Politique de confidentialité

Les données personnelles collectées via tonlivreur.ch sont traitées par la société qui exploite le Service :

Boucherie « Chez Grognuz » Sàrl
Route de Lausanne 3
1033 Cheseaux-sur-Lausanne
Suisse
IDE : CHE-461.785.071

Cette société est responsable du traitement au sens de la loi fédérale sur la protection des données (LPD révisée, en vigueur depuis le 1^er septembre 2023) et de son ordonnance d’exécution.

Cette politique explique quelles données nous traitons, pourquoi, combien de temps nous les gardons, qui peut y accéder, quels prestataires interviennent et quels sont vos droits. La page où sont vos données décrit, elle, où se trouvent les infrastructures : les deux se complètent.

• Identité et coordonnées : nom, e-mail, téléphone.
• Données de compte : mot de passe sous forme protégée (voir § 11), état du compte, dates de création et de dernière connexion.
• Adresses de livraison : rue, NPA, commune, et le point géographique correspondant.
• Panier et commandes : articles choisis, commerce concerné, montant, statut, historique.
• Position de livraison : le point où le Livreur doit se rendre.
  ⚠️ Cette position est celle de l’adresse de la commande en cours. Il ne s’agit pas d’un suivi de votre position dans le temps : le Service ne trace pas les déplacements des Clients. Si vous touchez « Utiliser ma position » en saisissant une adresse (site ou application), votre position est lueune seule fois, avec votre autorisation, et envoyée à notre serveur pour vous proposer l’adresse la plus proche ; elle n’est ni conservée dans votre compte ni utilisée pour vous suivre (détail par support en section 13).
• Échanges avec le support : ce que vous nous écrivez quand vous nous contactez. Ces échanges se font par e-mail et ne sont pas stockés dans une base de tickets.
• Données techniques nécessaires au fonctionnement et à la sécurité : jeton de connexion, journaux techniques du serveur.
• Newsletter : votre adresse e-mail, si et seulement si vous vous y êtes inscrit.
• Commande sans compte : si vous commandez sans créer de compte, nous enregistrons votre prénom, votre nom, votre e-mail, votre téléphone et votre adresse de livraison au moment où vous cliquez sur « Vérifier mes informations » dans le panier. Aucun mot de passe, aucun compte : ces informations servent à cette commande (confirmation par e-mail avec votre code de livraison et un lien de suivi, appel du commerce ou du Livreur si besoin). Le lien de suivi est personnel, valable 30 jours, et n’ouvre que cette commande. Votre e-mail et votre téléphone servent aussi à appliquer les avantages limités à un par client (codes de réduction) : ils sont comparés à ceux des autres clients. Si votre adresse e-mail a déjà un compte, la commande n’y est pas rattachée. Vous pouvez ensuite, si vous le voulez, créer un compte depuis la page de confirmation : un lien pour choisir votre mot de passe est envoyé à l’adresse de la commande, et la commande est rangée dans ce compte.

Finalité et justification du traitement : ces données sont traitées parce qu’elles sont nécessaires à l’exécution du Service et des obligations contractuelles correspondantes, créer votre compte, préparer et livrer votre commande, vous en informer, tenir la comptabilité, répondre à vos demandes et assurer la sécurité du Service.

Consentement : lorsque le traitement repose sur votre consentement, c’est le cas de la newsletter, celui-ci est recueilli avant le traitement concerné et peut être retiré à tout moment pour l’avenir.

• Identité et coordonnées : nom, téléphone, e-mail, adresse postale.
• IBAN et titulaire du compte : versement des rémunérations et établissement de la facture de paiement (QR-facture suisse).
• Documents d’identité : pièce d’identité, permis de conduire et contrat téléversés, pour vérifier l’identité et l’aptitude à livrer.
• Position GPS quand le Livreur est en ligne : répartition des livraisons, carte des Livreurs en service pour l’exploitant, suivi pour le Client et le Commerçant pendant une course, sécurité. Elle est transmise pendant que le Livreur est « en ligne » (une position toutes les 3 minutes), plus souvent pendant une course, et jamais hors ligne. Dans l’application mobile, elle continue d’être transmise en arrière-plan (section 13).
• Données de course et de paiement : livraisons effectuées, montants dus, factures émises.
• Selfie de vérification et donnée biométrique : voir la section 4, qui lui est entièrement consacrée.

Les documents d’identité sont conservés dans un espace de stockage privé, un dossier par Livreur, non accessible publiquement et hors de la partie du site servie aux visiteurs.

Finalité et justification du traitement : ces données sont nécessaires à l’exécution du contrat à la tâche conclu avec le Livreur, au versement de sa rémunération et au bon déroulement des livraisons.

Cette section décrit un traitement portant sur une donnée biométrique, qui constitue une donnée personnelle sensible au sens de l’art. 5 let. c LPD. Elle est détaillée à part pour cette raison.

À quoi ça sert. Empêcher qu’un compte Livreur soit partagé entre plusieurs personnes. Un compte Livreur donne accès à des adresses de Clients : nous devons pouvoir vérifier que la personne qui livre est bien celle qui a été contrôlée.

Comment ça marche. Au moment de se mettre en ligne, le Livreur prend un selfie. Ce selfie est comparé à un profil de référence enregistré lors de son premier selfie. Le système utilise un descripteur numérique calculé à partir de l’image du visage afin d’effectuer la comparaison. Ce descripteur est traité comme une donnée biométrique et n’est utilisé que pour la vérification décrite ici.

Où ça se passe. La comparaison est effectuée sur notre propre infrastructure. Aucune image et aucun descripteur ne sont transmis à un service de reconnaissance faciale tiers.

Ce qui est conservé, et c’est trois choses distinctes :

• l’image du selfie, dans l’espace de stockage privé du Livreur ;
• le descripteur de référence, rattaché à la fiche du Livreur ;
• le résultat de chaque vérification : la date, l’écart mesuré, si la comparaison a été jugée conforme et le cas échéant le motif.

Combien de temps. Ces trois éléments sont conservés pendant la collaboration, puis supprimés ensemble douze mois après la fin de celle-ci, l’image, le descripteur de référence et les résultats de vérification. Voir la section 6.

Qui y a accès. Les personnes chargées de la vérification des dossiers Livreurs, dans le cadre de leurs fonctions. Ces données ne sont utilisées à aucune autre fin : il n’y a aucune reconnaissance faciale des Clients ni de tiers, et aucune exploitation à des fins statistiques, commerciales ou publicitaires.

Décision humaine. Un résultat de comparaison douteux ne bloque jamais automatiquement le Livreur : il est signalé pour vérification par une personne.

Consentement, et ce qu’implique son retrait. Le consentement explicite du Livreur est recueilli avant la première utilisation de cette vérification. Il peut être retiré à tout moment, pour l’avenir, en nous écrivant.

⚠️ Nous devons être honnêtes sur la conséquence : cette vérification est une condition du fonctionnement de l’espace Livreur. Refuser d’y consentir, ou retirer son consentement, signifie donc que le compte Livreur ne peut plus être utilisé pour effectuer des livraisons. Nous ne promettons pas le contraire. Les données déjà collectées sont alors traitées selon les durées de la section 6, et la relation contractuelle est réglée séparément.

• Le commerce : nom, adresse, horaires d’ouverture, type de commerce, logo, carte des produits.
• Contact : e-mail et téléphone de la personne responsable, pour la gestion du compte et les commandes.
• IBAN et titulaire du compte : versement de la part qui revient au commerce.
• Données de facturation : assujettissement à la TVA et numéro correspondant le cas échéant, commandes reçues, montants dus.
• Compte d’accès : identifiants de connexion à l’espace Commerçant.
• Personne de contact : prénom, nom et numéro de téléphone du responsable, saisis par l’équipe tonlivreur pour joindre le commerce (ajouté le 11 septembre 2026).
• Vérification pour les paiements (ajouté le 6 octobre 2026) : la loi impose à notre prestataire de paiement de vérifier l’identité de chaque commerce. Le Commerçant saisit dans son espace la raison sociale, la forme juridique, l’adresse du siège, le nom, la date de naissance et l’adresse privée du responsable, et dépose un extrait du registre du commerce, une pièce d’identité (recto et verso) et un justificatif de domicile. Ces pièces sont chiffrées sur nos serveurs en Suisse, consultables seulement par l’équipe tonlivreur, et transmises à Payrexx pour la vérification.

Finalité et justification du traitement : ces données sont nécessaires à l’exécution du contrat conclu entre le Commerçant et tonlivreur.ch, publier son offre, lui transmettre les commandes, lui reverser ce qui lui revient et établir les documents comptables.

• Compte Client : conservé pendant toute la durée d’utilisation du Service. Après une demande de clôture, un délai opérationnel de 30 jours s’écoule, il permet de revenir sur une fermeture demandée par erreur, et une simple reconnexion l’annule. Au terme du délai, le compte et les données qui s’y rattachent sont anonymisés de façon irréversible : votre nom, votre e-mail, votre téléphone et vos adresses disparaissent définitivement.
  ⚠️ Les commandes subsistent, mais détachées de vous, parce qu’elles servent de pièces comptables, voir le point suivant.
• Commande sans compte : si aucune commande n’est créée après la vérification de vos informations dans le panier, votre prénom, votre nom, votre e-mail, votre téléphone et votre adresse sont effacés automatiquement au plus tard 48 heures plus tard. Si vous avez commandé, ils sont conservés avec la commande comme ceux d’un client avec compte ; vous pouvez en demander l’effacement à tout moment en écrivant à contact@tonlivreur.ch, et l’équipe les anonymise de la même façon qu’un compte fermé.
• Compte Livreur : vous pouvez fermer votre compte vous-même depuis « Mon compte » (le compte est fermé immédiatement, sur le site et dans l’application), ou le demander à l’équipe. À la fin de la collaboration, les documents d’identité, les selfies, la donnée biométrique et les résultats de vérification sont purgés automatiquement au bout de douze mois (voir plus bas). La fiche du Livreur elle-même et l’historique de ses courses sont conservés aussi longtemps que les obligations légales et contractuelles l’imposent, rémunérations versées et pièces comptables notamment.
• Compte Commerçant : conservé pendant la durée du contrat, puis aussi longtemps que les obligations comptables l’imposent. La suppression se demande à l’adresse indiquée à la section 10 ; elle n’est pas automatique.
• Pièces de vérification d’un Commerçant (extrait du registre, pièce d’identité, justificatif de domicile) : conservées, chiffrées, pendant la durée du contrat. Elles se suppriment sur demande à l’adresse de la section 10 ; ce n’est pas automatique.
• Commandes, factures et pièces comptables : les pièces et données soumises à une obligation légale de conservation sont conservées pendant la durée imposée par la législation applicable, notamment en matière comptable.
• Documents d’identité, selfies, descripteur biométrique et résultats de vérification des Livreurs : conservés pendant la collaboration, puis purgés douze mois après la fin de celle-ci. C’est notre politique de purge, appliquée automatiquement : le dossier de fichiers est effacé, les enregistrements de selfies supprimés et le descripteur de référence remis à zéro.
• Positions GPS des Livreurs, deux durées, parce qu’il s’agit de deux choses différentes :
  • Pendant une course : conservées 30 jours après la fin de la course, pour le suivi, le support et le traitement d’éventuelles contestations. Puis supprimées.
  • Hors course, quand le Livreur est en ligne mais ne livre pas : conservées 24 heures. Elles servent à attribuer la course suivante au Livreur le plus proche et à la carte des Livreurs en service que voit l’exploitant, en temps réel. Puis supprimées.
  Ces suppressions sont automatiques et définitives : la position, la direction, la vitesse et l’horodatage sont effacés, il ne reste rien qui permette de reconstituer un trajet. ⚠️ Tant qu’une course n’est pas terminée, ses positions sont conservées quel que soit leur âge : c’est ce qui permet de comprendre un incident si une livraison reste bloquée.
• Newsletter : jusqu’à votre désinscription.

En interne, l’accès est limité selon les fonctions et les besoins opérationnels : gestion des commandes, support, comptabilité, vérification des dossiers Livreurs.

Les espaces Clients, Livreurs et Commerçants sont séparés, afin qu’un utilisateur ne puisse pas accéder aux données qui ne le concernent pas. Un Commerçant voit les commandes qui lui sont adressées, pas celles des autres ; un Livreur ne voit que les courses qu’il a acceptées, pour chacune,l’adresse de livraison et le nom du Client (prénom et nom, pour trouver la bonne sonnette), et son numéro de téléphone seulement une fois la commande récupérée au commerce, jamais avant.

• Hébergement : Infomaniak Network SA. Nos serveurs sont situés en Suisse.
• Sauvegardes : Swiss Backup, également en Suisse.
• E-mails (confirmations de commande, notifications) : envoyés via Infomaniak.
• Fond de carte (page de suivi d’une commande) : swisstopo, Office fédéral de topographie, en Suisse. Pour afficher la carte, votre navigateur lui demande les morceaux de carte de la zone affichée, comme sur tout site qui montre une carte. Aucune donnée de compte ni de commande ne lui est transmise.
• Paiements : Payrexx. Les paiements sont traités par notre prestataire de paiement. Les données nécessaires au traitement de la transaction lui sont transmises, conformément à ses propres conditions et à la présente politique. tonlivreur.ch n’enregistre pas de données de carte bancaire sur ses serveurs. Pour les Commerçants, Payrexx reçoit aussi les informations et les pièces du dossier de vérification (section 5), nécessaires à la vérification d’identité que la loi lui impose.

Vos données ne sont ni vendues, ni transmises à des tiers à des fins publicitaires.

Le détail poste par poste, qui héberge quoi, et où, figure sur la page où sont vos données.

Nous privilégions des prestataires et une infrastructure situés en Suisse. À ce jour, les serveurs, les sauvegardes et l’envoi des e-mails du Service sont assurés par des prestataires suisses, et le Service ne fait appel à aucun outil d’analyse, de publicité ou de notification hébergé à l’étranger.

Lorsqu’un traitement implique un prestataire ou une infrastructure située à l’étranger, les informations correspondantes et les garanties applicables sont décrites ici ou dans la documentation du prestataire concerné.

Vous disposez, dans les conditions prévues par la LPD, de droits concernant vos données personnelles : notamment le droit d’obtenir des informations sur leur traitement et d’accéder aux données vous concernant, ainsi que de demander leur rectification ou leur suppression lorsque les conditions légales sont remplies.

Lorsqu’un traitement repose sur votre consentement, vous pouvez le retirer à tout moment pour l’avenir. Le retrait ne remet pas en cause ce qui a été fait avant, et ses conséquences pratiques sont indiquées à l’endroit concerné, voir en particulier la section 4 pour les Livreurs.

Certains droits peuvent être limités ou refusés lorsque la loi le prévoit, notamment lorsque des données doivent être conservées en vertu d’une obligation légale. Nous vous en indiquons alors le motif.

Pour exercer vos droits, écrivez-nous via la page d’aide ou à contact@tonlivreur.ch. Nous nous donnons pour objectif de répondre dans un délai de 30 jours ; si une demande exige plus de temps, nous vous le disons et vous indiquons pourquoi.

Les mots de passe sont stockés sous une forme protégée par hachage cryptographique et ne sont pas conservés en clair : nous ne pouvons donc pas les lire, ni vous les rappeler.

Les accès aux espaces Client, Livreur et Commerçant sont protégés par authentification. Les documents d’identité des Livreurs sont conservés dans un espace de stockage privé, non accessible publiquement. Les échanges entre votre appareil et le Service sont chiffrés (HTTPS).

Le site applique en outre une politique de sécurité du contenu (CSP) restrictive, qui limite les ressources et les scripts pouvant être chargés par votre navigateur.

tonlivreur.ch n’utilise aucun cookie publicitaire ni traceur d’analyse tiers, pas de Google Analytics, pas de pixel publicitaire.

Le Service ne dépose aucun cookie. Il utilise uniquement le stockage local de votre navigateur, qui peut contenir des identifiants ou des informations techniques nécessaires à son fonctionnement :

• Jeton de connexion : pour rester connecté à votre espace (un jeton distinct par espace : Client, Livreur, Commerçant).
• Panier : le contenu de votre panier, pour ne pas le perdre entre deux visites. Il reste dans votre navigateur.
• Préférences d’affichage : par exemple, pour l’espace Commerçant, si la sonnerie de nouvelle commande est active.
• Mesure de fréquentation anonyme : un identifiant tiré au hasard, effacé à la fermeture de l’onglet, pour savoir à quelle étape les visites s’arrêtent (accueil, carte, panier, paiement), et un second identifiant tiré au hasard, gardé dans ton navigateur tant que tu n’effaces pas les données du site, qui dit seulement si ce navigateur est déjà venu. Nous gardons aussi le type d’appareil, de système et de navigateur (par exemple « iPhone, Safari ») et le site d’où tu arrives. Ces mesures sont envoyées à notre seul serveur, sans nom, sans adresse e-mail et sans adresse IP conservée, et effacées après 25 mois. Seule exception : le rattachement à votre compte décrit au point suivant, uniquement si vous êtes connecté.
• Visite rattachée à votre compte, si vous êtes connecté : quand vous êtes connecté à votre compte client, votre navigateur indique à notre serveur que la visite en cours est la vôtre. Votre parcours sur le site (pages vues, articles ajoutés au panier, étapes de la commande, panier non payé) est alors rattaché à votre compte. Cela permet à l’équipe tonlivreur de voir votre prénom à côté des pages que vous consultez en ce moment, pour vous aider si vous bloquez, et de comprendre pourquoi une commande n’est pas allée jusqu’au paiement. L’équipe peut alors vous écrire, par un message envoyé à la main et jamais deux fois pour le même panier, pour vous demander pourquoi au moyen d’un court questionnaire facultatif ; un lien en bas de ce message permet de ne plus en recevoir. Ce rattachement est effacé 90 jours après votre dernière visite ; vos réponses au questionnaire sont gardées 25 mois. Sans être connecté, vous restez anonyme : rien n’est rattaché à personne. Pour que votre visite ne soit pas rattachée, il suffit de naviguer sans être connecté ; vous pouvez aussi vous y opposer et en demander l’effacement à tout moment en nous écrivant à contact@tonlivreur.ch. La suppression de votre compte efface aussi ce rattachement.

Ces éléments servent au fonctionnement du Service et à mémoriser vos préférences. Ils ne servent ni à vous suivre sur d’autres sites, ni à afficher de la publicité ciblée.

Le Service existe aussi sous forme de trois applications Android :« tonlivreur » pour les Clients,« tonlivreur Livreur » pour les Livreurs et« Ton Livreur - Commerces » pour les Commerçants. Elles utilisent les mêmes comptes et les mêmes serveurs que le site : tout ce qui précède s’applique de la même manière. Cette section décrit uniquement ce que les applications font en plus, sur le téléphone.

Position en arrière-plan, application Livreur

• Quand : la transmission de la position démarre lorsque le Livreur passe « en ligne » dans l’application, et s’arrête dès qu’il repasse « hors ligne ». Hors ligne, l’application ne transmet aucune position.
• En ligne, sans course : une position toutes les3 minutes, pour que l’exploitant voie sur une carte quels Livreurs sont en service et où, et pour attribuer chaque course au Livreur le plus proche. Elle est conservée 24 heures (section 6).
• Pendant une course : au plus une position toutes les dix secondes, et seulement après un déplacement d’au moins 25 mètres, pour que le Client et le Commerçant suivent la livraison.
• En arrière-plan : la position continue d’être transmise lorsque l’écran est éteint ou qu’une autre application est au premier plan, sans que le Livreur ait à garder l’application ouverte. Android affiche pendant tout le temps où le Livreur est en ligne une notification permanente « En ligne, tonlivreur » (qui indique que la position est partagée), et pendant une course une notification « Course en cours » ; elles disparaissent dès qu’il repasse hors ligne ou que la course est terminée.
• Site livreur et version installée sur iPhone (web app) : mêmes moments et mêmes cadences, mais la position n’est transmise que lorsque tonlivreur est affiché à l’écran. Dès qu’une autre application passe devant ou que l’écran s’éteint, plus rien n’est transmis : le web ne permet pas la transmission en arrière-plan. Les notifications de cette version (nouvelle course, course ajoutée) transitent par le service de notification du téléphone (Apple sur iPhone), comme celles de l’application ; elles ne contiennent ni nom ni adresse de client.
• Autorisations demandées : position précise (demandée au passage « en ligne »), position en arrière-plan (demandée à la première course), et affichage de notifications (pour les notifications permanentes ci-dessus). Si l’autorisation est refusée, le Livreur peut quand même passer en ligne et livrer : aucune position n’est transmise, et l’écran de course indique que la position est indisponible et propose d’ouvrir les réglages du téléphone.
• Conservation : les durées de la section 6 s’appliquent (30 jours pour les positions d’une course terminée).

Appareil photo, application Livreur

Les trois documents du dossier Livreur (pièce d’identité, permis de conduire, contrat) peuvent être photographiés avec l’appareil photo du téléphone ou choisis dans la galerie, au choix du Livreur, à chaque envoi. La photo est transmise uniquement au Service, dans l’espace de stockage privé décrit à la section 3. L’application ne prend aucune photo d’elle-même et ne lit pas le reste de la galerie.

Application Client

L’application « tonlivreur » ne demande ni appareil photo, ni contacts. Le suivi d’une commande affiche son statut et le code de remise.Position : uniquement si vous touchez le bouton « Utiliser ma position » en saisissant une adresse de livraison, l’application demande alors l’autorisation, lit votre position une seule fois et l’envoie à notre serveur pour vous proposer l’adresse la plus proche (données d’adresses de la Confédération, swisstopo, servies par nos propres serveurs en Suisse). Cette position n’est ni conservée, ni rattachée à votre compte, ni utilisée pour vous suivre : le serveur répond l’adresse et ne garde rien. Si vous refusez l’autorisation, vous tapez votre adresse ; rien d’autre ne change. Jamais de position en arrière-plan.

Application Commerces

• Connexion : avec l’adresse e-mail et le mot de passe de votre compte Commerçant. Rien d’autre n’est demandé.
• Ce que l’application lit et fait : elle affiche les commandes de votre commerce et vous permet de les accepter, de les marquer « prêtes », de signaler un article en rupture, de remettre un plat en vente et de gérer vos pauses. Ce sont les mêmes données et les mêmes actions que sur le site.
• Veille des nouvelles commandes : pour vous alerter même quand l’écran est éteint, l’application lance un service Android de premier plan, avec une notification permanente. Il interroge nos serveurs toutes les 12 secondes pour savoir si une commande est arrivée. Il s’arrête à la déconnexion.
• Aucune position, aucun appareil photo, aucun contact : l’application ne demande pas ces autorisations. Elle n’intègre aucun outil de mesure ni aucun service tiers.
• Où partent les données : uniquement vers api.tonlivreur.ch, nos serveurs en Suisse.

Notifications et données conservées sur le téléphone

• Aucune notification push par un service tiers : les applications n’utilisent pas Firebase ni un service équivalent. La seule notification est celle que le téléphone affiche pendant une course, décrite ci-dessus.
• Sur le téléphone, l’application Livreur conserve le jeton de connexion et l’état de la course en cours (pour la reprendre après une coupure réseau) ; l’application Client conserve le jeton de connexion, le panier et la commande en cours ; l’application Commerces conserve uniquement le jeton de connexion, dans le stockage chiffré d’Android. Le jeton est effacé à la déconnexion, et désinstaller l’application supprime l’ensemble.
• Vos droits (section 10) s’exercent de la même manière, à l’adresse contact@tonlivreur.ch.