Politique de confidentialité — Livoria

L'exploitant étant une entreprise individuelle suisse, cette politique est rédigée sous la Loi fédérale sur la protection des données (nLPD, en vigueur depuis le 1er septembre 2023). Au lancement, Livoria ne dessert que des résidents suisses (voir CGV §5.3) ; le RGPD n'est donc pas applicable au traitement décrit ici. Si Livoria ouvre un jour la vente à des résidents de l'Union européenne, cette politique sera complétée pour respecter le RGPD en parallèle de la nLPD.

Dernière mise à jour : 3 octobre 2026 (intègre la revue juridique du 22.09.2026, le lancement limité au marché suisse, et la vérification complète des mécanismes de transfert internationaux au §5)

1. Responsable de traitement

Erwin Straumann, exerçant sous l'enseigne Livoria, Rue de la Combe 19, 1196 Gland (Vaud), Suisse — contact : contact@uselivoria.com — est responsable du traitement des données personnelles décrites dans la présente politique.

Représentant dans l'Union européenne : non désigné à ce jour. Décision documentée le 27.09.2026 : Livoria ne proposant pas d'offre régulière à des résidents de l'Union européenne au lancement (vente réservée à la Suisse, voir CGV §5.3), l'obligation de désigner un représentant au sens de l'art. 27 RGPD ne trouve pas à s'appliquer en l'état. Cette décision sera réexaminée avant toute ouverture de la vente à un État membre de l'Union européenne.

2. Données collectées

Sur les Profils lecteurs concernant un mineur : ces informations sont fournies par le Titulaire du compte (parent ou représentant légal), qui est seul responsable de leur exactitude. Le mineur ne crée ni ne renseigne lui-même de données sur la plateforme. Livoria minimise les champs collectés pour un Profil lecteur mineur au strict nécessaire à la personnalisation du Contenu, et n'active par défaut ni communication marketing ni profilage publicitaire ciblant un Profil lecteur mineur.

3. Finalités et bases légales des traitements

• Exécution du contrat : fourniture du Service, gestion du compte et des abonnements, facturation, support et réponse aux réclamations, envoi des notifications nécessaires au Service (livre prêt, rappel d'essai).
• Obligation légale : conservation des pièces comptables et fiscales, réponse aux demandes des autorités compétentes.
• Intérêt légitime : prévention de la fraude et des abus (empreinte de paiement, limitation par IP), sécurité du Service (journaux techniques), constitution de preuve en cas de litige contractuel.
• Consentement : notifications push, mesure d'audience si un outil d'analytics est activé (voir §8), communications marketing.

4. Destinataires des données — sous-traitants

Les données personnelles sont partagées avec les prestataires suivants, dans la stricte mesure nécessaire à la fourniture du Service. Registre établi le 27.09.2026 à partir des conditions légales publiques de chaque prestataire (DPA, notes DPF, politiques de confidentialité) :

5. Transferts internationaux de données

Chaque sous-traitant établi aux États-Unis (ou y faisant traiter tout ou partie des données) a été vérifié individuellement pour son mécanisme de transfert, plutôt que de présumer une clause générique applicable à tous :

• Clerk : auto-certifié EU-U.S. et Swiss-U.S. Data Privacy Framework ; clauses contractuelles types (CCT) en complément, avec addendum suisse.
• Stripe : la certification Swiss-U.S. DPF est détenue par l'entité américaine du groupe (Stripe, Inc.) ; à défaut d'applicabilité directe pour le flux Suisse → Stripe Payments Europe, un « Data Transfers Addendum » incorporant les CCT 2021 (variante adaptée à la Suisse) s'applique.
• Anthropic : ne détient pas de certification DPF — le transfert repose exclusivement sur des clauses contractuelles types (Module 2/3), avec un addendum spécifique pour les données soumises au droit suisse.
• OpenAI : ne détient pas de certification DPF — le transfert repose exclusivement sur des clauses contractuelles types.
• Resend : auto-certifié EU-U.S. et UK Extension du Data Privacy Framework (depuis mars 2025) ; la certification Swiss-U.S. DPF n'a pas pu être confirmée pour ce prestataire — clauses contractuelles types documentées en complément.
• Vercel : certifié EU-U.S., UK Extension et Swiss-U.S. Data Privacy Framework ; clauses contractuelles types 2021 également prévues dans son DPA.
• Railway : certification Swiss-U.S. Data Privacy Framework vérifiée directement sur le registre officiel (dataprivacyframework.gov/list, recherche « Railway Corporation », statut « Active », le 03.10.2026), aux côtés de l'EU-U.S. DPF et de la UK Extension ; clauses contractuelles types documentées en complément dans son DPA.
• Neon / Databricks : certification Swiss-U.S. Data Privacy Framework vérifiée directement sur le registre officiel (dataprivacyframework.gov/list, recherche « Databricks, Inc. », statut « Active », avec Neon, LLC listée nommément comme entité couverte, le 03.10.2026), aux côtés de l'EU-U.S. DPF et de la UK Extension ; clauses contractuelles types 2021 documentées en complément.
• PostHog (non actif à ce jour — voir §8 et §4) : certification Swiss-U.S. Data Privacy Framework vérifiée directement sur le registre officiel (dataprivacyframework.gov/list, recherche « PostHog Inc », statut « Active », le 03.10.2026), aux côtés de l'EU-U.S. DPF ; clauses contractuelles types (adaptées FADP pour la Suisse) documentées en complément dans sa DPA. Les données d'usage seraient en tout état de cause stockées via l'option « PostHog Cloud EU » (Francfort, Allemagne, infrastructure déjà configurée dans le code — voir §4), seule l'entité contractante restant américaine.

Aucun mécanisme n'est présumé applicable sans cette vérification individuelle. Les points Railway et Neon/Databricks, non confirmés lors de la rédaction initiale (27.09.2026), ont été vérifiés manuellement sur dataprivacyframework.gov/list le 03.10.2026 et sont désormais confirmés actifs ; PostHog a été vérifié selon la même méthode par anticipation de son activation (voir §8).

5bis. Données transmises aux modèles d'intelligence artificielle

Pour générer un livre, Livoria transmet au fournisseur de modèle utilisé les éléments nécessaires à la génération : l'idée de départ fournie par le Titulaire du compte, les paramètres pertinents du Profil lecteur (âge, niveau de lecture, préférences, thèmes à éviter, langue), et les éléments descriptifs utiles à la couverture. Le Titulaire du compte est invité à ne pas saisir de données sensibles ou de données concernant des tiers qui ne seraient pas nécessaires au Service. Ces fournisseurs traitent ces éléments en qualité de sous-traitants ou selon leur propre rôle contractuel, conformément aux conditions et accords de traitement applicables au service effectivement souscrit — voir §4 pour le registre par fournisseur.

Selon les conditions publiées par ces fournisseurs (Anthropic, OpenAI) pour leur API : les contenus transmis sont conservés jusqu'à 30 jours à des fins de sécurité et de détection d'abus, puis supprimés ; ils ne sont, sauf accord contraire, pas utilisés pour l'entraînement de leurs modèles.

6. Durée de conservation

Les durées de conservation varient selon la catégorie de données :

• Données du Compte et Profils lecteurs : conservées pendant toute la durée d'activité du Compte.
• Contenu généré (livres, synopsis, couvertures) : conservé pendant toute la durée d'activité du Compte, ainsi que l'historique technique visé à l'art. 4.3 des CGU.
• Données de facturation et preuves de paiement : conservées pendant la durée exigée par les obligations comptables et fiscales applicables à l'exploitant, indépendamment de la suppression du Compte.
• Journaux de sécurité, empreintes anti-fraude, preuves de consentement : conservés pendant la durée nécessaire à la finalité de sécurité ou de preuve, puis supprimés ou rendus non ré-identifiables.

En cas de suppression du Compte par le Titulaire :

1. Les données personnelles identifiantes directement associées au Compte (email, nom) sont remplacées par une valeur anonyme dès le traitement de la demande ;
2. L'ensemble des autres données du Compte (Profils lecteurs, Contenu généré, historique) est définitivement supprimé dans un délai de 30 jours ;
3. Font exception à ce délai les données dont la conservation est requise plus longtemps par une obligation légale (notamment comptable ou fiscale), par la nécessité de prouver un contrat ou un paiement, par la prévention de la fraude, la sécurité du Service, ou un litige en cours. Ces données sont conservées pour la seule durée nécessaire à cette finalité, puis supprimées ou rendues non ré-identifiables.

Une donnée n'est qualifiée d'« anonymisée » dans la présente politique que lorsque le procédé employé empêche raisonnablement toute ré-identification ; à défaut, elle est qualifiée de « pseudonymisée » ou simplement « supprimée », selon le procédé réellement appliqué.

Sauvegardes techniques (backups) : les délais ci-dessus s'appliquent aux données actives du Service. Nos hébergeurs (Railway pour l'API, Neon pour la base de données) effectuent en complément des sauvegardes automatiques selon leurs propres cycles publiés (typiquement : sauvegardes quotidiennes conservées quelques jours, hebdomadaires conservées quelques semaines, mensuelles conservées jusqu'à trois mois selon le prestataire et le palier souscrit). Une donnée supprimée du Service actif peut donc subsister transitoirement dans une sauvegarde jusqu'à l'écrasement naturel de celle-ci selon ce cycle. Ni Railway ni Neon ne publient de délai garanti de suppression des sauvegardes spécifiquement après la clôture d'un compte ou la suppression d'un projet — ce point n'est pas documenté publiquement par ces prestataires à ce jour ; Livoria ne peut donc pas garantir une purge des sauvegardes plus rapide que leur cycle normal d'écrasement.

7. Droits des personnes concernées

Conformément à la nLPD, toute personne concernée dispose des droits suivants sur ses données personnelles :

• Droit d'accès et de rectification : pour les données visibles dans le Compte (profil, Profils lecteurs, préférences), directement modifiable depuis la page « Mon compte ». Pour toute autre donnée, ou pour une demande formelle d'accès à l'ensemble des données détenues, adresser la demande à contact@uselivoria.com ; Livoria peut demander les informations raisonnablement nécessaires pour vérifier l'identité du demandeur, et répond dans un délai de 30 jours.
• Droit à l'effacement, exerçable via la suppression de compte intégrée au Service, dans les limites du §6.
• Droit d'opposition et de retrait du consentement (notifications, marketing).
• Droit à la portabilité des données fournies.
• Droit d'introduire une réclamation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT), www.edoeb.admin.ch.

8. Cookies et technologies similaires

Le Service utilise uniquement, à ce jour, des cookies strictement nécessaires à son fonctionnement (session d'authentification, préférence de langue) — aucun outil de mesure d'audience, publicité ou traceur non essentiel n'est actuellement actif (PostHog est intégré techniquement, avec le registre fournisseur déjà documenté par anticipation au §4/§5, mais aucun projet PostHog n'est encore configuré — la bascule se fera uniquement en renseignant une clé de projet réelle).

Une bannière de consentement (CMP) est en place, présentant avec une visibilité comparable les options « Tout accepter », « Tout refuser » et « Personnaliser », sans case pré-cochée, et permettant un retrait aussi simple que l'accord (art. 45c LTC, nLPD). Un lien permanent « Gérer mes cookies » est intégré au pied de page et permet de revenir sur ce choix à tout moment. Techniquement, l'initialisation de PostHog est conditionnée à un choix positif enregistré via cette bannière : tant qu'aucun accord n'est donné, aucun script de mesure d'audience n'est chargé, indépendamment du fait qu'une clé de projet PostHog soit ou non configurée.

9. Sécurité

Livoria met en œuvre des mesures techniques et organisationnelles raisonnables pour protéger les données personnelles contre l'accès non autorisé, la perte ou la divulgation (authentification déléguée à Clerk, chiffrement des communications, séparation des environnements).

10. Rôles de conformité

Trois rôles distincts sont à distinguer, avec des règles et des décisions propres :

• Conseiller à la protection des données (nLPD) : facultatif pour une entreprise privée sous la nLPD. Le pilote interne de conformité est Erwin Straumann lui-même, exploitant de Livoria.
• Délégué à la protection des données (DPO, art. 37 RGPD) : non applicable tant que le RGPD lui-même ne s'applique pas (vente réservée à la Suisse — voir préambule). À réexaminer si Livoria ouvre la vente à l'Union européenne et si les critères de l'art. 37 RGPD sont alors remplis (suivi régulier et systématique à grande échelle, traitement à grande échelle de catégories particulières de données).
• Représentant dans l'Union européenne (art. 27 RGPD) : non désigné, décision documentée au §1.

11. Contact

Pour toute question relative à la présente politique ou à l'exercice de vos droits : contact@uselivoria.com.