Protection des données

Nous traitons les données personnelles avec parcimonie. Cette déclaration dit ce qui est réellement collecté lors de la planification d'une sortie, de la création d'un compte et du chargement de la carte, et ce qui ne l'est pas.

1. Responsable du traitement

Le responsable du traitement des données personnelles au sens de la loi suisse sur la protection des données (LPD) est l'exploitant mentionné dans les mentions légales. Les demandes adressées à info@mofamaps.ch reçoivent une réponse dans les 30 jours.

2. Lors d'une simple visite

Le serveur web consigne les accès dans des fichiers journaux : adresse IP, moment, page consultée, page de provenance, navigateur et système d'exploitation. Cela sert à l'exploitation, à la sécurité et à la recherche d'erreurs. Ces données ne sont pas recoupées avec d'autres.

Il n'y a ni pixels de suivi, ni régies publicitaires, ni statistiques de visite par des tiers. Les polices sont livrées depuis notre propre serveur ; aucune connexion à Google Fonts n'a lieu.

L'app pour iPhone et Android affiche le même site. Elle ajoute la mention «ToeffliRouteApp/1» à l'identification du navigateur. Cette identification figure comme toute autre dans les fichiers journaux du serveur web.

3. Compte

Créer un compte suppose une adresse e-mail et un mot de passe. Le mot de passe n'est jamais conservé en clair, mais uniquement sous forme d'empreinte Argon2id. Les liens de confirmation et de réinitialisation ne sont également conservés que sous forme d'empreinte et expirent rapidement.

Dans l'app iPhone, l'achat est aussi possible sans compte. Nous créons alors un compte de l'appareil, sans adresse e-mail et sans nom. L'achat, tes itinéraires et tes sorties y sont rattachés. L'appareil reste connecté jusqu'à 400 jours ; ensuite, « Restaurer les achats » te reconnecte avec le justificatif d'achat d'Apple. Tu peux ajouter e-mail et mot de passe à tout moment sous « Mon compte », de manière facultative. Nous supprimons un compte de l'appareil sans achat ni itinéraire s'il n'a pas servi pendant 30 jours. Nous gardons la clé d'achat pour Apple, pour qu'un achat payé arrive encore plus tard. C'est un nombre aléatoire sans lien avec toi.

La connexion retient un identifiant de session dans un cookie. Il sert uniquement à rester connecté et devient invalide à la déconnexion.

Pour supprimer ton compte : te connecter, ouvrir « Mon compte » et, en bas, sous « Fermer le compte », toucher « Supprimer le compte ». Si le compte a un mot de passe, nous le demandons. Si un abonnement est encore actif, résilie-le d'abord sous « Gérer l'abonnement ». Sans connexion, un e-mail à info@mofamaps.ch suffit.

Avec le compte disparaissent immédiatement et définitivement : les itinéraires enregistrés, les liens d'itinéraire (point 18), les trajets enregistrés avec leurs pages publiques, les sessions, le lien avec Google ou Apple, le deuxième facteur et les entrées d'abonnement chez nous. Subsistent les justificatifs de paiement (dix ans, chiffre 10) et les messages de contact jusqu'à douze mois après leur traitement, ensuite sans lien avec le compte.

4. Connexion via Google ou Apple

Qui se connecte via Google ou Apple est dirigé vers leur page de connexion. Nous en recevons un identifiant durable et l'adresse e-mail, pas le mot de passe. Chez Apple, il peut s'agir d'une adresse de relais si la confidentialité de l'adresse est choisie ; tout fonctionne également ainsi.

Google et Apple apprennent ainsi qu'une connexion a lieu sur ce site. Google Ireland Limited a son siège à Dublin, Apple Distribution International Limited à Cork, toutes deux en Irlande. Qui ne le souhaite pas se connecte avec une adresse e-mail et un mot de passe.

Pour Google et Apple, l'app ouvre une fenêtre de connexion de l'appareil. Notre serveur remet ensuite à l'app un code qui expire après 60 secondes ou dès sa première utilisation. Il n'est conservé que sous forme d'empreinte et sert uniquement à transmettre la connexion à l'app.

5. Sorties planifiées

Un itinéraire enregistré se compose des lieux que tu as toi-même définis, avec le choix du véhicule. Il appartient à ton compte et n'est pas visible par d'autres, sauf si tu crées pour lui un lien d'itinéraire (point 18) : alors, quiconque a le lien le voit. Nous ne l'analysons pas et ne le transmettons pas.

6. Localisation

Seules quatre fonctions demandent la position de l'appareil : le navigateur et l'enregistrement de la sortie, quand tu les démarres, la page de navigation, dès que tu l'ouvres, et le bouton « Ma position » dans le planificateur, quand tu le touches. Le navigateur et l'enregistrement de la sortie la demandent en continu tant qu'ils fonctionnent ; la navigation enregistre alors aussi le trajet, voir le point 16. La page de navigation la demande en continu tant qu'elle est ouverte, pour que la carte affiche ta position, aussi avant le départ et après la fin d'un trajet. Cette demande continue affiche la position seulement sur la carte et ne l'envoie pas à notre serveur ; les images cartographiques autour de ta position, ton navigateur les charge alors auprès des services cartographiques du point 7. Si tu choisis une destination ou charges un itinéraire sur la page de navigation, elle demande en plus la position une fois. « Ma position » la demande une seule fois. Il n'y a aucune demande continue en dehors de la page de navigation, de la navigation et de l'enregistrement de la sortie. Ce que tu tapes dans les champs de recherche part vers notre serveur comme terme de recherche, non comme position.

Avec « Ma position » dans le planificateur, la position devient le point de départ de ton itinéraire. Sur la page de navigation, cela se fait sans bouton : si tu choisis une destination, ta position devient toujours le point de départ ; si tu charges un circuit, une sortie enregistrée ou le dernier itinéraire planifié, seulement si celui-ci commence à plus de 500 m de toi. Pour un circuit de la bibliothèque dont tu ne vois que la première étape sans accès complet, la page de navigation ne demande pas la position pour cela. La position ainsi demandée part vers notre serveur, par deux voies. D'abord pour le nom du lieu : notre serveur interroge pour cela le service Nominatim de l'OpenStreetMap Foundation avec la position, sans ton adresse IP. L'appel que ton navigateur envoie pour cela à notre serveur porte la position dans l'adresse et figure donc aussi dans nos fichiers journaux (point 2). Sur la page de navigation, cela se fait aussi quand un itinéraire chargé commence assez près et que la position ne devient donc pas le point de départ. Nous conservons le nom trouvé 30 jours dans une mémoire intermédiaire, sous une clé formée à partir de la position arrondie à environ onze mètres, sans lien avec toi ni avec ton compte. Ensuite comme point de passage pour le calcul de l'itinéraire, quand la position est le point de départ et que l'itinéraire a un deuxième point ; le calcul se fait sur notre service d'itinéraires (point 7). Dans le navigateur, la position reste comme partie du dernier itinéraire saisi, voir le point 8.

7. Cartes, itinéraires et recherche de lieux

Les images cartographiques proviennent directement des serveurs de l'Office fédéral de topographie (swisstopo, Wabern BE) et de la OpenStreetMap Foundation (Royaume-Uni). Ceux-ci apprennent l'adresse IP de ton appareil. Une carte ne peut pas se charger autrement.

Le calcul d'itinéraire et la recherche de lieux passent en revanche par notre propre serveur. Le service d'itinéraires tourne sur une machine que nous exploitons en Suisse. Pour la recherche de lieux, nous interrogeons le service Nominatim de la OpenStreetMap Foundation, avec le terme recherché, mais sans ton adresse IP.

8. Stockage dans le navigateur

Pour qu'un itinéraire reste lisible sans réseau, le site place des pages et des extraits de carte dans la mémoire de ton navigateur. Ces données restent sur ton appareil. Les réponses de l'interface ne sont volontairement pas conservées. Ces données peuvent être effacées à tout moment via le navigateur.

Le planificateur et la navigation retiennent en outre le dernier itinéraire saisi : points de passage avec noms et coordonnées, le véhicule choisi et les réglages de l'itinéraire. Sur la page de navigation, le premier de ces points est en règle générale ta position au moment où tu as choisi la destination ; il y est marqué comme position. Si tu recharges l'itinéraire plus tard et que tu te trouves à plus de 500 m de ce point, ta position actuelle le remplace. Ces données restent aussi sur ton appareil et ne sont plus utilisées après 30 jours.

9. Formulaire de contact

Qui nous écrit via le formulaire de la page d'aide voit son message conservé avec l'adresse e-mail, le nom facultatif, la langue et la page d'origine, pour les utilisateurs connectés, aussi avec le lien vers le compte. Cela sert uniquement à répondre.

Les messages traités sont supprimés douze mois après leur clôture. Qui demande à être averti au lancement du paiement recevra alors un seul message. Nous n'utilisons pas l'adresse pour autre chose.

10. Paiement

Le paiement passe par le prestataire Stripe, et se fait sur une page de Stripe : les données de carte ou TWINT restent exclusivement chez lui. Elles n'atteignent jamais notre serveur. Stripe reçoit de nous ton adresse e-mail et le numéro interne de ton compte, pour que le paiement puisse être attribué ; nous recevons la confirmation du paiement et un identifiant client. Qui n'achète rien ne laisse rien non plus chez Stripe.

Le destinataire est Stripe Payments Europe Ltd à Dublin (Irlande) ; des données peuvent parvenir à Stripe Inc. aux États-Unis, sur la base du Swiss-U.S. Data Privacy Framework (art. 16 al. 1 LPD). Les justificatifs de paiement sont soumis à l'obligation de conservation de dix ans (art. 958f CO) et ne sont pas touchés par la suppression d'un compte.

Dans l'app iPhone, l'achat passe par l'App Store d'Apple. Apple traite le paiement ; nous ne recevons aucune donnée de paiement. Apple nous transmet une confirmation signée de chaque achat avec le produit, la date d'achat, la durée et les identifiants de l'achat chez Apple. Pour que l'achat soit rattaché à ton compte, notre serveur remet à l'app avant l'achat un identifiant aléatoire, qu'Apple inscrit dans la confirmation ; il ne contient ni ton nom ni ton adresse e-mail. Ensuite, Apple nous signale renouvellement, résiliation et remboursement. Apple est responsable du paiement lui-même (Apple Distribution International Ltd., Cork, Irlande), selon sa propre déclaration de protection des données.

Dans l'app Android, l'achat passe par Google Play. Google traite le paiement ; nous ne recevons aucune donnée de paiement. Sur demande, Google nous transmet l'état de chaque achat avec le produit, la date d'achat, la durée et l'identifiant de l'achat chez Google. Pour que l'achat soit rattaché à ton compte, notre serveur remet à l'app avant l'achat un identifiant aléatoire, que Google enregistre dans l'achat ; il ne contient ni ton nom ni ton adresse e-mail. Ensuite, Google nous signale renouvellement, résiliation, pause et remboursement via le service de notification Cloud Pub/Sub. Google est responsable du paiement lui-même (Google Commerce Limited, Dublin, Irlande, resp. Google Ireland Limited pour les services Play), selon sa propre déclaration de protection des données.

11. Transmission

En dehors des entités mentionnées ci-dessus (hébergement chez Infomaniak Network SA à Genève, services cartographiques, services de connexion), nous ne transmettons aucune donnée. Restent réservées les obligations légales envers les autorités.

12. Combien de temps

Le compte et les sorties enregistrées restent jusqu'à ce que tu les supprimes. Les messages de contact sont supprimés douze mois après leur clôture. Les journaux d'accès sont tenus par l'hébergeur ; les entrées plus anciennes y expirent au fil du temps et nous n'en conservons aucune copie.

13. Tes droits

Tu peux demander l'accès à tes données, les faire rectifier ou supprimer, t'opposer au traitement et demander la remise de tes données dans un format courant. L'autorité de surveillance compétente est le Préposé fédéral à la protection des données et à la transparence.

14. Sécurité et modifications

La transmission est chiffrée de bout en bout, les mots de passe ne sont conservés que sous forme d'empreinte et l'accès à la base de données est restreint. Contre les tentatives répétées, nous comptons les essais par adresse IP de l'expéditeur ; ces compteurs expirent après 24 heures. Si cette déclaration change, la nouvelle version figure ici, avec une nouvelle date.

15. Enregistrement de la sortie et pages publiques

L'enregistrement GPS d'une sortie se fait sur ton appareil. Nous conservons sur notre serveur la ligne simplifiée de l'itinéraire et les chiffres clés tels que la durée, la distance et le dénivelé. La vitesse maximale n'est visible que par toi.

Une page publique avec code QR n'est créée que sur ton souhait explicite. Elle affiche l'itinéraire ainsi que les valeurs quotidiennes comme la distance, la durée et le dénivelé. La zone de départ et d'arrivée est tronquée sur environ 500 m, sauf si tu désactives cette option lors du partage. Il s'agit d'un simple brouillage, pas d'une anonymisation : la direction du premier tronçon reste reconnaissable. Les appels sont comptabilisés sans référence personnelle. Tu peux retirer la page à tout moment dans ton compte ; elle répond ensuite par «410, plus publiée».

La suppression du compte supprime également toutes les pages et leurs données de manière définitive.

16. Navigation

Pendant la navigation, l'appareil demande ta position en continu, pour afficher ta position sur la carte et annoncer les manœuvres à temps. Si le trajet s'écarte de l'itinéraire prévu ou si tu changes de destination en route, l'appareil envoie la position ACTUELLE à notre propre service d'itinéraires, afin de recalculer le trajet. Ces positions envoyées au service d'itinéraires ne sont pas enregistrées. Sur la page de navigation, la carte affiche ta position déjà avant le départ et de nouveau après la fin d'un trajet, voir le point 6. Les annonces, le recalcul et l'enregistrement n'y commencent qu'avec « C'est parti ».

Depuis le 11 septembre 2026, la navigation enregistre en plus le trajet parcouru et le dépose dans ton compte à l'arrivée, comme un enregistrement de sortie selon le point 15. Le réglage par défaut est ACTIVÉ. Tu le désactives dans le menu du navigateur ; si tu le désactives en cours de route, l'enregistrement en cours est abandonné et rien n'est enregistré. Rien n'est jamais publié : une adresse publique n'apparaît que si tu partages une sortie expressément.

17. Liens partenaires vers des hébergements

Aux étapes d'un circuit de plusieurs jours figure un lien vers la recherche d'hébergement sur Booking.com. Il est signalé comme publicité. Si tu réserves via ce lien, nous touchons une commission ; le prix reste le même pour toi.

Avant le clic, rien n'est chargé depuis Booking.com ou Commission Junction : ni scripts, ni images, ni fenêtre intégrée. Tant que tu ne cliques pas, ces services n'apprennent rien de ta visite.

Si tu cliques, le chemin passe par Commission Junction (Commission Junction LLC, États-Unis) vers Booking.com (Booking.com B.V., Pays-Bas). L'adresse IP, les données du navigateur et la page d'origine sont alors transmises à ces services ; Commission Junction dépose un identifiant de clic pour attribuer la commission. Leurs déclarations de protection des données s'appliquent.

Nous ne recevons aucune donnée personnelle en retour, uniquement des rapports agrégés sur les clics et les commissions.

18. Lien d'itinéraire pour les participants

Un compte avec accès complet peut créer, pour une sortie enregistrée qui lui appartient, un lien permettant à d'autres de la naviguer sans compte, par exemple les participants d'une sortie de groupe. Le lien vaut dès sa création jusqu'au septième jour après le jour de sortie choisi inclus ; tu peux le révoquer à tout moment. Un compte détient au maximum vingt liens valides en même temps. Sont alors enregistrés : l'identifiant du lien, l'itinéraire, ton compte, le jour de sortie, l'expiration, une éventuelle révocation, le nombre d'ouvertures et le moment de la création. Un lien expiré ou révoqué reste dans cette liste jusqu'à ce que tu supprimes l'itinéraire ou ton compte.

Qui ouvre le lien n'a pas besoin de compte. Le navigateur reçoit pour cela un cookie de session technique (__Host-tr_gast), signé et contenant le numéro interne du lien, l'itinéraire et l'expiration ; il expire avec le lien. Il débloque uniquement la navigation de cet unique itinéraire. Ni compte ni adresse e-mail ne sont créés. Comme pour toute visite, nous comptons l'adresse IP de l'expéditeur contre les abus (point 14, jusqu'à 24 heures), et elle figure, comme pour tout accès, dans le journal du serveur (point 2). Le nombre d'ouvertures du lien augmente en plus. Sans compte, il n'y a pas non plus d'enregistrement de sortie selon les points 15 ou 16.

Pour la position pendant la navigation, la même règle qu'aux points 6 et 16 s'applique : si le trajet s'écarte de l'itinéraire, l'appareil envoie la position actuelle à notre service d'itinéraires pour recalculer ; ces positions ne sont pas enregistrées. Les requêtes via un lien d'itinéraire sont en outre limitées, par lien et adresse IP de l'expéditeur ainsi qu'au total par lien. Pour cela, nous comptons l'adresse IP avec le numéro interne du lien (point 14, jusqu'à 24 heures). Comme pour tout calcul d'itinéraire, l'adresse IP seule est aussi comptée.

La page du lien affiche à quiconque la connaît le nom de l'itinéraire, ses points de passage avec noms et coordonnées, le véhicule choisi et, s'il est renseigné dans le compte, le nom de l'organisateur. Le premier point de passage est souvent le lieu de départ de l'organisateur lui-même. Les moteurs de recherche ne doivent pas l'indexer (noindex) ; en cliquant plus loin, le navigateur ne transmet pas l'adresse (no-referrer).

Lors de la création, tu peux indiquer en plus, si tu le souhaites : un point de rencontre, l'heure de départ, une note aux participants et les points de passage où une journée se termine. Ces indications sont enregistrées avec le lien. Si la sortie dure plusieurs jours, le lien vaut jusqu'au septième jour après le dernier jour de sortie inclus.

Si tu as fait de telles indications, la page du lien les affiche aussi à quiconque connaît le lien : jour de sortie, point de rencontre, heure de départ, note et répartition en jours. N'écris dans la note que ce que tous ceux qui reçoivent le lien peuvent lire.

Si le lien est partagé dans une messagerie, celle-ci récupère un aperçu : nom de l'itinéraire, jour de sortie, point de rencontre, heure de départ, kilomètres et une image de la carte de l'itinéraire avec code QR. Nous calculons l'image lors du premier accès et la gardons en mémoire temporaire ; les images anciennes sont supprimées régulièrement. Un lien révoqué ou expiré ne la livre plus ; un aperçu déjà affiché dans une messagerie y reste. Les accès de ces services d'aperçu ne comptent pas comme ouverture du lien.

Si tu supprimes ton compte ou l'itinéraire concerné, tous les liens d'itinéraire correspondants disparaissent aussi.

État : 19 septembre 2026