Confidentialité
Principe : ne collecter que ce qui est indispensable au fonctionnement de la consultation. C'est l'organisateur qui choisit le niveau de contrôle, et donc le niveau de collecte ; cette page lui est destinée autant qu'aux participants.
Ce que le site enregistre
| Situation | Données conservées |
|---|---|
| Vote sans contrôle particulier | Le bulletin (les mentions données), l'heure, un éventuel commentaire. Aucune identité. Un témoin de session dans votre navigateur, ou le lien personnel « Mon bulletin » reçu par e-mail si vous l'avez demandé, permet de retrouver votre bulletin pour le modifier si l'organisateur l'autorise. L'adresse utilisée pour cet envoi n'est pas conservée. |
| Identification par e-mail | Une empreinte (hachage HMAC) de l'adresse, qui sert uniquement à empêcher un second vote. L'adresse elle-même n'est pas conservée et ne peut pas être retrouvée à partir de l'empreinte. |
| Codes individuels | Le libellé du participant fourni par l'organisateur (un nom, un numéro…), l'empreinte du code, et le fait qu'il a voté. Rien ne relie ce participant à un bulletin : l'organisateur sait qui a voté, pas ce qu'il a voté. |
| Numéro de carte d'électeur | Une empreinte seulement, pour détecter les doublons, effacée automatiquement après la durée fixée par l'organisateur (30 jours après la clôture par défaut). Jamais exportée, jamais affichée. Chaque accès de l'organisateur à la page des participants est journalisé. |
| Bulletin identifié | Si l'organisateur a choisi un vote non anonyme, le nom saisi est enregistré avec le bulletin, et la page de vote le signale clairement avant le vote. Si l'organisateur a choisi de montrer les réponses déjà données (utile pour fixer une date), ce nom et les mentions sont visibles de tous les participants, et la page de vote l'annonce aussi. |
| Identification par compte | Le participant se connecte ; une empreinte du compte, propre à la consultation, empêche un second vote et lui permet de retrouver son bulletin. L'organisateur ne voit ni la liste des comptes ni le lien compte ↔ bulletin. |
| Contrôle strict (mobile) | Quand l'organisateur l'exige et que l'adresse du compte n'a pas été vérifiée par Google, un code envoyé par SMS confirme une seule fois un numéro de mobile français ; le compte reste ensuite vérifié pour toutes les consultations. Le numéro vérifié est conservé avec le compte (un mobile ne peut valider qu'un seul compte), n'est jamais montré aux organisateurs ni relié aux bulletins, et se retire depuis « Mon compte » (il disparaît avec le compte). Le SMS est envoyé par la passerelle de l'entreprise, qui journalise numéro et texte pendant 90 jours ; le site ne conserve que l'empreinte du code, 10 minutes. |
| Organisateur (compte) | Un compte est nécessaire pour créer une consultation : votre adresse e-mail, un nom facultatif, les dates de création et de dernière connexion, et la liste de vos consultations. Avec Google, seuls l'identifiant technique et l'adresse e-mail vérifiée sont lus. La connexion se fait par lien à usage unique, ou par un mot de passe facultatif conservé sous forme de hachage Argon2id (jamais en clair). Le compte et toutes ses consultations se suppriment depuis « Mon compte ». |
Numéro de carte d'électeur : ce que cela veut dire
Lorsqu'un organisateur active cette option, le numéro est demandé par l'organisateur de cette consultation. Il ne constitue pas une vérification officielle de votre inscription sur les listes électorales : ce site n'est connecté à aucun registre administratif. Il sert uniquement à limiter les participations multiples.
Journal, limites et sécurité
- Les opérations d'administration (création, modification, clôture, suppression, gestion des participants) sont journalisées avec une empreinte quotidienne de l'adresse IP, pas l'adresse elle-même. L'adresse IP n'est jamais utilisée pour identifier un électeur.
- Le nombre de créations, de votes et d'essais de code par adresse est limité pour freiner les automates.
- Tout le site est en HTTPS. Les formulaires sont protégés contre les requêtes forgées (CSRF) et l'affichage contre l'injection de code (XSS) ; toutes les requêtes à la base sont paramétrées. Les liens d'administration et de vote individuel sont aléatoires et impossibles à deviner.
- Le serveur est sauvegardé ; les sauvegardes suivent les mêmes suppressions avec un délai de quelques semaines.
Suppression
- L'organisateur peut supprimer une consultation à tout moment depuis son lien d'administration : bulletins, participants et empreintes sont supprimés en même temps.
- Un participant qui souhaite faire supprimer ses données s'adresse à l'organisateur de la consultation, seul à pouvoir identifier sa participation (et seulement s'il a choisi un mode identifié).
- Les consultations ne sont pas analysées, ni vendues, ni utilisées pour autre chose que leur affichage.
Témoins (cookies)
Un témoin technique de session (mjs), indispensable au vote et à la protection des formulaires, supprimé à la fermeture du navigateur ; et, pour les personnes connectées, un témoin de connexion (mjc, 90 jours, révocable depuis « Mon compte »). Aucun témoin tiers, aucun service de mesure d'audience externe.
Fréquentation
Le site compte lui-même, côté serveur, les pages vues par jour et par type de page (accueil, création, vote, résultats…) et le nombre de visiteurs distincts par jour, à partir de l'empreinte quotidienne de l'adresse IP déjà décrite ci-dessus (non réversible, changée chaque jour, effacée après 90 jours). Aucun script de suivi, aucun identifiant persistant, aucune transmission à un tiers ; ces comptages ne sont jamais reliés aux bulletins ni aux comptes.