées comme anonymes. Stripe traite aussi certaines informations pour ses propres obligations de sécurité, de prévention de la fraude et de conformité. Informations : https://stripe.com/fr/privacy.

WhatsApp et Meta. Lorsque le parcours utilise WhatsApp pour envoyer un code de vérification, le numéro et le contenu nécessaire à ce message sont transmis au prestataire. Si vous utilisez ce canal pour l’assistance, le contenu de votre échange est également traité par ce service. Les conditions de WhatsApp s’appliquent à votre propre utilisation de cette messagerie : https://www.whatsapp.com/legal/privacy-policy. ONEXA ne transmet pas de code par WhatsApp lorsque cette fonction n’est pas disponible.

Fournisseur technique des bornes. Les commandes et relevés du système ChargeNow utilisent les identifiants de borne et d’emplacement nécessaires au déverrouillage et au retour. ONEXA ne lui transmet pas, pour ces commandes, les nom, adresse électronique ou téléphone de l’emprunteur.

Des prestataires habilités, conseils, assureurs, médiateur ou autorités peuvent recevoir les seuls éléments nécessaires à leur intervention, à une obligation légale ou à un litige. Ces destinataires ne bénéficient pas d’un accès général à l’ensemble des comptes.

6 Combien de temps les données sont conservées

Compte d’emprunteur. Le compte et les statistiques personnelles sont conservés pendant son utilisation. Après douze mois sans connexion ni emprunt, le compte est supprimé après avertissement préalable, y compris s’il a été créé sans qu’aucun prêt ait eu lieu. Les éventuelles données encore nécessaires à un dossier ouvert sont isolées de l’usage courant.

Emprunt restitué. Les données personnelles rattachées au prêt sont supprimées ou rendues anonymes douze mois après sa restitution, sauf nécessité particulière de conserver des pièces pour un litige ou une obligation légale. La suppression d’un historique d’emprunt n’entraîne pas à elle seule la fermeture d’un compte encore actif.

Non-restitution. Les données utiles sont conservées pendant le suivi effectif du dossier. Une restitution, un règlement ou une décision d’abandon conduit à sa clôture et à l’application de l’effacement correspondant ; un contentieux impose un archivage limité aux pièces nécessaires. Le simple maintien d’un statut « non restitué » ne justifie pas une conservation indéfinie. Pour le recouvrement contre un consommateur, ONEXA tient compte notamment de la prescription de deux ans et de ses éventuelles causes légales de suspension ou d’interruption.

Réclamations et messagerie. Les échanges courants sont conservés douze mois après leur clôture. Si un différend subsiste, les pièces nécessaires peuvent être archivées avec un accès restreint pendant la durée utile à son traitement et aux recours. À titre général, la défense de droits contractuels peut justifier un archivage jusqu’à cinq ans selon le point de départ de la prescription applicable ; une procédure en cours peut imposer de conserver les pièces jusqu’à sa clôture définitive. Cela ne maintient pas l’ensemble du profil en accès courant.

Garantie et paiement. Les références opérationnelles sont conservées le temps de gérer l’autorisation, un encaissement, un remboursement ou une contestation, puis effacées avec le dossier correspondant. Les pièces comptables et leurs justificatifs relevant d’une obligation légale sont conservés dix ans à compter de la clôture de l’exercice concerné. Cette durée ne s’applique pas indistinctement à tous les emprunts gratuits.

Exclusion. Les identifiants de contrôle sont conservés pendant la durée nécessaire à la mesure, sous réexamen annuel et avec une limite maximale de cinq ans depuis sa décision initiale. Ils sont supprimés à la levée ou à l’expiration, sauf conservation distincte de pièces strictement nécessaires à un contentieux.

Compte professionnel. Les accès sont retirés à la fin du contrat ; le profil est supprimé trois mois après cette fin. Les pièces contractuelles ou comptables nécessaires suivent leurs propres durées légales. Les journaux internes de sécurité comportant des adresses IP ont une durée de 90 jours ; les autres journaux de suivi concernés ont une durée de douze mois depuis l’événement, y compris lorsqu’ils sont archivés.

Statistiques anonymes. Des résultats ne permettant plus raisonnablement d’identifier un utilisateur, directement ou par recoupement, peuvent être conservés sans limitation de durée. Tant qu’un lien avec une personne demeure, les durées applicables aux données personnelles continuent de s’appliquer.

Sauvegardes. Les données effacées du service courant peuvent subsister temporairement dans des sauvegardes destinées à la reprise après incident. Ces copies sont remplacées ou supprimées suivant le cycle de sauvegarde applicable et ne sont pas réutilisées pour l’exploitation courante. Lors d’une restauration, les effacements déjà exécutés sont réappliqués avant la remise en exploitation des données concernées. L’effacement d’un compte ne signifie donc pas l’effacement instantané de toutes les copies de secours. Les engagements contractuels d’Hostinger figurent dans son accord de traitement : https://www.hostinger.com/legal/dpa.

7 Lieux de traitement et transferts

Le serveur principal Hostinger du service est situé au Royaume-Uni et ses sauvegardes sont localisées en Allemagne, selon la confirmation de l’hébergeur. Cette localisation ne signifie pas que tous les prestataires ou tous les accès de support restent dans ces deux pays.

Les traitements de Google, Stripe, Meta et des sous-traitants de l’hébergeur peuvent impliquer des accès ou des transferts hors de l’Espace économique européen. Selon le destinataire et le traitement, leur encadrement repose sur une décision d’adéquation applicable ou sur des clauses contractuelles types de la Commission européenne accompagnées, lorsqu’elles sont nécessaires, de garanties complémentaires. L’adéquation du Royaume-Uni permet les transferts qu’elle couvre ; elle ne couvre pas automatiquement un transfert ultérieur vers un autre pays.

Vous pouvez demander à ONEXA des précisions sur les garanties applicables à vos données et une copie des garanties pertinentes, sous réserve de la protection des informations confidentielles et des droits de tiers. Les documents des prestataires sont notamment consultables à https://www.hostinger.com/legal/dpa, https://cloud.google.com/terms/data-processing-addendum/, https://stripe.com/legal/dpa et https://www.whatsapp.com/legal/business-data-processing-terms.

8 Cookies et stockage dans le navigateur

Le service utilise des éléments de stockage nécessaires à l’authentification et au fonctionnement, ainsi que des préférences d’affichage. Le caractère technique d’un outil ne dispense pas automatiquement de consentement : seuls les usages strictement nécessaires ou répondant à une exemption applicable sont utilisés sans consentement préalable.

Dans la web app, le jeton de connexion « onexa_gtoken » est placé dans le stockage de session pour éviter de vous reconnecter à chaque page ; il est supprimé à la déconnexion et, selon le fonctionnement normal du navigateur, à la fermeture de l’onglet. Les clés « onexaLang », « onexa_slug » et « onexa_marque » mémorisent la langue et le contexte de l’établissement. La clé « onexa_demo_etat » mémorise l’avancement d’une démonstration. Ces préférences locales persistent jusqu’à leur suppression ou leur remplacement ; vous pouvez les effacer dans les réglages de votre navigateur.

Pour les professionnels, le cookie « connect.sid » conserve la session pendant une heure. Les clés « portal-theme », « portal_tab », « onexa_notif_seen » et « onexa-portal-borne-rename » mémorisent des préférences du portail jusqu’à effacement ou remplacement. Les réglages de la console interne concernent ses utilisateurs habilités et non les emprunteurs.

Les services tiers sollicités pour la connexion ou le paiement peuvent utiliser leurs propres mécanismes nécessaires à ces fonctions et à leur sécurité. Tout usage non nécessaire doit être soumis au consentement avant activation. Refuser un usage facultatif n’empêche pas le prêt. Effacer les données de session peut en revanche vous déconnecter. Un choix de connexion à Google n’autorise pas, à lui seul, des traceurs publicitaires.

9 Vos droits et leur exercice

Dans les conditions du RGPD, vous pouvez demander l’accès à vos données, leur rectification, leur effacement et la limitation de leur traitement. Vous pouvez demander la portabilité des données que vous avez fournies lorsque le traitement automatisé repose sur votre consentement ou sur le contrat. Vous pouvez vous opposer, pour des raisons tenant à votre situation particulière, aux traitements fondés sur l’intérêt légitime. Lorsqu’un traitement repose sur votre consentement, vous pouvez le retirer à tout moment sans remettre en cause la licéité des opérations antérieures.

Vous pouvez également définir des directives sur le sort de vos données après votre décès dans les conditions du droit français. L’exercice de vos droits est gratuit, sous réserve des exceptions légales concernant des demandes manifestement infondées ou excessives.

Adressez votre demande à contact@onexa-station.com ou au siège d’ONEXA en précisant le compte concerné et votre demande. Une information complémentaire d’identification peut être demandée en cas de doute raisonnable, de manière proportionnée. ONEXA répond dans le mois suivant réception ; une prolongation jusqu’à deux mois supplémentaires peut être nécessaire en raison de la complexité ou du nombre de demandes, avec information motivée dans le premier mois.

Une demande d’effacement est exécutée sans retard injustifié lorsqu’elle est fondée. Il n’existe pas de délai d’attente systématique de trente jours. Si une conservation limitée reste nécessaire, notamment pour une obligation légale ou la défense d’un droit en justice, ONEXA vous en explique le motif et limite les données concernées. Un emprunt encore ouvert ne justifie pas à lui seul de refuser l’ensemble de vos droits.

Vous pouvez saisir la Commission nationale de l’informatique et des libertés, CNIL, sur https://www.cnil.fr ou par courrier au 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. Vous pouvez aussi saisir l’autorité de contrôle compétente dans les conditions du RGPD.

10 Sécurité et mises à jour de cette politique

ONEXA met en œuvre des mesures adaptées aux risques, notamment la limitation des accès, le cloisonnement entre établissements, la protection des connexions et la sauvegarde des données. Ces mesures ne constituent pas une garantie d’absence absolue d’incident. Les violations de données sont traitées et, lorsque les conditions légales sont réunies, notifiées à l’autorité de contrôle et aux personnes concernées.

La politique est actualisée lorsque les traitements évoluent. Une modification importante est portée à votre connaissance ; une nouvelle finalité nécessitant un consentement ne peut être mise en œuvre sur la seule base de la publication d’un nouveau texte.