Confidentialité
Principe : ne collecter que ce qui est indispensable au fonctionnement de la consultation. C'est l'organisateur qui choisit le niveau de contrôle, et donc le niveau de collecte ; cette page lui est destinée autant qu'aux participants.
Ce que le site enregistre
| Situation | Données conservées |
|---|---|
| Vote sans contrôle particulier | Le bulletin (les mentions données), l'heure, un éventuel commentaire. Aucune identité. Un témoin de session dans votre navigateur permet de retrouver votre bulletin pour le modifier si l'organisateur l'autorise. |
| Identification par e-mail | Une empreinte (hachage HMAC) de l'adresse, qui sert uniquement à empêcher un second vote. L'adresse elle-même n'est pas conservée et ne peut pas être retrouvée à partir de l'empreinte. |
| Codes individuels | Le libellé du participant fourni par l'organisateur (un nom, un numéro…), l'empreinte du code, et le fait qu'il a voté. Rien ne relie ce participant à un bulletin : l'organisateur sait qui a voté, pas ce qu'il a voté. |
| Numéro de carte d'électeur | Une empreinte seulement, pour détecter les doublons, effacée automatiquement après la durée fixée par l'organisateur (30 jours après la clôture par défaut). Jamais exportée, jamais affichée. Chaque accès de l'organisateur à la page des participants est journalisé. |
| Bulletin identifié | Si l'organisateur a choisi un vote non anonyme, le nom saisi est enregistré avec le bulletin, et la page de vote le signale clairement avant le vote. |
| Organisateur | Aucun compte : un lien d'administration secret. Le navigateur de l'organisateur mémorise localement la liste de ses consultations (stockage local, jamais envoyé au serveur). |
Numéro de carte d'électeur : ce que cela veut dire
Lorsqu'un organisateur active cette option, le numéro est demandé par l'organisateur de cette consultation. Il ne constitue pas une vérification officielle de votre inscription sur les listes électorales : ce site n'est connecté à aucun registre administratif. Il sert uniquement à limiter les participations multiples.
Journal, limites et sécurité
- Les opérations d'administration (création, modification, clôture, suppression, gestion des participants) sont journalisées avec une empreinte quotidienne de l'adresse IP, pas l'adresse elle-même. L'adresse IP n'est jamais utilisée pour identifier un électeur.
- Le nombre de créations, de votes et d'essais de code par adresse est limité pour freiner les automates.
- Tout le site est en HTTPS. Les formulaires sont protégés contre les requêtes forgées (CSRF) et l'affichage contre l'injection de code (XSS) ; toutes les requêtes à la base sont paramétrées. Les liens d'administration et de vote individuel sont aléatoires et impossibles à deviner.
- Le serveur est sauvegardé ; les sauvegardes suivent les mêmes suppressions avec un délai de quelques semaines.
Suppression
- L'organisateur peut supprimer une consultation à tout moment depuis son lien d'administration : bulletins, participants et empreintes sont supprimés en même temps.
- Un participant qui souhaite faire supprimer ses données s'adresse à l'organisateur de la consultation, seul à pouvoir identifier sa participation (et seulement s'il a choisi un mode identifié).
- Les consultations ne sont pas analysées, ni vendues, ni utilisées pour autre chose que leur affichage.
Témoins (cookies)
Un seul témoin technique de session (mjs), indispensable au vote et à la protection des formulaires, supprimé à la fermeture du navigateur. Aucune mesure d'audience, aucun témoin tiers.