Ce que Serveur de dev garde de toi

Quand tu commandes, avec ou sans compte

• Ton nom et ton numéro de téléphone. Pour t’appeler au comptoir et te rejoindre s’il y a un problème avec ta commande. Le téléphone est obligatoire pour une livraison.
• Ton courriel. Pour rattacher ta facture à ton compte si tu en as un, et pour que Stripe l’affiche déjà rempli au moment de payer. Le site ne t’envoie aucun courriel de confirmation de commande — ta confirmation s’affiche à l’écran une fois le paiement passé. Par contre, cette adresse peut recevoir un courriel « on s’ennuie de vous » quand tu n’as pas commandé depuis un moment. Il porte toujours un lien de désabonnement, et tu n’as pas besoin d’avoir un compte pour en recevoir : commander suffit.
• Ton adresse de livraison — numéro, rue, ville, code postal et la note que tu ajoutes (code de porte, étage). Seulement si tu te fais livrer : en commande à emporter, elle n’est pas demandée et rien n’est gardé.
• Le détail de ta commande : chaque article, ses extras, les quantités, les prix, et les notes que tu écris — souvent une allergie.
• Les montants : sous-total, livraison, TPS, TVQ, pourboire, rabais, total. Ce sont ceux recalculés par le serveur, jamais ceux envoyés par ton navigateur.
• Le mode et l’état du paiement, et la référence du paiement chez Stripe — c’est elle, et elle seule, qui permet de te rembourser plus tard.

Si tu te crées un compte

• Ton courriel (c’est lui qui identifie ton compte), ton nom, ton téléphone et l’adresse que tu enregistres, pour que ta prochaine commande te la repropose en un bouton au lieu de te la faire retaper.
• Ton mot de passe n’est jamais gardé, ni en clair ni chiffré. Le site garde une empreinte scrypt, irréversible, avec un sel tiré au sort pour toi. Personne — pas même le restaurant — ne peut relire ton mot de passe. La comparaison se fait en temps constant, pour que la durée de la réponse ne laisse rien deviner. Si tu changes ton mot de passe, un sel neuf est tiré et l’ancienne empreinte disparaît.
• Un jeton de session et la liste de tes appareils connectés. La liste sert à tout couper d’un coup quand tu changes ton mot de passe ou supprimes ton compte.
• Les codes à 6 chiffres (vérification de ton courriel, mot de passe oublié) ne sont jamais gardés en clair : ce sont des empreintes salées. Un code vit 15 minutes, tolère 20 essais au maximum et est détruit dès qu’il sert. Il n’en part qu’un par minute.
• Tant que ton courriel n’est pas prouvé par un code, ton compte n’affiche que les commandes passées depuis sa création. C’est ce qui empêche quelqu’un de créer un compte avec ton adresse pour lire tes anciennes factures.

Même si tu ne commandes pas

• Une livraison refusée est gardée. Quand le site te répond que ton adresse est hors zone, introuvable, ou que c’est fermé, il en garde une trace pour que le restaurant sache où il perd des clients. Tant que tu n’as écrit ni nom ni téléphone, cette trace ne contient que le nom de ta rue sans le numéro, la ville et la raison — rien qui permette de te reconnaître. Mais si tu avais déjà tapé ton nom ou ton téléphone, ils sont gardés avec l’adresse complète et le montant du panier, pour que le restaurant puisse te rappeler et prendre la commande au téléphone. Le restaurant ne les voit plus après 30 jours, mais elles ne s’effacent pas d’elles-mêmes : elles restent en base jusqu’à ce que 1 000 refus plus récents les aient chassées. On préfère te le dire plutôt que de te promettre un effacement qui n’existe pas dans le code.
• Un panier abandonné reste 4 jours. Si tu vas jusqu’à la page de paiement et que tu pars, ta commande préparée — nom, téléphone, adresse, articles, total — reste visible au restaurant pendant ces 4 jours, puis disparaît toute seule. Celui-là est un vrai effacement automatique.
• Si tu signales un bug ou une idée (le lien en bas de page) : ton message, la page d’où tu écris et le contact que tu donnes s’il y en a un. Et la capture d’écran que tu joins : elle est déposée sur le stockage du restaurant sous une adresse impossible à deviner, mais qui n’est pas protégée par un mot de passe — ne mets rien dessus que tu ne voudrais pas montrer. Aucun code ne la supprime : elle reste là tant que le restaurant ne l’efface pas lui-même. Le restaurant ne voit plus ces messages après 180 jours ; comme les refus, ils ne s’effacent pas d’eux-mêmes — les 300 plus récents restent en base.
• Si tu laisses un avis après une commande : ta note, ton message et le prénom que tu avais écrit sur cette commande. Ni courriel, ni téléphone, ni adresse. Il n’est montré qu’au restaurant.

Deux choses qu’on ne fait pas

Aucune position GPS n’est gardée avec ton adresse. Ce qui est enregistré, c’est le texte que tu as toi-même écrit. La position est recalculée au moment où tu commandes, puis n’est pas rattachée à toi.

Ton téléphone n’est jamais vérifié : aucun SMS, aucun code. C’est voulu. Ce numéro n’ouvre aucun accès à ton compte, il sert seulement à te rappeler.

Les témoins déposés sur ton appareil

Les deux premiers n’existent que si tu as un compte et que tu es connecté.

• Ton témoin de connexion. C’est lui qui te reconnaît. Il n’est pas lisible par le JavaScript de la page, et il voyage en HTTPS en production. Il dure 400 jours — le maximum permis par Chrome et Safari — et il est renouvelé à chaque passage : en pratique, il reste valide tant que tu reviens au moins une fois par année.
• Un témoin court de passage, valable 15 minutes et renouvelé chaque fois que le site revérifie ta session. Il est signé et ne contient ni ton courriel ni ton mot de passe : il évite seulement de relire la base à chaque clic.
• Dans l’application mobile, c’est le même jeton de connexion, gardé dans le coffre sécurisé de ton téléphone : une app native ne peut pas garder un témoin de navigateur. Il se révoque exactement de la même façon.
• Un témoin de tentatives de paiement, qui retient jusqu’à 8 numéros de tes commandes récentes pendant 7 jours. Il sert à ne pas compter éternellement comme « client perdu » un paiement que tu as simplement abandonné. Celui-là est déposé même sans compte.

Stripe — le paiement

Reçoivent : ton courriel, le détail de ta commande (le nom de chaque article avec ses extras), les montants et le numéro de ta commande.

Ton numéro de carte ne passe jamais par ce site. Tu le tapes sur la page de Stripe ; le restaurant ne le reçoit pas et ne le garde pas. Il ne conserve que la référence du paiement, pour pouvoir te rembourser.

Ne partent pas chez Stripe : ton adresse de livraison et ton téléphone.

Resend — les courriels

C’est le service qui poste les courriels du site. Il reçoit ton adresse, le sujet et le texte du message. Il n’y en a que trois sortes : le mot de bienvenue quand tu crées un compte, les codes à 6 chiffres (vérifier ton courriel, mot de passe oublié), et les relances — celles-ci portent toujours un lien de désabonnement.

Il n’y a aucun courriel de confirmation de commande. On préfère l’écrire ici plutôt que de te laisser en attendre un.

Google — les adresses

Ton adresse de livraison complète part chez Google, en texte clair, pour être située sur la carte et savoir si tu es dans une zone livrée et à quel tarif. Le numéro d’appartement entre parenthèses est retiré avant l’envoi.

Et dès le 3ᵉ caractère tapé dans le champ d’adresse, ce que tu écris part chez Google pour te proposer des suggestions — même si tu effaces et n’envoies jamais la commande.

Ne partent pas : ton nom, ton téléphone, ton courriel. Ces appels sont faits par notre serveur, donc ton adresse IP n’y va pas par ce chemin-là.

Google Fonts — les polices du site

Les polices d’écriture sont chargées par ton navigateur directement chez Google. C’est donc le seul endroit où ton adresse IP arrive chez Google, et ça se produit sur chaque page, même si tu ne commandes rien.

Expo — les notifications

Si tu installes l’application et que tu acceptes les notifications, Expo reçoit le jeton de notification de ton téléphone et le texte du message affiché sur ton écran verrouillé : le numéro de ta commande et le nom du restaurant. Sans l’application, aucun jeton n’existe et rien ne part là-bas.

Upstash et Vercel — l’hébergement

Tout ce qui précède est rangé dans la base de données Upstash du restaurant. Le site lui-même tourne chez Vercel, et un compteur de pages vues (Vercel Analytics) mesure la fréquentation.

Ce qu’on ne peut pas te dire ici : dans quel pays ces sociétés gardent leurs copies, et combien de temps elles les gardent. Ce sont leurs conditions qui décident, pas le code du restaurant, et on préfère l’écrire plutôt que de l’inventer.

• Ton compte et tout ce qu’il contient : tant que tu ne le supprimes pas. Aucun effacement automatique n’est prévu — un compte créé il y a des années et jamais réutilisé est toujours là, avec son adresse et son téléphone.
• Tes commandes : aucune durée d’effacement n’est prévue non plus. Ce sont les pièces comptables du restaurant.
• Une commande jamais payée (tu es parti avant de régler) : 4 jours, puis elle disparaît toute seule. Vrai effacement automatique.
• Une livraison refusée (hors zone, adresse introuvable, fermé), avec ton nom et ton téléphone seulement si tu les avais déjà écrits : invisible au restaurant après 30 jours, mais conservée jusqu’à ce que 1 000 refus plus récents la chassent. Ce n’est pas un effacement par le temps, et on ne va pas te dire le contraire.
• Un bug ou une idée que tu nous envoies : pareil — invisible au restaurant après 180 jours, conservé tant que 300 messages plus récents ne l’ont pas chassé. La capture d’écran jointe, elle, n’est supprimée par aucun code : elle reste sur le stockage du restaurant tant qu’il ne l’efface pas à la main.
• Ta session : elle n’expire pas d’elle-même côté serveur. Elle se termine quand tu te déconnectes, quand tu changes ton mot de passe, ou quand tu supprimes ton compte.
• Les jetons de notification : 180 jours, remis à zéro chaque fois que l’app se réenregistre. Un téléphone qui n’ouvre plus l’app finit donc par ne plus rien recevoir. Vrai effacement automatique.
• Les codes à 6 chiffres : 15 minutes, et détruits dès qu’ils servent. Le compteur d’essais : 15 minutes. Le verrou anti-spam d’envoi : 60 secondes.
• La position trouvée pour une adresse est gardée en mémoire tampon 90 jours (24 heures si l’adresse est introuvable), sous un nom de clé qui est une empreinte : l’adresse n’y est pas lisible.
• Les suggestions d’adresse, elles, sont gardées 7 jours — et là, ce sont de vraies adresses lisibles. On préfère te le dire plutôt que de laisser croire que tout est haché.
• Les témoins : 400 jours pour celui qui te garde connecté, 15 minutes pour celui de passage, 7 jours pour celui des tentatives de paiement.

Ça se fait toi-même, depuis « Mon compte », sur ce site comme dans l’application. Il faut retaper ton mot de passe pour confirmer.

Ouvrir « Mon compte » pour supprimer mon compte

1. Ouvre « Mon compte » avec le lien ci-dessus et connecte-toi.
2. Touche le bouton rouge « Supprimer mon compte ».
3. Écris le mot Supprimer, retape ton mot de passe, puis confirme. C’est fait tout de suite, et c’est définitif.

Ce qui est effacé immédiatement : toutes tes sessions — donc tous tes appareils sont déconnectés —, puis ta fiche entière : ton nom, ton téléphone, l’adresse que tu avais enregistrée, le sel et l’empreinte de ton mot de passe. Les codes en cours et les jetons de notification liés à ton courriel partent avec.

Ce que la suppression n’efface pas

Tes commandes déjà passées restent, telles quelles, avec ton nom, ton téléphone, ton adresse de livraison, le contenu de la commande et ton courriel. Ce sont les pièces comptables du restaurant.

Autrement dit : supprimer ton compte n’est pas « effacer mes données ». On aime mieux te le dire en toutes lettres.

Il reste aussi, un temps, des compteurs techniques qui s’effacent seuls entre 60 secondes et 15 minutes, et les jetons de notification rattachés à tes commandes (180 jours).

Une limite à connaître : aucun outil du site ne permet aujourd’hui de retrouver puis d’effacer les commandes d’une seule personne. Si tu le demandes, le restaurant doit le faire à la main — demande-le-lui, ses coordonnées sont au bas de cette page, à « Nous joindre ».

• Une session ne meurt pas toute seule. Si tu perds ton téléphone, il reste connecté à ton compte. Il n’y a pas encore d’écran « déconnecter mes autres appareils » : le seul interrupteur, c’est de changer ton mot de passe — ça coupe toutes tes sessions d’un coup.
• Aucun courriel ne t’avertit si ton mot de passe, ton téléphone ou ton adresse changent. Seule l’inscription en envoie un.
• Le lien de ta page de confirmation reste ouvert 30 minutes. Attention : ce n’est pas le petit numéro imprimé sur ta facture (le « #42 »), qui n’est qu’un compteur du jour et se devine ; c’est l’identifiant secret qui se trouve dans l’adresse de la page, tiré au sort et impossible à deviner. C’est lui qui te montre ta commande au retour du paiement, sans t’obliger à créer un compte. Pendant cette demi-heure, quelqu’un qui l’aurait verrait ton nom, ton téléphone, ce que tu as commandé et tes notes — donc une allergie écrite là. Passé ce délai, il faut être connecté à ton compte, ou être le restaurant. Ton courriel et ton adresse de livraison ne sortent jamais par là ; du paiement, seuls le mode et l’état sortent — la référence de ta transaction chez Stripe, jamais.

Une question, une correction à faire, une demande sur tes données : écris ou appelle Serveur de dev.